Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 8
Tableau récapitulatif :
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Teamt5 | Threatsonar Anti-Ransomware | CVE-2024-7694 | 7.2 | Non spécifié par l'éditeur | 12/08/2024 | Exploitée | https://www.twcert.org.tw/en/cp-139-8000-e5a5c-2.html https://www.twcert.org.tw/tw/cp-132-7998-d76dd-1.html |
| Roundcube | Webmail | CVE-2025-68461 | 7.2 | Injection de code indirecte à distance (XSS) | 13/12/2025 | Exploitée | https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12 |
| Microsoft | Windows 2003 Server, Windows Xp | CVE-2008-0015 | 8.8 | Exécution de code arbitraire à distance | 14/07/2009 | Exploitée | https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-032 https://docs.microsoft.com/en-us/security-updates/securitybulletins/2009/ms09-037 |
| Synacor | Zimbra Collaboration Suite | CVE-2020-7796 | 9.8 | Falsification de requêtes côté serveur (SSRF) | 07/22/2019 | Exploitée | https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P7 |
| Gitlab | Gitlab | CVE-2021-22175 | 9.8 | Falsification de requêtes côté serveur (SSRF) | 16/12/2020 | Exploitée | https://gitlab.com/gitlab-org/gitlab/-/issues/294178 |
| Dell | Recoverpoint For Virtual Machines | CVE-2026-22769 | 10 | Non spécifié par l'éditeur | 17/02/2026 | Exploitée | https://www.dell.com/support/kbdoc/en-us/000426773/dsa-2026-079 |
| Roundcube | Webmail | CVE-2025-49113 | 9.9 | Exécution de code arbitraire à distance | 01/06/2026 | Exploitée | https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10 |
Vulnérabilité dans IceWarp EPOS
Le 19 février 2026, L'éditeur IceWarp a publié un bulletin de sécurité concernant deux vulnérabilités affectant l'interface WebClient d'EPOS. La première vulnérabilité permet à un attaquant de provoquer une injection de code indirecte à distance (XSS). La seconde permet à un attaquant de provoquer une atteinte à confidentialité. Les systèmes affectés sont :- IceWarp Epos versions 14.2.x antérieures à 14.2.0.12
- IceWarp Epos versions 14.1.x antérieures à 14.1.0.20
