Ce qu’il faut retenir
Les téléphones IP Grandstream GXP1610, GXP1615, GXP1620, GXP1625, GXP1628 et GXP1630 contiennent une faille critique (CVE-2026-2329, CVSS 9.8) dans leur interface web de gestion : un attaquant qui peut joindre le téléphone sur le réseau peut, sans mot de passe, en prendre le contrôle complet avec les droits les plus élevés. La faille a été découverte par Rapid7 et rendue publique le 18 février 2026. Grandstream a publié un correctif dès le 2 février (firmware 1.0.7.81), et Rapid7 a mis à disposition un outil d’attaque public. Nous la signalons parce que ces téléphones sont très répandus dans les PME et que beaucoup restent sans doute à mettre à jour.
Qui est concerné ?
| Produit | Téléphones IP Grandstream de la série GXP1600 : GXP1610, GXP1615, GXP1620, GXP1625, GXP1628 et GXP1630 |
| Versions concernées | Firmware antérieur à la version 1.0.7.81 |
| Version corrigée | Firmware 1.0.7.81 ou supérieur |
| Exposition | L’interface web du téléphone est accessible dans la configuration par défaut ; l’attaquant doit pouvoir joindre le téléphone sur le réseau, sans compte ni mot de passe |
| Source | Fiche NVD de la faille |
Quel est le risque concret ?
Un téléphone compromis donne à l’attaquant un accès complet à l’appareil. Rapid7 a publié un module d’attaque pour son outil Metasploit qui obtient un accès administrateur au téléphone, avec des modules complémentaires pour récupérer des identifiants et capturer le trafic. Concrètement, un attaquant déjà présent sur votre réseau (ou qui atteint un téléphone exposé) peut espionner la téléphonie et rebondir vers d’autres équipements. Le risque est le plus élevé lorsque les téléphones sont sur le même réseau que les ordinateurs, ou exposés à Internet.
Priorité de traitement
Justification : faille critique exploitable sans mot de passe, correctif disponible depuis février et outil d’attaque public ; aucune exploitation active n’est signalée dans les sources consultées.
Que faut-il faire ?
- Repérer les téléphones Grandstream GXP1610, 1615, 1620, 1625, 1628 et 1630 de votre parc et relever leur version de firmware.
- Mettre à jour les téléphones vers le firmware 1.0.7.81 ou supérieur, par la méthode habituelle de votre installation (interface du téléphone, serveur de provisionnement ou autocommutateur).
- S’assurer que l’interface web des téléphones n’est pas accessible depuis Internet.
- Placer les téléphones sur un réseau dédié (VLAN voix), séparé des ordinateurs et des serveurs, pour limiter ce qu’un téléphone compromis peut atteindre.
- Changer les mots de passe par défaut des téléphones et vérifier les comptes téléphoniques (SIP) en cas de doute sur une compromission.
Recommandation Chrysalead
Nous recommandons de planifier la mise à jour des téléphones GXP1600 dans les prochains jours, en commençant par ceux qui sont sur le même réseau que les postes de travail ou accessibles de l’extérieur. Si vous n’êtes pas certain des modèles installés chez vous, ou si vous souhaitez isoler la téléphonie sur un réseau dédié, contactez-nous.
Détails techniques : la faille et sa chronologie
| CVE | CVSS | Composant | Impact |
|---|---|---|---|
| CVE-2026-2329 | 9.8 (NVD, v3.1) ; 9.3 (Rapid7, v4.0) | API HTTP du téléphone, point d’accès /cgi-bin/api.values.get | Dépassement de mémoire (CWE-121) sans authentification : exécution de code à distance avec les droits root |
Chronologie selon Rapid7 : premier contact avec Grandstream le 6 janvier 2026 ; détails techniques transmis le 22 janvier ; correctif annoncé disponible dans le firmware 1.0.7.81 le 2 février ; publication de la faille le 18 février 2026. Un module Metasploit d’exploitation a été ajouté à Metasploit Pro en mars 2026.
Sources
Articles et services associés
- Téléphone IP
- Téléphone de bureau qui fonctionne via le réseau informatique plutôt que par une ligne téléphonique classique.
- Firmware
- Le logiciel interne d’un appareil. Il se met à jour comme un système, et c’est lui qui contient la faille.
- Exécution de code à distance
- L’attaquant peut faire fonctionner ses propres programmes sur votre appareil depuis le réseau.
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- VLAN voix
- Réseau séparé réservé à la téléphonie, qui limite les dégâts si un téléphone est compromis.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir de la fiche NVD et de l’analyse de Rapid7 (consultées le 12/11/2026). L’avis officiel de Grandstream n’a pas pu être consulté. Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.