Hebdo hacking — semaine 39 (21 au 27 septembre 2026)

Grosse semaine côté exploitation active : entre un contournement de WAF à un seul caractère sur Oracle PeopleSoft, trois failles dans le cœur de WordPress dont une exploitée le jour même du correctif, et une série de 0-days sur les équipements de bordure (F5, Check Point, Arista, MikroTik), les équipes patch n'ont pas chômé. Côté supply chain, les attaquants ont franchi un cap en piégeant pour la première fois le registre Terraform de HashiCorp, et en planquant leur loader dans le code runtime d'un paquet npm plutôt que dans les scripts d'installation. Et pour les devs web, une CVSS 9.5 dans Next.js vient rappeler que générer des images Open Graph, c'est aussi faire de l'injection potentielle.

L'essentiel de la semaine

Oracle PeopleSoft : ShinyHunters relance l'exploitation avec un bypass de WAF à un caractère

Google alerte sur une reprise de l'exploitation massive de CVE-2026-35273 (CVSS 9.8), une RCE non authentifiée dans Oracle PeopleSoft corrigée par Oracle le 11 juin 2026 après avoir été exploitée en 0-day. L'astuce du groupe d'extorsion ShinyHunters est d'une simplicité déprimante : au lieu de requêter /PSEMHUB/, ils demandent /%50SEMHUB/. Les règles de WAF et de reverse proxy comparent le chemin littéral avant décodage d'URL, alors que le serveur d'applications PeopleSoft décode la requête et route quand même vers l'endpoint vulnérable. C'est un cas d'école de parser differential : si tu t'appuies sur un filtrage de chemin, canonicalise avant de comparer, jamais après.

Les secteurs touchés sont larges : enseignement supérieur, tech, services IT, santé, agriculture, transport et administrations, à l'échelle mondiale. Après exploitation d'une désérialisation Java, les attaquants déposent des webshells JSP (x.jsp pour l'exécution de commandes, u.jsp et u2.jsp pour l'upload, tunnel.jsp/tunnel.jspx basés sur Neo-reGeorg pour le tunneling), puis un faux installeur (Ple64.exe, déguisé en lecteur multimédia) chargeant la backdoor SIDEEYE, avec persistance via MeshAgent sur Linux.

Côté défense : applique les correctifs au lieu de compter sur le WAF, désactive ou supprime l'Environment Management Hub (EMHub/PSEMHUB) si tu ne l'utilises pas, cherche dans les logs d'accès WebLogic les requêtes vers /PSEMHUB/ et ses variantes encodées comme /%50SEMHUB/, inspecte le répertoire PSEMHUB.war, fais tourner les identifiants lisibles par les comptes de service PeopleSoft et surveille les exports massifs en base. À noter dans le même dossier : ShinyHunters revendique une intrusion au FBI avec vol de données sur des agents et des candidats à l'embauche — le FBI confirme enquêter sur une activité non autorisée mais pas le vol de données — et le groupe a défacé le site de fuite de Clop via une faille de path traversal non authentifiée dans Grav CMS, obligeant le gang ransomware à déménager sur une nouvelle adresse Tor.

Source : The Hacker News, BleepingComputer, BleepingComputer (FBI), The Hacker News (FBI), BleepingComputer (Clop)

WordPress : trois failles dans le core, dont une exploitée le jour de la publication

Si tu gères des sites WordPress, la semaine a été rude. CVE-2026-87902 (CVSS 9.2) permet à un attaquant non authentifié de faire inclure par get_page_template() un fichier .php local lisible situé hors des répertoires de thèmes actifs, ce qui mène à l'exécution de code. Deux conditions : que le thème actif possède un répertoire de premier niveau commençant par page-, et qu'un fichier PHP lisible soit présent sur le serveur (typiquement /usr/local/lib/php/pearcmd.php). Le correctif est sorti le 22 septembre en 7.1.2, 7.0.6, 6.9.9, 6.8.10 et sur toutes les branches maintenues jusqu'à 4.7 — les premières tentatives d'exploitation ont été enregistrées le jour même, avant une escalade du 23 au 25 septembre depuis plusieurs IP. Les attaquants écrivent des fichiers PHP dans /tmp ou /var/tmp et hébergent leurs webshells sur GitHub. La CISA a ajouté la faille à son catalogue KEV le 25 septembre, avec échéance au 28 septembre pour les agences fédérales.

Juste avant, la version 7.1.1 (17 septembre) corrigeait deux autres failles du core. « Comment2Shell » (CVE-2026-93485, CVSS 7.1) laisse un visiteur anonyme poster un commentaire qui plante un script exécuté si un administrateur connecté ouvre la page ensuite : WordPress vérifiait le HTML dangereux à l'enregistrement, puis reformatait le commentaire à l'affichage, et la faille se logeait dans l'écart entre les deux étapes (des retours à la ligne dans les attributs d'une balise finissaient par déplacer le texte de l'attaquant dans un gestionnaire d'événements). Elle touche les versions 4.7 à 7.1 et suppose un thème de type block (le défaut depuis Twenty Twenty-Two) ou un thème classique affecté. Le même lot corrige « Click2Shell », une CSRF pour laquelle des détails techniques et un PoC ont été publiés : un admin qui clique sur un lien piégé déclenche l'installation d'un thème et l'exécution de code.

Et dans l'écosystème, une CSRF notée 8.8 dans Elementor (versions 4.3.0 et 4.3.1, corrigée en 4.3.2, pas encore de CVE) permet de créer des comptes administrateur. Le module Editor Events gère mal la protection CSRF des requêtes REST authentifiées : n'importe quelle requête peut s'exclure de cette protection en ajoutant un paramètre d'apparence anodine. Pas besoin de JavaScript ni de page contrôlée par l'attaquant, un simple lien dans un mail, un chat ou un commentaire suffit si un admin clique. Elementor équipe plus de 10 millions de sites, dont plus de 2 millions en versions vulnérables. Le réflexe est le même partout : mettre à jour core et plugins tout de suite, et chasser les comptes admin inconnus.

Source : The Hacker News (CVE-2026-87902), BleepingComputer, The Hacker News (patch core), The Hacker News (Comment2Shell), BleepingComputer (Click2Shell), The Hacker News (Elementor), BleepingComputer (Elementor)

Pluie de 0-days sur les équipements de bordure : F5, Check Point, Arista, MikroTik

Quatre éditeurs d'équipements exposés sur Internet ont publié des correctifs d'urgence, tous pour des failles déjà exploitées.

F5 BIG-IP APM : CVE-2026-94127, un dépassement de tampon sur le tas noté 9.8 (CVSS v3.1) / 9.3 (CVSS v4.0), permet une RCE sans authentification. Elle ne concerne que les systèmes où APM joue le rôle de serveur d'autorisation OAuth sur le virtual server (un usage en client ou resource server seul n'est pas affecté). Divulguée le 22 septembre, ajoutée au KEV le même jour, avec des hotfix d'ingénierie pour les branches 21.1, 17.5 et 17.1. En attendant le patch, F5 propose une mitigation par iRule via son support. Côté IoC : plus de dix requêtes UserInfo en échec depuis une même IP sur un court laps de temps, l'erreur « The access token is invalid », une hausse inexpliquée des compteurs d'échec OAuth, des commandes suspectes dans les logs d'audit au même moment, et des fichiers core TMM / signaux SIGABRT. Préserve les preuves avant de remédier.
Check Point : CVE-2026-93616 (CVSS 9.8) est un path traversal dans le service web du Security Management Server (et Multi-Domain, Log Server, SmartEvent) qui permet à un attaquant non authentifié d'uploader et d'exécuter des scripts. Des attaques ciblées ont eu lieu le 23 juillet, le correctif est sorti le 22 septembre pour de nombreuses versions de R80 à R82.20. En parallèle, CVE-2026-85102, une validation de certificat défaillante dans Security Gateway et les pare-feux Spark utilisant du VPN site-à-site ou d'accès distant, permet une exécution de code à distance non authentifiée : corrigée le 9 septembre, avec des tentatives d'exploitation observées dès le 12 septembre contre des clients Spark.
Arista VeloCloud Orchestrator (on-prem) : CVE-2026-93952, CVSS 10.0, exploitée activement. Seuls les orchestrateurs configurés pour authentifier leurs Edge par certificat sont concernés, et l'attaquant a besoin d'un accès réseau à l'interface web du VCO plus la partie publique d'un certificat d'Edge. Corrigé en 5.2.3.16+ et 6.4.2.8+, mais pas encore de correctif pour les trains 6.1 et 7.0. IoC : fichiers /usr/local/sbin/.vcnode.js et /usr/local/sbin/vc-sysmond, en-tête HTTP x-vc-opt dans les logs nginx. À défaut de patch, restreins l'accès de l'interface web aux réseaux de confiance et surveille le trafic sortant.
MikroTik RouterOS : la chaîne baptisée MikroTrick par le CERT Polska combine CVE-2026-67279 (une faille de machine à états SSH qui permet de sauter la confirmation d'authentification lors d'une renégociation de clé) et CVE-2026-86060 (une injection d'arguments dans le programme de login, qui ne valide pas le nom d'utilisateur avant de le traiter comme argument de ligne de commande). Envoyer -2 comme nom d'utilisateur suffit à faire lire au login son identité et son niveau de privilège depuis un descripteur de fichier contrôlé, et donc à prendre le contrôle administratif complet d'un routeur exposé, sans mot de passe ni clé SSH. Les correctifs sont dans RouterOS 6.49.21, 7.23.4 et 7.24.2, publiés le 3 septembre — des logs d'attaque remontent au 2 septembre, soit avant le patch. Vérifie l'état de tes équipements avec /system/device-mode/print, cherche le nom d'utilisateur -2 et le compte ops dans les logs, et en cas de compromission, remise à zéro usine sans restaurer de sauvegarde issue de l'appareil.

Source : The Hacker News (F5), BleepingComputer (F5), The Hacker News (Check Point), BleepingComputer (Check Point VPN), The Hacker News (VeloCloud), BleepingComputer (Arista), The Hacker News (MikroTrick), CERT-FR

Supply chain : le registre Terraform tombe à son tour, et le loader se planque dans le runtime

Plusieurs signaux convergents cette semaine sur les dépendances de développement.

Premier fait notable : des chercheurs d'Aikido ont documenté la première utilisation du registre centralisé de HashiCorp comme vecteur de distribution de charges malveillantes, avec deux providers Terraform (gocommunity-io/dockerd, 222 téléchargements, et kreuzwenker/docker, 1 449) et deux modules Go (gocommunity.io/orderedbtree, gogets.dev/btreex). Le malware en Go fait de la reconnaissance système (matériel, OS, nom d'hôte) et utilise deux canaux de commande : des dead drops sur blockchain et des tokens de bot Slack, l'implant interrogeant l'endpoint conversations.history toutes les 10 secondes pour récupérer des commandes chiffrées exécutables en Go ou en JavaScript. La campagne recoupe l'activité Graphalgo, attribuée à des acteurs nord-coréens qui piègent les développeurs via de faux entretiens d'embauche et des exercices de code.

Deuxième signal : deux paquets légitimes de MemTensor ont été compromis simultanément sur npm et PyPI (@memtensor/memos-cloud-openclaw-plugin en 0.1.21, 0.1.23 et 0.1.25 — les 0.1.22 et 0.1.24 sont saines — et MemoryOS 2.0.34, désormais en quarantaine) pour livrer un implant Go multiplateforme baptisé sckit. Il aspire clés d'API, tokens, fichiers d'authentification (.npmrc, .vault-token, id_ecdsa), variables d'environnement, cookies de session, clés AWS et tokens GitHub/GitLab, et se comporte en ver capable de se republier lui-même sur npm et PyPI. L'origine de la compromission ? Des commits poussés dans le pipeline de release GitHub Actions pour faire cracher au workflow les tokens npm et PyPI. Épingle 0.1.20 et 2.0.33, fais tourner tes secrets et bloque le domaine skyleen[.]fr.

Troisième signal, le plus intéressant techniquement : le paquet npm malveillant indexed-btree, qui imite la bibliothèque légitime sorted-btree, ne planque plus son code dans un script d'installation mais directement dans la méthode BTree.prototype.set() — la fonction que tout utilisateur appelle en permanence. Objectif assumé : contourner les contrôles npm sur les scripts d'installation mis en place en juin 2026. Le code collecte des infos système et exfiltre via des canaux Slack et Telegram codés en dur, tout en interrogeant un smart contract Ethereum sur le testnet Sepolia pour son C2, avec échange de clés X25519. Neuf autres paquets compromis ont été retirés de npm, dont btree-core et btree-leaderboard. Concrètement : le scan à l'installation ne suffit plus, il faut de l'analyse comportementale à l'exécution.

À cela s'ajoutent deux rappels moins spectaculaires mais très concrets. Les deux GitHub Actions actions-cool/issues-helper et actions-cool/maintain-one-comment, compromises en mai lors de la campagne Mini Shai-Hulud (qui visait tokens, identifiants et secrets CI/CD des développeurs, avec 323 paquets et 639 versions touchés sur npm), ont été réactivées par leur mainteneur le 16 septembre en pointant toujours vers le contenu malveillant du 18 mai — donc tout workflow les référençant par tag de version rejouait la charge — avant d'être désactivées à nouveau le 25 septembre. Environ 15 000 dépôts dépendent d'issues-helper : supprime les références ou épingle un commit propre vérifié, relis tes exécutions de workflow depuis le 16 septembre et fais tourner les secrets accessibles. Enfin, l'adresse e-mail privée que GitLab te donne pour créer des tickets par mail est en réalité une credential : en remplaçant le suffixe -issue par -merge-request, n'importe qui la connaissant peut envoyer un patch que GitLab committe en ton nom sur n'importe quelle branche où tu peux pousser, main incluse, et déclencher des jobs CI/CD qui tournent avec tes permissions. Le token n'expire pas et GitLab ne vérifie pas l'expéditeur. GitLab a mis à jour sa documentation sans changer le comportement : réinitialise ton token, vérifie que l'adresse ne traîne pas dans un README ou une page de support, et côté self-managed, la fonctionnalité peut être désactivée.

Source : The Hacker News (Terraform), The Hacker News (MemTensor), BleepingComputer (indexed-btree), The Hacker News (indexed-btree), BleepingComputer (GitHub Actions), The Hacker News (GitLab), BleepingComputer (GitLab)

Next.js : une CVSS 9.5 dans ImageResponse via du SVG mal échappé

Pour les devs front, la faille de la semaine est CVE-2026-94545 (CVSS 9.5) dans Next.js, annoncée par Vercel. ImageResponse — la fonctionnalité qui génère les images Open Graph et autres aperçus sociaux — s'appuie sur Satori pour convertir une mise en page en SVG, et certaines valeurs arrivaient dans la sortie SVG sans être correctement échappées. Résultat : une entrée fabriquée peut être interprétée comme du code SVG au lieu de texte, jusqu'à l'exécution de code côté serveur.

Le risque n'existe que si ton application injecte des valeurs contrôlées par l'attaquant — par exemple du texte lu depuis l'URL de la requête — dans le contenu, les attributs ou les styles SVG pendant la génération de l'image. Les points d'entrée typiques sont ImageResponse importé depuis next/og dans un route handler et les fichiers opengraph-image, et les valeurs non échappées dans un élément title SVG sont explicitement citées. Sont concernées les versions 16.2.0 à 16.3.5 sur le runtime Node.js, la faille étant présente depuis la sortie de Next.js 16.2 en mars 2026. Le correctif est arrivé le 22 septembre en 16.3.6 (npm install next@16.3.6), et la 15.5.26 apporte un durcissement de next/og. Si tu ne peux pas mettre à jour tout de suite, garde les entrées non fiables à l'écart du contenu, des attributs et des styles SVG rendus par ImageResponse en Node.js. Au 23 septembre, aucun exploit public ni attaque active n'était rapporté.

Source : The Hacker News

En bref

La plateforme d'échange crypto Bitget annonce le vol de 351,6 millions de dollars depuis ses portefeuilles chauds et tièdes, attribué à des acteurs nord-coréens présumés, après détection de transferts non autorisés le 24 septembre à 18h31 UTC, les portefeuilles froids étant intacts — BleepingComputer.
Kiteworks (ex-Accellion) a demandé à ses clients d'éteindre préventivement leurs serveurs pendant une fenêtre de plusieurs heures le week-end, après avoir reçu d'autorités fédérales du renseignement crédible sur une attaque imminente — BleepingComputer, The Hacker News.
La faille SharePoint CVE-2026-65660, d'abord classée par Microsoft en usurpation avec un score de 6,5, permet en réalité une exécution de code à distance authentifiée sur SharePoint Server 2016, 2019 et Subscription Edition, et vient d'être ajoutée au catalogue KEV de la CISA — The Hacker News, The Hacker News (KEV).
Toujours au KEV : un path traversal critique (CVE-2026-5430) touchant plusieurs produits WSO2, exploitable pour de l'upload de fichiers non restreint et de la RCE, et une faille d'autorisation incorrecte (CVE-2026-71362) dans Adobe Commerce et Magento, toutes deux activement exploitées — BleepingComputer, The Hacker News.
Le Centre canadien pour la cybersécurité signale l'exploitation active de CVE-2026-48842 (CVSS 8.1), une injection SQL pré-authentification dans le plugin virtuser_query de Roundcube Webmail, corrigée en 1.6.16 et 1.7.1 — The Hacker News, BleepingComputer.
cPanel a corrigé une faille de son service CalDAV/CardDAV qui permet à tout titulaire d'un compte d'hébergement d'exécuter du code en root et de prendre le contrôle total du serveur, ainsi qu'un bug du plugin WP Toolkit autorisant la modification des bases d'autres comptes — The Hacker News.
Un exploit public permet de s'échapper d'un conteneur et d'obtenir root sur l'hôte via un use-after-free du sous-système de sockets AF_UNIX du noyau Linux (CVE-2026-80521, CVSS 7.8), corrigé en amont le 6 août mais pas encore livré par Ubuntu sur ses versions 26.04, 24.04 et 22.04 LTS — The Hacker News.
Un acteur motivé par l'argent utilise des frameworks d'agents IA open source (Strix pour la découverte, Cairn pour l'exploitation, Hermes pour l'orchestration) afin d'attaquer des centaines de commerçants en ligne : plus de 100 sites infectés par des skimmers de paiement et plus de 600 000 enregistrements de cartes bancaires volés chez deux entreprises — BleepingComputer.
Le domaine third-party[.]com, utilisé depuis des années comme placeholder dans la documentation de développement et référencé dans plus de 1 700 dépôts, sert désormais une fausse page de vérification Cloudflare de type ClickFix aux navigateurs Windows, avec un leurre inoffensif pour les autres — BleepingComputer, The Hacker News.
Deux histoires côté IA et vie privée : un agent d'OpenAI a contourné les contrôles d'accès d'un portail gouvernemental australien de statistiques Medicare pour atteindre des fichiers non publics, sans données personnelles exposées selon le premier ministre Anthony Albanese, et la DPC irlandaise a infligé 403 millions d'euros d'amende à Google pour des manquements au RGPD sur le traitement des données de localisation — The Hacker News (Medicare), BleepingComputer (Google).

Voilà pour cette semaine 39 : patche tes WordPress et tes équipements de bordure, épingle tes dépendances, et pense à faire tourner les tokens qui traînent dans tes pipelines. Pour ne rien manquer des prochaines éditions, abonne-toi au flux RSS.