Mitel php2shell : MISA-2026-0008, statut produit par produit
Mitel MISA-2026-0008 révision 6: MiCollab et Border Gateway épargnés par php2shell, mais MiVoice 5000, Advanced Messaging et OpenScape Branch à corriger.
Qui est touché
- MiVoice 5000: R8.4 et versions antérieures
- MiVoice 5000 Gateways XL, XS, XD: R7.2 et versions antérieures
- MiCollab Advanced Messaging: 9.3 et versions antérieures
- OpenScape Branch et OpenScape SBC: V11R3.4.3 et versions antérieures
- Mitel EX Controller et passerelle GX: V50.2 et versions antérieures
- Mitel Collaboration Management (CMG): R9.4 SP1 et versions antérieures
- MiContact Center Enterprise: 9.8 SP0 FP1 et version antérieure
- Produits sortis du support: hors périmètre de l'avis, donc sans statut ni correctif annoncé
Comment corriger
Monter produit par produit: SecurityPatch_R8.X_20 pour MiVoice 5000, version 9.4 ou ultérieure pour MiCollab Advanced Messaging, V11 R3.4.4 pour OpenScape Branch et SBC. Les articles KB cités par Mitel sont derrière un accès partenaire: réclamez le plan de correction à votre intégrateur télécom et exigez le numéro de révision de l'avis. En attendant, aucune interface d'administration, de messagerie vocale ou de maintenance à distance ne doit rester joignable depuis Internet. Non concerné ne vaut pas autorisation d'exposition.
Ce qui s'est passé
Mitel a publié le 22 octobre 2026 l'avis MISA-2026-0008, qui suit les deux failles php2shell du moteur PHP (CVE-2026-109618 et CVE-2026-109619) sur l'ensemble de son catalogue. Six jours, six révisions: à son état du 28 octobre (révision 6.0), l'épilogue provisoire classe la majorité des produits « non concerné » et confirme plusieurs produits touchés, dont des équipements courants en hôtellerie. Le vecteur CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) ne laisse place à aucun doute: attaque depuis le réseau, sans compte, dès qu'une interface PHP est joignable.
Les deux plus exposés sont épargnés
La question que tout responsable informatique d'hôtel s'est posée en lisant la faille: et les composants qui vivent en bordure, la passerelle qui donne sur l'opérateur, le serveur de communications unifiées? Réponse du constructeur, identique dans les révisions 1 et 6: MiVoice Border Gateway non concerné, MiCollab non concerné, et les services cloud exploités par Mitel (Unify Phone, CloudLink) propres.
Ce n'est pas un blanc-seing, pour trois raisons. D'abord, la liste des touchés contient du matériel lui aussi souvent exposé: l'appliance MiVoice 5000, le couple OpenScape Branch et SBC, la passerelle EX avec son contrôleur GX. Ensuite, pour une autre famille de failles (node2shell, avis distinct MISA-2026-0010), MiVoice Business et MiCollab restent « à l'état d'investigation »: deux avis, deux vulnérabilités, ne pas les confondre. Enfin, la page publique de l'avis peut servir des copies périmées; à l'heure où ces lignes, la révision 6.0 coexistait encore en cache avec la révision 1.0, dont la matrice était sensiblement différente. Exigez le numéro de révision quand on vous transmet un statut.
Qui est touché (révision 6.0 du 28 octobre)
| Produit | Versions concernées | Solution éditeur |
|---|---|---|
| MiVoice 5000 | R8.4 et antérieures | Correctif disponible, SecurityPatch_R8.X_20 |
| MiVoice 5000 Gateways XL/XS/XD | R7.2 et antérieures | Mise à jour planifiée |
| MiCollab Advanced Messaging | 9.3 et antérieures | Passage en 9.4 ou ultérieure, KB000128990 |
| OpenScape Branch | V11R3.4.3 et antérieures | V11 R3.4.4, solution et contournement, KB000128997 |
| OpenScape SBC | V11R3.4.3 et antérieures | V11 R3.4.4, solution et contournement, KB000128997 |
| Contrôleur EX et passerelle GX | V50.2 et antérieures | Mise à jour planifiée, KB000128981 |
| Collaboration Management (CMG) | R9.4 SP1 et antérieures | Contournement disponible, KB000129022 |
| MiContact Center Enterprise | 9.8 SP0 FP1 et antérieure | Solution ou contournement, KB000128993 |
Sont déclarés non concernés à la révision 6: MiVoice Border Gateway, MiCollab, Mitel Standard Linux, SMB Controller, passerelles AG41xx, OpenScape 4000, OpenScape Business, OpenScape Voice Server et InAttend. Réserves du constructeur: les statuts ne couvrent que les versions sous support, et un standard hôtelier sorti du support ne reçoit ni statut, ni correctif, ce qui est en soi un sujet d'inventaire.
Conduite à tenir
- Faire l'inventaire précis des produits et versions Mitel sur site. L'étiquette du boîtier ne suffit pas: c'est la version logicielle qui détermine le statut.
- Réclamer le plan de correction à un partenaire Mitel autorisé. Les articles KB cités par l'avis sont derrière son accès; l'intégrateur télécom de l'hôtel doit fournir le cheminement de mise à niveau produit par produit.
- Couper toute exposition publique en attendant: interface d'administration, messagerie vocale consultable à distance, maintenance à distance. Un produit « non concerné » par php2shell reste un produit attaquable par d'autres voies.
- Suivre les révisions de l'avis: six en six jours au 28 octobre, et la section centres de contact reste ouverte. Vérifier le numéro de révision avant d'agir ou de rassurer.
- Traiter le hors support comme un risque à part: isoler, remplacer ou négocier une couverture, sans attendre de correctif qui ne viendra pas.
Contexte
php2shell a fait l'objet d'une fiche dédiée sur ce fil: deux failles du moteur PHP lui-même, au catalogue KEV de la CISA depuis le 26 octobre, exploitation active confirmée. Les appliances télécom embarquent du PHP pour leurs interfaces de gestion, leurs portails de maintenance et leurs rapports web. C'est la version de l'appliance qui détermine la surface d'attaque, pas le PHP de l'hôtel: d'où l'importance des matrices constructeur produit par produit, et de leur numéro de révision.
Même prudence pour la seconde famille du moment: la faille du décodeur Brotli CVE-2026-111497, baptisée tour à tour node2shell, HTTP2Shell ou Brotli2Shell, qui a chez Mitel son avis propre, MISA-2026-0010 (révision du 30 octobre, OpenScape Endpoint Management concerné), et sa fiche dédiée sur ce fil. Les appliances embarquent les deux bibliothèques: php2shell d'un côté, HTTP2Shell de l'autre, deux inventaires, deux plans de correctifs.