# CVE-2026-109575 : HAProxy Data Plane API 2.2.0 - 3.4.3: authentification globale incorrecte lors de la configuration TLS, exposant le Basic auth

> In HAProxy Data Plane API 2.2.0 through 3.4.3 (and corresponding Enterprise Edition releases), Server.ConfigureAPI() has process-global authentication logic that improperly drops security controls across multiple transport types. When a…

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-109575-haproxy
- Sévérité : Critique · CVSS 9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : HAProxy
- Produits : HAProxy Data Plane API
- Correctif disponible : oui · PoC public : non · Exploitée : non
- Publiée le 13 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 13 octobre 2026 (12 octobre 2026)
- Mots clés : haproxy, authentification-bypass-defaillance

## Action recommandée

Si vous utilisez Data Plane API, vérifiez les règles d’authentification, appliquez le patch ou mettez à jour vers la version 3.4.4 ou ultérieure et redémarrez les services en mode minimal.

## Le contexte

In HAProxy Data Plane API 2.2.0 through 3.4.3 (and corresponding Enterprise Edition releases), Server.ConfigureAPI() has process-global authentication logic that improperly drops security controls across multiple transport types. When a TLS Certificate Authority (tls_ca) is configured and a numeric TLS port (tls_port) is specified, the application globally disables Basic authentication on its shared internal request handler. This handler is shared among HTTP, HTTPS and UNIX domain socket listeners, allowing bypass of authentication across listeners.

## Vecteur d'attaque

Exploitation potentielle via API de configuration DPA avec mTLS et port TLS; elimination des contrôles Basic Auth globalement

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| HAProxy Data Plane API | versions ≤ 3.4.3 | 3.4.4 |

Non affecté : HAPROXY Data Plane API versions non concernées par l’affectation ci-dessus.

Statut du correctif : Recommandé via patch v3.4.4 et versions ultérieures (voir release notes HAProxy Data Plane API).

## La vulnérabilité

### CVE-2026-109575 : authentification bypass / défaillance de contrôle d’accès

haproxy · CVSS 9.8

In HAProxy Data Plane API 2.2.0 through 3.4.3 (and corresponding Enterprise Edition releases), Server.ConfigureAPI() has process-global authentication logic that improperly drops security controls across multiple transport types. When a TLS Certificate Authority (tls_ca) is configured and a numeric TLS port (tls_port) is specified, the application globally disables Basic authentication on its shared internal request handler.

Impact : Attaquant peut accéder à l’API de gestion sans authentification sur plusieurs canaux

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

## Recommandations

- Mettre à jour HAProxy Data Plane API vers la version 3.4.4 ou supérieure.
- Réviser et resserrer les mécanismes d’authentification sur toutes les interfaces HTTP/HTTPS/UNIX et activer le MFA si disponible.
- Tester les scénarios d’accès et auditer les journaux pour détecter des accès non autorisés.

## Ce qu'il faut retenir

Si vous utilisez Data Plane API, vérifiez les règles d’authentification, appliquez le patch ou mettez à jour vers la version 3.4.4 ou ultérieure et redémarrez les services en mode minimal.

Analyse issue du bulletin de veille Kreomnis du 13 octobre 2026 (fenêtre : 12 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitHub Advisories — HAProxy Data Plane API](https://www.github.com/advisories/GHSA-7jqw-rhp8-c8vf) (vendor)
- [NVD — CVE-2026-109575](https://nvd.nist.gov/vuln/detail/CVE-2026-109575) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-109575-haproxy. Analyse à usage défensif uniquement.