Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 6 novembre 2026 un avis de sécurité concernant plusieurs produits Mitel. La vulnérabilité référencée CVE-2026-111497 expose les systèmes concernés à un risque d’exécution de code arbitraire à distance.
Plusieurs plateformes de communication concernées
L’avis identifie notamment les versions Mitel 10.6.0.7 et antérieures, MiVoice Business Solution Virtual Instance 2.1.0.9 et antérieures, ainsi que différentes versions d’OpenScape Contact Center, Endpoint Management, SBC, SESAP et Xpert. Les périmètres de versions diffèrent selon les produits : une vérification par référence est donc nécessaire avant de conclure à l’exposition d’un système.
Pour OpenScape SBC, le CERT-FR mentionne les versions antérieures à 11R3.4.5 et précise que la disponibilité d’un correctif n’a pas été annoncée dans son avis. Cette particularité impose une attention spécifique aux mesures de réduction de l’exposition en attendant les indications de l’éditeur.
Vérifier les versions et les recommandations de l’éditeur
Le CERT-FR renvoie au bulletin de sécurité Mitel 2026-0010 du 28 octobre pour connaître les correctifs applicables. Les équipes chargées de l’exploitation des systèmes téléphoniques et des centres de contacts peuvent rapprocher leur inventaire logiciel de la liste des versions affectées, puis organiser les mises à jour disponibles selon leurs procédures de gestion des changements.
L’avis décrit une possibilité technique d’exécution de code à distance. Il ne fait pas état, dans sa version du 6 novembre, d’une exploitation confirmée dans une organisation particulière. Le suivi des publications de l’éditeur et du CERT-FR reste déterminant pour ajuster les mesures de protection.
