Bexxo accompagne les PME suisses dans leur sécurité informatique.
SwissLabel
Certification Swiss Label
Bexxo est certifié Swiss Label, le label de qualité qui garantit que nos services sont fournis en Suisse, par une entreprise suisse, selon les standards de qualité helvétiques.
Partenaire CyberSafe Switzerland
Bexxo est partenaire certifié CyberSafe Switzerland, le programme officiel de la Confédération dédié à la promotion de la cybersécurité pour les entreprises suisses.
Nos Services de Cybersécurité
Sécurité des Sites Internet
01 Audit complet et détection des vulnérabilités
Un audit web Bexxo est un examen technique complet du site de l'entreprise : analyse automatisée et manuelle des vulnérabilités (OWASP Top 10, injections SQL, XSS, CSRF, configuration serveur), rapport classé par criticité, et plan d'action priorisé. Nos clients corrigent en moyenne 12 à 15 failles par mandat, avec un plan de remédiation clair, avant qu'elles n'aient pu être exploitées.
02 Protection contre les attaques
Bexxo déploie des protections contre les vecteurs d'attaque les plus fréquents : injections SQL, XSS, CSRF, force brute et ClickJacking. Ces vecteurs représentent 88 % des attaques web recensées (Verizon DBIR 2025) : les identifier et les bloquer suffit à éliminer la grande majorité du risque. Chaque mesure est documentée dans le rapport d'audit avec son niveau de criticité.
03 Sécurisation des données
La nLPD (en vigueur depuis le 1er septembre 2023) fixe des obligations claires de sécurisation des données personnelles pour toutes les entreprises suisses. Bexxo accompagne les PME dans l'évaluation de leur conformité nLPD, l'identification des écarts et la mise en place des mesures techniques requises. Les amendes jusqu'à 250 000 CHF ne concernent pas nos clients.
Sécurité des Réseaux d'Entreprise
01 Audit et Analyse de l'infrastructure réseau
Notre audit réseau cartographie l'ensemble des vecteurs d'attaque exposés de votre infrastructure, avec un rapport conforme ISO 27001 et NIST CSF. En 2024, le Bureau fédéral de la cybersécurité a recensé 62 954 incidents en Suisse. L'audit vous dit exactement où vous en êtes.
02 Protection globale de l'infrastructure IT
CVE Find, l'outil propriétaire de Bexxo, intègre en temps réel les bases MITRE, NVD et CISA KEV et alerte dès qu'une vulnérabilité connue concerne les systèmes du client. Sans surveillance active, le délai moyen de détection d'une brèche réseau atteint 241 jours (IBM Cost of a Data Breach 2025). CVE Find réduit ce délai à quelques heures.
03 Sécurisation des accès et des données sensibles
Bexxo audite les politiques d'authentification, évalue la robustesse des mots de passe, déploie le MFA et sécurise les accès administrateurs et VPN. Les identifiants compromis sont à l'origine de 22 % des violations de données (Verizon DBIR 2025) : c'est le vecteur le plus fréquent, et aussi le plus simple à corriger avec les bonnes mesures.
Nos solutions de Cybersécurité
Nous analysons l’ensemble de votre infrastructure informatique pour identifier les failles potentielles et améliorer la sécurité de vos connexions, équipements et protocoles.
En savoir plus
Nous réalisons un diagnostic approfondi de votre site web pour détecter les vulnérabilités et renforcer sa protection contre les cyberattaques, telles que les injections SQL, les failles XSS et les attaques par force brute.
En savoir plus
Nos experts vous accompagnent dans l’élaboration et l’optimisation de votre politique de sécurité informatique. Nous définissons ensemble une stratégie adaptée pour sécuriser vos systèmes, réduire les risques et garantir votre conformité aux réglementations en vigueur.
En savoir plus
Nous mettons en place des technologies avancées pour protéger vos infrastructures, réseaux et données sensibles. De la gestion des accès au chiffrement des informations, nous assurons une protection efficace contre les menaces cybernétiques.
En savoir plus
Pourquoi choisir Bexxo ?
Dernières actualités
Comment nous collaborons avec vous
Écoute et compréhension
Un premier rendez-vous (30–60 min) pour cerner vos systèmes, vos données sensibles et vos obligations légales (nLPD, ISO 27001). Aucun jargon, nous parlons votre langue.
Analyse approfondie
Analyse manuelle et automatisée de vos systèmes web et réseau. Durée : 3 à 10 jours selon la complexité. Résultat : une cartographie complète des vulnérabilités classées par criticité.
Correction et renforcement
Vous recevez un rapport détaillé avec un plan d'action priorisé. Nos équipes peuvent implémenter les corrections directement ou accompagner vos équipes IT dans la remédiation.
Vigilance permanente
Surveillance continue via CVE Find, l'outil propriétaire de Bexxo, qui intègre en temps réel les bases MITRE ATT&CK, NVD et CISA KEV. Dès qu'une nouvelle vulnérabilité connue concerne vos systèmes, une alerte est émise. Rapports de suivi réguliers inclus.
Mesurer, entraîner, former : une seule plateforme, un seul score
Security Culture Score, PhishTrainer et Bexxo Academy travaillent ensemble : évaluez votre culture sécurité, testez les réflexes de vos équipes, formez-les de manière ciblée et suivez la progression avec un score global sur 1000, décliné par organisation, groupes et collaborateurs.
01 Mesurer
Le Security Culture Score évalue votre culture sécurité.
02 Entraîner
PhishTrainer teste les réflexes avec des simulations réalistes.
03 Former
Bexxo Academy forme avec des parcours adaptés à chaque profil.
04 Progresser
Les scores mesurent la progression et guident la suite.
Une cybersécurité adaptée à vos enjeux
Les cyberattaques sont de plus en plus sophistiquées et peuvent avoir des conséquences désastreuses pour les entreprises : perte de données critiques, atteinte à la réputation, sanctions réglementaires et interruptions d'activité. Une stratégie de cybersécurité structurée et suivie dans le temps prévient ces risques.
Chez Bexxo, nous offrons des solutions de protection sur-mesure, adaptées à vos besoins et conformes aux normes de sécurité les plus exigeantes, telles que ISO 27001/27002 et NIST. Conformément aux recommandations du NCSC, nous analysons, détectons et corrigeons les vulnérabilités de votre infrastructure.
Restez en avance avec les dernières failles critiques de sécurité.
CVE-2026-104736 - CRITICAL
17/10/2026
The LearnPress plugin for WordPress is vulnerable to PHP Object Injection in versions up to, and including, 4.4.10 via deserialization of untrusted input from the 'checkout-email' request parameter during the checkout AJAX action. The value is passed through sanitize_text_field(), which does not strip serialized object syntax, then stored in the LearnPress session table and later fed to LP_Helper:...
OWSAP: A08
CVE-2026-110653 - CRITICAL
17/10/2026
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Authentication Bypass via Race Condition in all versions up to, and including, 5.7.4. This is due to a non-atomic read-modify-write on the OTP verification attempts counter in the `verifyOTP` function: the counter is incremented using a stale in-memory value with no conditional ...
authorisationproblemOWSAP: A07
CVE-2026-111853 - HIGH
17/10/2026
An issue was discovered on Tektronix 3 Series MDO devices before 1.21.1. An OS command injection vulnerability exists in the FILESystem:MOUNT:DRIve SCPI command handler. Insufficient neutralization of user-supplied input allows remote attackers to execute arbitrary operating system commands with elevated privileges.
oscommandinjectionOWSAP: A03
CVE-2026-111823 - CRITICAL
17/10/2026
Mage OSS through 0.9.80 before 76c4f46 can proceed with session creation upon encountering an unknown OAuth provider.
CVE-2026-96627 - HIGH
16/10/2026
Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 2.6.0, UpdateUser in backend/api/handlers/users.go sets PasswordHash for any target without comparing caller and target privilege. A holder of delegated users:update permission can submit a password change for the global administrator, replace the administrator password, and authenticate as that account,...
priviliegemanagementOWSAP: A04
CVE-2026-96626 - HIGH
16/10/2026
Arcane is an interface for managing Docker containers, images, networks, and volumes. Prior to 2.5.0, UpdateRegistry and TestRegistry in backend/api/services/container_registry_service.go allow the registry URL to change while preserving the stored encrypted token. When a holder of registries:update and registries:test repoints a generic registry URL without supplying a replacement token, TestRegi...
OWSAP: A01OWSAP: A04
CVE-2026-30971 - HIGH
16/10/2026
ZoneMinder is a free, open source closed-circuit television software application. Prior to 1.39.2, 1.38.2, and 1.36.40, ZoneMinder interpolates an unvalidated monitor Device field into shell commands in PHP and Perl control paths when an authenticated user with monitor-create or monitor-edit permission saves a Local monitor whose Device Path contains shell metacharacters and the monitor control or...
oscommandinjectionOWSAP: A03
CVE-2026-102608 - CRITICAL
16/10/2026
ZoneMinder is a free, open source closed-circuit television software application. Prior to 1.38.3, downloadEvents() manually wraps a monitor Name value in single quotes instead of using escapeshellarg() before placing it in shell commands when a user with monitor-create or monitor-edit permission stores a monitor Name containing shell metacharacters and a user with Events View permission exports t...
oscommandinjectionOWSAP: A03
CVE-2026-102607 - HIGH
16/10/2026
ZoneMinder is a free, open source closed-circuit television software application. Prior to 1.38.3, the exportEvents() function concatenates the attacker-controlled exportFile request parameter into a shell command without neutralizing shell metacharacters when an authenticated user with View Events or View Snapshots permission submits an event export request with a crafted exportFile value, a vali...
oscommandinjectionOWSAP: A03
CVE-2026-111723 - HIGH
16/10/2026
LingGuo-Drama through commit 8a6924a contains a missing authorization vulnerability that allows any registered user to manage all accounts through the /admin/v1/admins API protected only by AuthAdminJWT. Attackers can self-register, read every account's bcrypt hash, reset the bootstrap administrator's password via PUT, raise their authority_id, and delete accounts.
authorisationproblemOWSAP: A01
CVE-2026-111711 - CRITICAL
16/10/2026
Netcore NR256CN through 1.5.140116 contains a pre-authentication stack overflow vulnerability in the Boa web server's user_ok() function, which copies Basic-auth usernames with unbounded strcpy() calls into 64-byte stack buffers. Unauthenticated attackers can send a username longer than 63 bytes to any protected /router/*.cgi route to crash the main Boa process or potentially execute code.
CVE-2026-111704 - CRITICAL
16/10/2026
LangChat through commit 2a6285a contains a missing authentication vulnerability that allows unauthenticated remote attackers to access REST controllers because no Sa-Token interceptor is registered. Attackers can query /api/v1/auth/users to read plaintext passwords, retrieve LLM provider API keys, create super-admin accounts, and modify or delete data.
authorisationproblemOWSAP: A07
CVE-2026-111693 - CRITICAL
16/10/2026
DataBuff ai-apm-web through 0.1.10 contains a hard-coded default credentials vulnerability that allows unauthenticated attackers to gain administrator access using the built-in admin/Databuff@123 account. Attackers can POST these credentials to /webapi/api/v1/auth/login to obtain an administrator token and access all protected /webapi routes.
CVE-2026-111692 - CRITICAL
16/10/2026
DataBuff ai-apm-web through 0.1.10 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge admin session tokens by using the hardcoded HMAC secret in JwtTokenService. Attackers can sign a payload of admin and a future expiry with the default dev-secret to gain full administrative access to protected /webapi routes, including the Doris SQL query API.
OWSAP: A02
CVE-2026-111690 - CRITICAL
16/10/2026
Simple Admin Core through 1.8.7 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge super administrator tokens by using the hard-coded Auth.AccessSecret in api/etc/core.yaml. Attackers can sign a JWT with the public secret and roleId claim 001 to gain full administrative control over users, roles, menus, API authorities, configuration and tokens.
OWSAP: A02
CVE-2026-111687 - CRITICAL
16/10/2026
WeRSS (we-mp-rss) through 1.5.3 contains a remote code execution vulnerability that allows unauthenticated attackers to run code via the template parameter of the public GET /rss/{feed_id} endpoint. Attackers can supply a non-built-in ext value and a {{=expression}} template whose object-subclass traversal bypasses the eval denylist to run OS commands as the service account.
OWSAP: A03
CVE-2026-111684 - HIGH
16/10/2026
Magistrala through 1.0.0 contains an authorization bypass vulnerability that allows authenticated workspace members to view, issue, and revoke other tenants' device certificates by supplying foreign serials or entity ids. Attackers can call RevokeBySerial, RevokeAll, ViewCert, ListCerts, or IssueCert under their own workspace path to disconnect other tenants' devices, disclose certificates, and mi...
authorisationproblemOWSAP: A01
CVE-2026-111681 - HIGH
16/10/2026
EFAK through 5.1.0 contains a missing authorization vulnerability that allows authenticated low-privilege users to manage accounts because the /api/users endpoints lack administrator role checks. Attackers can send POST, PUT, or DELETE requests to UserController to grant themselves ROLE_ADMIN, create administrators, or delete users, gaining control of managed Kafka clusters.
authorisationproblemOWSAP: A01
CVE-2026-111680 - HIGH
16/10/2026
APIPark through 1.9.7-beta contains an authorization bypass vulnerability that allows authenticated team managers to access other teams' services and applications by supplying their own team id in the team query parameter. Attackers can target service or app ids exposed by /api/v1/simple/services and /api/v1/simple/apps to read, modify, or delete other teams' services and applications via /api/v1/...
authorisationproblemOWSAP: A01
CVE-2026-111673 - CRITICAL
16/10/2026
IceCMS through 4.1.5 contains a missing authentication vulnerability that allows unauthenticated attackers to modify, delete, or disable any account because /User/** is excluded from the Shiro jwt filter. Attackers can send PUT requests to /User/updateUser to set a new password and role on any userId, including administrators, enabling full account takeover.
authorisationproblemOWSAP: A07