Faille critique sur Drupal Commerce 🚨, Extension Claude Code piégée 🧩, 63 000 attaques contre WordPress 🌐

Veille
• 3 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 31 octobre 2026 !

Des boutiques en ligne jusqu'aux environnements de développement, les cyberattaques s'intensifient en ce début de week-end. Drupal alerte sur l'exploitation active d'une vulnérabilité critique sur le module Commerce Core. Sur la marketplace de Cursor, une version piratée de l'extension Claude Code injecte des clés SSH pour piéger les développeurs. Enfin, une faille dans le processus de mise à jour de WordPress déclenche une vague massive de 63 000 attaques en seulement 24 heures.

Retrouve les trois articles à la une du jour :

  • Faille Drupal Commerce (CVE-2026-118539) : un défaut de contrôle d'accès non authentifié est exploité en conditions réelles
  • Attaque sur Cursor : l'extension Claude Code détournée intègre une porte dérobée SSH et exfiltre les identifiants système
  • Urgence WordPress : une vulnérabilité RCE dans la décompression des mises à jour déclenche près de 63 000 tentatives d'exploitation

Des pirates exploitent une faille critique dans Drupal Commerce Core

Drupal a averti que la CVE-2026-118539, une faille critique de contournement d'accès dans le module Commerce Core, est exploitée en conditions réelles. Due à une absence d'autorisation, elle peut être exploitée par des attaquants non authentifiés et touche les versions 0.0.0 à 2.41 ainsi que 3.0.0 à 3.3.13.

Selon l'avis de Drupal, classé hautement critique, le module protège insuffisamment certaines routes et certains champs d'entités, ce qui peut avoir un impact financier pour le vendeur. L'équipe de sécurité de Drupal demande aux administrateurs de la branche 3.x de passer à 3.3.13 (ou 8.x-2.41 pour les versions antérieures) et de vérifier les commandes.

Points d'attention

  • La CVE-2026-9082, une injection SQL exploitée en mai, a rejoint le catalogue KEV de la CISA, qui a imposé trois jours aux agences fédérales pour corriger.
  • Drupal a corrigé il y a deux semaines les CVE-2026-108097 et CVE-2026-108099, des exécutions de code à distance dont les exploits pouvaient apparaître « en quelques heures ou jours ».
  • Sur les dernières années, la CISA a répertorié 5 vulnérabilités Drupal exploitées activement, dont certaines ont également été détournées par des groupes de ransomwares.

→ Lire la source

Une extension Claude Code piégée a ciblé des développeurs Cursor

Cursor a révélé le détournement de l'extension officielle Claude Code sur sa place de marché, remplacée le 29 octobre par une version malveillante 2.1.313 dotée d'une porte dérobée persistante. Selon Cursor, l'attaque a duré 11 heures, de 9h27 à 20h35 GMT, et touché au plus 5 000 utilisateurs.

D'après OpenSourceMalware, un loader de 66 lignes a été ajouté au fichier extension.js. Il tente d'injecter une clé SSH de l'attaquant pour ouvrir des tunnels inversés, et exfiltre noms d'hôte, utilisateurs et adresses IP publiques. Cursor a fait tourner ses clés et reconstruit sa place de marché.

Points d'attention

  • La persistance passe par un LaunchAgent sous macOS et des tâches planifiées aux privilèges système sous Windows, avec un script Startup en secours.
  • Selon Cursor, l'activation du service SSH local exige des droits administrateur, que l'extension ne détient que dans des circonstances très inhabituelles, ce qui limite la portée de la porte dérobée.
  • Cursor n'a pas précisé le mode d'intrusion. Selon Gal Weizman de Forever Security, le vol d'identifiants de publication reste historiquement la voie la plus fréquente.

→ Lire la source

Une faille WordPress attire 63 000 attaques en un jour

Wordfence a bloqué 62 969 attaques en 24 heures contre une faille d'exécution de code à distance dans WordPress Core (CVSS 8.1), dépourvue d'identifiant CVE. Elle touche les versions 4.7 à 7.1.3, et les correctifs ont été publiés le 28 octobre 2026.

Selon Wordfence, les mises à jour complètes décompressent les fichiers, installateur compris, dans un répertoire prévisible sous wp-content/upgrade, souvent accessible depuis le web. Un attaquant non authentifié peut alors interagir avec cette copie temporaire et obtenir une exécution de code PHP. La version 7.1.4 corrige la faille.

Points d'attention

  • L'exploitation relève d'une situation de concurrence : l'attaquant doit agir pendant la décompression d'une mise à jour complète, avant que WordPress nettoie les fichiers temporaires.
  • Cette fenêtre ne dure que quelques secondes en laboratoire, ce qui explique que des acteurs interrogent en boucle des chemins comme setup-config.php.
  • Deux des principales sources ont sondé de petits groupes de sites pendant environ 14,5 heures, tandis que d'autres testaient des variantes de répertoires et de noms de version.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere