Résumé de la semaine #51 (du 13 au 19 décembre 2025)

Chaque semaine, les consultants de notre service de veille, synthétisent et analysent les faits marquants de la semaine écoulée.

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

CORRECTIFS

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par F5 pour NGINX Controller [1], par Elastic pour Kibana [2], par Mozilla pour Firefox [3], par Watchguard pour Firebox [4], par Microsoft pour Edge [5], par SonicWall pour SMA1000 [6], par Google pour Chrome [7], par Apple pour macOS [8], iPad [9] et Safari [10]. Ces correctifs remédient à des dommages allant du déni de service à la prise de contrôle du système.

CODES D’EXPLOITATION

Cette semaine, un code d’exploitation a été publié. Un correctif est disponible.

Prise de contrôle du système et contournement de sécurité via une vulnérabilité au sein de FortiWeb [11]

Un code d’exploitation tirant parti de la vulnérabilité CVE-2025-52970 affectant FortiWeb a été publié. Ce code d’exploitation se présente sous la forme d’un programme écrit en Python. En exploitant cette faille, un attaquant distant et non authentifié pouvait exploiter un accès hors limites OOB (Out-Of-Bound) dans le parsing des cookies FortiWeb pour forger une clé de session prévisible, puis de générer et valider un cookie malveillant signé avec HMAC-SHA1 contenant des privilèges administrateur encodés. L’attaquant était alors en mesure de contourner l’authentification sur l’endpoint /api/fabric/device/status en injectant le cookie malveillant dans l’en-tête Authorization. L’accès administrateur obtenu est alors exploité pour exécuter des requêtes d’injection SQL. Le CERT-XMCO recommande l’installation de l’une des versions suivantes de FortiWeb : 7.6.4, 7.4.9, 7.2.11 et 7.0.11, disponibles auprès du support de Fortinet.

INFORMATIONS

Vulnérabilités exploitées

Exploitation malveillante de la CVE-2025-20393, une faille zero-day non corrigée affectant les produits Cisco SEG et SEWM [12]

Le 17 décembre 2025, les chercheurs de Cisco Talos ont publié un bulletin de sécurité signalant l’exploitation malveillante d’une vulnérabilité 0‑day critique. Référencée CVE-2025-20393, cette faille de sécurité affecte Cisco AsyncOS, un logiciel présent au sein des appliances Secure Email Gateway (SEG) et Secure Email and Web Manager (SEWM). Elle permet à un attaquant distant et non authentifié d’exécuter des commandes arbitraires en possédant des privilèges root, en raison d’un défaut au sein de la fonctionnalité Spam Quarantine quand elle est exposée à Internet, qui provoque une mauvaise validation des entrées (cf. CXA-2025-7400). D’après l’analyse publiée par Cisco Talos, la campagne serait attribuée à un mode opératoire documenté sous le nom de UAT-9686, lié à la Chine et dont l’utilisation d’outils et l’infrastructure sont cohérentes avec celles d’autres groupes d’attaquants chinois.

Exploitation comme 0-day de la vulnérabilité CVE-2025-40602 affectant SonicWall SMA1000 [13]

Le 17 décembre 2025, SonicWall a publié un bulletin de sécurité corrigeant une vulnérabilité exploitée comme 0-day affectant la solution SMA1000 de SonicWall. Référencée CVE-2025-40602, elle permettait à un attaquant distant et authentifié avec des privilèges élevés d’élever ses privilèges localement (cf. CXA-2025-7398). Cette dernière a été exploitée conjointement à la faille de désérialisation de pré-authentification CVE-2025-23006 corrigée en janvier 2025 et affectant également SMA1000 pour exécuter des commandes OS arbitraires avec des privilèges root (cf. CXA-2025-0418). L’éditeur précise que la vulnérabilité n’affecte pas les VPN SSL exécutés sur les pare-feu SonicWall.

Nouvelles mentions d’attaques exploitant la faille de sécurité CVE-2025-55182 (Reac2Shell) [14]

Le 15 décembre 2025, les chercheurs de Microsoft Defender ont publié une analyse de l’exploitation de la vulnérabilité critique CVE-2025-55182, dite React2Shell, affectant React Server Components, Next.js et les frameworks associés. Évaluée à 10,0 sur l’échelle CVSS, cette faille de désérialisation non sécurisée désormais corrigée permettait à un attaquant distant et non authentifié d’exécuter du code arbitraire. (cf. CXN-2025-7105). Les chercheurs signalent avoir observé des attaques dirigées contre des applications web d’entreprise exposées, impliquant des charges allant de Cobalt Strike à des mineurs XMRig et divers RATs, dont VShell, EtherRAT, SNOWLIGHT et ShadowPAD.

France

Un acteur malveillant revendique sur BreachForums la compromission du ministère de l’Intérieur français [15]

Le 12 décembre 2025, le ministre de l’Intérieur français, Laurent Nuñez, a annoncé que des données associées aux serveurs de messagerie de son ministère avaient été compromis. Cette attaque, revendiquée le 13 décembre par un administrateur de BreachForums nommé Indra, serait survenue en réaction à l’arrestation, en juin dernier, de plusieurs membres du groupe ShinyHunters, un collectif criminel particulièrement actif, récemment associé aux collectifs Scattered Spider et LAPSUS$ (cf. CXN-2025-4330, CXN-2025-6424). À ce jour, les autorités françaises n’ont pas spécifié si des données avaient été exfiltrées par les attaquants.

Références portail XMCO

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

Clémence Illouz

Découvrir d'autres articles

En savoir plus En savoir plus