Faille Mitel : le CERT-FR alerte sur les standards MiVoice et OpenScape

Une faille Mitel exposant plusieurs solutions de téléphonie d’entreprise à une exécution de code à distance fait l’objet d’un avis du CERT-FR publié le 6 novembre 2026. MiVoice Business et cinq produits de la gamme OpenScape sont concernés, et tous les correctifs ne sont pas encore disponibles.

Le centre gouvernemental de veille et de réponse aux incidents, rattaché à l’ANSSI, a diffusé vendredi 6 novembre l’avis CERTFR-2026-AVI-1477. Il s’appuie sur le bulletin de sécurité MISA-2026-0010, publié par Mitel le 28 octobre puis mis à jour à plusieurs reprises jusqu’au 4 novembre. La vulnérabilité, référencée CVE-2026-111497, ne vient pas d’un code écrit par Mitel : elle se loge dans Brotli, la bibliothèque de compression open source de Google, embarquée dans de nombreux logiciels. Le média Armées.com a relayé l’alerte le 7 novembre en ciblant les entreprises utilisatrices de ces solutions de téléphonie professionnelle.

Une vulnérabilité héritée de la bibliothèque Brotli

Selon le bulletin de l’éditeur, il s’agit d’une écriture hors limites (out-of-bounds write) : en traitant des données compressées volontairement malformées, le décodeur Brotli écrit en mémoire en dehors de la zone prévue. Mitel, qui surnomme la faille « node2shell », évoque trois conséquences possibles : un déni de service, une fuite d’informations, voire l’exécution de code arbitraire.

Un score élevé, sans authentification

• Score CVSS 3.1 de 8,1 (sévérité « élevée »), accessible par le réseau ;
• aucune authentification ni action d’un utilisateur n’est nécessaire, mais l’attaque est jugée complexe à mener ;
• Mitel précise que l’impact réel sur ses produits est encore en cours d’évaluation et peut différer de cette note.

Pas d’exploitation signalée à ce stade

Ni l’avis du CERT-FR ni le bulletin de Mitel ne font état d’attaques en cours. Le délai entre la publication d’une vulnérabilité et les premières tentatives d’exploitation se réduit toutefois régulièrement, ce qui justifie de traiter le sujet sans attendre.

Les produits et versions concernés

L’avis du CERT-FR liste sept familles de produits, qui couvrent le cœur d’un standard téléphonique d’entreprise, sa bordure réseau et les centres de contacts :

• MiVoice Business 10.6.0.7 et antérieures (les plateformes MXeIII, CXII et AX ne sont pas affectées, d’après Mitel) ;
• MiVoice Business Solution Virtual Instance 2.1.0.9 et antérieures ;
• OpenScape SBC (le contrôleur de session en frontière du réseau) antérieures à 11R3.4.5 ;
• OpenScape Contact Center 12R0 à 12R0FR7 ;
• OpenScape SESAP 2 R1.1.9 et antérieures ;
• OpenScape Xpert 9 R0.2.0 et antérieures ;
• OpenScape Endpoint Management 1 R2.5.1 et antérieures.

D’autres logiciels de l’éditeur, dont MiCollab Advanced Messaging et OpenScape UC Application, sont encore en cours d’analyse. Côté cloud, Mitel indique avoir déjà corrigé ses services Unify Phone et CloudLink.

Des correctifs annoncés, mais pas tous livrés

C’est le point délicat de ce dossier. Pour la plupart des produits, le bulletin indique une mise à jour « prévue », sans date. Des versions cibles sont citées pour OpenScape SBC (V11R3.4.5), SESAP (V2 R1.1.10) et Contact Center (V12R0FR8). Pour SBC, le CERT-FR souligne que la disponibilité du correctif n’est pas encore annoncée.

En attendant, Mitel propose des mesures de contournement pour SBC, SESAP et Contact Center, détaillées dans des articles de sa base de connaissances réservés aux clients et partenaires. Pour MiVoice Business, l’éditeur renvoie à une fiche technique en vue de la mise à jour.

Ce que la faille Mitel change pour les entreprises et les communes

Un IPBX n’est plus un boîtier isolé dans un local technique : il est relié au réseau informatique, aux trunks SIP de l’opérateur et souvent à Internet pour le télétravail. Un SBC exposé en bordure, s’il est compromis, peut servir de porte d’entrée vers le système d’information. Les risques vont de l’interruption de l’accueil téléphonique, critique pour une mairie ou un cabinet, à l’écoute des communications ou à la fraude aux appels surtaxés.

Ce cas rappelle aussi que la sécurité d’un équipement dépend de ses composants tiers. Une seule bibliothèque vulnérable suffit à toucher des produits très différents. Une vigilance déjà soulignée à propos de la faille de l’orchestrateur SD-WAN VeloCloud.

Les réflexes à adopter dès maintenant

• Inventoriez vos équipements Mitel et relevez leurs versions exactes ; une gestion centralisée des téléphones IP facilite ce recensement ;
• appliquez les contournements publiés par Mitel pour SBC, SESAP et Contact Center, via votre partenaire ou le support de l’éditeur ;
• restreignez l’exposition des interfaces d’administration et des SBC à Internet : filtrage par adresse IP, VPN, segmentation du réseau voix ;
• surveillez les journaux et le trafic des équipements de téléphonie, notamment les redémarrages inexpliqués ;
• planifiez la mise à jour dès la livraison des versions corrigées et suivez l’évolution du bulletin MISA-2026-0010 ;
• intégrez la téléphonie à votre politique de sécurité informatique et, pour les collectivités, à votre plan de cybersécurité des collectivités.

Conclusion

La faille Mitel CVE-2026-111497 n’est pas exploitée à ce jour, mais son score élevé, l’absence d’authentification requise et des correctifs encore partiels imposent d’agir vite. Vous utilisez un standard MiVoice ou un équipement OpenScape ? Commencez par vérifier vos versions, appliquez les mesures de contournement et limitez l’exposition de votre téléphonie à Internet en attendant les mises à jour.

Source : CERT-FR – Vulnérabilité dans les produits Mitel, avis CERTFR-2026-AVI-1477 (6 novembre 2026)
Voir aussi : Mitel – Product Security Advisory MISA-2026-0010 (28 octobre 2026, mis à jour le 4 novembre 2026)
Voir aussi : Armées.com – Téléphonie d’entreprise : l’ANSSI signale une faille critique dans plusieurs solutions Mitel (7 novembre 2026)