Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 4
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS (source) | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Cisco | Unified Communications Manager Session Management Edition, Unified Communications Manager IM & Presence Service, Webex Calling Dedicated Instance, Unity Connection | CVE-2026-20045 | 9.8 (NVD) | Exécution de code arbitraire à distance | 21/01/2026 | Exploitée | CERTFR-2026-AVI-0076 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-rce-mORhqY4b |
| Oracle | Database Server, Weblogic | CVE-2025-12383 | 9.4 (NVD) | Contournement de la politique de sécurité | 20/01/2026 | Code d'exploitation public | CERTFR-2026-AVI-0068 | https://www.oracle.com/security-alerts/cpujan2026.html |
| Atlassian | Jira | CVE-2025-9287 | 9.1 (NVD) | Contournement de la politique de sécurité | 20/01/2026 | Code d'exploitation public | CERTFR-2026-AVI-0065 | https://jira.atlassian.com/browse/JSWSERVER-26661 https://jira.atlassian.com/browse/JSDSERVER-16503 |
| Atlassian | Jira | CVE-2025-9288 | 9.1 (NVD) | Contournement de la politique de sécurité | 20/01/2026 | Code d'exploitation public | CERTFR-2026-AVI-0065 | https://jira.atlassian.com/browse/JSWSERVER-26662 https://jira.atlassian.com/browse/JSDSERVER-16502 |
| IBM | Db2, Db2 Warehouse | CVE-2025-30065 | 10 (NVD) | Exécution de code arbitraire à distance | 23/01/2026 | Pas d'information | CERTFR-2026-AVI-0083 | https://www.ibm.com/support/pages/node/7257888 |
| Oracle | Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in | CVE-2026-21962 | 10 (Oracle) | Atteinte à l'intégrité des données, Atteinte à la confidentialité des données | 21/01/2026 | Pas d'information | CERTFR-2026-AVI-0074 | https://www.oracle.com/security-alerts/cpujan2026verbose.html#FMW |
| IBM | Db2 | CVE-2025-30472 | 9.8 (NVD) | Non spécifié par l'éditeur | 23/01/2026 | Pas d'information | CERTFR-2026-AVI-0083 | https://www.ibm.com/support/pages/node/7257891 |
| Atlassian | Confluence | CVE-2025-66516 | 9.8 (NVD) | Exécution de code arbitraire à distance | 20/01/2026 | Pas d'information | CERTFR-2026-AVI-0065 | https://jira.atlassian.com/browse/CONFSERVER-101872 |
| Microsoft | Edge | CVE-2026-0906 | 9.8 (NVD) | Contournement de la politique de sécurité | 16/01/2026 | Pas d'information | CERTFR-2026-AVI-0063 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-0906 |
| Microsoft | Edge | CVE-2026-0905 | 9.8 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 16/01/2026 | Pas d'information | CERTFR-2026-AVI-0063 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-0905 |
| Microsoft | Edge | CVE-2026-0907 | 9.8 (NVD) | Contournement de la politique de sécurité | 16/01/2026 | Pas d'information | CERTFR-2026-AVI-0063 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-0907 |
| IBM | Db2 | CVE-2025-7783 | 9.4 (NVD) | Contournement de la politique de sécurité | 23/01/2026 | Pas d'information | CERTFR-2026-AVI-0083 | https://www.ibm.com/support/pages/node/7257889 |
