FortiOS versions 7.0.x antérieures à 7.0.17

FortiProxy versions 7.0.x antérieures à 7.0.20

FortiProxy versions 7.2.x antérieures à 7.2.13

## Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

L'éditeur recommande les solutions de contournement suivantes :
* désactiver l'interface d'administration HTTP/HTTPS ;
* limiter les adresses IP qui peuvent joindre l'interface d'administration HTTP/HTTPS ;
* créer une politique locale pour restreindre l'accès uniquement au groupe prédéfini sur l'interface de gestion.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des détails sur les mesures de contournement.
* effectuer une recherche de compromission au niveau de l'équipement ;
<br>*Note : ces indicateurs n'ont pas été qualifiés par le CERT-FR.*
*  rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
   * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
   * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
* en cas de compromission détectée :
    * signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [1] ;
    * isoler l'équipement du réseau et sauvegarder les journaux liés à l'équipement.

Avis CERTFR-2025-AVI-0030 du 14 janvier 2025

[1] Les bons réflexes en cas d’intrusion sur un système d’information

Code d'exploitation public

Version initiale

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
\[Mise à jour du 28 janvier 2025\]

Une preuve de concept permettant l'exploitation de cette vulnérabilité est disponible publiquement.

Le 14 janvier 2025, Fortinet a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-55591 affectant FortiOS et FortiProxy. Elle permet à un attaquant distant non authentifié de contourner le mécanisme d'authentification de l'interface d'administration d'un équipement FortiOS ou FortiProxy et d'obtenir des privilèges super-administrateur via l'envoi de requêtes forgées au module websocket Node.js.

Le CERT-FR rappelle que l'exposition d'une interface d'administration sur Internet est contraire aux bonnes pratiques.
Le CERT-FR recommande donc fortement d'appliquer le correctif dans les plus brefs délais.
Fortinet indique que cette vulnérabilité est activement exploitée.

[MàJ] Vulnérabilité dans les produits Fortinet

Bulletin de sécurité FG-IR-24-535


Pulse Connect Secure versions antérieures à 22.7R2.6

Zero Trust Access Gateways versions antérieures à 22.8R2.2

Ivanti Policy Secure (IPS) versions antérieures à 22.7R1.4

Ivanti Connect Secure (ICS) versions antérieures à 22.7R2.6

L'éditeur indique que les correctifs seront disponibles le 19 avril 2025 pour Zero Trust Access Gateways et le 21 avril 2025 pour Ivanti Policy Secure.
L'éditeur indique que les Pulse Connect Secure en versions 9.1x sont en fin de vie depuis le 31 décembre 2024. Les utilisateurs peuvent contacter Ivanti pour migrer vers une version à jour.

## Solutions

**[Mise à jour du 04 avril 2025]**

Les recommandations suivantes sont listées par ordre de priorité.
* isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de latéralisation ;
* en cas d'utilisation d'une appliance virtuelle, réaliser un instantané du système de fichier et de la mémoire vive ;
* si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
* mettre sous séquestre les journaux collectés ;
* procéder à l’analyse des serveurs afin d’identifier une possible compromission à l’aide des indicateurs de compromission publiés par Mandiant [2] ;
* l'éditeur recommande d'exécuter les versions externes de son script Integrity Check Tool (ICT) ;
* en cas de compromission :
    * signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [3] ;
    * effectuer une remise à la configuration de sortie d'usine (*Factory Reset*) [4] ;
        * le CERT-FR rappelle que certaines menaces peuvent persister à une réinitialisation, ce dont l'utilisation dans les contextes sensibles doit tenir compte ;
    * procéder à une montée de version du micrologiciel (*firmware*) si le correctif est disponible ;
    * considérer les secrets stockés sur l'équipement, ou y ayant transité en clair, comme compromis. Les actions suivantes sont dès lors nécessaires :
        * réinitialiser les secrets liés au LDAP ou à l'Active Directory, si configuré.
            * le CERT-FR a connaissance de latéralisation utilisant ces secrets.
        * révoquer et réémettre tous les certificats présents sur les équipements affectés :
            * certificats utilisés pour les machines et/ou pour l’authentification utilisateur (coté client et serveur) ;
            * certificats de signature de code et les certificats TLS pour l’interface exposée.
        * réinitialiser le mot de passe d'administration ;
        * réinitialiser les clés d’API stockées sur l’équipement ;
        * réinitialiser les mots de passe de tout compte local défini sur la passerelle, y compris les comptes de service utilisés dans la configuration liée aux serveurs d’authentification ;
        * révoquer l'ensemble des moyens d'authentification (tickets Kerberos...) des comptes de services utilisés.
        * réinitialiser les authentifications des serveurs de licence.
    * Une fois la machine isolée et les collectes réalisées, conduire une recherche de latéralisation sur votre système d'information depuis l'équipement compromis, notamment :
        * en recherchant les indicateurs de compromission décrits plus bas dans cette alerte ;
        * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
        * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
* En cas d'absence de compromission :
    * procéder à une montée de version du micrologiciel (*firmware*) si le correctif est disponible ;
    * si aucune mise à jour correctrice n'est disponible, l'équipement est à risque de compromission; contactez le service d'assistance Ivanti et, dans la mesure du possible, déconnectez l'équipement d'Internet.
    * surveiller l'activité des comptes et des services liés à l'équipement, notamment le compte de service LDAP ou Active Directory, si celui a été configuré.

Avis CERT-FR CERTFR-2025-AVI-0273 du 3 avril 2025

[1] Bulletin de sécurité Ivanti April-Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-22457 du 03 avril 2025

[2] Rapport Mandiant du 3 avril 2025

Avis CERT-FR CERTFR-2025-AVI-0121 du 12 février 2025

[4] Bulletin technique Ivanti relatif à la réinitialisation de l'équipement

[3] Les bons réflexes en cas d’intrusion sur un système d’information

Bulletin de sécurité Ivanti du 11 février 2025

Ajout des recommandations

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Version initiale

Ajout de la connaissance d'un POC

Exécution de code arbitraire à distance

Summary:
<span class="important-content">**\[Mise à jour du 11 avril 2025\]** </span>

Le CERT-FR a connaissance d'une preuve de concept publique permettant de provoquer une exécution de code arbitraire à distance.

**[Mise à jour du 04 avril 2025]**

Le CERT-FR a connaissance d'une preuve de concept publique permettant de provoquer un arrêt du serveur Web.

**[Publication initiale]**

Une vulnérabilité critique de type débordement de pile a été découverte dans Pulse Connect Secure, Ivanti Connect Secure (ICS), Policy Secure (IPS) et Zero Trust Access (ZTA) Gateways. Cette vulnérabilité, d'identifiant CVE-2025-22457, permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Ivanti indique que cette vulnérabilité est activement exploitée [1].

La mise à jour corrective pour les ICS est disponible depuis le 11 février 2025. Dans son rapport [2], Mandiant indique avoir constaté des traces d'exploitation depuis la mi-mars 2025. Il peut cependant être utile d'effectuer une recherche de compromission même si les correctifs ont été préalablement installés.

À titre de précision, la vulnérabilité CVE-2025-22457 est distincte de la vulnérabilité CVE-2025-0282, qui affecte sensiblement les mêmes produits, et qui a fait l'objet de l'alerte [CERTFR-2025-ALE-001](https://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-001/).

[MàJ] Vulnérabilité dans les produits Ivanti


FortiOS versions 7.4.x antérieures à 7.4.7

FortiOS versions 7.6.x antérieures à 7.6.2

FortiOS versions 7.2.x antérieures à 7.2.11

FortiOS versions antérieures à 6.4.16

L'éditeur indique que les clients qui n'ont jamais activé la fonctionnalité de SSL-VPN ne sont pas impactés.

## Solutions

L'éditeur a publié des versions correctives pour les branches 6.4.x, 7.0.x, 7.2.x, 7.4.x et 7.6.x. La mise à jour vers une de ces versions supprime les fichiers malveillants. Dans le cas de l'utilisation d'une version qui n'est plus supportée, le CERT-FR recommande fortement de migrer vers une version corrective.

Pour les utilisateurs avec un contrat de support et une licence IPS activée, l'éditeur a supprimé automatiquement les fichiers malveillants. Le CERT-FR a connaissance de nombreux équipements pour lesquels ces conditions ne sont pas réunies.

L'éditeur a indiqué avoir contacté les clients avec des équipements compromis. Le CERT-FR invite les propriétaires d'équipements à consulter les adresses de messageries pouvant avoir été contactées par Fortinet ou à relayer cette demande aux gestionnaires de l'équipement si cela est applicable.

**Cependant, la simple suppression de ces éléments et l'application des mises à jour n'est pas suffisante en cas de compromission**. Dans cette situation:
1. isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
2. réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;
3. réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) : mots de passe, jetons d'identité, clés cryptographiques...;
4. rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
    * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
    * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
    * en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.
5. identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis :
    * vérifier l'activité réalisée à partir de ce compte ;
    * réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.

Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires. En cas de suspicion de compromission, il est recommandé de consulter les [bons réflexes en cas d'intrusion sur votre système d'information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [5].

[3] Alerte CERTFR-2023-ALE-004

[4] Alerte CERTFR-2024-ALE-004

[1] Billet de blogue Fortinet du 10 avril 2025

[5] Les bons réflexes en cas d’intrusion sur un système d’information

[2] Alerte CERTFR-2022-ALE-012

Documentation 230694 relative aux actions à suivre en cas de compromission

Version initiale

Atteinte à la confidentialité des données

Summary:
Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés.
Cette technique repose sur l'utilisation d'un lien symbolique déposé sur le système à la suite d'une compromission de l'équipement par exploitation, entre autres, des vulnérabilités CVE-2022-42475 [2], CVE-2023-27997 [3] ou CVE-2024-21762 [4].

Le CERT-FR a connaissance d'une campagne massive, avec de nombreux équipements compromis en France. Lors d'opérations de réponse à incident, le CERT-FR a pris connaissance de compromissions ayant eu lieu dès le début de l'année 2023.

Activités de post-exploitation dans Fortinet FortiGate


NetWeaver (Visual Composer development server) versions VCFRAMEWORK 7.50 sans le dernier correctif de sécurité

## Identification du composant vulnérable

Il est possible de vérifier que le composant vulnérable Visual Composer development server est activé au travers de l'URL `http://hote:port/nwa/sysinfo` et de chercher la présence du composant  `VISUAL COMPOSER FRAMEWORK` (`VCFRAMEWORK.SCA` ou `VCFRAMEWORK`). Si la ligne indique `NO`, le composant n'est pas installé.

## Solutions

Avant d'appliquer le correctif de sécurité, il est nécessaire de vérifier qu'aucun fichier avec l'extension `jsp`,  `java` ou `class` n'est présent dans les dossiers suivants :
* `C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\root`
* `C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work`
* `C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work\sync`

De plus, il est nécessaire de vérifier dans les journaux du serveur web :
* des accès à l'URL `/developmentserver/metadatauploader` via une requête POST avec un code HTTP 200 sans authentification ;
* des accès aux URL de la forme `/irj/helper.jsp`, `/irj/cache.jsp` ou `/irj/\w{8}.jsp`[3].

Enfin il est possible de consulter [4] pour d'autres indicateurs de compromission. *Note : Ces indicateurs n'ont pas été qualifiés par le CERT-FR.*

Si des fichiers malveillants ou des journaux suspects sont présents :
* signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [5] ;
* isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de latéralisation ;
* en cas d'utilisation d'une appliance virtuelle, réaliser un instantané du système de fichier et de la mémoire vive ;
* si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
* mettre sous séquestre les journaux collectés.

Les correctifs pour le composant Visual Composer Framework 7.50 sont listés et disponibles dans le bulletin de sécurité 3594142 de l'éditeur.

Des mesures de contournements sont proposées par l'éditeur [1].

Avis CERT-FR CERTFR-2025-AVI-0350 du 25 avril 2025

[4] Billet de blogue de Reliaquest relatif à l'exploitation de la vulnérabilité  CVE-2025-31324

[3] Billet de blogue Rapid7 du 28 avril relatif à la vulnérabilité CVE-2025-31324

[1] Bulletin de sécurité SAP 3593336 version 5 du 28/04/2025 relatif aux mesures de contournement

[2] FAQ sur l'exploitation de la vulnérabilité CVE-2025-31324

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 24 avril 2025, SAP a publié un bulletin de sécurité relatif à la vulnérabilité CVE-2025-31324 qui permet l'exécution de code arbitraire à distance pour un utilisateur non authentifié. Cette vulnérabilité est provoquée par un contournement de la politique de sécurité qui permet de télécharger des fichiers arbitraires et potentiellement exécutables sur le serveur. Elle impacte le composant *Visual Composer development server*, non installé par défaut mais fréquemment utilisé.

Le CERT-FR a connaissance de plusieurs compromissions liées à cette vulnérabilité.

L'accès aux détails complets concernant cette vulnérabilité ([1] [2]) nécessite un compte utilisateur pour le support SAP. Le bulletin de sécurité du 8 avril 2025 a été mis à jour pour indiquer cette nouvelle vulnérabilité sans faire mention de son exploitation active.

Vulnérabilité dans SAP NetWeaver

Bulletin de sécurité SAP april-2025

Bulletin de sécurité SAP 3594142 version 17


FortiRecorder versions 7.0.x antérieures à 7.0.6

FortiRecorder versions 7.2.x antérieures à 7.2.4

FortiVoice versions 7.2.x antérieures à 7.2.1

FortiMail versions 7.4.x antérieures à 7.4.5

FortiCamera versions antérieures à 2.1.4

FortiMail versions 7.0.x antérieures à 7.0.9

FortiNDR versions 7.6.x antérieures à 7.6.1

FortiNDR versions 7.4.x antérieures à 7.4.8

FortiVoice versions 6.4.x antérieures à 6.4.11

FortiNDR versions antérieures à 7.0.7

FortiNDR versions 7.1.x à 7.2.x antérieures à 7.2.5

FortiRecorder versions 6.4.x antérieures à 6.4.6

FortiMail versions 7.2.x antérieures à 7.2.8

FortiVoice versions 7.0.x antérieures à 7.0.7

FortiMail versions 7.6.x antérieures à 7.6.3

## Solutions

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais, se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

 Si cela n'est pas possible, l'éditeur recommande de désactiver l'interface de gestion. Le CERT-FR rappelle que l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques.

Avis CERT-FR CERTFR-2025-AVI-0399 du 13 mai 2025

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
Le 13 mai 2025, Fortinet a publié un avis de sécurité concernant la vulnérabilité CVE-2025-32756.  Celle-ci permet à un attaquant non authentifié d'exécuter du code arbitraire à distance.

L'éditeur indique que cette vulnérabilité est activement exploitée. Les exploitations constatées jusqu'ici concernent les produits FortiVoice.

Fortinet fournit également des marqueurs de compromission à rechercher.

Vulnérabilité dans les produits Fortinet

Bulletin de sécurité Fortinet FG-IR-25-254


Endpoint Manager Mobile versions 11.12.0.x antérieures à 11.12.0.5

Endpoint Manager Mobile versions 12.5.0.x antérieures à 12.5.0.1

Endpoint Manager Mobile versions 12.3.0.x antérieures à 12.3.0.2

Endpoint Manager Mobile versions 12.4.0.x antérieures à 12.4.0.2

## Solutions

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

Ivanti indique que la mise en place de listes de contrôle d'accès au niveau de l'API [1] permet de limiter la menace. De plus l'éditeur peut mettre à disposition une mesure de contournement sous la forme d'un fichier RPM.

Avis CERT-FR CERTFR-2025-AVI-0400 du 13 mai 2025

[1] Documentation d'Ivanti relative à l'utilisation des listes de contrôle d'accès

Version initiale

Une preuve de concept est publiquement disponible.

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
[Mise à jour du 15 mai 2025]

Une preuve de concept est publiquement disponible sur Internet.

[Publication initiale]

Le 13 mai 2025, Ivanti a publié deux avis de sécurité concernant les vulnérabilités CVE-2025-4427 et CVE-2025-4428. L'utilisation combinée de ces deux vulnérabilités permet l'exécution de code arbitraire à distance pour un utilisateur non authentifié.

Ivanti indique que ces vulnérabilités sont activement exploitées.

Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile (EPMM)

Bulletin de sécurité Ivanti Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM

Bulletin de sécurité Ivanti epmm-security-update


Roundcube Webmail versions 1.6.x antérieures à 1.6.11

Roundcube Webmail versions antérieures à 1.5.10

## Solutions

Les versions correctives 1.5.10 et 1.6.11 ont été publiées par l'éditeur.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2025-AVI-0468 du 02 juin 2025

Version initiale

Exécution de code arbitraire à distance

Summary:
[Mise à jour du 06 juin 2025]

Une preuve de concept est publiquement disponible.

[Publication initiale]

Le 01 juin 2025, Roundcube a publié des correctifs concernant une vulnérabilité critique affectant son portail de messagerie ainsi que tous les produits l'incluant (par exemple cPanel et Plesk).

Cette vulnérabilité permet à un utilisateur authentifié d'exécuter du code arbitraire à distance.

L'éditeur ne mentionne pas d'identifiant CVE.

Des détails techniques sur cette vulnérabilité ont été publiés avec l'identifiant CVE-2025-49113. Le CERT-FR anticipe la disponibilité imminente de codes d'exploitation et recommande fortement de mettre à jour dans les plus brefs délais au vu du nombre important de produits exposés.

[MàJ] Vulnérabilité dans Roundcube

Bulletin de sécurité Roundcube security-updates-1.6.11-and-1.5.10


NetScaler Gateway versions 14.1.x antérieures à 14.1-47.46

NetScaler Gateway versions 13.1.x antérieures à 13.1-59.19

NetScaler ADC versions 14.1.x antérieures à 14.1-47.46

NetScaler ADC versions 13.1.x antérieures à 13.1-59.19

NetScaler ADC versions 13.1-FIPS et NDcPP  versions antérieures à 13.1-37.236-FIPS et NDcPP

Les déploiements de Secure Private Access on-prem et Secure Private Access Hybrid utilisant des instances NetScaler sont également affectés par cette vulnérabilité.

## Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
L'obtention des correctifs 13.1-FIPS et 13.1-NDcPP s'effectue via la page d’assistance de Citrix [1].

[12] Évaluation des journaux NetScaler pour identifier des tentatives d'exploitation

Documentation mise à jour d'un équipement NetScaler 14.1

Avis CERT-FR CERTFR-2025-AVI-0528 du 20 juin 2025

[4] Comment générer un fichier de support sur ADC

Documentation mise à jour d'un équipement NetScaler 13.1

[1] Assistance de Citrix

[7] À propos de NetScaler VPX

[8] Sauvegarde et restauration des instances NetScaler

[6]  Guide effacement des données de votre NetScaler MPX

[2] Lettre d’information de NetScaler : mises à jour de sécurité critique de NetScaler pour les vulnérabilités CVE-2025-6543 et CVE-2025-5777

Avis CERT-FR CERTFR-2025-AVI-0540 du 26 juin 2025

[3] Mesures à prendre en cas de suspicion de compromission de NetScaler ADC

[10] Les bons réflexes en cas d’intrusion sur un système d’information

[5] Comment générer un Core Dump NSPPE sur NetScaler

[11] Bulletin de sécurité Citrix CTX693420 du 17 juin 2025

[9] Meilleures pratiques de sécurité pour NetScaler MPX, VPX et SDX

Version initiale

Ajout de la vulnérabilité CVE-2025-5777.

Ajout d'un lien contenant une méthode d'évaluation pour identifier des tentatives d'exploitation

Déni de service à distance

Non spécifié par l'éditeur

Atteinte à la confidentialité des données

Summary:
**[Mise à jour du 17 juillet 2025]**

L'éditeur a publié un lien contenant une méthode d'évaluation permettant d'identifier des tentatives d'exploitation dans les journaux applicatifs et systèmes [12].

**[Mise à jour du 7 juillet 2025]**

Le 17 juin 2025, Citrix a publié un bulletin de sécurité concernant notamment la vulnérabilité CVE-2025-5777 [11]. Celle-ci permet à un attaquant non authentifié de faire fuiter des portions aléatoires de la mémoire de NetScaler ADC et NetScaler Gateway et ainsi potentiellement récupérer les informations de connexion d'une session active.

Le 4 juillet 2025, une preuve de concept a été publiée publiquement. Celle-ci est triviale à utiliser et le CERT-FR constate des exploitations actives.

La vulnérabilité CVE-2025-5777 est exploitable par le biais du formulaire d'authentification.

Citrix recommande l'arrêt de toutes les sessions ICA et PCoIP actives après l'installation du correctif. Le CERT-FR recommande d'aller plus loin avec l'inspection des sessions actives fraîchement renouvelées en ciblant en priorité celles qui proviennent de plusieurs adresses IP.

De plus, si le correctif pour la vulnérabilité CVE-2025-5777 a été installé après la publication de la preuve de concept, le CERT-FR recommande également le renouvellement des mots de passe des utilisateurs.

Les vulnérabilités CVE-2025-6543 et CVE-2025-5777 étant activement exploitées, tout Netscaler exposé qui n'aurait pas reçu les correctifs pour ces deux vulnérabilités doit être considéré comme compromis.

**[Publication initiale]**

Le 25 juin 2025, Citrix a publié un avis de sécurité concernant la vulnérabilité CVE-2025-6543 affectant NetScaler ADC et NetScaler Gateway. L'éditeur lui a attribué un score CVSS v4.0 de 9,2 et indique qu'elle permet à un attaquant de provoquer un débordement de mémoire entrainant un flux de contrôle imprévu et un déni de service à distance. L'équipement est vulnérable s'il est configuré en tant que passerelle (*Gateway : VPN virtual server, ICA Proxy, CVPN, RDP Proxy*) ou en tant que serveur virtuel AAA (*AAA virtual server*).

Citrix indique que les produits NetScaler ADC et NetScaler Gateway en version 12.1 et 13.0 sont en fin de vie. L'éditeur recommande aux utilisateurs de migrer vers une version supportée et à jour.

Citrix déclare avoir connaissance d'exploitations actives de cette vulnérabilité.

L'obtention des marqueurs de compromission se fait via la page d’assistance de Citrix [1][2]. NetScaler préconise en particulier de rechercher des arrêts inopinés [2].

En cas de suspicion de compromission, l'éditeur recommande [3] :
* si le NetScaler est une instance virtuelle VPX :
    * réaliser un instantané du système de fichier et de la mémoire vive ;
    * documenter l'heure du système, les paramètres du fuseau horaire et la configuration NTP avant l'isolation ;
* si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
* générer un fichier de support sur ADC [4] ;
* générer un Core Dump NSPPE sur NetScaler [5] ;
*  si le NetScaler est un  équipement MPX ou SDX, récupérer une image du disque ;
* isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de nouvel accès non autorisé et de latéralisation ;
* révoquer des informations d'identification et d'accès :
    * changer les mots de passe et secrets des comptes de service stockés sur le NetScaler tel que les comptes de service LDAP, les secrets partagés RADIUS, les jetons OAuth, les clés API, les noms de communauté SNMP ;
    * modifier les comptes utilisateurs susceptibles d'avoir été authentifiés via la plateforme suspectée d'être compromise, y compris les serveurs virtuels Gateway ou AAA ;
    * révoquer les certificats et les clés privées associées stockées sur la plateforme suspectée d'être compromise ;
* examiner tous les serveurs et systèmes auxquels l'ADC NetScaler s'est connecté pour détecter tout signe de compromission ;
* si le NetScaler est un équipement MPX, se référer au guide pour effacer et réinstaller le MPX [6] ;
* si le NetScaler est un équipement SDX ou une instance virtuelle VPX, se référer au guide pour effacer et réinstaller le SDX ou le VPX [7] ;
* mettre à jour le NetScaler ADC vers la dernière version disponible du micrologiciel (*firmware*) avant de restaurer la sauvegarde de la configuration ;
* restaurer une sauvegarde saine à l'aide de la console NetScaler, se référer au guide pour obtenir des instructions détaillées [8] ;
* modifier tous les mots de passe des comptes locaux sur le NetScaler ADC ;
* renouveler les clés de chiffrement (*Key Encryption Keys*) ;
* supprimer tous les certificats SSL restaurés ;
* remplacer tous les certificats SSL restaurés ;
* pour renforcer le NetScaler ADC, se référer au guide pour obtenir les meilleures pratiques de sécurité pour NetScaler MPX, VPX et SDX [9].

En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur un système d'information [10].

Multiples vulnérabilités dans Citrix NetScaler ADC et NetScaler Gateway

Bulletin de sécurité Citrix CTX694788


Microsoft SharePoint Enterprise Server 2016 versions antérieures à 16.0.5513.1001

Microsoft SharePoint Server 2019 versions antérieures à 16.0.10417.20037

Microsoft SharePoint Server Subscription Edition versions antérieures à 16.0.18526.20508

Microsoft SharePoint Enterprise Server 2013 toutes versions

Microsoft SharePoint Enterprise Server 2010 toutes versions

**[Mise à jour du 23 juillet 2025]**

L'éditeur annonce que SharePoint Enterprise Server 2010 et SharePoint Enterprise Server 2013 ne recevront pas de correctifs de sécurité. Le CERT-FR recommande aux utilisateurs de migrer vers un produit disposant de mises à jours.

## Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Mise à jour de sécurité pour Microsoft SharePoint Enterprise Server 2016 (KB5002760)

Mise à jour de sécurité pour Microsoft SharePoint Server 2019 Core (KB5002754)

[1] Conseils aux clients pour la vulnérabilité SharePoint CVE-2025-53770

Description de la mise à jour de sécurité pour SharePoint Enterprise Server 2016 : 8 juillet 2025 (KB5002744)

[5] Compromission système - Endiguement

Mise à jour de sécurité pour Microsoft SharePoint Enterprise Server 2016 Language Pack (KB5002759)

Description de la mise à jour de sécurité pour SharePoint Server 2019 : 8 juillet 2025 (KB5002741)

Mise à jour de sécurité pour Microsoft SharePoint Server Subscription Edition (KB5002768)

Avis CERT-FR CERTFR-2025-AVI-0611 du 21 juillet 2025

[4] Compromission système - Qualification

[2] Amélioration de la sécurité de l'état de ASP.NET et de la gestion des clés

[3] Prévention de l'exploitation active des vulnérabilités de SharePoint

Version initiale

Mises à jour de sécurité pour SharePoint Enterprise Server 2016 et marqueurs de compromission disponibles.

Ajout de la référence CVE CVE-2025-53771, informations sur les produits obsolètes et recherche de compromission

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
**[Mise à jour du 23 juillet 2025]**

Le 20 juillet 2025, Microsoft a publié des correctifs pour une vulnérabilité de type limitation insuffisante d'un chemin d'accès à un répertoire restreint, aussi appelé *path traversal*, affectant SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. L'éditeur indique que la vulnérabilité CVE-2025-53771 permet à un attaquant de provoquer une usurpation d'identité sur un réseau.

**[Mise à jour du 22 juillet 2025]**

Microsoft a publié les mises à jour cumulatives (*Cumulative Update*, *CU*) de sécurité pour SharePoint Enterprise Server 2016.
L'éditeur fournit également des marqueurs de compromission à rechercher [3].

**[Publication initiale]**

Le 19 juillet 2025, Microsoft a publié des correctifs pour une vulnérabilité de type jour-zéro affectant SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. L'éditeur indique que la vulnérabilité CVE-2025-53770 permet à un attaquant de provoquer une désérialisation de données non fiables entrainant une exécution de code arbitraire à distance.

Microsoft indique que la vulnérabilité CVE-2025-53770 est activement exploitée.

Pour limiter les attaques potentielles, l'éditeur a fait des recommandations [1].

Le CERT-FR recommande les actions suivantes :
* si l'instance SharePoint est dans une version disposant d'un correctif pour cette vulnérabilité :
    * appliquer les dernières mises à jour de sécurité, y compris la mise à jour de sécurité de juillet 2025 ;
    * effectuer une rotation des clés de machine ASP.NET du SharePoint Server [2];
    * redémarrer IIS sur tous les serveurs SharePoint.
* si ça n'est pas le cas, déconnecter ou filtrer les accès à cette instance.

L'éditeur fournit des moyens de détection et de protection pour Microsoft Defender Antivirus [1].

## Recherche de compromission

**[Mise à jour du 23 juillet 2025]**

Dès que le correctif est appliqué ou l’instance SharePoint isolée :
* effectuer une recherche de compromission ;
* rechercher dans les journaux réseau IIS SharePoint en privilégiant la période allant du 7 juillet 2025 jusqu'à la date d'application des correctifs de sécurité.

Les caractéristiques des requêtes HTTP sont décrites ci-dessous:

            Caractéristiques HTTP
            Valeur(s) à rechercher

            Méthode HTTP
            POST

            URL
            /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx
 /_layouts/16/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx

            Referer
            /_layouts/SignOut.aspx
 https://<cible>/_layouts/SignOut.aspx
 http://<cible>/_layouts/SignOut.aspx

<cible> étant le nom de domaine de votre SharePoint.

Si des journaux système sont disponibles, rechercher des processus inhabituels générés par le processus IIS w3wp.exe tels que powershell.exe ou cmd.exe.

En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les fiches réflexes de compromission système [4][5].

Le CERT-FR recommande de déterminer si l’instance SharePoint n’héberge pas des secrets d’administration du système d'information.

[MàJ] Multiples vulnérabilités dans Microsoft SharePoint

Bulletin de sécurité Microsoft CVE-2025-53770

Bulletin de sécurité Microsoft CVE-2025-53771


Pare-feux SonicWall de génération 7 avec le VPN SSL activé

## Contournement provisoire

Dans l'attente de plus de renseignements, voire d'un éventuel correctif, l'éditeur conseille de désactiver le VPN SSL.

Si cela n'est pas possible, celui-ci recommande a minima de :
* limiter l'accès à des adresses IP de confiance ;
* activer les services de sécurité proposés ;
* activer l'authentification à multiples facteurs ;
* supprimer les comptes inactifs ;
* mettre à jour les mots de passe en accord avec les bonnes pratiques (cf. section Documentation).

## Solution

[Mise à jour du 7 août 2025]

L'éditeur recommande d'installer la version 7.3.0 de SonicOS, qui contient des mesures de protection contre des attaques par force brute. De plus, SonicWall conseille de modifier tous les mots de passe des utilisateurs, en complément des mesures déjà préconisées (cf. Contournement provisoire).

Alerte CERT-FR CERTFR-2024-ALE-011 du 10 septembre 2024

Recommandations relatives à l'authentification multifacteur et aux mots de passe

CERTFR-2025-RFX-002 : Compromission d'un équipement de bordure réseau - Endiguement

CERTFR-2025-RFX-001 : Compromission d'un équipement de bordure réseau - Qualification

Version initiale

Mise à jour avec les nouveaux éléments de l'éditeur.

Non spécifié par l'éditeur

Summary:
[Mise à jour du 7 août 2025]

Le 6 août 2025, SonicWall a remplacé une partie de son communiqué initial pour indiquer que les incidents de sécurité évoqués étaient vraisemblablement corrélés à la vulnérabilité CVE-2024-40766. Celle-ci a fait l'objet d'un bulletin de sécurité, SNWLID-2024-0015 (cf. section Documentation), publié le 8 août 2024.

Selon l'éditeur, nombre de ces incidents de sécurité sont liés à une migration de la génération 6 à 7, mais au cours de laquelle les mots de passe n'ont pas été modifiés, à l'encontre des préconisations de l'avis SNWLID-2024-0015.

**[Publication Initiale]**

Le 4 août 2025, SonicWall a publié un communiqué (cf. section Documentation) concernant des incidents de sécurité constatés sur les pare-feux de génération 7 lorsque le VPN SSL est activé.

L'éditeur déclare ne pas savoir si ces incidents sont liés à une vulnérabilité déjà connue ou s'il s'agit d'une nouvelle vulnérabilité.

Plusieurs entreprises de sécurité, citées par l'éditeur, ont publié des billets de blogue, dont certains sont disponibles en source ouverte.

Ceux-ci proposent des indicateurs de compromission qui n'ont pas été qualifiés par le CERT-FR.

Incidents de sécurité dans les pare-feux SonicWall

Bulletin de sécurité Sonicwall

Communiqué SonicWall


NetScaler Gateway versions antérieures à 13.1-59.22

NetScaler ADC versions antérieures à 14.1-47.48

NetScaler ADC versions antérieures à 13.1-59.22

NetScaler ADC 12.1-FIPS et 12.1-NDcPP versions antérieures à 12.1-55.330

NetScaler Gateway versions antérieures à 14.1-47.48

NetScaler ADC 13.1-FIPS et 13.1-NDcPP versions antérieures à 13.1-37.241

Citrix rappelle que les versions 12.1 and 13.0 de NetScaler ADC et NetScaler Gateway sont obsolètes et ne recevront plus de mises à jour de sécurité. L'éditeur recommande de migrer vers une version maintenue et à jour.

## Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

Avis CERT-FR CERTFR-2025-AVI-0730 du 26 août 2025

Compromission d'un équipement de bordure réseau - Endiguement

Recommendations de Citrix en cas de soupçons de compromission

Compromission d'un équipement de bordure réseau - Qualification

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 26 août 2025, Citrix a publié un bulletin de sécurité (cf. section Documentation) concernant, entre autres, la vulnérabilité CVE-2025-7775.

Celle-ci permet une exécution de code arbitraire à distance et affecte toutes les versions de Citrix NetScaler ADC et NetScaler Gateway, dans certaines configurations détaillées par l'éditeur.

Citrix indique que la vulnérabilité CVE-2025-7775 est activement exploitée.

Vulnérabilité dans Citrix NetScaler ADC et NetScaler Gateway

Bulletin de sécurité Citrix CTX694938


Firewall Threat Defense (FTD) versions 7.7.x antérieures à 7.7.10.1

Adaptive Security Appliance (ASA) versions 9.17.x et 9.18.x antérieures à 9.18.4.67

Firewall Threat Defense (FTD) versions 7.3.x et 7.4.x antérieures à 7.4.2.4

Firewall Threat Defense (FTD) versions 7.6.x antérieures à 7.6.2.1

Adaptive Security Appliance (ASA) versions 9.16.x antérieures à 9.16.4.85

Adaptive Security Appliance (ASA) versions 9.19.x et 9.20.x antérieures à 9.20.4.10

Adaptive Security Appliance (ASA) versions 9.12.x antérieures à 9.12.4.72

Adaptive Security Appliance (ASA) versions 9.23.x antérieures à 9.23.1.19

Firewall Threat Defense (FTD) versions 7.0.x antérieures à 7.0.8.1

Adaptive Security Appliance (ASA) versions 9.22.x antérieures à 9.22.2.14

Adaptive Security Appliance (ASA) versions 9.14.x antérieures à 9.14.4.28

Firewall Threat Defense (FTD) versions 7.1.x et 7.2.x antérieures à 7.2.10.2

## Solutions

**[Mise à jour du 26 septembre 2025]**

Suite à plusieurs publications de la Cisa (dont [2]), le CERT-FR recommande d'effectuer les actions suivantes :
- lancer la commande `show checkheaps` toutes les minutes pendant cinq minutes et sauvegarder les résultats sur un système tiers. Un exemple de résultat est présenté dans [1] ;
    * la valeur située dans la ligne `Totale number of runs` doit s'incrémenter au cours du temps. Si aucune évolution n'est constatée, cela indique une potentielle compromission ;
- lancer la commande `show tech-support detail` et sauvegarder les résultats sur un système tiers ;
- lancer la commande `more /binary system:/text | grep 55534154 41554156 41575756 488bb3a0` et sauvegarder les résultats sur un système tiers ;
    * si cette commande retourne des résultats, cela indique une potentielle compromission ;
- vérifier la quantité d'événements syslog 302013, 302014, 609002 et 71005 [1] et [2] car une diminution notable peut indiquer une potentielle compromission ;
- **à ce stade, si une compromission potentielle est détectée, envisager de déconnecter l'équipement d'Internet et [signaler immédiatement l’événement auprès du CERT-FR](https://www.cert.ssi.gouv.fr/contact/) qui vous indiquera la marche à suivre** ;
- si aucune compromission n'a été détectée jusque-là, effectuer la mise à jour de l'équipement si celle-ci est disponible ;
    * lors du processus de mise à jour, surveiller les messages affichés sur la console de l'équipement, conformément aux étapes présentées dans la section `Bootloader and/or ROMMON Verification Failure` de [1] ;
- à l'issue de la mise à jour, chercher sur l'équipement la présence d'un fichier nommé `firmware_update.log` ;
    * en cas de présence de ce fichier, récupérer son contenu et sauvegarder les résultats sur un système tiers, **cela indique une potentielle compromission , envisager alors de déconnecter l'équipement d'Internet et [signaler l’événement auprès du CERT-FR](https://www.cert.ssi.gouv.fr/contact/) qui vous indiquera la marche à suivre** ;
- effectuer une recherche de compromission et de latéralisation plus large, en utilisant les éléments suivants:
    * rechercher des connections VPN rapprochées avec des origines géographiques distantes [1] et [2] ;
    * rechercher les éléments présentés dans la section `Step Two: Review Compromised Account Activity`de [2] ;
    * rechercher des indicateurs de compromission en se basant sur les éléments présentés dans la section `Rules and signatures` de [3] ;
    * rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
        * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
        * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
    * si vous trouvez des traces de latéralisation, [contactez le CERT-FR](https://www.cert.ssi.gouv.fr/contact/) ;
- dans tous les cas, effectuer une rotation de l'ensemble des secrets et des éléments de configuration de l'équipement ainsi que de tous les secrets qui auraient pu transiter par cet équipement.

Si aucune mise à jour n'est disponible pour l'équipement, le CERT-FR recommande de le déconnecter d'Internet.

**[Publication initiale]**

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Dans l'attente de l'application des correctifs, Cisco recommande de désactiver les services VPN (IKEv2 et SSL VPN).

L'éditeur fournit également des renseignements pour tenter de détecter une compromission potentielle (cf. section Documentation).

[3] Rapport d'analyse des logiciels malveillants RayInitiator et LINE VIPER du NCSC-UK

Billet de blogue Cisco du 25 septembre 2025

[1] Guide de détection Cisco du 25 septembre 2025

Avis CERT-FR CERTFR-2025-AVI-0819 du 25 septembre 2025

[2] Guide de la CISA relatif à la réalisation d'un vidage mémoire et de la recherche de compromission

Version initiale

Ajout d'éléments pour la recherche de compromission

Clarification des recommandations.

Mise à jour du billet de blogue Cisco.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Connaissance de codes d'exploitation publics

Déni de service à distance

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
**[Mise à jour du 07 novembre 2025]**

Le 5 novembre 2025, Cisco a mis a jour son billet de blogue initialement publié le 25 septembre 2025 (cf. section Documentation). L'éditeur déclare avoir connaissance d'une nouvelle attaque, affectant les équipements ASA et FTD vulnérables, qui cause un déni de service à distance.

**[Mise à jour du 06 octobre 2025]**

Le CERT-FR a connaissance de codes d'exploitation publics.

**[Publication initiale]**

Le 25 septembre 2025, Cisco a publié plusieurs avis de sécurité, un billet de blogue ainsi qu'un guide de détection concernant des vulnérabilités affectant le serveur VPN Web de Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD).

La vulnérabilité CVE-2025-20362 permet à un attaquant de contourner l'authentification pour accéder à des ressources protégées.

La vulnérabilité CVE-2025-20333 permet à un attaquant authentifié d'exécuter du code arbitraire à distance.

Exploitées conjointement, celles-ci permettent à un attaquant non authentifié de prendre la main sur une machine vulnérable.

Cisco indique que ces vulnérabilités sont activement exploitées.

[MàJ] Multiples vulnérabilités dans Cisco ASA et FTD

Bulletin de sécurité Cisco cisco-sa-asaftd-webvpn-z5xP8EUB

Bulletin de sécurité Cisco cisco-sa-asaftd-webvpn-YROOTUW


Expo sans les versions correctives de react-server-dom-webpack

Redwood SDK versions antérieures à 1.0.0-alpha.0

Next.js versions 15.0.x antérieures à 15.0.5

Waku sans les versions correctives de react-server-dom-webpack

Next.js versions 15.1.x antérieures à 15.1.9

Next.js versions 15.5.x antérieures à 15.5.7

react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.2.x antérieures à 19.2.1

Next.js versions 14.x canary

Next.js versions 15.3.x antérieures à 15.3.6

React router avec le support de l'API RSC sans les derniers correctifs de sécurité

react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.0.x antérieures à 19.0.1

Next.js versions 15.4.x antérieures à 15.4.8

react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.1.x antérieures à 19.1.2

Next.js versions 16.0.x antérieures à 16.0.7

Vitejs avec le greffon plugin-rsc sans les derniers correctifs de sécurité

Next.js versions 15.2.x antérieures à 15.2.6

## Solutions

Le CERT-FR recommande de mettre à jour au plus vite les composants vers les versions correctives listées dans les avis éditeurs (cf. section Documentation).

[2] Billet de Blogue de Huntress, analyse et indicateurs de compromission

Bulletin d'actualité CERTFR-2025-ACT-053 du 04 décembre 2025

[1] Billet de Blogue de Wiz.io, analyse et indicateurs de compromission

Compromission système - Qualification

Compromission système - Endiguement

Version initiale

Recherche de compromission, références des fiches système de qualification et endiguement

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
**[Mise à jour du 11 décembre 2025]**

Le CERT-FR a connaissance de multiples exploitations de la vulnérabilité CVE-2025-55182. Les serveurs avec une version vulnérable exposés après la publication des preuves de concept publiques du 5 décembre 2025 doivent être considérés comme compromis.

Certains billets de blogues [1] [2] incluent des indicateurs de compromission. Ces indicateurs n'ont pas été qualifiés par le CERT-FR.

**[Mise à jour du 08 décembre 2025]**

Le CERT-FR a connaissance d'exploitations pour la vulnérabilité CVE-2025-55182.

**[Publication initiale]**

Le 3 décembre 2025, React a publié un avis de sécurité relatif à la vulnérabilité CVE-2025-55182 affectant React Server Components et qui permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance. L'éditeur de Next.js a également publié un avis de sécurité faisant référence à l'identifiant CVE-2025-66478. Cet identifiant a été rejeté en raison du doublon avec l'identifiant utilisé par React. Cette faille de sécurité est également connue sous le nom de *React2Shell*.

Cette vulnérabilité concerne plus précisément les React Server Functions. Même si une application n'utilise pas explicitement de telles fonctions, elle peut être vulnérable si elle supporte les React Server Components. En particulier, plusieurs cadriciels tels que Next.js implémentent de telles fonctions par défaut.

Les technologies React Server Components et React Server Functions sont relativement récentes (la version 19 de React a été publiée fin 2024) et toutes les applications utilisant la technologie React ne sont ainsi pas nécessairement affectées. Veuillez vous référer à la section systèmes affectés pour plus d'informations.

Le CERT-FR a connaissance de preuves de concept publiques pour cette vulnérabilité et anticipe des exploitations en masse.

*Note : Le CERT-FR a connaissance de la mise en place de règles de blocages de la vulnérabilité au niveau de plusieurs pare-feu applicatifs web populaires. Bien que ces mécanismes puissent rendre l'exploitation de la vulnérabilité plus difficile, ils ne peuvent pas remplacer une mise à jour vers une version corrective.*

[MàJ] Vulnérabilité dans React Server Components

Billet de blogue React relatif à la vulnérabilité CVE-2025-55182

Billet de blogue Vercel relatif à la vulnérabilité CVE-2025-55182

Bulletin de sécurité Facebook CVE-2025-55182


Endpoint Manager Mobile versions 12.5.0.x sans le script correctif RPM_12.x.0.x

Endpoint Manager Mobile versions 12.5.1.x sans le script correctif RPM_12.x.1.x

Endpoint Manager Mobile versions 12.7.0.x sans le script correctif RPM_12.x.0.x

Endpoint Manager Mobile versions 12.6.1.x sans le script correctif RPM_12.x.1.x

Endpoint Manager Mobile versions 12.6.0.x sans le script correctif RPM_12.x.0.x

## Solutions

L'obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s'effectuent via le portail de téléchargement d'Ivanti. L'éditeur précise que les correctifs apportés par ses scripts RPM sont temporaires et qu'il est nécessaire de les réinstaller à chaque montée de version jusqu'à l'obtention d'Ivanti Endpoint Manager Mobile version 12.8.0.0.

[3] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Comment révoquer un certificat

[1] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, système de sauvegarde

Compromission d'un équipement de bordure réseau - Endiguement

Compromission d'un équipement de bordure réseau - Qualification

Avis CERT-FR CERTFR-2026-AVI-0110 du 30 janvier 2026

Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Configuration du protocole SCEP

Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, exportation des données : SysLog

[2] Prise en main d'Ivanti EPMM 12.0.0.0 - 12.7.0.0, Configuration des serveurs LDAP

Version initiale

Mises à jour de l'éditeur et précision concernant l'analyse des journaux.

Correction de  la date de publication de l'avis éditeur

Exécution de code arbitraire à distance

Summary:
[Mise à jour du 09 février 2026]

Le 6 février 2026, Ivanti a mis à disposition des scripts RPM de détection d'indicateurs de compromission, à utiliser en fonction de la version d'EPMM installée.

L'éditeur a également mis son guide d'analyse à jour (cf. section Documentation).

[Mise à jour du 02 février 2026]

Une preuve de concept est disponible publiquement.

[Publication initiale]

Le 29 janvier 2026, Ivanti a publié un avis de sécurité concernant les vulnérabilités critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile (EPMM). L'éditeur indique qu'elles permettent à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Ivanti indique que les vulnérabilités CVE-2026-1281 et CVE-2026-1340 sont activement exploitées dans le cadre d'attaques ciblées.

## Recherche de compromission

En cas de suspicion de compromission, l'éditeur recommande  :
* d'isoler totalement les équipements EPMM et Sentry concernée du réseau, vis-à-vis d'Internet comme du réseau interne ;
*Note : Sentry est conçu pour acheminer certains types de trafic depuis les terminaux mobiles vers le réseau interne. Si vous pensez que votre équipement EPMM est compromis, Ivanti recommande d'examiner les systèmes auxquels Sentry peut accéder afin de détecter d'éventuelles traces de reconnaissances ou de mouvements latéraux.*
* de réaliser un instantané ou effectuer une sauvegarde du disque ;
* de rechercher les tentatives d'exploitations dans les journaux d'accès Apache /var/log/httpd/https-access_log.

Les caractéristiques des requêtes HTTP malveillantes sont décrites ci-dessous :

            Caractéristiques HTTP
            Valeur(s) à rechercher

            Méthode HTTP
            GET

            Chemin d'accès
            /mifs/c/aftstore/fob/
/mifs/c/appstore/fob/

            Code HTTP
            404

            Paramètres
            contenant des commandes bash

Les instances d'ivanti EPMM avec le correctif de sécurité appliqué produiront des faux positifs suivants lors de la recherche de requêtes HTTP malveillantes qui ressemblent à l'exemple ci-dessous :

127.0.0.1:33354 - - 2026-01-28--12-00-01 "GET /mifs/c/aftstore/fob/3/0/sha256:kid=0 HTTP/1.1" 404

[Mise à jour du 09 février 2026]

Précision : La présence du motif de requête, cité ci-dessus, en provenance de l'adresse de l'hôte local (localhost), dans les journaux Apache, permet de confirmer que le correctif a bien été appliqué.

Deux moyens de persistance sont connus à ce jour par l'éditeur :
1. le déploiement de différentes consoles web malveillantes *(webshells)*, en modifiant des pages d'erreur HTTP tel que 401.jsp ou en introduisant des fichiers WAR ou JAR ;
2. le déploiement d'invite de commande inverse *(reverse shell)*.

Toute requête vers des pages d'erreur HTTP utilisant la méthode POST ou des paramètres doit être considérée comme une suspicion de communication avec une porte dérobée.
Toute connexion de longue durée initiée par un Ivanti EPMM doit être considérée comme une suspicion de communication par un invite de commande inverse.

## Remédiation

En cas de compromission, l'éditeur préconise de :
* restaurer une sauvegarde saine d'un Ivanti EPMM [1] ;
* s'il n'est pas possible de récupérer l'EPMM à partir d'une sauvegarde, Ivanti recommande de créer un EPMM de remplacement, puis de migrer les données vers celui-ci ;
* réinitialiser les mots de passe de tous les comptes EPMM locaux ;
* réinitialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ;
* révoquer et remplacer les certificats publics utilisés par l'EPMM [3] ;
* réinitialiser les mots de passe de tous les comptes de service interne ou externe configuré avec EPMM.

[MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile

Bulletin de sécurité Ivanti

Bulletin de sécurité Ivanti

Guide d'analyse Ivanti Endpoint Manager Mobile


Catalyst SD-WAN versions 20.12.6.x antérieures à 20.12.6.1

Catalyst SD-WAN versions antérieures à 20.9.8.2

Catalyst SD-WAN versions 20.15.x antérieures à 20.15.4.2

Catalyst SD-WAN versions 20.12.5.x antérieures à 20.12.5.3

Catalyst SD-WAN versions 20.18.x antérieures à 20.18.2.1

Cisco indique que la publication de la version corrective 20.9.8.2 pour Catalyst SD-WAN est prévue le 27 février 2026. Les versions 20.11.x, 20.13.x, 20.14.x et 20.16.x sont affectées par la vulnérabilité mais ne bénéficieront pas de correctifs de sécurité car elles ont atteint la fin de période de maintenance. Le CERT-FR recommande de migrer vers une version maintenue et avec les derniers correctifs de sécurité.

L'éditeur précise aussi que la solution Cisco SD-WAN a été renommée Cisco Catalyst SD-WAN. L'avis éditeur indique également d'autres changements de noms pour les composants de cette solution.

## Recherche de compromission

**[Mise à jour du 26 février 2026]**

Le CERT-FR recommande d'effectuer une recherche de compromission en s'appuyant sur les éléments documentés par Cisco dans son avis de sécurité et un billet de blogue [1]  :

1. Vérification de la légitimité des événements d'appairage des connexions de contrôle (*control connection peering events*) :

* Un exemple de journal est donné ci-dessous. Les valeurs associées à `peer-system-ip` et `public-ip` doivent correspondre à des valeurs attendues par rapport à l'architecture du système d'information et de la configuration SD-WAN. De plus le `peer-type` doit être cohérent avec l'équipement lié à l'adresse `peer-system-ip`. L'horodatage de l'événement doit être associé à des périodes de maintenance ou d'administration.

Jul 26 22:03:33 vSmart-01 VDAEMON_0[2571]: %Viptela-vSmart-VDAEMON_0-5-NTCE-1000001: control-connection-state-change new-state:up peer-type:vmanage peer-system-ip:1.1.1.10 public-ip:192.168.3.20 public-port:12345 domain-id:1 site-id:1005

* En complément, le CERT-FR conseille de corréler les informations présentes dans ces événements pour identifier des schémas de reconnaissance ou des tentatives d’accès persistantes. Par exemple en regroupant les activités par `peer-type` et `peer-system-ip`. Ces journaux peuvent être présents dans `/var/log/tmplog/vdebug`, `/var/log/vsyslog`, `/var/log/jsyslog` ou `/var/log/messages`.

2. Vérification de l'ajout d'une clé d'authentification SSH pour `vmanage-admin` :

* Le compte `vmanage-admin` est un compte légitime utilisé par le système. Les attaquants sont susceptibles d'avoir ajouté une clé SSH pour ce compte et de l'utiliser pour se connecter à l'équipement.
* Il est nécessaire de valider que les événements d'authentification liée à l'utilisation d'une clé publique pour le compte `vmanage-admin` peuvent être reliés à une adresse IP connue et légitime. Ces événements sont notamment listés dans `/var/log/auth.log`. Un exemple de journal de ce type de connexion est présenté ci-dessous.

    2026-02-10T22:51:36+00:00 vm  sshd[804]: Accepted publickey for vmanage-admin from port [REDACTED PORT] ssh2: RSA SHA256:[REDACTED KEY]

* La présence de clés inconnues dans `/home/vmanage-admin/.ssh/authorized_keys/` est également un indicateur de compromission.

3. Détection de rétrogradation de la version du système :

* Les attaquants sont susceptibles d'avoir rétrogradé la version du système dans l'optique d'exploiter des vulnérabilités applicables à des versions antérieures, telle que la vulnérabilité CVE‑2022‑20775. La version système est par la suite restaurée.
* Les journaux suivants sont des indicateurs de rétrogradation :

Waiting for upgrade confirmation from user. Device will revert to previous software version <version> in '100' seconds unless confirmed.

Software upgrade not confirmed. Reverting to previous software version

* La présence d'utilisateurs avec des noms anormaux et associés à des attaques de type traversée de chemin (*path traversal*) peut indiquer la tentative d'exploitation de la vulnérabilité CVE-2022-20775.  `/../../` et `/\n&../\n&../` sont des exemples de ce type d'attaque.
4. Détection de journaux tronqués, effacés ou absents :

* Les attaquants sont susceptibles d'avoir modifié les journaux pour rendre plus complexe la détection de leurs actions. La présence de journaux de taille anormalement faible (0, 1 ou 2 octets) est un indicateur de compromission.
* La modification et la suppression d'entrées dans les journaux suivants doivent aussi être vérifiées :
     * `syslog`
     * `wtmp`
     * `lastlog`
     * `cli-history`
     * `bash_history`
     * journaux présents dans `/var/log/`
5. Vérification des activités anormales de certains utilisateurs. Les éléments suivants doivent être étudiés :

* Création, utilisation et suppression de comptes utilisateurs malveillants, y compris l’absence de `bash_history` et de `cli‑history` ;
* Présence d’un fichier `cli‑history` pour un utilisateur sans le bash history correspondant ;
* Sessions root interactives sur des systèmes de production, avec des clés SSH non répertoriées, des known hosts et un historique bash. Par exemple :
   * Clés SSH dans :   `/home/root/.ssh/authorized_keys` avec `PermitRootLogin` réglé sur `yes` dans`/etc/ssh/sshd_config`
   * Known hosts dans : `/home/root/.ssh/known_hosts`

Notification: system-login-change severity-level:minor host-name:"<node_name>" system-ip:<IP> user-name:""root""

Cisco recommande également de consulter le guide de recherche de compromission rédigé par l'Australian Cyber Security Centre [2] ainsi que le guide de durcissement de Catalyst SD-WAN [3].

En cas de suspicion de compromission consulter les fiches réflexes de compromission d'un équipement de bordure réseau [4][5] et signaler l’événement auprès du CERT-FR.

## Solutions

**[Publication Initiale]**

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

[3] Guide de durcissement de Catalyst SD-WAN

[2] Cisco SD-WAN Threat hunt guide, version 2.4 du 25 février 2026

[1] Billet de blogue de Cisco Talos du 25 février 2026 relatif à l'exploitation de vulnérabilités dans Catalyst SD-WAN

[4] Compromission d'un équipement de bordure réseau - Qualification

Avis CERTFR-2026-AVI-0210

[5] Compromission d'un équipement de bordure réseau - Endiguement

Version initiale

Ajout de compléments liés à la recherche de compromission

Contournement de la politique de sécurité

Summary:
Une vulnérabilité a été découverte dans Cisco Catalyst SD-WAN. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité.

Cisco indique que la vulnérabilité CVE-2026-20127 est activement exploitée.

[MàJ] Vulnérabilité dans Cisco Catalyst SD-WAN

Bulletin de sécurité Cisco


Applications de messagerie instantanée

Version initiale

Atteinte à la confidentialité des données

Summary:
Les travaux conjoints des services membres du **Centre de Coordination des Crises Cyber (C4)** ont permis d’identifier une recrudescence de campagnes d’attaques ciblant les comptes de messagerie instantanées. Ces campagnes ciblent particulièrement les secteurs régaliens (personnalités politiques, cadres de l’administration) mais aussi les personnels de la société civile exerçant des fonctions sensibles (journalistes, industriels, etc.).

Ces attaques – quand elles réussissent – peuvent permettre à des acteurs malveillants d’accéder aux historiques de conversation, voire de prendre le contrôle des comptes de messagerie de leurs victimes et de diffuser des messages en usurpant leur identité. Cette note d’alerte contient des actions immédiates permettant de vérifier la prise de contrôle d’un compte par un tiers ainsi que des préconisations d’hygiène numérique simples afin d’éviter une telle compromission.

En cas de doute, contactez le CERT-FR par téléphone au 3218 ou par courriel : cert-fr@ssi.gouv.fr.

Note d’alerte :
Ciblage des messageries instantanées

Note d’alerte – Ciblage des messageries instantanées

20260320_NP_C4_Alerte_Ciblage_messagerie_instantanee.pdf


BIG-IP Access Policy Manager (tous les modules) versions 17.1.x antérieures à 17.1.3

BIG-IP Access Policy Manager (tous les modules) versions 15.1.x antérieures à 15.1.10.8

BIG-IP Access Policy Manager (tous les modules) versions 17.5.x antérieures à 17.5.1.3

BIG-IP Access Policy Manager (tous les modules) versions 16.1.x antérieures à 16.1.6.1

Considérations et conseils à suivre si vous soupçonnez une faille de sécurité sur un système BIG-IP

[1] Marqueur de compromission pour c05d5254

Avis CERT-FR CERTFR-2025-AVI-0886 du 16 octobre 2025

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 15 octobre 2025, F5 a publié un avis de sécurité concernant entre autres la vulnérabilité CVE-2025-53521. Celle-ci affecte BIG-IP APM et permet à un attaquant non authentifié  d'exécuter du code à distance.

Le 29 mars 2026, l'éditeur indique que cette vulnérabilité est exploitée activement.

Le CERT-FR recommande d'effectuer une recherche de compromission en s'appuyant sur les éléments documentés par F5 dans son billet de blogue [1] :

Indicateurs de compromission dans le système de fichiers :

la présence des fichiers /run/bigtlog.pipe ou /run/bigstart.ltm ;

des condensats des fichiers  /usr/bin/umount et /usr/sbin/httpd différents de ceux des versions légitimes ;

des tailles de fichiers ou date de création des fichiers /usr/bin/umount et /usr/sbin/httpd différentes de celles des versions légitimes.

Indicateurs de compromission dans les journaux :

dans les fichiers /var/log/restjavad-audit.<NUMBER>.log, vérifier la présence d'entrées de la forme suivante, indiquant une requête iControl via API REST par un utilisateur local :

[ForwarderPassThroughWorker{"user":"local/f5hubblelcdadmin","method":"POST","uri":"http://localhost:8100/mgmt/tm/util/bash","status":200,"from":"Unknown"}

dans les fichiers /var/log/auditd/audit.log.<NUMBER>, vérifier la présence d'entrées de la forme suivante, indiquant des tentatives de désactivation du système SELinux lors d'une requête iControl via API REST :

msg='avc: received setenforce notice (enforcing=0) exe="/usr/lib/systemd/systemd" sauid=0 hostname=? addr=? terminal=?'

dans le fichier /var/log/audit, vérifier la présence d'entrées de la forme suivante :

user=f5hubblelcdadmin folder=/Common module=(tmos)# status=[Command OK] cmd_data=run util bash <VARIABLE_COMMAND>

Cette entrée illustre un exemple de commande exécutée et consignée dans le journal d’audit, corrélée à la requête iControl REST mentionnée ci‑dessus.

Indicateurs de compromission lors d'exécutions de commandes de contrôle :

exécution de sys‑eicheck : il s'agit d'un vérificateur d’intégrité du système, composant logiciel installé sur les appliances BIG‑IP. Il s’appuie sur la fonctionnalité de vérification d’intégrité des paquets RPM et confronte les exécutables présents sur le disque aux empreintes (condensats) stockées dans la base de données RPM. Lorsqu’une différence est constatée, le système alerte les utilisateurs.

L'exécution de cette commande peut indiquer des erreurs de conformité, en particulier concernant les fichiers /usr/bin/umount ou /usr/sbin/httpd.

exécution de lsof -n : le système est compromis si la présence de /run/bigtlog.pipe est avérée.

Vulnérabilité dans F5 BIG-IP Access Policy Manager

Bulletin de sécurité F5 K000156741