Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 12
Tableau récapitulatif :
Multiples vulnérabilités dans Roudcube
Le 18 mars 2026, de nouvelles versions de Roundcube ont été publiées. Celles-ci corrigent de multiples vulnérabilités.
Le CERT-FR a connaissance de plusieurs preuves de concept publiques pour certaines d'entre elles et encourage l'application des correctifs dans les plus brefs délais, d'autant plus que cette messagerie est une cible privilégiée de groupes d'attaquants.
Liens :
- https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0320/
- https://roundcube.net/news/2026/03/18/security-updates-1.7-rc5-1.6.14-1.5.14
- https://www.cert.ssi.gouv.fr/cti/CERTFR-2025-CTI-006/
Rappel des alertes CERT-FR
Note d’alerte – Ciblage des messageries instantanées
Les travaux conjoints des services membres du Centre de Coordination des Crises Cyber (C4) ont permis d’identifier une recrudescence de campagnes d’attaques ciblant les comptes de messagerie instantanées. Ces campagnes ciblent particulièrement les secteurs régaliens (personnalités politiques, cadres de l’administration) mais aussi les personnels de la société civile exerçant des fonctions sensibles (journalistes, industriels, etc.).Ces attaques – quand elles réussissent – peuvent permettre à des acteurs malveillants d’accéder aux historiques de conversation, voire de prendre le contrôle des comptes de messagerie de leurs victimes et de diffuser des messages en usurpant leur identité. Cette note d’alerte contient des actions immédiates permettant de vérifier la prise de contrôle d’un compte par un tiers ainsi que des préconisations d’hygiène numérique simples afin d’éviter une telle compromission.
En cas de doute, contactez le CERT-FR par téléphone au 3218 ou par courriel : cert-fr@ssi.gouv.fr.
