№ 03 · Décembre 2025 — Veille Technique

Section 1

Faille critique React Server Components — CVE-2025-66478 (CVSS 10.0).

C’est le sujet le plus important du mois pour moi. Publié le 3 décembre 2025 par Vercel —

CVSS 10.0 — le maximum.
RCE non authentifiée via le protocole Flight des React Server Components.
Touche toutes les versions Next.js 13.x, 14.x, 15.x et 16.x.
Il faut mettre à jour immédiatement.

Quelques jours plus tard, le 11 décembre, deux autres CVE —

01
CVE-2025-55184. Denial of Service haute sévérité.
02
CVE-2025-55183. Source Code Exposure de sévérité moyenne.

Source de la section

Next.js Blognextjs.org/blog

Section 2

Cyberattaque contre le ministère de l’Intérieur.

Dans la nuit du 11 au 12 décembre 2025, intrusion dans les systèmes du ministère de l’Intérieur —

Accès non autorisé à des fichiers internes dont des casiers judiciaires.
Le ministre Laurent Nuñez a qualifié l’incident de « grave ».
Arrestation le 17 décembre d’un suspect de 22 ans, déjà connu de la justice et déjà condamné en 2025 pour des faits similaires.
Poursuite pour « accès frauduleux à un système automatisé de traitement de données de l’État » (passible de 10 ans).

Source de la section

Integrity360, presse cybersécurité

Section 3

Cisco AsyncOS — zero-day CVE-2025-20393.

Cisco a averti ses clients d’une vulnérabilité zero-day de gravité maximale dans Cisco AsyncOS, activement exploitée.

Touche les Secure Email Gateway (SEG) et Secure Email and Web Manager (SEWM).
Concerne les configurations hors standard avec Spam Quarantine activée et exposée à Internet.
À patcher en urgence pour les entreprises concernées.

Pas directement applicable chez Nicomatic (on est sur Microsoft 365) mais à connaître.

Section 4

Proxmox Backup Server 4.1 + Datacenter Manager 1.0.

Deux releases majeures côté Proxmox en décembre —

PBS 4.1.

01
Stockages compatibles S3. Comme backend de sauvegarde — off-site backup natif.
02
ZFS. Prend en charge l’ajout de disques aux pools RAIDZ existants avec downtime minimal.
03
Synchro automatique. Déclenchement quand un stockage amovible est monté.

Proxmox Datacenter Manager 1.0 (stable).

01
Manager plusieurs clusters. Depuis une interface unifiée. Très utile si tu commences à avoir plusieurs nœuds — mon cas potentiel pour l’hébergement.

Source de la section

Ozerim — Proxmox 9.0 / PBS 4.0www.ozerim.fr/ressources/proxmox-ve-9-0-pbs-4-0-nouveautes/

Section 5

Security Navigator d’Orange Cyberdefense — état des lieux.

Présenté le 4 décembre 2025. Chiffres marquants —

01
2 PME sur 3. Ont été victimes d’une cyberattaque en 2025.
02
Attaques malware-free. Pas de logiciel malveillant classique, juste de la manipulation et du vol d’identifiants.
03
Industrialisation de l’IA côté attaquants. Phishing, deepfakes, reconnaissance auto.
04
Fragilité de la chaîne d’appro logicielle. 30 %+ des incidents majeurs viennent désormais d’un prestataire compromis.

Source de la section

Usine Digitale

Signaux faibles

À surveiller le mois prochain.

★
Microsoft 365 ESU Windows 10. Programme gratuit pour les particuliers européens activé via compte Microsoft.
★
Veeam pour Proxmox. Depuis Veeam 12.2 (août 2024), supporté nativement. Confirmation que l’écosystème entreprise migre.
★
Cyberattaque Ubisoft. Rainbow Six Siege impacté, communication confuse.

Bibliographie

Sources consultées pour cette édition.

01Vercel Security Advisoriesnextjs.org/blog

02CERT-FRwww.cert.ssi.gouv.fr/

03Integrity360 — Actu cyber hebdomadaire

04Proxmox.com

05Usine Digitalewww.usine-digitale.fr/

06DCODdcod.ch/

07r/cybersecurity, r/sysadmin

React2Shell, ministère de l’Intérieur et zero-day Cisco.

Faille critique React Server Components — CVE-2025-66478 (CVSS 10.0).

Cyberattaque contre le ministère de l’Intérieur.

Cisco AsyncOS — zero-day CVE-2025-20393.

Proxmox Backup Server 4.1 + Datacenter Manager 1.0.

PBS 4.1.

Proxmox Datacenter Manager 1.0 (stable).

Security Navigator d’Orange Cyberdefense — état des lieux.

À surveiller le mois prochain.