CVE-2026-76060
Vulnérabilité élevée dans Zoneminder (Zoneminder)
CVSS 8.8 · Élevée
EPSS 2.4%
Zoneminder•Zoneminder•Versions : 1.37.48, 1.38.3, <1.38.3
Description
An authenticated OS command injection vulnerability exists in ZoneMinder's event export functionality. The exportFile HTTP request parameter is passed unsanitized into a shell command executed via PHP's exec(), allowing any authenticated user with View Events permission to execute arbitrary operating system commands on the server.
Gravité et risque d'exploitation
CVE-2026-76060 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 2.37 %, ce qui la place devant 83.6 % des CVE référencées.
Que faire ?
- Vérifiez si Zoneminder (versions 1.37.48, 1.38.3, <1.38.3) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://zoneminder.com/downloads
- https://github.com/ZoneMinder/zoneminder
- https://github.com/ZoneMinder/zoneminder/security/advisories/GHSA-88m4-hrgp-m9v3
- https://www.cisa.gov/news-events/ics-advisories/icsa-26-237-02
- https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-237-02.json