IT / Télécom
Node2Shell s’invite dans la téléphonie : Mitel et OpenScape sur la liste des correctifs
Hier, je vous parlais de la faille Brotli « Node2Shell » qui touchait la supervision Siemens Desigo CC. Je pensais en avoir fini avec elle pour un moment… raté 🙂. Le 6 novembre 2026, le CERT-FR a publié l’avis CERTFR-2026-AVI-1477 : cette fois, c’est la téléphonie d’entreprise Mitel et OpenScape qui est concernée. Et comme la téléphonie est souvent le parent pauvre des campagnes de mises à jour, je préfère tirer la sonnette tout de suite.
Ce que dit Mitel
Le bulletin MISA-2026-0010, publié le 28 octobre et mis à jour le 4 novembre (révision 5.0), porte sur la CVE-2026-111497 : une écriture hors limites dans le décodeur Brotli, la bibliothèque de décompression de Google. Un flux compressé piégé, envoyé sans authentification, peut provoquer un déni de service, une fuite de données, voire l’exécution de code. Mitel note la faille 8,1 sur 10 pour ses produits (complexité d’attaque élevée), là où la note générique est plus haute, et ne fait pas état d’exploitation sur sa gamme.
| Produit | Versions touchées | Remède annoncé |
|---|---|---|
| OpenScape SBC | V11R3.4.4 et antérieures | V11R3.4.5 (contournement disponible) |
| OpenScape SESAP | V2 R1.1.9 et antérieures | V2 R1.1.10 |
| OpenScape Contact Center | V12R0 à V12R0FR7 | V12R0FR8 |
| MiVoice Business et sa version virtuelle | 10.6.0.7 / 2.1.0.9 et antérieures | Mise à jour prévue, contournement disponible |
| OpenScape Xpert, OpenScape Endpoint Management | V9 R0.2.0 / V1 R2.5.1 et antérieures | Mise à jour prévue, sans date |
Bonne nouvelle pour beaucoup de sites français : Mitel déclare non concernés MiVoice 5000, MiVoice MX-ONE, OpenScape 4000, OpenScape Business, OpenScape Voice et MiVoice Border Gateway. Les services cloud Unify Phone et CloudLink ont déjà été corrigés côté éditeur.
Ce qui me fait tiquer
Ce n’est pas tant la liste des produits touchés que celle des produits « en cours d’analyse ». On y trouve OpenScape Alarm Response, les bornes et combinés DECT (Mitel IP-DECT, RFP12/RFP14, OpenScape DECT Phone) et les téléphones Wi-Fi. Or ce sont précisément les briques qui font le pont avec la sûreté : diffusion d’alarmes, appels de détresse des travailleurs isolés, renvoi des alertes techniques vers les rondiers. Quand la téléphonie porte des fonctions de sécurité des personnes, elle mérite le même suivi que la vidéo ou le contrôle d’accès.
Deuxième point : le SBC. Par construction, un Session Border Controller est la porte entre votre téléphonie et l’opérateur, donc exposé côté Internet ou côté réseau opérateur. C’est lui que je traiterais en premier.
Mon plan d’action
- Inventaire : listez vos produits Mitel et OpenScape avec leur version exacte. Beaucoup de clients ne savent pas quelle version tourne sur leur SBC ou leur centre de contacts.
- Priorité au SBC : passage en V11R3.4.5, ou contournement (article KB000129100) en attendant la fenêtre de maintenance.
- Passez par votre intégrateur : les articles de contournement sont sur le portail Mitel, réservé aux partenaires. Demandez-lui un calendrier écrit.
- Segmentation : VLAN voix séparé, administration des serveurs accessible seulement depuis un poste d’administration, aucun port de gestion publié sur Internet.
- Suivi : abonnez-vous aux révisions du bulletin, la liste « en cours d’analyse » peut encore bouger, notamment pour Alarm Response et le DECT.
Mon avis
Je salue la transparence de Mitel : un tableau clair, des versions précises, des contournements, et la distinction entre note générique et note réelle sur ses produits. C’est ce qu’on attend d’un éditeur sérieux, et ce que le Cyber Resilience Act va rendre obligatoire. Mais cette faille montre une fois de plus qu’une bibliothèque tierce se retrouve partout : dans une supervision GTB hier, dans un IPBX aujourd’hui, peut-être dans un enregistreur vidéo demain. Sans inventaire logiciel des équipements (le fameux SBOM), on court derrière les bulletins. À vous de jouer : un coup d’œil sur vos versions ce lundi, et vous serez tranquille.
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.