- Des vulnérabilités ont été découvertes dans Redmine, l’outil de gestion de projets.
- Elles pourraient permettre à un attaquant d’accéder à des données confidentielles ou d’injecter du code malveillant dans l’interface (attaque XSS).
- Une mise à jour est recommandée sans attendre si vous utilisez Redmine dans votre entreprise.
Ce qui se passe
Le CERT-FR a publié le 1er octobre 2026 un avis signalant plusieurs failles de sécurité dans Redmine, un logiciel open source très utilisé pour suivre des projets et des tickets. Ces vulnérabilités, si elles sont exploitées, pourraient permettre à un attaquant de porter atteinte à la confidentialité de vos données ou de réaliser une injection de code indirecte à distance, aussi appelée attaque XSS (Cross-Site Scripting).
Qu’est-ce qu’une attaque XSS concrètement ?
Une injection de code de type XSS, c’est quand un attaquant parvient à glisser un script malveillant dans une page web que d’autres utilisateurs vont consulter. Sans qu’ils s’en rendent compte, ce script peut s’exécuter dans leur navigateur. Résultat possible : vol de session, redirection vers un site frauduleux, ou récupération d’informations affichées à l’écran.
Concrètement, si votre Redmine est accessible depuis internet ou utilisé par plusieurs collaborateurs, le risque mérite d’être pris au sérieux.
Si votre instance Redmine est exposée sur internet (accessible sans VPN), c’est le cas le plus sensible. Pensez à vérifier qui y a accès et à appliquer les correctifs disponibles dès que possible.
Beaucoup de PME installent Redmine, puis oublient de le maintenir à jour, car il fonctionne bien au quotidien. Or un logiciel non mis à jour reste exposé aux failles connues, même si personne ne l’utilise activement tous les jours.
Ce qu’il faut faire concrètement
Vérifiez si votre entreprise utilise Redmine, quelle que soit la version. Consultez le site officiel de Redmine pour savoir si une version corrigée est disponible et procédez à la mise à jour. Si vous ne gérez pas cet outil vous-même, contactez votre prestataire informatique en lui transmettant cet avis. Pour plus de détails techniques, référez-vous directement à l’avis officiel du CERT-FR (CERTFR-2026-AVI-1245).
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.