Faille critique GraphQL sur GitLab 🛡️, escalade de privilèges via Certighost 👑, fuite massive à l'Éducation nationale 🎒
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 18 août 2026 !
De la suppression arbitraire de projets sur GitLab au vol de données de l'Éducation nationale française, en passant par une faille PKI permettant à un utilisateur standard de devenir contrôleur de domaine Active Directory, l'actualité du jour démontre comment l'exploitation de faiblesses d'authentification et de validation peut totalement ébranler nos périmètres de sécurité.
Retrouve les trois articles à la une du jour :
- GitLab publie un correctif d'urgence pour une faille GraphQL critique permettant la suppression de projets publics
- La vulnérabilité Certighost sur les services AD CS permet une prise de contrôle totale d'un domaine Active Directory
- Le pirate ZeroBytes revendique l'exfiltration de 346 millions de lignes de données touchant l'Éducation nationale
GitLab corrige une faille GraphQL critique permettant la suppression de projets
GitLab a publié en urgence un correctif pour la CVE-2026-19478 (CVSS 9.4), une vulnérabilité critique dans ses éditions Community et Enterprise permettant à un attaquant non authentifié de modifier ou supprimer des projets publics et des données utilisateur. Le correctif sort en dehors du calendrier habituel, cinq jours après une mise à jour régulière.
La faille exploite une directive GraphQL mal sécurisée activable sans authentification ni interaction de l'utilisateur. Selon le vecteur CVSS, l'attaque s'effectue uniquement sur le réseau. GitLab ne précise ni le nom de la directive ni les conditions exactes d'exploitation. Les versions 18.11.11, 19.0.8, 19.1.6 et 19.2.4 contiennent le correctif. GitLab.com et GitLab Dedicated fonctionnent déjà en version corrigée.
Points d'attention
- Aucune exploitation en conditions réelles n'a été observée à la date de la divulgation, et aucun code d'exploitation public ne circulait sur GitHub avant le 18 août 2026.
- La
CVE-2026-19650(CVSS 7.1), une faiblesse CSRF dans le gestionnaire de requêtes GraphQL multiplex, a également été corrigée, mais elle exige une interaction utilisateur pour fonctionner. - Les détails techniques des deux vulnérabilités seront rendus publics 90 jours après le correctif, soit vers mi-novembre 2026, conformément à la politique de GitLab.
Une faille PKI permet à un utilisateur lambda de devenir contrôleur de domaine
La CVE-2026-54121, surnommée Certighost, permet à un utilisateur Active Directory standard d'obtenir un certificat d'authentification valide pour un contrôleur de domaine. Microsoft a publié un correctif le 14 juillet 2026, évalué CVSS 8.8. Des chercheurs ont diffusé une preuve de concept fonctionnelle le 24 juillet.
L'attaque exploite la fonctionnalité « chase » des services AD CS, qui confie à un paramètre cdc le soin de localiser les objets. L'autorité de certification ne valide jamais que le point de terminaison nommé dans cdc est un véritable contrôleur de domaine. Un attaquant pointe cdc vers une machine qu'il contrôle, l'autorité établit une connexion avec ce faux point de terminaison, qui lui transmet une identité forgée incluant le SID de l'objet et le nom DNS du contrôleur visé.
Points d'attention
- Le vecteur initial ne réclame que des droits d'utilisateur standard : les paramètres par défaut d'Active Directory, notamment MachineAccountQuota, ont fourni tous les éléments à la chaîne d'attaque lors des tests.
- Aucune exploitation confirmée en conditions réelles n'était documentée au moment de la divulgation publique, mais la disponibilité d'une preuve de concept fonctionnelle réduit le délai avant intégration dans des outils commodifiés à quelques semaines.
- La vulnérabilité expose un problème de validation de confiance plus large : l'autorité de certification accepte l'identité affirmée par un endpoint sans vérification, un défaut architectural tenant à plusieurs configurations par défaut dormantes depuis des années.
Un pirate revendique le vol de millions de données de l'Éducation nationale française
Un attaquant revendiqué sous le pseudo ZeroBytes annonce l'extraction d'environ 43 Go de données depuis l'Éducation nationale via un accès VPN. L'ensemble couvrirait les académies de Créteil et de Versailles, I-Prof et plusieurs systèmes scolaires, avec environ 2 500 fichiers et 346 millions de lignes brutes datant de 2002 à juillet 2026.
Les données revendiquées incluent des informations sur les élèves (noms, identifiants scolaires, dates de naissance, adresses), les parents, les enseignants et les personnels administratifs. Le contenu jugé le plus sensible concerne deux annuaires totalisant environ 600 000 comptes avec empreintes de mots de passe. Le pirate affiche également avoir récupéré des clés d'accès à certains serveurs et des fichiers de configuration de comptes techniques.
Points d'attention
- ZeroBytes affiche des victimes précédentes : ministère de l'Économie et des Finances, SFR, Accor, Intermarché, fédération Française de Handball, renforçant sa notoriété dans le paysage des cybercriminels français.
- Les empreintes de mots de passe ne sont pas en clair, mais dérivées du stockage technique. Leur exploitabilité dépend de la robustesse du hashage, ce qui n'exclut pas que certaines puissent être retrouvées.
- L'accès initial s'est fait via un VPN, et la présence de clés de serveur suggère une exfiltration allant au-delà de simples dossiers administratifs.
Autres actus importantes
- Vulnérabilité Forminator WordPress permettant une exécution de code à distance non authentifiée via des téléchargements PHP malveillants
- Un acteur présumé lié à la Chine exploite une faille VMware vCenter et déploie un ransomware dérivé de Babuk
- Fuite de données au Pokémon Center expose les informations clients et annule certaines commandes
- Les défenses de sécurité les plus robustes de Windows 11 peuvent être contournées sans tournevis
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere