Faille 10.0 sur Bricksforge 🔌, RCE critique corrigée dans GitLab 🚨, DDoS massif sur les sites Canonical 🌐

Veille

13 octobre 2026 • 3 minutes de lecture

Bonjour, voici ta veille Cybere du 13 octobre 2026 !

Entre l'exploitation active de failles zero-day et les réactions des éditeurs, la veille du jour est particulièrement intense. Du côté de WordPress, le plugin Bricksforge subit des attaques en conditions réelles visant une vulnérabilité de sévérité maximale. Sur le terrain du devops, GitLab réagit promptement en déployant un correctif d'urgence pour colmater une RCE critique dans son moteur CI/CD. Enfin, du côté des infrastructures, Canonical fait face à une nouvelle vague d'attaques DDoS qui a temporairement perturbé ses sites officiels.

Retrouve les trois articles à la une du jour :

Faille critique CVE-2026-85097 (CVSS 10.0) sur l'extension WordPress Bricksforge : des attaques actives permettent le téléversement de shells PHP
GitLab comble la vulnérabilité maximale CVE-2026-97229 liée à un dépassement d'entier dans l'analyseur d'expressions régulières CI/CD
Les portails web de Canonical et Ubuntu subissent plus de quatre heures de perturbations à la suite d'une attaque par déni de service distribué

Une faille Bricksforge de CVSS 10.0 est exploitée sur WordPress

La CVE-2026-85097 (CVSS 10.0), qui touche le plugin WordPress Bricksforge jusqu'à la version 3.1.8.9 incluse, est exploitée en conditions réelles, selon Patchstack. Elle permet à un attaquant non authentifié de téléverser et d'exécuter du code PHP arbitraire, soit une exécution de code à distance. Le correctif figure dans la version 3.1.8.10.

Patchstack a détecté des tentatives d'exploitation le 7 octobre 2026 à 21h47 UTC. Le plugin valide le type MIME au téléversement, mais fait ensuite confiance au champ url du paramètre temporaryFileUploads lors de l'envoi du formulaire. Les attaques ciblent /wp-json/bricksforge/v1/form_submit ou admin-ajax.php, depuis 63 adresses IP distinctes.

Points d'attention

Le nonce s'obtient sans authentification via bricksforge_regenerate_nonce, puis un polyglotte GIF/PHP passe le contrôle MIME avant d'être placé sous une extension PHP.
Pour contourner le filtrage des extensions, les attaquants recourent à .php5, .php7 ou .phtml, à la casse variable et à des encodages comme .%70hp.
44 IP ont envoyé 56 requêtes identiques en quelques secondes, mais Patchstack précise que ce schéma n'attribue pas l'activité à un seul acteur.

→ Lire la source

GitLab corrige une faille d'exécution de code de gravité maximale

GitLab a publié des correctifs pour la CVE-2026-97229, une faille de gravité maximale dans le compilateur d'expressions régulières CI/CD. Elle permettrait à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur. Le chercheur « joaxcar » l'a signalée via le programme HackerOne de GitLab.

La faille provient d'un dépassement d'entier dans le composant qui analyse, compile et évalue les expressions régulières des fichiers de pipeline. Selon l'avis publié lundi, une expression régulière forgée suffit, sous certaines conditions, en raison d'une validation insuffisante. Les versions 19.2.8, 19.3.4 et 19.4.2 de CE et EE la corrigent. GitLab.com est déjà à jour.

Points d'attention

Le mois dernier, la CVE-2026-85706, également de gravité maximale, a été corrigée dans GitLab CE/EE. Elle permettait à des attaquants non authentifiés de lire des identifiants et autres secrets.
La CISA a inscrit la CVE-2026-85706 à son catalogue des failles exploitées en conditions réelles un jour plus tard, avec trois jours accordés aux agences fédérales pour sécuriser leurs systèmes.
Depuis novembre 2021, la CISA a signalé cinq failles GitLab abusées dans des attaques, dont une exploitée par des groupes de ransomware.

→ Lire la source

Une attaque DDoS perturbe les sites web de Canonical

Canonical a confirmé le 8 octobre une attaque par déni de service distribué (DDoS) contre ses sites web, quelques mois après une attaque plus importante contre l'infrastructure de l'éditeur d'Ubuntu. Dans un message sur le forum Ubuntu Discourse, l'entreprise évoque une attaque soutenue, rendant certains services parfois inaccessibles.

Selon OMG! Ubuntu, la perturbation s'est limitée aux principales propriétés web : ubuntu.com, canonical.com, le blog Ubuntu, le site développeurs, ainsi que les pages d'avis de sécurité et l'API. Le 9 octobre, Canonical poursuivait la remise en service, la plupart des services étant de nouveau accessibles. OMG! Ubuntu chiffre l'indisponibilité à un peu plus de quatre heures.

Points d'attention

Launchpad et le Snap Store ne semblent pas touchés cette fois, alors qu'ils avaient été mis hors service lors de l'attaque d'avril.
L'attaque d'avril, décrite par Canonical comme une attaque soutenue et transfrontalière, avait empêché certains utilisateurs d'installer des mises à jour d'Ubuntu.
Aucune revendication n'apparaît en octobre, alors que le groupe hacktiviste 313 Team avait revendiqué l'attaque d'avril, sans lien établi entre les deux.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere