- Plusieurs vulnérabilités ont été identifiées dans Redmine, l’outil de gestion de projets open source.
- Ces failles pourraient permettre à un attaquant d’injecter du code malveillant à distance (XSS) ou de contourner des règles de sécurité en place.
- Si votre équipe utilise Redmine, il est recommandé de vérifier rapidement si une mise à jour est disponible.
Ce qui se passe
Le CERT-FR a publié le 26 août 2026 un avis signalant plusieurs vulnérabilités dans Redmine, un logiciel très utilisé par les équipes pour gérer leurs projets, suivre des tickets ou organiser leur travail collaboratif.
Selon le CERT-FR, ces failles permettraient à un attaquant de réaliser deux types d’actions malveillantes :
- Une injection de code indirecte à distance (XSS) : un attaquant pourrait insérer du code dans des pages consultées par d’autres utilisateurs, ce qui peut conduire, par exemple, au vol de session ou à des actions effectuées à l’insu de la victime.
- Un contournement de la politique de sécurité : certaines règles de sécurité configurées dans l’outil pourraient être court-circuitées.
Beaucoup de PME considèrent que les outils internes comme Redmine, accessibles uniquement en réseau local ou par VPN, ne sont pas une cible prioritaire. Or, une vulnérabilité XSS peut être exploitée dès qu’un utilisateur légitime clique sur un lien piégé, même depuis l’intérieur du réseau.
Si vous n’êtes pas sûr de la version de Redmine que vous utilisez, demandez à la personne qui gère votre informatique (interne ou prestataire) de vérifier et d’appliquer les correctifs disponibles. Ce type de mise à jour est généralement rapide à déployer.
Ce qu’il faut faire concrètement
Vérifiez si votre organisation utilise Redmine, quelle version est installée, et consultez les recommandations du CERT-FR pour appliquer les correctifs disponibles. Si la gestion de vos outils est confiée à un prestataire, transmettez-lui cet avis sans attendre. Retrouvez l’avis officiel sur le site du CERT-FR : CERTFR-2026-AVI-1085.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.