Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 28
Tableau récapitulatif :
Rappel des alertes CERT-FR
Multiples vulnérabilités dans Citrix NetScaler ADC et NetScaler Gateway
Le 4 juillet 2025, une preuve de concept a été publiée publiquement pour la vulnérabilité CVE-2025-5777. Celle-ci est triviale à utiliser et le CERT-FR constate des exploitations actives.Elle est exploitable par le biais du formulaire d'authentification.
Les vulnérabilités CVE-2025-6543 et CVE-2025-5777 étant activement exploitées, tout NetScaler exposé qui n'aurait pas reçu les correctifs pour ces deux vulnérabilités doit être considéré comme compromis.
Lien :
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Wordpress | Wordpress | CVE-2016-10033 | 9.8 | Exécution de code arbitraire à distance | Exploitée | ||
| Joomla | Joomla! | CVE-2016-10033 | 9.8 | Exécution de code arbitraire à distance | Exploitée | ||
| Phpmailer_project | CVE-2016-10033 | 9.8 | Exécution de code arbitraire à distance | Exploitée | |||
| Multi-router_looking_glass_project | CVE-2014-3931 | 9.8 | Exécution de code arbitraire à distance | Exploitée | |||
| Opensuse | Leap | CVE-2019-5418 | 7.5 | Atteinte à la confidentialité des données | Exploitée | http://lists.opensuse.org/opensuse-security-announce/2019-05/msg00011.html |
|
| Redhat | Software Collections, Cloudforms | CVE-2019-5418 | 7.5 | Atteinte à la confidentialité des données | Exploitée | ||
| Fedoraproject | Fedora | CVE-2019-5418 | 7.5 | Atteinte à la confidentialité des données | Exploitée | ||
| Rubyonrails | Rails | CVE-2019-5418 | 7.5 | Atteinte à la confidentialité des données | Exploitée | ||
| Debian | Debian Linux | CVE-2019-5418 | 7.5 | Atteinte à la confidentialité des données | Exploitée | ||
| Synacor | Zimbra Collaboration Suite | CVE-2019-9621 | 7.5 | Falsification de requêtes côté serveur (SSRF) | Exploitée | https://wiki.zimbra.com/wiki/Security_Center https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories |
|
| Microsoft | Windows | CVE-2025-49689 | 7.8 | Élévation de privilèges | Preuve de concept | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49689 | |
| Fortinet | FortiClientMac | CVE-2025-25251 | 7.8 | Élévation de privilèges | Preuve de concept | https://fortiguard.fortinet.com/psirt/FG-IR-25-016 |
