Hebdo hacking — semaine 44 (26 octobre au 1er novembre 2026)

Semaine chargée côté « 2Shell » : PHP2Shell est désormais exploité pour de vrai, chaîné à une élévation de privilèges noyau, et la faille Brotli a déclenché une série de patchs d'urgence chez Node.js, .NET et PHP. En parallèle, la chaîne d'approvisionnement des outils de dev IA a pris cher (extension Claude Code piégée sur Cursor, fichiers AGENTS.md malveillants, modèles Hugging Face vérolés), et Binance a signé le plus gros vol crypto de l'histoire à partir d'un simple laptop compromis.

L'essentiel de la semaine

PHP2Shell : exploitation confirmée, et root au bout de la chaîne

Les deux failles PHP critiques CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell, permettent une exécution de code à distance sans authentification. Patchées par l'équipe sécurité PHP le 21 octobre, elles sont désormais activement exploitées : la CISA les a ajoutées à son catalogue KEV le 26 octobre avec ordre de correction aux agences fédérales, et une exploitation réussie a été confirmée sur une installation Apache mod_php en PHP 8.4.26, avec RCE et fuite mémoire exploitable. Amazon Threat Intelligence rapporte même des tentatives quatre jours avant la publication des correctifs. Vu que PHP fait tourner environ 70 % des sites web, et avec près de 5,1 millions d'hôtes PHP exposés, la surface est énorme.

Pire : les attaquants enchaînent PHP2Shell avec CVE-2026-46300 (baptisée « Fragnesia »), un bug logique du sous-système XFRM ESP-in-TCP du noyau Linux, pour passer de webshell à root. La CISA le dit explicitement dans sa fiche KEV, et les chercheurs ont documenté plus de 25 serveurs rootés dans le monde, dont trois appartenant à des organisations affiliées au gouvernement américain. Autre détail qui en dit long sur l'époque : lors d'une intrusion contre une entité gouvernementale européenne, les attaquants ont utilisé des plateformes d'IA agentique en post-exploitation et ont récupéré des hash de mots de passe en moins de deux heures. Palo Alto Networks a par ailleurs confirmé une exploitation visant ses interfaces de management exposées sur Internet.

Côté défense : patche PHP sans attendre, mets à jour tes noyaux (les versions vulnérables sont celles publiées avant le 13 mai 2026), et sors tes interfaces d'administration d'Internet. Pour la troisième faille associée CVE-2026-115560, encore non corrigée, PHP recommande session.upload_progress.enabled=0.

Source : BleepingComputer, BleepingComputer, BleepingComputer, The Hacker News, The Hacker News

Brotli : une faille de décompression qui touche Node.js, .NET et Python

CVE-2026-111497, surnommée tour à tour HTTP2Shell, Node2Shell et Broccoli2Shell, est un débordement de tampon dans le décodeur C de Brotli. Repérée d'abord dans Node.js, elle concerne en réalité la bibliothèque Brotli elle-même : versions 1.0.3 à 1.0.9, 1.1.0 et 1.2.0. Concrètement, un flux compressé malveillant permet de corrompre la mémoire, de lire des données sensibles, de faire crasher le process ou potentiellement d'exécuter du code — sans authentification.

Le périmètre fait mal à la tête : Node.js, les paquets Python qui tirent Brotli (urllib3[brotli], requests, httpx, aiohttp[speedups]), .NET (Microsoft a sorti des correctifs d'urgence un dimanche), et PHP qui a dû reconstruire ses paquets Windows officiels pour les branches 8.2 à 8.5 — la faille étant atteignable via l'extension cURL quand elle décompresse automatiquement les réponses HTTP. La CISA a ajouté la vulnérabilité au KEV le 27 octobre.

Versions corrigées : Brotli 1.0.10, 1.1.1 et 1.2.1 ; Node.js 22.23.4, 24.22.1 et 26.12.1 ; Brotli Python 1.2.1 et brotlicffi 1.2.1.0. Et surtout : après patch, redémarre les process et reconstruis tes images de conteneurs, sinon tu continues de tourner avec la vieille lib. En attente, tu peux bloquer les requêtes compressées en Brotli au niveau du proxy ou désactiver le support Brotli.

Source : BleepingComputer, BleepingComputer, BleepingComputer, The Hacker News

Ton environnement de dev IA est devenu une surface d'attaque

Le 29 octobre, une version piégée (2.1.313) de l'extension Claude Code d'Anthropic a été distribuée pendant environ 11 heures via la marketplace d'extensions de Cursor, publiée sous le nom d'Anthropic. Jusqu'à 5 000 développeurs ont pu la télécharger. Un loader JavaScript placé en tête du fichier extension.js s'exécutait au chargement, sans interaction : reconnaissance système (email Git, IP publique, noms d'utilisateur, hostname, variables d'environnement), installation de clés SSH contrôlées par l'attaquant, persistance via LaunchAgent sur macOS ou tâche planifiée sur Windows, puis tunnel inverse vers 134.209.82[.]225. Des erreurs de code dans les routines SSH ont heureusement limité l'accès réel obtenu. Cursu a retiré l'extension et temporairement fermé sa marketplace le temps d'auditer et de faire tourner ses clés d'accès. Si tu es concerné : cherche une clé SSH nommée svc-telemetry, isole la machine, fais tourner tes credentials et reconstruis l'environnement.

Deuxième angle, plus sournois : Forever Security a trouvé chez un client un fichier d'instructions AGENTS.md malveillant posé dans ~/Downloads, qui poussait l'agent de code à installer un paquet npm vérolé (_function-color_). Les sites peuvent déposer des fichiers dans ~/Downloads sans interaction, et les agents chargent automatiquement les fichiers d'instructions de leur répertoire de travail. En test, le détournement a fonctionné dans 90 % des cas avec OpenAI Codex et 50 % avec Claude Code. Comme le résument les chercheurs, il n'y a rien à patcher ici pour OpenAI ou Anthropic : la parade est organisationnelle — lance tes agents depuis un répertoire de projet précis, jamais depuis ~/Downloads, relis les fichiers d'instructions inconnus et garde les prompts d'approbation et le sandbox actifs.

Troisième angle : la campagne de minage sur Hugging Face est revenue quelques jours après le nettoyage, avec 31 dépôts se faisant passer pour des checkpoints Qwen2. Elle n'empoisonne pas les poids mais abuse de trust_remote_code, qui exécute du code Python au chargement du modèle. Le modèle le plus téléchargé ne contenait même aucun modèle — juste un mineur déguisé en process système Linux, parfois accompagné d'un reverse shell, pour 28 412 téléchargements au 28 octobre. Dans la même veine, un faux starter kit Solana sur GitHub, premier résultat de recherche pour les agents de code, ne contient qu'un one-liner PowerShell dans son README qui installe NetSupport Manager en outil d'accès distant, avec un faux message d'erreur pour faire passer l'intrusion pour de la maintenance de routine.

Source : BleepingComputer, The Hacker News, BleepingComputer, The Hacker News, BleepingComputer

GitLab en CVSS 10, Drupal Commerce et WordPress : l'écosystème web sous le feu

Trois patchs à passer en urgence si tu héberges toi-même tes outils. CVE-2026-97229 (CVSS 10.0) est un dépassement d'entier dans le compilateur d'expressions régulières CI/CD de GitLab CE et EE : une regex spécialement conçue dans une configuration CI/CD permet à un attaquant non authentifié d'exécuter du code arbitraire sur le serveur. La CISA a confirmé l'exploitation active le 29 octobre. Les versions corrigées sont 19.4.2, 19.3.5 et 19.2.8. Signe que ça chauffe vite : une semaine après la publication du correctif, un attaquant a tenté de l'exploiter sur le serveur GitLab du projet Alpine Linux — sans succès apparent.

Du côté de Drupal, CVE-2026-118539 est un défaut d'autorisation dans le module Commerce Core, exploité dans la nature selon l'avis officiel : le module ne protège pas suffisamment certaines routes et certains champs d'entités, ce qui ouvre un contournement d'accès exploitable sans identifiants, avec un impact financier direct pour le marchand. Sont concernées les versions 0.0.0 à 2.41 et 3.0.0 à 3.3.13 ; corrige en 8.x-2.41 ou 3.3.13, et audite tes commandes à la recherche d'anomalies. Le module équipe plus de 42 000 sites.

Enfin, WordPress Core a corrigé le 28 octobre une RCE sans identifiant CVE (CVSS 8.1) touchant les versions 4.7 à 7.1.3 : près de 63 000 tentatives d'exploitation ont été observées dans les 24 heures suivant la publication du correctif. Et pour compléter le tableau e-commerce, la CISA a ajouté au KEV CVE-2026-48356 (upload de fichier dangereux dans Adobe Commerce et Magento), alors que Sansec décompte 953 boutiques infectées par un loader JavaScript injecté via les blocs CMS de Magento depuis juillet 2025.

Source : BleepingComputer, The Hacker News, BleepingComputer, The Hacker News, The Hacker News, The Hacker News

Binance : 6,3 milliards de dollars volés en 20 minutes, au départ d'un laptop DevOps

Le 29 octobre à partir de 20h05 UTC, environ 6,36 milliards de dollars ont été siphonnés sur dix blockchains en une vingtaine de minutes — le plus gros vol crypto jamais enregistré. Point de départ : le laptop compromis d'un ingénieur DevOps, qui a permis aux attaquants d'accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. Le co-CEO Richard Teng insiste sur le fait que l'attaquant ne s'est pas contenté des permissions d'un seul ingénieur et qu'il ne s'agissait pas d'une action « en un clic », mais d'un processus plus complexe ; Binance dit avoir identifié des points de compromission supplémentaires, sans preuve de fuite de clés privées de portefeuilles.

Environ 2,7 milliards ont été gelés par les émetteurs de stablecoins et les réseaux (Tether a gelé plus de 1,567 milliard d'USDT, Circle 800 millions), laissant environ 2,4 milliards aux attaquants, dont plus de 420 000 ETH et 18 270 BTC. TRM Labs et Chainalysis attribuent l'attaque à TraderTraitor, unité nord-coréenne également suivie sous les noms Lazarus Group et APT38. Binance assure que les fonds utilisateurs sont sûrs et couvrira les pertes via son fonds SAFU et ses réserves.

La leçon pour nous autres : le poste de travail d'un dev ou d'un SRE est un actif de production. Segmentation, moindre privilège sur les conteneurs de service et validation multi-parties des flux sensibles valent mieux qu'un contrôle de plus sur le périmètre réseau.

Source : BleepingComputer, BleepingComputer, The Hacker News

En bref

• Cisco a corrigé CVE-2026-76418 (CVSS 8.6), un zero-day exploité pour faire redémarrer à distance les pare-feux ASA et FTD configurés avec le VPN SSL ; plus de 51 000 appareils ASA sont exposés selon Shadowserver, et la mitigation consiste à désactiver l'authentification secondaire sur les tunnel groups concernés — BleepingComputer
• La CISA a ajouté au KEV deux failles Ivanti Connect Secure (CVE-2026-111357 et CVE-2026-118527) qui, chaînées avec CVE-2026-104935, donnent un accès root non authentifié — The Hacker News
• CVE-2026-98432, un use-after-free dans le code TCP du noyau Linux noté 9.8 par l'équipe CVE du kernel, a servi de base à un exploit développé par Anthropic donnant un root distant non authentifié sur les serveurs avec listener MPTCP — un détail qui compte, Go 1.24+ active MPTCP automatiquement sur les listeners TCP Linux — BleepingComputer
• La plateforme d'hébergement Northflank demande à ses clients de faire tourner tous leurs secrets après une compromission qui a mené au déchiffrement de l'ensemble des variables d'environnement et à l'abus de clés d'API IA — BleepingComputer
• Polymarket a suspendu les échanges après la compromission d'un service tiers qui distribuait un script JavaScript draineur de wallets, environ 2,5 M$ ayant été tracés vers un portefeuille suspect — BleepingComputer
• 319 extensions Chrome totalisant 13,4 millions d'installations déclarées détournaient les recherches des utilisateurs via des serveurs de tracking pour monétiser le trafic — BleepingComputer
• Une faille de Telegram pour Android permettait d'exécuter du code sur le téléphone de la victime dès qu'elle décrochait un appel vocal, avec un simple compte Telegram ordinaire ; corrigé en version 12.10.4 — The Hacker News
• Un chercheur a publié un PoC pour CVE-2026-58882, le « SMS of Death » Android, qui coupe le service cellulaire ou fait planter les téléphones non patchés via un SMS forgé — BleepingComputer
• Un lien de partage ChatGPT malveillant pouvait exécuter du code de l'attaquant dans la session de la victime et lire ses conversations privées ; rapporté le 18 octobre via le bug bounty d'OpenAI, classé P1 et corrigé huit jours plus tard — The Hacker News
• 26 400 identifiants cloud et IA laissés dans du code public sur Gitee étaient toujours valides lors du test du chercheur, après un scan de 7,25 millions de dépôts — pendant que GitHub lance en preview publique un pare-feu npm qui bloque les paquets suspects au moment de l'installation — The Hacker News, The Hacker News

Voilà pour cette semaine : patche PHP, ton noyau, GitLab, Node et tes images de conteneurs, et jette un œil à ce que tes agents de code lisent avant de les lancer. Pour ne rien manquer des prochaines éditions, abonne-toi au flux RSS.