Faille d'accès fichiers chez Atlassian 📂, 2 plugins WordPress piratés 🔌, alerte FBI sur la campagne FortiBleed 🚨

Bonjour, voici ta veille Cybere du 7 octobre 2026 !

Un correctif d'urgence d'Atlassian pour bloquer la lecture non autorisée de fichiers sur ses versions Data Center, des attaques XSS ciblant deux plugins WordPress très répandus pour créer des accès administrateurs furtifs, et le rappel à l'ordre du FBI sur la campagne FortiBleed qui continue de ravager le parc Fortinet : l'actualité du jour met en garde contre l'ancrage profond des attaquants dans les environnements exposés.

Retrouve les trois articles à la une du jour :

• Atlassian corrige la CVE-2026-21589, une faille critique permettant de lire des fichiers système sur Confluence, Jira et Bitbucket Data Center
• Des pirates exploitent des vulnérabilités XSS stockées dans Ninja Forms et WPC Product Bundles pour injecter des scripts et créer des comptes administrateurs sur WordPress
• Alerte conjointe du FBI et du Secret Service : la campagne FortiBleed touche des centaines de milliers d'équipements Fortinet et alimente les réseaux de ransomware

Atlassian corrige une faille critique d'accès aux fichiers

Atlassian a averti ses clients d'une faille critique, la CVE-2026-21589, qui permet un accès arbitraire à des fichiers dans plusieurs produits Data Center auto-hébergés, dont Confluence, Jira et Bitbucket. Un attaquant non authentifié peut atteindre des fichiers précis du répertoire racine de l'application web.

Selon l'avis d'Atlassian, l'exploitation exige de connaître le nom exact et le chemin du fichier visé. Toutes les versions publiées avant les correctifs sont touchées. Les versions corrigées incluent Confluence Data Center 9.2.26 et 10.2.19, Jira Software Data Center 11.3.12 et Bitbucket Data Center 10.5.1. Les clients cloud sont déjà protégés.

Points d'attention

• Atlassian ne dispose d'aucune preuve d'exploitation à ce jour, mais ne peut pas établir si des instances clientes auto-hébergées ont été compromises.
• Des règles WAF ou proxy bloquant les schémas de traversée, des règles Tomcat RewriteValve et une réécriture d'URL pour Bitbucket servent de mesures temporaires.
• Les changements temporaires doivent couvrir chaque nœud du cluster, y compris les miroirs Bitbucket et les nœuds de fermes de miroirs.

→ Lire la source

Des pirates exploitent deux plugins WordPress pour créer des administrateurs

Des chercheurs de Patchstack ont identifié, le 4 octobre, une campagne exploitant des failles de type cross-site scripting stocké dans deux plugins WordPress. La CVE-2026-94504 touche Ninja Forms 3.15.3 et antérieures (plus de 500 000 sites), la CVE-2026-93836 WPC Product Bundles for WooCommerce 8.6.6 et antérieures (plus de 30 000 sites).

L'attaquant dépose un script JavaScript, x.js, dans des données de commande WooCommerce ou des soumissions Ninja Forms. Lorsqu'un administrateur connecté charge le contenu, le script s'exécute avec sa session, récupère les nonces et installe un plugin se faisant passer pour WP Smart Thumbnails 1.2.4, puis crée un compte administrateur. Les versions 8.6.7 et 3.15.4 corrigent les failles.

Points d'attention

• Un gestionnaire de fichiers sans authentification, atteint par requête directe au PHP principal du plugin malveillant, n'exécute aucune commande mais permet de déposer d'autres payloads.
• Supprimer WP Smart Thumbnails ne suffit pas : un compte masqué de la liste des utilisateurs et une URL secrète survivent via des plugins auxiliaires aux horodatages antidatés.
• Le même payload, servi depuis imgcdn1[.]com contre les deux plugins, indique un acteur unique, et Patchstack juge l'exploitation encore limitée.

→ Lire la source

Le FBI signale une campagne FortiBleed toujours active

Le FBI et le Secret Service ont averti mardi que FortiBleed, une campagne de compromission d'identifiants visant les pare-feu et passerelles VPN Fortinet, reste active. Selon leur alerte, les attaquants peuvent verrouiller l'accès des victimes en désactivant des comptes ou en changeant des mots de passe. La campagne a aussi servi de point d'entrée à des ransomwares.

Révélée cet été, la campagne avait d'abord été associée par SOCRadar à plus de 86 644 appareils compromis dans 194 pays. Selon Ensar Seker, RSSI de SOCRadar, une enquête ultérieure a identifié 400 000 à 450 000 pare-feu ciblés. Des courtiers d'accès initial fournissent ces accès à des affiliés de ransomware, dont INC/Lynx et Payload.

Points d'attention

• D'après Ensar Seker de SOCRadar, les attaquants exploitent des identifiants volés pour accéder aux appareils exposés, y créer de nouveaux comptes administrateurs et parfois évincer les vrais propriétaires.
• Seker précise que les différences de périmètre entre les phases de l'opération rendent les comparaisons de chiffres imprécises, mais montrent une campagne plus large que prévu.
• Le verrouillage des comptes impose, selon l'alerte gouvernementale, une remédiation au-delà des correctifs et réinitialisations de mots de passe habituels. Les agences collectent encore adresses IP et noms d'utilisateur des attaquants.

→ Lire la source

Autres actus importantes

• Dell PowerEdge : une faille critique permet d'exécuter du code en tant que root sur les serveurs
• Des pirates chinois mènent une opération de cyberespionnage assistée par l'IA
• Des portes dérobées Linux usurpent l'identité d'outils de sécurité messagerie pour échapper à la détection en Corée et Taïwan
• Des agents OpenAI non autorisés ont modifié Wikipédia et adressé des millions de requêtes à Wikimedia

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere