Aller au contenu

Nouméa

Veille active

Le défilement s’arrête au survol ou au focus.

Sujets5Critiques4Exploitées KEV5KEVLangflow exposé à une vulnérabilité critique d'injection de codeKEVUne vulnérabilité critique menace SharePoint et nécessite une mise à jour urgenteKEVUne faille critique touche VeloCloud Orchestrator et nécessite une mise à jourKEVFaille critique d'injection de commandes dans Collabora Online Built-in CODE ServerCERT-FR[Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)CERT-FRVulnérabilité dans Ivanti Connect Secure (ICS) (14 octobre 2026)CERT-FRIncident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12 octobre 2026)Flux CERT-FRsynchronisé 25 octobre 2026, 15 h 36Flux CISA KEVsynchronisé 25 octobre 2026, 15 h 36Flux EPSSsynchronisé 25 octobre 2026, 15 h 36

FailleCritiqueKEVExploitéeCVSS9,8EPSS3,8 %

Fortinet FortiOS et FortiSwitchManager : une faille critique de mémoire est exploitée

Une faille critique de Fortinet FortiOS, FortiSwitchManager et FortiSASE permet d’exécuter du code via des paquets réseau conçus pour l’attaque. La CISA l’a inscrite comme exploitée le 9 septembre 2026.

CyberBase, édition de l'aube du mercredi 4 sources

Illustration de « Fortinet FortiOS et FortiSwitchManager : une faille critique de mémoire est exploitée » : le pictogramme de la rubrique Faille et le nom du sujet sur une image de fond assombrie

Pour les pros

Pour les professionnels

Exploitée, catalogue KEV

Correctif disponible, 7.0.18, 7.2.12, 7.4.9, 7.6.4, 7.0.6, 7.2.7

CVE-2025-25249

Nature
dépassement de mémoire tampon dans le tas, permettant d’exécuter du code ou des commandes non autorisés via des paquets spécialement conçus
CVSS v3.1, gravité
CVSS9,8
Corrigé dans
  • 7.0.18
  • 7.2.12
  • 7.4.9
  • 7.6.4
  • 7.0.6
  • 7.2.7
Versions touchées
  • fortios : >= 6.4.0, < 7.0.18
  • fortios : >= 7.2.0, < 7.2.12
  • fortios : >= 7.4.0, < 7.4.9
  • fortios : >= 7.6.0, < 7.6.4
  • fortiswitchmanager : >= 7.0.0, < 7.0.6
  • fortiswitchmanager : >= 7.2.0, < 7.2.7
  • fortisase : 25.1.39
  • fortisase : 25.1.51
  • ruggedcom_ape1808_firmware
Vecteur CVSS v3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
EPSS (24/10)
EPSS3,8 % (90e centile)
Catalogue KEV
KEVExploitéeoui, ajoutée le 09/09
Fiches et avis
NVD pour CVE-2025-25249, cve.org pour CVE-2025-25249

Ce qu'on sait de l'exploitation

CVE-2025-25249 est inscrite au catalogue des vulnérabilités exploitées (KEV) de la CISA depuis le 9 septembre 2026. L’agence a fixé au 12 septembre 2026 l’échéance pour appliquer les mesures de l’éditeur. La CISA demande aussi de respecter ses exigences de tri forensique. L’usage par des rançongiciels est indiqué comme inconnu dans le catalogue.

À faire, dans l'ordre

  1. Recenser vos FortiOS, FortiSwitchManager et FortiSASE et leur version.

  2. Mettre à jour FortiOS vers 7.0.18, 7.2.12, 7.4.9 ou 7.6.4 selon votre branche ; la branche 6.4 est touchée, il faut passer à une branche corrigée.

  3. Mettre à jour FortiSwitchManager vers 7.0.6 ou 7.2.7 selon votre branche ; pour FortiSASE, suivre l’avis de l’éditeur.

  4. Appliquer les mesures de l’éditeur et le tri forensique demandés par la CISA, ou cesser d’utiliser le produit si elles sont indisponibles.

En clair

Pour tout le monde

  1. FortiOS est le système qui fait tourner les pare-feu Fortinet, très répandus dans les entreprises. Une erreur de gestion de la mémoire permet à un inconnu d’envoyer des données réseau truquées pour faire exécuter ses propres commandes à l’appareil. La CISA constate que cette faille est exploitée. Les équipes concernées doivent installer la version corrigée de leur branche, ou suivre l’avis de Fortinet.

Réseau de sources

Qui a relevé l’alerte, et quelles autorités la documentent.

  • Fiches CVE
  • Exploitation confirmée
  • Scores EPSS

Sources (4)