L'association met à votre disposition des flux RSS/ATOM provenant de divers organismes spécialisés en cybersécurité dans le but de vous tenir informé(e) des dernières actualités dans ce domaine. Ces flux sont fournis à titre informatif uniquement et ne doivent en aucun cas être interprétés comme des conseils, des recommandations ou des opinions de l'association. Nous déclinons toute responsabilité quant à l'exactitude, à la fiabilité ou à la pertinence du contenu présent dans ces flux. En utilisant ces flux, vous reconnaissez et acceptez que l'association ne peut être tenue responsable de quelque manière que ce soit pour tout dommage, perte ou préjudice découlant de l'utilisation ou de la confiance accordée à ces informations. Nous vous encourageons à vérifier les informations directement auprès des sources mentionnées et à consulter des professionnels qualifiés pour toute question ou décision liée à la cybersécurité. En accédant à ces flux, vous acceptez pleinement ces conditions et exonérez l'association de toute responsabilité à cet égard.
\[MàJ du 31 octobre 2022\] Une preuve de concept est publiquement disponible. \[Publication initiale\] Dans le cadre de son *Patch Tuesday*, en date du 13 septembre 2022, Microsoft a indiqué l'existence de multiples vulnérabilités au sein de plusieurs versions de Windows. Trois d'entre elles...
\[Mise à jour du 09 novembre 2022\] L'éditeur a publié un correctif (cf. section solution). En date du 29 septembre 2022, Microsoft a indiqué l'existence de deux vulnérabilités, de type zéro-jour, au sein de Windows Exchange 2013, 2016 et 2019. Ces vulnérabilités sont les suivantes : -...
Le 05 décembre 2022, trois vulnérabilités respectivement identifiées par les numéros CVE-2022-40259, CVE-2022-40242 et CVE-2022-2827 ont été signalées dans la solution d’administration à distance MegaRAC de l’éditeur AMI. La solution MegaRAC s’appuie sur un BMC (Baseboard Management Controller) :...
\[Mise à jour du 10 février 2023\] Une nouvelle vague d’attaque démarrée le 8 février change la méthode de chiffrement permettant de chiffrer un plus grand volume de données dans les fichiers de grande taille rendant la restauration des données plus difficile voire impossible. \[Mise à jour du 05...
Le 07 mars 2023, Fortinet a publié un avis de sécurité détaillant l’existence d’une vulnérabilité de type traversée de chemin (*path traversal*) permettant à un attaquant authentifié avec un compte à privilèges de lire et d'écrire des fichiers arbitrairement au travers de l'interface en ligne de...
\[mise à jour du 11 mai 2023\] Possibilité de contournement du correctif proposé par l'éditeur par le biais de la CVE-2023-29324 \[mise à jour du 20 avril 2023\] clarification de la recommandation pour le filtrage du flux SMB \[mise à jour du 29 mars 2023\] complément d'information et...
Le 30 mars 2023, l'éditeur a publié un communiqué concernant la compromission de leur application de bureau 3CX (*3CX Desktop App*). Cette application de conférence vocale et vidéo, dans certaines versions, est infectée par un cheval de Troie qui rend possible le déploiement d'une charge utile à...
Le 12 juin 2023, Fortinet a publié un avis de sécurité concernant la vulnérabilité CVE-2023-27997. Celle-ci permet à un attaquant non authentifié d'exécuter du code arbitraire à distance sur des produits Fortinet qui proposent une fonctionnalité de *VPN SSL*. Dans une communication supplémentaire...
La découverte d'une vulnérabilité affectant le logiciel MOVEit Transfer de Progress Software, le 31 mai 2023, avait conduit le CERT-FR à publier des éléments d'information dans le bulletin d'actualité CERTFR-2023-ACT-025. L'objet de cette alerte CERTFR-2023-ALE-005 est de faire le point sur...
Dans le cadre de son *Patch Tuesday*, en date du 11 juillet 2023, Microsoft a indiqué l'existence d'une vulnérabilité référencée CVE-2023-36884 \[1\] au sein de plusieurs versions de Windows et produits Office. Un score CVSSv3 de 8.3 lui a été attribué. L'éditeur confirme qu'elle est activement...
Source : Centre canadien pour la cybersécurité (Alertes et Avis)
Worry-Free Business Security (WFBS) – version 10.0 SP1;
Worry-Free Business Security Services (WFBSS) – version 6.7 (SaaS).
Le Centre pour la cybersécurité recommande aux utilisateurs et aux administrateurs de consulter les pages Web ci‑dessous, de suivre les mesures d’atténuation recommandées et d’appliquer les mises à jour nécessaires.
Le 11 juin 2025, GitLab a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :
GitLab Community Edition (CE) – versions antérieures à 0.2, 17.11.4, et 17.10.8;
GitLab Enterprise Edition (EE) – versions antérieures à 0.2, 17.11.4, et 17.10.8;
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.
Le 12 juin 2025, Siemens a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces bulletins comprennent des mises à jour pour les produits suivants :
Mendix Studio Pro 8 – versions antérieures à V8.18.35;
Mendix Studio Pro 9 – versions antérieures à V9.24.35;
Mendix Studio Pro 10 – versions antérieures à V10.23.0;
Mendix Studio Pro 10.6 – versions antérieures à V10.6.24;
Mendix Studio Pro 10.12 – versions antérieures à V10.12.17;
Mendix Studio Pro 10.18 – versions antérieures à V10.18.7;
Mendix Studio Pro 11 – toutes les versions.
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous, de suivre les mesures d'atténuation recommandées et d’appliquer les mises à jour nécessaires.
Le 18 avril 2025, Apache a publié un bulletin de sécurité visant à corriger une vulnérabilité liée au produit suivant :
Apache ActiveMQ NMS OpenWire Client – versions antérieures à 2.1.1.
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires.
Le 10 juin 2025, Apache a publié un bulletin de sécurité visant à corriger des vulnérabilités critiques liées au produit suivant :
Apache CloudStack – de la version 4.0.0 à 4.20.0.0 et de la version 4.0.0 à 4.19.2.0.
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires.
Le 11 juin 2025, Palo Alto Networks a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces bulletins comprennent des mises à jour pour les produits suivants :
GlobalProtect App 6.3 macOS – versions antérieures à 6.3.3;
GlobalProtect App 6.2 macOS – versions antérieures à 2.8-h2;
GlobalProtect App 6.1 macOS – toutes les versions;
GlobalProtect App 6.0 macOS – toutes les versions;
PAN-OS 11.2 – versions antérieures à 2.6;
PAN-OS 11.1 – versions antérieures à 1.10;
PAN-OS 11.0 – versions antérieures à 0.3;
PAN-OS 10.2 – versions antérieures à 2.14;
PAN-OS 10.1 – toutes les versions;
Prisma Access Browser – versions antérieures à 24.1.93.
Le Centre pour la cybersécurité recommande aux utilisateurs et aux administrateurs de consulter les pages Web ci‑dessous, de suivre les mesures d’atténuation recommandées et d’appliquer les mises à jour nécessaires.
Le 11 juin 2025, Mitel a publié un bulletin de sécurité visant à corriger une vulnérabilité critique liée au produit suivant :
MiCollab – version 9.8 SP2 (9.8.2.12) et versions antérieures.
Le Centre pour la cybersécurité recommande aux utilisateurs et aux administrateurs de consulter les pages Web ci‑dessous, de suivre les mesures d’atténuation recommandées et d’appliquer les mises à jour nécessaires.
La présente alerte s'adresse aux professionnelles et professionnels et aux gestionnaires des TI œuvrant au sein des organismes avisés.
Objet
Une alerte a pour objet de prévenir les destinataires que des cybermenaces ont été relevées récemment et que celles-ci pourraient toucher les biens d'information électronique. Elle vise également à leur fournir des conseils supplémentaires en matière de détection et d'atténuation. Le Centre canadien pour la cybersécurité (ou Centre pour la cybersécurité) est en mesure d'offrir, aux destinataires qui en font la demande, une assistance complémentaire concernant la teneur de la présente alerte.
Détails
Le 1 mars 2025, Roundcube a publié un bulletin de sécurité concernant une vulnérabilité critique qui touche son courriel Web. Le problème serait lié à la vulnérabilité de désérialisation d’objet par PHP (CVE-2025-49113)Note de bas de page 1 qui provoque l’exécution de code à distance après l’authentification. Les versions de produits de Roundcube touchées sont les suivantesNote de bas de page 2 :
Courriel Web – versions antérieures à la version 1.5.10.
Courriel Web – versions antérieures à la version 1.6.11.
En réponse à cette vulnérabilité, le Centre pour la cybersécurité a publié le bulletin AV25-309 le 2 juin 2025Note de bas de page 3.
Bien que le Centre pour la cybersécurité n’ait reçu aucun rapport d’exploitation, l’existence de la preuve de concept hausse significativement la probabilité que des auteurs malveillants abusent de la vulnérabilité. La publication d’une telle preuve de concept signifie qu’il est impératif de prendre les mesures nécessaires pour évaluer et atténuer cette vulnérabilité.
Le Centre pour la cybersécurité est au courant que l’exploitation de la vulnérabilité CVE-2024-42009 a été utilisée pour obtenir des justificatifs d’identité valides, qui pourrait entraîner l’exploitation de la vulnérabilité CVE-2025-49113. La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2024-42009 à son catalogue de vulnérabilités exploitées connues (KEV)Note de bas de page 4Note de bas de page 5 le 9 juin 2025.
Mesures recommandées
Le Centre pour la cybersécurité recommande fortement aux organismes de mettre à jour le courriel Web de Roundcube aux versions 1.5.10+ ou 1.6.11+Note de bas de page 2, de sorte à atténuer les problèmes signalés par les deux vulnérabilités mentionnées (CVE-2024-42009 et CVE-2025-49113).
Le Centre pour la cybersécurité recommande aux organismes de prendre les mesures suivantes :
évaluer l’installation du courriel Web de Roundcube;
mettre à jour le courriel Web de Roundcube immédiatement;
surveiller les systèmes touchés pour tout signe d’exploitation;
assurer une surveillance en cas de tentative d’attaque par force brute et, si possible, adopter des techniques de limitation de débit.
De plus, le Centre pour la cybersécurité recommande fortement aux organismes de mettre en œuvre les 10 mesures de sécurité des TINote de bas de page 6 du Centre pour la cybersécurité, en particulier celles liées aux stratégies suivantes :
intégrer, surveiller et défendre les passerelles Internet;
appliquer des correctifs aux applications et aux systèmes d’exploitation;
isoler les applications Web.
Si les destinataires relèvent des activités semblables aux informations fournies dans la présente alerte, elles et ils sont invités à le signaler par l'entremise de Mon cyberportail ou par courriel à contact@cyber.gc.ca.
Le 10 juin 2025, Google a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :
Stable Channel Chrome for Desktop – versions antérieures à 137.0.7151.103/.104 (Windows/Mac) et 137.0.7151.103 (Linux).
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.
Le 10 juin 2025, Adobe a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :
Acrobat DC – version 25.001.20521 et versions antérieures;
Acrobat Reader DC – version 25.001.20521 et versions antérieures;
Acrobat 2024 – version 24.001.30235 et versions antérieures;
Acrobat 2020 – version 20.005.30763 et versions antérieures;
Acrobat Reader 2020 – version 20.005.30763 et versions antérieures;
Adobe Commerce and Commerce B2B – multiples versions;
Adobe Experience Manager (AEM) – version 6.5.22 et versions antérieures;
Adobe InCopy – version 20.2 et versions antérieures, et version 19.53 et versions antérieures;
Adobe InDesign – version ID20.2 et versions antérieures, et version ID19.5.3 et versions antérieures;
Adobe Substance 3D Painter – version 11.0.1 et versions antérieures;
Adobe Substance 3D Sampler – version 5.0 et versions antérieures;
Magento Open Source – multiples versions.
Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.
ChatGPT's Codex, which is an AI agent that lets you code and delegate programming tasks, is now testing a new feature that lets you choose the best solution. [...]
More than 46,000 internet-facing Grafana instances remain unpatched and exposed to a client-side open redirect vulnerability that allows executing a malicious plugin and account takeover. [...]
WestJet, Canada's second-largest airline, is investigating a cyberattack that has disrupted access to some internal systems as it responds to the breach. [...]
When Windows 11 was first released, many long-time users felt features they loved had been taken away overnight. Three and a half years later, the same complaints still rise to the top of the Feedback Hub with tens of thousands of votes. [...]
Google says an API management issue is behind Thursday's massive Google Cloud outage, which disrupted or brought down its services and many other online platforms. [...]
Hackers are hijacking expired or deleted Discord invite links to redirect users to malicious sites that deliver remote access trojans and information-stealing malware. [...]
