Un rapport d’agent falsifié exécute du code sur Puppet Server et vole la clé de signature CA

Le 3 novembre 2026, Puppet by Perforce et le fork OpenVox corrigent CVE-2026-115731 : une désérialisation dans le traitement des rapports laisse tout agent muni d’un certificat signé exécuter du code sur le serveur Puppet et voler la clé de signature CA. Un exploit public est disponible, et les environnements en autosigning deviennent de facto sans authentification.