BULLETIN QUOTIDIEN
Exécution de code à distance (RCE) via Node2Shell, vulnérabilité PHP non corrigée et faille dans Python Pillow
Le briefing d'aujourd'hui aborde les risques d'exécution de code à distance dans Node.js et Python Pillow, un avis de configuration PHP non corrigé et une porte dérobée de réseau maillé utilisée en Ukraine.
5 actualités3 min de lecture
Les environnements d'exécution d'applications web et leurs dépendances les plus courantes sont aujourd'hui au cœur des préoccupations, avec l'émergence de nouveaux vecteurs d'exécution de code dans Node.js, PHP et la bibliothèque d'images Pillow de Python. Les organisations qui gèrent des plateformes web doivent auditer ces composants serveur essentiels et appliquer les mises à jour sans délai.
Dans le même temps, les cyberopérations ciblées révèlent des tactiques de persistance de plus en plus sophistiquées. Les groupes de menaces Sandworm et UAC-0099 ont utilisé une nouvelle porte dérobée dans un réseau maillé, associée à des outils d'effacement de données, soulignant ainsi la nécessité de surveiller les canaux de commande et de contrôle non traditionnels au sein des infrastructures critiques.
Une faille critique dans la bibliothèque d'images Pillow, très populaire en Python, permet l'exécution de code via une image spécialement conçue.
Une vulnérabilité critique de la bibliothèque Pillow de Python (CVE-2026-112900) permet l'exécution de code à distance lors du traitement d'images EPS. Pillow transmet les noms de fichiers à Ghostscript sans validation, ce qui autorise l'injection de commandes via des noms de fichiers spécialement conçus. Cette faille a été corrigée dans la version 13.0.0 de Pillow.
- Pourquoi c'est important
- Pillow est largement utilisé dans les applications web, les flux de travail de traitement d'images et les pipelines d'apprentissage automatique, exposant ainsi les systèmes traitant des images non fiables à l'exécution de commandes.
Des pirates informatiques liés à la Russie ont utilisé une nouvelle porte dérobée dans un réseau maillé lors d'une attaque destructrice en Ukraine.
Le groupe de cybercriminels Sandworm, soutenu par l'État russe, a collaboré avec UAC-0099 lors d'une attaque destructrice contre une entreprise de logistique ukrainienne. UAC-0099 a déployé la porte dérobée MATCHWOK et une nouvelle porte dérobée de réseau maillé, MythicRatatoskr, communiquant via Yggdrasil avant de donner accès à Sandworm pour exécuter un programme d'effacement de données.
- Pourquoi c'est important
- Les attaquants utilisent une infrastructure C2 inédite sur des réseaux maillés comme Yggdrasil pour échapper à la détection avant de lancer des outils de destruction de données.
Des chercheurs démontrent l'exploitation de la vulnérabilité RCE Node2Shell sur une application Node.js à l'aide de données Brotli spécialement conçues.
Des chercheurs ont démontré qu'une faille d'exécution de code à distance via Node2Shell était fonctionnelle sur les versions officielles de Node.js 24.22.0 pour Linux arm64. Cette faille exploite une vulnérabilité du décodeur Brotli (CVE-2026-111497) en injectant des données compressées malveillantes pour exécuter du code arbitraire. Les versions corrigées, notamment Node.js 24.22.1, bloquent cette injection de code.
- Pourquoi c'est important
- Les applications décodant des données compressées Brotli non fiables à l'aide de versions vulnérables de Node.js sont susceptibles d'être exécutées à distance.
PHP met en garde contre une nouvelle faille d'exécution de code à distance non corrigée deux jours après la publication des correctifs d'urgence pour PHP2Shell
PHP signale la vulnérabilité CVE-2026-115560, une faille de sécurité à distance (RCE) non corrigée, affectant les configurations où `session.serialize_handler` est défini sur `php_binary` ou `php_serialize`. Ce signalement fait suite aux correctifs d'urgence pour CVE-2026-109618 et CVE-2026-109619. PHP ne publie pas de correctif d'urgence et recommande de désactiver l'affichage de la progression du chargement de la session.
- Pourquoi c'est important
- Les applications Web dotées d'options de configuration de session PHP spécifiques restent vulnérables à l'exécution de code à distance jusqu'à la prochaine mise à jour régulière.
HPE corrige huit failles RCE et de contournement d'authentification AOS de gravité maximale
La page de vérification de BleepingComputer a renvoyé une alerte de sécurité de Cloudflare, empêchant la récupération des détails de l'article concernant la publication par HPE d'un correctif pour les failles d'AOS.
Points clés
- Mettez à jour Node.js vers la version 24.22.1 pour empêcher l'exécution de code à distance via la faille du décodeur Brotli CVE-2026-111497.
- Des acteurs liés à la Russie ont utilisé la porte dérobée MythicRatatoskr pour communiquer via le réseau maillé Yggdrasil avant une attaque par effacement de données.