Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 42
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS (source) | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Microsoft | Windows Server 2022 23H2, Windows Server 2019, Windows 11 25H2, Windows Server 2025, Windows Server 2008, Windows 10 1607, Windows Server 2016, Windows Server 2012, Windows 10 1809, Windows Server 2022, Windows 11 24H2, Windows 10 21H2, Windows 10 22H2, Windows 11 23H2, Windows 11 22H2, Windows 10 1507 | CVE-2025-24990 | 7.8 (NVD) | Élévation de privilèges | 14/10/2025 | Exploitée | CERTFR-2025-AVI-0879 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24990 |
| Microsoft | Windows 10 21H2, Windows 11 24H2, Windows Server 2025, Windows 10 1809, Windows Server 2008, Windows 10 1607, Windows Server 2022, Windows Server 2012, Windows 10 1507, Windows Server 2019, Windows 11 23H2, Windows 10 22H2, Windows Server 2016, Windows 11 22H2, Windows Server 2022 23H2, Windows 11 25H2 | CVE-2025-59230 | 7.8 (NVD) | Contournement de la politique de sécurité | 14/10/2025 | Exploitée | CERTFR-2025-AVI-0879 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59230 |
| Oracle | E-Business Suite | CVE-2025-61884 | 7.5 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 11/10/2025 | Exploitée | CERTFR-2025-AVI-0865 | https://www.oracle.com/security-alerts/alert-cve-2025-61884.html |
| Microsoft | Windows 10 21H2, Windows 11 24H2, Windows Server 2025, Windows 10 1809, Windows 10 1607, Windows Server 2022, Windows Server 2012, Windows 10 1507, Windows Server 2019, Windows 11 23H2, Windows 10 22H2, Windows Server 2016, Windows 11 22H2, Windows Server 2022 23H2, Windows 11 25H2 | CVE-2025-47827 | 4.6 (NVD) | Contournement de la politique de sécurité | 14/10/2025 | Exploitée | CERTFR-2025-AVI-0879 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47827 |
| IBM | Cloud Pak, QRadar User Behavior Analytics, QRadar Suite Software | CVE-2025-29927 | 9.1 (NVD) | Contournement de la politique de sécurité | 15/10/2025 | Code d'exploitation public | CERTFR-2025-AVI-0896 | https://www.ibm.com/support/pages/node/7247985 |
| Squid | Squid | CVE-2025-62168 | 10 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 17/10/2025 | Pas d'information | CERTFR-2025-AVI-0889 | https://github.com/squid-cache/squid/security/advisories/GHSA-c8cc-phh7-xmxr |
| SAP | NetWeaver | CVE-2025-42944 | 10 (NVD) | Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0867 | https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2025.html |
| Moxa | OnCell G4302-LTE4, NAT-108 Series, TN-4900 Series, EDF-G1002-BP, NAT-102 Series, EDR-G9010 Series, EDR-8010 Series | CVE-2025-6950 | 9.9 (NVD) | Contournement de la politique de sécurité | 17/10/2025 | Pas d'information | CERTFR-2025-AVI-0890 | https://www.moxa.com/en/support/product-support/security-advisory/mpsa-258121-cve-2025-6892,-cve-2025-6893,-cve-2025-6894,-cve-2025-6949,-cve-2025-6950-multiple-vulnerabilities-in-netwo |
| Microsoft | Windows | CVE-2025-49708 | 9.9 (NVD) | Élévation de privilèges | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0879 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49708 |
| Microsoft | Visual Studio 2022, Asp.Net Core | CVE-2025-55315 | 9.9 (NVD) | Contournement de la politique de sécurité | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0880 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-55315 |
| IBM | QRadar SIEM | CVE-2025-31651 | 9.8 (NVD) | Contournement de la politique de sécurité | 15/10/2025 | Pas d'information | CERTFR-2025-AVI-0896 | https://www.ibm.com/support/pages/node/7247985 |
| Microsoft | Windows | CVE-2016-9535 | 9.8 (NVD) | Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0879 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2016-9535 |
| SAP | Data Hub Integration Suite | CVE-2025-48913 | 9.8 (NVD) | Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0867 | https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2025.html |
| Fortinet | FortiDLP | CVE-2025-54988 | 9.8 (NVD) | Atteinte à la confidentialité des données, Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0871 | https://www.fortiguard.com/psirt/FG-IR-25-771 |
| SAP | Print Service | CVE-2025-42937 | 9.8 (NVD) | Atteinte à l'intégrité des données, Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0867 | https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2025.html |
| Mozilla | Thunderbird, Firefox ESR, Firefox | CVE-2025-11708 | 9.8 (NVD) | Non spécifié par l'éditeur | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0873 | https://www.mozilla.org/en-US/security/advisories/mfsa2025-85/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-84/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-83/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-81/ |
| Mozilla | Thunderbird, Firefox ESR, Firefox | CVE-2025-11709 | 9.8 (NVD) | Non spécifié par l'éditeur | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0873 | https://www.mozilla.org/en-US/security/advisories/mfsa2025-85/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-84/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-83/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-82/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-81/ |
| Mozilla | Thunderbird, Firefox ESR, Firefox | CVE-2025-11710 | 9.8 (NVD) | Atteinte à la confidentialité des données | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0873 | https://www.mozilla.org/en-US/security/advisories/mfsa2025-85/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-84/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-83/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-82/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-81/ |
| Mozilla | Thunderbird, Firefox | CVE-2025-11719 | 9.8 (NVD) | Déni de service à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0873 | https://www.mozilla.org/en-US/security/advisories/mfsa2025-84/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-81/ |
| Mozilla | Thunderbird, Firefox | CVE-2025-11721 | 9.8 (NVD) | Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0873 | https://www.mozilla.org/en-US/security/advisories/mfsa2025-84/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-81/ |
| Fortinet | FortiSwitchManager, FortiPAM | CVE-2025-49201 | 9.8 (NVD) | Contournement de la politique de sécurité, Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0871 | https://www.fortiguard.com/psirt/FG-IR-25-010 |
| Microsoft | Windows | CVE-2025-59287 | 9.8 (NVD) | Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0879 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59287 |
| Ubuntu | Ubuntu | CVE-2024-38541 | 9.8 (NVD) | Non spécifié par l'éditeur | 13/10/2025 | Pas d'information | CERTFR-2025-AVI-0892 | https://ubuntu.com/security/notices/USN-7819-1 |
| Debian | Debian | CVE-2024-38541 | 9.8 (NVD) | Non spécifié par l'éditeur | 13/10/2025 | Pas d'information | CERTFR-2025-AVI-0892 | https://lists.debian.org/debian-lts-announce/2025/10/msg00007.html |
| IBM | QRadar Log Source Management App | CVE-2025-7783 | 9.4 (NVD) | Contournement de la politique de sécurité | 15/10/2025 | Pas d'information | CERTFR-2025-AVI-0896 | https://www.ibm.com/support/pages/node/7247975 https://www.ibm.com/support/pages/node/7247985 |
| Moxa | OnCell G4302-LTE4 Series, NAT-108 Series, EDF-G1002-BP Series, TN-4900 Series, NAT-102 Series, EDR-G9010 Series, EDR-8010 Series | CVE-2025-6893 | 9.3 (NVD) | Atteinte à l'intégrité des données, Atteinte à la confidentialité des données, Élévation de privilèges | 17/10/2025 | Pas d'information | CERTFR-2025-AVI-0890 | https://www.moxa.com/en/support/product-support/security-advisory/mpsa-258121-cve-2025-6892,-cve-2025-6893,-cve-2025-6894,-cve-2025-6949,-cve-2025-6950-multiple-vulnerabilities-in-netwo |
| Moxa | OnCell G4302-LTE4 Series, NAT-108 Series, EDF-G1002-BP Series, TN-4900 Series, NAT-102 Series, EDR-G9010 Series, EDR-8010 Series | CVE-2025-6949 | 9.3 (NVD) | Atteinte à l'intégrité des données, Atteinte à la confidentialité des données, Élévation de privilèges | 17/10/2025 | Pas d'information | CERTFR-2025-AVI-0890 | https://www.moxa.com/en/support/product-support/security-advisory/mpsa-258121-cve-2025-6892,-cve-2025-6893,-cve-2025-6894,-cve-2025-6949,-cve-2025-6950-multiple-vulnerabilities-in-netwo |
| Siemens | SIMATIC | CVE-2025-40771 | 9.3 (NVD) | Contournement de la politique de sécurité | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0868 | https://cert-portal.siemens.com/productcert/html/ssa-486936.html |
| Mozilla | Firefox | CVE-2025-11717 | 9.1 (NVD) | Atteinte à la confidentialité des données | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0873 | https://www.mozilla.org/en-US/security/advisories/mfsa2025-81/ |
| Fortinet | FortiIsolator | CVE-2024-33507 | 9.1 (NVD) | Déni de service à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0871 | https://www.fortiguard.com/psirt/FG-IR-24-062 |
| Debian | Debian | CVE-2025-27558 | 9.1 (NVD) | Atteinte à l'intégrité des données | 13/10/2025 | Pas d'information | CERTFR-2025-AVI-0894 | https://lists.debian.org/debian-lts-announce/2025/10/msg00008.html |
| Elastic | Elastic Cloud Enterprise | CVE-2025-37729 | 9.1 (NVD) | Atteinte à la confidentialité des données | 13/10/2025 | Pas d'information | CERTFR-2025-AVI-0866 | https://discuss.elastic.co/t/elastic-cloud-enterprise-ece-3-8-2-and-4-0-2-security-update-esa-2025-21/382641 |
| SAP | Supplier Relationship Management | CVE-2025-42910 | 9 (NVD) | Atteinte à l'intégrité des données, Exécution de code arbitraire à distance | 14/10/2025 | Pas d'information | CERTFR-2025-AVI-0867 | https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2025.html |
| Samba | Samba | CVE-2025-10230 | 10 (Samba) | Exécution de code arbitraire à distance | 15/10/2025 | Pas d'information | CERTFR-2025-AVI-0885 | https://www.samba.org/samba/security/CVE-2025-10230.html |
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Gladinet | CentreStack | CVE-2025-11371 | 6.2 | Atteinte à la confidentialité des données | 14/10/2025 | Exploitée | https://www.centrestack.com/p/gce_latest_release.html |
| WatchGuard | Fireware OS | CVE-2025-9242 | 9.3 | Exécution de code arbitraire à distance, Atteinte à l'intégrité des données | 17/09/2025 | Code d'exploitation public | https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00015 |
| Rapid7 | Velociraptor | CVE-2025-6264 | 5.5 | Non spécifié par l'éditeur | 19/06/2025 | Exploitée | https://docs.velociraptor.app/announcements/advisories/cve-2025-6264/ |
| Adobe | Experience Manager Forms | CVE-2025-54253 | 10 | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 05/08/2025 | Exploitée | https://helpx.adobe.com/security/products/aem-forms/apsb25-82.html |
Incident
Incident de sécurité F5
Le 15 octobre 2025, F5 a publié un communiqué dans lequel l'éditeur déclare avoir été affecté par un incident de sécurité qu'il attribue à un mode opératoire sophistiqué. L'attaquant a réussi à exfiltrer une partie du code source de BIG-IP ainsi que des fichiers liés à des vulnérabilités affectant ce produit et qui n'ont pas encore été publiées. Le 15 octobre 2025, dans le cadre ses notifications de sécurité trimestrielles, l'éditeur a corrigé 37 vulnérabilités affectant BIG-IP, dont 24 ayant une sévérité élevée. La prochaine notification trimestrielle de F5 est prévue pour le 04 février 2026.
