Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 11
Tableau récapitulatif :
CVE-2023-43010, CVE-2023-41974, CVE-2023-43000, CVE-2024-23222 et CVE-2023-41974: Multiples vulnérabilités dans iOS et iPadOS
Apple a publié le 11 mars 2026 des correctifs pour iOS versions antérieures à 15.8.7, 16.7.15 et iPadOS versions antérieures à 15.8.7 et 16.7.15. Ces vulnérabilités font parti d'un kit d'exploitation permettant la compromission d'iPhone et d'iPad en affichant simplement une page d'un site internet.
Le CERT-FR a connaissance d'exploitations massives de ces vulnérabilités et recommande la mise à jour de ces appareils.
Liens :
- https://cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0280/
- https://support.apple.com/en-us/126632
- https://support.apple.com/en-us/126646
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| N8N | n8n | CVE-2025-68613 | 9.9 | Exécution de code arbitraire à distance | 19/12/2025 | Exploitée | https://github.com/n8n-io/n8n/security/advisories/GHSA-v98v-ff95-f3cp |
| SolarWinds | Web Help Desk | CVE-2025-26399 | 9.8 | Exécution de code arbitraire à distance | 23/09/2025 | Exploitée | https://www.solarwinds.com/trust-center/security-advisories/cve-2025-26399 |
| Ivanti | Endpoint Manager | CVE-2026-1603 | 8.6 | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 09/02/2026 | Exploitée | https://hub.ivanti.com/s/article/Security-Advisory-EPM-February-2026-for-EPM-2024?language=en_US |
| Vmware | Workspace One Uem Console | CVE-2021-22054 | 7.5 | Atteinte à la confidentialité des données, Falsification de requêtes côté serveur (SSRF) | 16s/12/2021 | Exploitée | https://www.vmware.com/security/advisories/VMSA-2021-0029.html |
| Nginx Ui | Nginx Ui | CVE-2026-27944 | 9.8 | Atteinte à la confidentialité des données | 05/03/2026 | Code d'exploitation public | https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-g9w5-qffc-6762 |
| StudioCMS | StudioCMS | CVE-2026-30944 | 8.8 | Élévation de privilèges | 10/03/2026 | Code d'exploitation public | https://github.com/withstudiocms/studiocms/security/advisories/GHSA-667w-mmh7-mrr4 |
| Microsoft | DirectX | CVE-2025-68623 | 8.8 | Élévation de privilèges | 11/03/2026 | Code d'exploitation public | - |
| Koajs | Koa | CVE-2026-27959 | 7.5 | Exécution de code arbitraire à distance | 26/02/2026 | Code d'exploitation public | https://github.com/koajs/koa/security/advisories/GHSA-7gcc-r8m5-44qm |
Publication de l'ENISA: Recommandations liées à l'utilisation de gestionnaires de paquets
L'ENISA a publié le 10 mars 2026 un guide de recommandations concernant l'utilisation des gestionnaires de paquets. Il décrit les risques courants liés à l’utilisation de paquets tiers, présente des pratiques sécurisées pour sélectionner, intégrer et surveiller ces paquets ainsi que les méthodes permettant de traiter les vulnérabilités découvertes dans les dépendances.Liens :
Multiples vulnérabilités dans AppArmor:
De multiples vulnérabilités ont été découvertes dans AppArmor. Elles permettent de contourner les protections du noyau Linux ou l'isolation du conteneur, ainsi qu'une élévation de privilèges.
Les correctifs sont disponibles pour les différentes distributions ; Le CERT-FR recommande la mise à jour du système d'exploitation.
