4 failles ajoutées au KEV par la CISA 🚨, Kiteworks ordonne un arrêt préventif ⏸️, injection SQL active sur Roundcube 💉

Veille
• 4 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 26 septembre 2026 !

La CISA qui intègre quatre nouvelles failles exploitées à son catalogue KEV, la décision inédite de Kiteworks d'éteindre préventivement l'ensemble de ses serveurs sous la pression d'une alerte fédérale, et des injections SQL en cours d'exploitation sur le webmail Roundcube : l'actualité du jour met en évidence une montée en tension maximale sur la protection des infrastructures critiques et des outils de transfert de données.

Retrouve les trois articles à la une du jour :

  • La CISA ajoute la CVE-2026-5430 (CVSS 10.0 sur WSO2) et trois autres vulnérabilités à son catalogue d'exploitation active KEV
  • Mesure d'urgence préventive : Kiteworks demande à ses clients mondiaux d'éteindre leurs serveurs pendant six heures face à une menace imminente
  • Exploitation en conditions réelles de la CVE-2026-48842 : une injection SQL sur le plugin virtuser_query de Roundcube permet de lire messages et identités

La CISA ajoute quatre failles exploitées à son catalogue KEV

La CISA a inscrit quatre vulnérabilités activement exploitées à son catalogue KEV, dont deux critiques : la CVE-2026-5430 (CVSS 10.0) dans WSO2 API Manager et la CVE-2026-71362 dans Adobe Commerce. Les agences fédérales disposent jusqu'au 27 septembre pour corriger ces deux failles, et jusqu'au 28 pour la CVE-2026-65660 (SharePoint) et la CVE-2026-67279 (Mikrotik RouterOS).

La CVE-2026-5430 affecte WSO2 API Manager 4.1.0 à 4.6.0, API Control Plane, Traffic Manager et Universal Gateway 4.5.0 et 4.6.0. Le mécanisme JWT accepte des jetons signés avec un algorithme non supporté, permettant de compromettre des comptes administrateurs. watchTowr a capturé des tentatives d'exploitation le 13 septembre depuis une seule adresse IP. L'attaquant a visé le mauvais produit pour la CVE-2026-5430. Sansec signale que la CVE-2026-71362 ne requiert ni compte, ni privilèges, ni interaction utilisateur.

Points d'attention

  • La CVE-2026-5430 touche près de mille clients WSO2 dans la finance, les télécommunications et la logistique, secteurs où un compromis administrateur peut exposer des API et des identifiants d'application.
  • watchTowr a reproduit l'attaque sur le produit correct : un jeton JWT forgé pourrait exposer des endpoints API et des identifiants d'application.
  • Adobe Commerce et Magento Open Source sont vulnérables à la CVE-2026-71362 sans qu'aucun prérequis d'accès ne soit nécessaire, d'après Sansec qui documente une exploitation en conditions réelles.

→ Lire la source

Kiteworks demande l'arrêt préventif de ses serveurs face à une menace imminente

L'éditeur de logiciels de partage sécurisé Kiteworks a demandé à ses clients mondiaux d'éteindre leurs serveurs samedi 26 septembre pendant six heures, après avoir reçu une alerte des autorités fédérales signalant une cyberattaque potentiellement imminente. Selon Frank Balonis, CISO de Kiteworks, la recommandation s'applique même aux systèmes non directement exposés sur Internet.

L'entreprise n'a pas confirmé de compromission ni identifié de vulnérabilité exploitée, mais le support client a évoqué auprès de la publication allemande Heise une protection contre d'éventuels zero-days. Kiteworks précise que toutes les failles connues sont corrigées dans la version 9.5.1. Les plages d'arrêt s'échelonnent selon les fuseaux horaires : de 4h à 10h en Europe centrale, de 22h vendredi à 4h samedi à New York. L'éditeur insiste sur le caractère préventif de la mesure.

Points d'attention

  • Le gang d'extorsion Clop a déjà ciblé des plateformes de transfert de fichiers similaires (Accellion, GoAnywhere, MOVEit), ce qui en fait un suspect probable selon l'historique d'attaques du secteur.
  • Le Département d'État américain offre une récompense de 10 millions de dollars pour toute information liant les attaques de Clop à un gouvernement étranger, signe de l'intérêt géopolitique du dossier.
  • Kiteworks demande l'extinction des serveurs avant la fenêtre prévue et inclut les instances non exposées, révélant une inquiétude sur un vecteur d'attaque interne ou latéral potentiel.

→ Lire la source

Une faille SQL dans Roundcube exploitée en conditions réelles

Le Centre canadien pour la cybersécurité signale l'exploitation active de la CVE-2026-48842 (CVSS 8.1), une injection SQL touchant Roundcube, le client webmail open source. La vulnérabilité réside dans le plugin virtuser_query et permet à un attaquant non authentifié de contourner le filtre preg_replace() par des séquences backslash forgées.

Selon SentinelOne, l'attaque exploite le mécanisme d'échappement du plugin pour concaténer des guillemets dans une requête SQL envoyée à la base de données. Omar Ahmed, de Paymob, souligne que l'exploitation réussie permet de falsifier des opérations, d'accéder aux identités, messages et carnets d'adresses, et de cartographier les flux d'authentification. Roundcube a corrigé la faille dans les versions 1.6.16 et 1.7.1 publiées fin mai. La Shadowserver Foundation recense plus de 500 000 serveurs Roundcube accessibles depuis Internet.

Points d'attention

  • L'attaque s'exécute sans authentification : les séquences backslash forgées traversent le filtre preg_replace() du plugin virtuser_query et injectent directement des guillemets dans la chaîne SQL transmise à la base.
  • Roundcube cumule plusieurs antécédents d'exploitation ciblée, notamment les CVE-2025-68461, CVE-2025-49113 et CVE-2024-37383, ce qui en fait une surface d'attaque régulièrement scrutée.
  • Le nombre exact de serveurs vulnérables parmi les 500 000 exposés reste inconnu, faute de télémétrie précise sur les versions déployées et la présence du plugin virtuser_query.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere