← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Sangoma activement exploitées (KEV)

Les 4 vulnérabilités Sangoma dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-9586 — Sangoma Switchvox : vulnérabilité d'injection SQL Critique

Produit : Sangoma Switchvox
Ajoutée au catalogue : 2 septembre 2026
Échéance CISA : 5 septembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-89
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : 19 %

Sangoma Switchvox contient une vulnérabilité d'injection SQL qui permet à un attaquant distant non authentifié d'exécuter des instructions SQL arbitraires contre la base de données PostgreSQL backend en utilisant une seule requête élaborée, y compris des opérations de base de données et une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · sangomakb.atlassian.net

Fiche détaillée : versions, références, chronologie →

CVE-2025-64328 — Sangoma FreePBX : injection de commandes système

Produit : Sangoma FreePBX
Ajoutée au catalogue : 3 février 2026
Échéance CISA : 24 février 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-78
Gravité : CVSS 8,6 (élevée)
Probabilité d’exploitation (EPSS) : 85 %

Sangoma FreePBX Endpoint Manager contient une vulnérabilité d'injection de commandes système qui pourrait permettre une injection de commandes après authentification par un utilisateur connu authentifié via la fonction testconnection -> check_ssh_connect(). Un attaquant peut exploiter cette vulnérabilité pour potentiellement obtenir un accès à distance au système en tant qu'utilisateur asterisk.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

CVE-2019-19006 — Sangoma FreePBX : vulnérabilité d'authentification incorrecte Critique

Produit : Sangoma FreePBX
Ajoutée au catalogue : 3 février 2026
Échéance CISA : 24 février 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-287
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 56 %

Sangoma FreePBX contient une vulnérabilité d'authentification incorrecte qui pourrait permettre à des utilisateurs non autorisés de contourner l'authentification par mot de passe et d'accéder aux services fournis par l'administrateur FreePBX.

Références : NVD · CISA · wiki.freepbx.org

Fiche détaillée : versions, références, chronologie →

CVE-2025-57819 — Sangoma FreePBX : contournement de l'authentification Critique

Produit : Sangoma FreePBX
Ajoutée au catalogue : 29 août 2025
Échéance CISA : 19 septembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-89, CWE-288
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 95 %

Sangoma FreePBX contient une vulnérabilité de contournement de l'authentification due à une validation insuffisante des données fournies par l'utilisateur, permettant un accès non authentifié à FreePBX Administrator, ce qui conduit à une manipulation arbitraire de la base de données et à une exécution de code à distance.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)