CPA2026-057 – Vulnérabilités touchant IRISPowerscan

Le 4 novembre 2026

 

Des vulnérabilités ont été mises au jour dans IRISPowerscan concernant des comptes d’utilisateur par défaut avec des identifiants prévisibles (CVE-2026-94459), l'attribution non sécurisée de privilèges par défaut (CVE-2026-94460) et une restriction insuffisante des scripts non fiables (CVE-2026-95649). 

Pour exploiter ces vulnérabilités, un pirate doit avoir accès au réseau local (réseau adjacent). Selon la vulnérabilité exploitée (voir les détails ci-dessous), une attaque pourrait potentiellement entraîner un accès non autorisé aux fonctionnalités de l’application, une modification non autorisée des données ou de la configuration de l’application, un accès à des fonctionnalités privilégiées ou l’exécution de code arbitraire. La présentation technique sur la sécurité d’IRISPowerscan contient les instructions pour corriger les vulnérabilités liées aux identifiants prévisibles et à l’attribution de privilèges par défaut.

Versions touchées :

IRISPowerscan : versions 12.3 et antérieures.

Mesures correctives ou d’atténuation :

Canon, en collaboration avec IRIS, prend très au sérieux les vulnérabilités informatiques et recommande aux clients utilisant les versions touchées d’IRISPowerscan de passer à la plus récente version. Afin de renforcer davantage la sécurité et de corriger ces vulnérabilités, IRIS a rendu disponible IRISPowerscan version 12.4 ou ultérieure, qui comprend des mises à jour de sécurité pour les vulnérabilités CVE-2026-94459, CVE-2026-94460 et CVE-2026-95649.

À l’heure actuelle, Canon et IRIS n’ont reçu aucun signalement d’exploitation active de ces vulnérabilités; toutefois, elles recommandent vivement à leurs clients de prendre connaissance de cet avis de sécurité et de mettre à jour leur logiciel IRISPowerscan à la dernière version. La version corrigée est disponible dans le centre de téléchargement du portail des partenaires IRIS; vous trouverez de plus amples détails dans la rubrique des nouvelles techniques de ce portail. 

Si vous avez besoin d’aide pour effectuer la mise à jour, veuillez communiquer avec l’équipe de soutien de Canon.

CVE/CVSS :

CVE-2026-94459 : Comptes par défaut d’IRISPowerscan avec identifiants prévisibles. CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N Cote de base : 7.2.

CVE-2026-94460 : Attribution non sécurisée de privilèges par défaut au compte d’installation par IRISPowerscan. CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N Cote de base : 7.2.

CVE-2026-95649 : Restriction insuffisante des scripts non fiables permettant l’exécution de code arbitraire dans IRISPowerscan. CVSS:4.0/AV:A/AC:H/AT:N/PR:N/UI:N/VC:H/VI:L/VA:H/SC:N/SI:N/SA:N Cote de base : 6.1.

Remerciements :

Canon tient à remercier le chercheur suivant d’avoir mis au jour et signalé de manière responsable ces vulnérabilités :

• CVE-2026-94459, CVE-2026-94460 et CVE-2026-95649 : Paul van der Haas chez Orange Cyberdefense