Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 5
Tableau récapitulatif :
Rappel des alertes CERT-FR
Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile
Le 28 janvier 2026, Ivanti a publié un avis de sécurité concernant les vulnérabilités critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile.
L'éditeur indique qu'elles permettent à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.
Ivanti indique que les vulnérabilités CVE-2026-1281 et CVE-2026-1340 sont activement exploitées dans le cadre d'attaques ciblées. De plus, une preuve de concept est disponible publiquement.
Liens :
- Bulletin de sécurité Ivanti du 29 janvier 2026
- Bulletin de sécurité Ivanti du 29 janvier 2026
- Avis CERT-FR CERTFR-2026-AVI-0110 du 30 janvier 2026
- Alerte CERT-FR CERTFR-2026-ALE-001 du 30 janvier 2024
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Smartertools | Smartermail | CVE-2026-23760 | 9.3 | Contournement de la politique de sécurité | 22/01/2026 | Exploitée | https://www.smartertools.com/smartermail/release-notes/current |
| Smartertools | Smartermail | CVE-2025-52691 | 10 | Exécution de code arbitraire à distance | 29/12/2025 | Exploitée | https://www.smartertools.com/smartermail/release-notes/current |
| Adobe | Dng Software Development Kit | CVE-2025-64894 | 5.5 | Déni de service | 18/12/2025 | Code d'exploitation public | https://helpx.adobe.com/security/products/dng-sdk/apsb25-118.html |
| N8N | N8N | CVE-2026-0863 | 8.5 | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 18/01/2026 | Code d'exploitation public | |
| N8N | N8N | CVE-2026-1470 | 9.9 | Exécution de code arbitraire à distance | 27/01/2026 | Code d'exploitation public | |
| Kanboard | Kanboard | CVE-2026-21881 | 9.1 | Contournement de la politique de sécurité | 07/01/2026 | Code d'exploitation public | https://github.com/kanboard/kanboard/security/advisories/GHSA-wwpf-3j4p-739w |
| VMware | Workstation, Fusion, ESXi | CVE-2025-41238 | 9.3 | Exécution de code arbitraire | 15/07/2025 | Code d'exploitation public | https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/35877 |
