Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 2
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS (source) | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Moxa | EDS-G4000 Series, RKS-G4000 Series | CVE-2023-38408 | 9.8 (NVD) | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 09/01/2026 | Code d'exploitation public | CERTFR-2026-AVI-0016 | https://www.moxa.com/en/support/product-support/security-advisory/mpsa-256261-cve-2023-38408-openssh-vulnerability-in-ethernet-switches |
| Centreon | AWIE | CVE-2025-15026 | 9.8 (NVD) | Contournement de la politique de sécurité | 08/01/2026 | Pas d'information | CERTFR-2026-AVI-0015 | https://thewatch.centreon.com/latest-security-bulletins-64/cve-2025-15026-centreon-awie-critical-severity-5357 |
| Centreon | AWIE | CVE-2025-15029 | 9.8 (NVD) | Exécution de code arbitraire à distance, Contournement de la politique de sécurité, Injection SQL (SQLi) | 08/01/2026 | Pas d'information | CERTFR-2026-AVI-0015 | https://thewatch.centreon.com/latest-security-bulletins-64/cve-2025-15029-centreon-awie-critical-severity-5356 |
| Trend Micro | Apex Central | CVE-2025-69258 | 9.8 (NVD) | Exécution de code arbitraire à distance | 07/01/2026 | Pas d'information | CERTFR-2026-AVI-0012 | https://success.trendmicro.com/en-US/solution/KA-0022071 |
| Veeam | Veeam Backup & Replication | CVE-2025-59470 | 9 (NVD) | Exécution de code arbitraire à distance | 06/01/2026 | Pas d'information | CERTFR-2026-AVI-0006 | https://www.veeam.com/kb4792 |
Campagne de vol de crédentiels ownCloud
Le 7 janvier 2026, ownCloud a publié un communiqué indiquant avoir connaissance de nombreux comptes compromis, dont les crédentiels ont été récupérés via des machines infectées par des maliciels. L'éditeur recommande à ses utilisateurs d'activer l'authentification à facteur multiples (MFA), de renouveller les mots de passe en accord avec les bonnes pratiques, d'effecteur une recherche de compromission et de refraîchir toutes les sesssions.
Lien :
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Microsoft | Office Powerpoint, Powerpoint | CVE-2009-0556 | 8.8 | Exécution de code arbitraire à distance | 12/05/2009 | Exploitée | https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-017 |
| Hpe | Oneview | CVE-2025-37164 | 10 | Exécution de code arbitraire à distance | 16/12/2025 | Exploitée | https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbgn04985en_us&docLocale=en_US |
CVE-2026-21858 : Vulnérabilité dans N8n
N8n est une plateforme d'automatisation de flux opérationnels. Le 7 janvier 2026, l'éditeur a publié un avis de sécurité concernant la vulnérabilité CVE-2026-21858.
Elle permet à un attaquant non authentifié d'obtenir un accès en lecture aux fichiers du système si un flux contient le traitement d'un formulaire.
Le CERT-FR a connaissance de codes d'exploitation publics exploitant les vulnérabilités CVE-2026-21858 et CVE-2025-68613. Cette dernière permet à un attaquant authentifié d'exécuter du code arbitraire à distance.
