Hebdo hacking — semaine 43 (19 au 25 octobre 2026)

Semaine très lourde pour tout ce qui fait tourner le web : deux RCE critiques dans le runtime PHP lui-même, une faille GitLab notée 10/10 exploitable sans compte, et une série de compromissions de chaînes de distribution logicielle (LiteLLM, CLI OVHcloud, plugins WordPress) qui visaient directement les secrets des développeurs. En parallèle, la confiance dans les certificats a pris un coup avec huit clés d'autorité intermédiaire eMudhra retrouvées en quelques secondes, pendant que les attaquants exploitaient activement VeloCloud, Plex et SiteGuard. Si tu gères un serveur, un pipeline CI ou un site WordPress, cette édition est pour toi.

L'essentiel de la semaine

PHP2Shell : deux RCE critiques dans le cœur de PHP

PHP a publié le 21 octobre des correctifs d'urgence pour deux vulnérabilités critiques baptisées PHP2Shell, CVE-2026-109618 (corruption mémoire menant à une RCE) et CVE-2026-109619 (état global rémanent menant à un use-after-free sur le tas, une fuite mémoire et une RCE). Les deux failles résident dans le runtime, pas dans ton application : un serveur est exposé même si ton code est irréprochable. Toutes les installations servant des requêtes web sont concernées (PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP, LiteSpeed), l'équipe PHP considérant le risque maximal pour mod_php avec un exploit démontré déclenchable par une requête non authentifiée avant même l'exécution du code applicatif. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, avec des correctifs de sources rétroportés pour 7.4, 8.0 et 8.1 si tu compiles toi-même — ces branches ne reçoivent plus de mises à jour du projet.

L'ampleur est inhabituelle : selon Krebs on Security, près de 70 % des sites web doivent mettre à jour leur socle, Censys comptant environ 2,58 millions d'hôtes exposés sur Internet et 54,9 millions de propriétés web en PHP, toutes les versions depuis PHP 5.4 étant touchées par au moins l'une des deux failles. Les failles ont été découvertes dans le cadre d'une recherche coordonnée (Wiz, Calif, OpenAI), Wiz expliquant que les bugs sous-jacents étaient présents depuis des décennies mais que démontrer leur exploitabilité demandait un enchaînement d'étapes exceptionnellement complexe.

Côté exploitation, Amazon Threat Intelligence a détecté une tentative contre son honeypot MadPot dès le 17 octobre, soit quatre jours avant les correctifs, depuis une IP associée à un réseau d'anonymisation commercial ; Cloudflare a confirmé des attaques avant la publication des patchs. Des exploits de preuve de concept ont circulé dans les heures suivant la divulgation, et les tentatives observées visent notamment à enrôler les machines dans une variante de Mirai nommée Potassium, l'activité restant pour l'instant largement du scan et des exploits non fonctionnels. Comment se protéger : patcher est la seule défense permanente, comme le rappelle le développeur du cœur PHP Gina Peter Banyard. En attendant, les contournements ne protègent que partiellement : memory_limit=-1 et un post_max_size faible pour CVE-2026-109618, désactivation de session.upload_progress.enabled et correction des erreurs fatales pour CVE-2026-109619. Deux jours plus tard, PHP a par ailleurs signalé une autre RCE, CVE-2026-115560, qui ne touche que des applications configurées de façon inhabituelle et pour laquelle le projet ne publie pas de correctif d'urgence mais recommande de désactiver la fonctionnalité concernée.

Source : BleepingComputer, Krebs on Security, BleepingComputer, The Hacker News, BleepingComputer, CERT-FR

GitLab : RCE non authentifiée notée 10/10 via le compilateur d'expressions régulières

GitLab a corrigé CVE-2026-110264, un dépassement d'entier dans son compilateur d'expressions régulières, noté 10 sur 10 : un utilisateur non authentifié peut exécuter du code arbitraire sur le serveur en fournissant une expression régulière spécialement conçue. Sont concernées les éditions CE et EE antérieures à 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. GitLab.com tourne déjà sur des versions corrigées et les instances Dedicated en 19.3.5-internal0+ et 19.4.2-internal0+ sont protégées, mais plus de 2 700 instances Community Edition sont exposées sur Internet. Point important si tu as patché le 12 octobre : selon The Hacker News, cette mise à jour ne couvrait que les versions 19.2 et supérieures et la faille remonte à GitLab 7.0 (2014), donc il faut bien monter d'un cran supplémentaire.

La racine du problème est plus large que GitLab : Ruby a publié les versions 4.0.9, 3.4.12 et 3.3.13 pour corriger trois bugs d'Onigmo, le moteur d'expressions régulières intégré au langage, qui sont à l'origine de quatre failles critiques corrigées par GitLab ces dernières semaines — une expression régulière malveillante pouvait corrompre la mémoire au moment de sa compilation. Si ton application Ruby compile des regex fournies par l'utilisateur, la mise à jour de l'interpréteur te concerne aussi.

Source : BleepingComputer, The Hacker News, The Hacker News, CERT-FR

Chaîne d'approvisionnement : LiteLLM, CLI OVHcloud et plugins WordPress piégés

Quatre compromissions distinctes la même semaine, toutes orientées vol de secrets. Le 21 octobre, le pipeline de publication de LiteLLM a été détourné pour pousser la version 1.107.0 sur PyPI (disponible de 11h39 à 13h23 UTC) et sur Docker Hub/GHCR (de 11h46 à environ 14h20 UTC). L'attaquant n'a pas touché au code applicatif mais a injecté trois fichiers (cook.pth, cook.py, sitecustomize.py) dans le répertoire des bibliothèques Python, avec une charge qui collecte identifiants cloud (AWS, Azure, Google Cloud, Kubernetes, Docker), configurations de fournisseurs d'IA, secrets de développement (Git, GitHub, npm, PyPI, SSH, GPG, clés TLS), données de navigateur et variables d'environnement, le tout chiffré en AES-256-CBC puis envoyé vers litellm[.]dev/healthcheck. Vu les 92 millions de téléchargements mensuels du paquet, l'exposition est large. LiteLLM a indiqué qu'un fichier de configuration contenant la clé maîtresse d'un déploiement de sa plateforme d'agents avait été poussé dans le dépôt public LiteLLM-Labs/lite-harness le 27 mai 2026, ce qui a finalement permis cette publication malveillante. À faire : isoler les machines concernées, reconstruire depuis des sauvegardes saines, faire tourner tous les secrets exposés et revenir à la 1.106.2, dernière version propre.

Même scénario chez OVHcloud : un attaquant a utilisé le compte GitHub d'un contributeur, compromis depuis plus de six mois, pour remplacer les archives de téléchargement de cinq versions existantes du CLI (0.11.0 à 0.15.0) le 19 octobre, de 14h47 à 16h21 UTC. Il avait désactivé l'option d'immuabilité des releases de GitHub pour modifier des publications existantes sans déclencher la CI/CD. Le binaire piégé cherchait les secrets présents sur le disque ; les builds depuis les sources et les images Docker ne sont pas concernés, et les versions 0.10.0 et 0.16.0 sont saines. Si tu as récupéré une version touchée, nettoyage complet de la machine et rotation de tous les secrets stockés sur le disque.

Côté WordPress, les téléchargements et mises à jour de Rank Math PRO 3.0.123 obtenus depuis le site de l'éditeur entre le 15 octobre 20h02 UTC et le 16 octobre 07h12 UTC embarquaient un malware qui recrée des portes dérobées cachées à chaque visite du site, dialogue avec rank1cdn[.]com et siphonne identifiants de base de données, clés d'API et secrets serveur (AWS, Cloudflare, Google Cloud, Azure, clés SSH) ; la 3.0.124 est propre. Enfin, le site de TeamUpdraft (éditeur d'UpdraftPlus) a été compromis les 17 et 18 octobre, exposant hachés de mots de passe, réglages de double authentification et clés de connexion UpdraftCentral, UpdraftVault et UpdraftClone — soit environ 400 000 sites potentiellement concernés. Dès le 18 octobre 15h32 UTC, ces clés ont servi à exécuter du code sur les sites connectés, installer plus de 99 plugins-portes dérobées déguisés en outils de maintenance (« Site Health Cache » par exemple) et créer des comptes administrateurs. Remède : passer UpdraftPlus en 1.26.13 (gratuit) ou 2.26.13 (Premium), supprimer les clés UpdraftCentral dans Réglages → UpdraftPlus Backups → Advanced Tools, chercher les comptes admin et plugins suspects, restaurer depuis une sauvegarde saine en cas de compromission et réinitialiser mot de passe et 2FA côté TeamUpdraft.

Source : BleepingComputer, The Hacker News, BleepingComputer, BleepingComputer, BleepingComputer

eMudhra : huit clés d'autorité de certification devinables en quelques essais

Huit certificats d'autorité intermédiaire de l'autorité indienne eMudhra utilisaient des clés privées P-384 aux valeurs minuscules — certaines aussi basses que 4, toutes inférieures à 256 — ce qui permettait de les retrouver en testant 256 nombres. Comme une AC intermédiaire signe les certificats présentés par les sites, quiconque détient l'une de ces clés pouvait émettre un certificat accepté par les navigateurs pour n'importe quel domaine. eMudhra attribue l'incident à une erreur de script d'avril 2025 ayant généré un second jeu de clés faibles, sélectionné par erreur pour la signature à cause d'étiquettes similaires, et indique que la plupart de ces certificats n'ont jamais servi en production, sans trace d'émission malveillante. La découverte revient au chercheur « Wayne » le 17 octobre, en analysant des données publiques de certificats, suivi d'une preuve de concept publiée sur GitHub par « Flüpke ».

Les réactions ont été rapides : Mozilla a bloqué les certificats via OneCRL le 17 octobre puis publié Firefox 158.0.1 et des mises à jour ESR le 20, Chrome a bloqué six intermédiaires le même jour, Apple a ajouté ses protections le 22, et eMudhra a révoqué les huit certificats. Côté développeurs, Go 1.27.3 et Go 1.26.10, publiés le 20 octobre, rejettent toute chaîne passant par ces huit clés : un programme recompilé avec ces versions refusera les connexions aux services concernés. Le conseil est simple : applique les mises à jour, et pense aux systèmes qui utilisent leur propre magasin de certificats, qui peuvent nécessiter une intervention manuelle. Dans la foulée, le conseil d'administration d'eMudhra a décidé de se retirer de son activité mondiale de certificats SSL/TLS, en remplaçant les certificats des clients concernés par des certificats gratuits de partenaires.

Source : BleepingComputer, The Hacker News, The Hacker News, The Hacker News

Exploitation active : VeloCloud en zero-day, Plex2Shell et SiteGuard au catalogue KEV

Arista a corrigé CVE-2026-114625, une injection SQL exploitée en zero-day dans VeloCloud Orchestrator (VCO) On-Prem, la console centrale des réseaux SD-WAN VeloCloud. N'importe quel utilisateur authentifié, même avec un compte client en lecture seule, peut obtenir les privilèges opérateur et se faire passer pour un « superuser operator » local, avec un impact sur la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données qu'il gère. Les versions corrigées sont 5.2.3.18, 6.1.3.10 et 6.4.2.12 ou supérieures. Arista recommande aussi de surveiller les connexions depuis les IP 74.82.197.86 et 38.54.50.151, de restreindre l'accès à l'interface web aux réseaux d'administration, de relire les journaux d'activité administrateur et de conserver les logs en cas de doute.

Même tendance côté services exposés. CISA a ajouté à son catalogue KEV quatre failles de Plex Media Server regroupées sous le nom Plex2Shell : CVE-2026-96652 (SSRF non authentifiée sur /player/timeline), CVE-2026-96654 (injection d'URL permettant d'appeler des fonctions de plugins avec des paramètres choisis), CVE-2026-96655 (SSRF authentifiée sur l'endpoint du transcodeur) et CVE-2026-96656 (écriture de fichier arbitraire). Enchaînées, elles permettent de récupérer le jeton d'administration du propriétaire et d'exécuter du code avec des privilèges élevés, pour une criticité de 9,8 ; les versions antérieures à 1.43.3.10861 (publiée le 4 août) sont vulnérables, et des cryptomineurs sont déployés depuis le 17 octobre, juste après la publication d'une preuve de concept. S'y ajoutent CVE-2026-106931, une injection de commandes système dans SiteGuard Server Edition exploitée pour exécuter des commandes en root ou SYSTEM, puis CVE-2026-110447 (CVSS 9,2), une injection de commandes dans le serveur CODE intégré de Collabora Online utilisé dans NextCloud, exploitable quand le serveur CODE n'est pas en cours d'exécution.

Source : BleepingComputer, BleepingComputer, BleepingComputer, The Hacker News

En bref

• Railway a détecté une activité anormale sur les systèmes stockant les variables d'environnement de ses clients : un tiers a pu accéder à des variables chiffrées et, dans certains cas, à leur contenu déchiffré, d'où l'appel à faire tourner immédiatement secrets et identifiants de registre privé (BleepingComputer).
• La plateforme Zeabur ferme après une seconde intrusion en deux mois, menée avec des identifiants internes stockés en clair et non rotés depuis janvier 2024 : plus de 3,2 millions d'enregistrements de variables d'environnement et les informations de 321 810 comptes ont été volés (BleepingComputer).
• Node.js a publié le 21 octobre des correctifs pour ses trois branches supportées (22.x, 24.x, 26.x), dont un bug du décodeur Brotli embarqué (CVE-2026-111497) permettant une exécution de code à distance, faille qui touche aussi Bun, les paquets Python brotli et brotlicffi et les proxys Envoy configurés pour décompresser du Brotli (The Hacker News, The Hacker News).
• Pillow, la bibliothèque d'images la plus utilisée en Python, peut exécuter des commandes système via CVE-2026-112900 : à l'ouverture d'une image EPS, le nom du fichier est passé sans vérification à Ghostscript (The Hacker News).
• F5 a publié des correctifs hors cycle pour NGINX, dont trois failles critiques (CVE-2026-15176, CVE-2026-97205 dans le module HTTP/3 et CVE-2026-93479 dans la directive map) pouvant mener à un déni de service ou à une exécution de code (BleepingComputer).
• HPE a corrigé 72 vulnérabilités dans ArubaOS, dont huit de criticité maximale permettant contournement d'authentification et exécution de code (BleepingComputer, CERT-FR).
• Plus de 300 relais de sortie Tor ont été détournés début octobre pour rediriger les connexions SSH vers des serveurs qui volaient les mots de passe, l'impact se limitant aux authentifications par mot de passe effectuées via Tor entre le 1er et le 5 octobre après acceptation de l'avertissement d'interception (The Hacker News).
• CISA et le FBI indiquent que le gang de rançongiciel SafePay a compromis plus de 600 organisations d'infrastructures critiques depuis août 2024, en entrant par exposition d'identifiants, attaques par force brute et accès VPN, avec suppression des clichés instantanés et réinitialisation des NAS de sauvegarde (BleepingComputer).
• L'opération Serengeti III, menée du 29 juin au 31 août 2026 dans 21 pays, a conduit à 1 462 arrestations, au démantèlement de 10 909 réseaux malveillants et à la récupération de plus de 105 millions de dollars (The Hacker News, BleepingComputer).
• Le CERT-FR publie un retour d'expérience sur les violations de données applicatives : en 2025, il a suivi près de 200 cas issus d'applications web, souvent permis par des actions de faible complexité, sans exploitation de vulnérabilité technique (CERT-FR).

Bref, une semaine où patcher vite comptait autant que vérifier d'où viennent tes dépendances : si tu veux la prochaine édition sans rien rater, abonne-toi au flux RSS.