Faille d'isolation chez Cloudflare 🔓, injection SQL active sur Roundcube 💉, le défacement utilisé comme preuve de vol 🎨

Veille

28 septembre 2026 • 3 minutes de lecture

Bonjour, voici ta veille Cybere du 28 septembre 2026 !

Un défaut d'isolation des mémoires tampons corrigé par Cloudflare sur son infrastructure multi-locataire, une injection SQL activement exploitée sur des centaines de milliers de serveurs webmail Roundcube, et une nouvelle stratégie d'extorsion où le défacement de site sert de garantie commerciale : l'actualité du jour montre la diversité des menaces, de l'infrastructure cloud jusqu'à la réputation des plateformes web.

Retrouve les trois articles à la une du jour :

Cloudflare résout une vulnérabilité dans Containers qui permettait de lire les données résiduelles d'autres locataires sur un même hôte
Faille CVE-2026-48842 : une injection SQL pré-authentification sur Roundcube expose les identifiants et les courriels stockés
Évolution des tactiques : des pirates défigurent l'affichage de sites web pour prouver leurs intrusions et vendre des bases de données

Cloudflare corrige une faille d'isolation entre locataires dans Containers

Cloudflare a corrigé une vulnérabilité dans son service Containers qui permettait à un client disposant d'un compte Workers Paid de récupérer des données résiduelles appartenant à d'autres clients hébergés sur le même hôte physique. La faille, signalée le 4 septembre par Oren Yomtov d'Accomplish via HackerOne, a été fermée le 19 septembre 2024.

Le vecteur reposait sur un pool de stockage partagé configuré pour ignorer la remise à zéro des blocs de 64 KiB réutilisés. En n'écrivant que 4 KiB dans une région non utilisée, un attaquant provoquait l'allocation d'un bloc physique recyclé dont les 60 KiB restants demeuraient lisibles et pouvaient contenir des fichiers de configuration, bases SQLite ou profils Chromium d'un locataire précédent. Les chercheurs ont trouvé des résidus sur 18 des 24 conteneurs testés.

Points d'attention

L'exploitation franchissait la barrière d'isolation entre locataires mais ne donnait aucun contrôle sur l'hôte ni accès aux disques activement attachés d'autres clients.
Accomplish a employé uniquement des scripts qui renvoyaient des comptages agrégés, sans extraire de contenu réel, et n'a démontré aucun moyen de modifier ou perturber des données.
Cloudflare n'a détecté aucune trace d'exploitation en conditions réelles après examen des journaux, de la télémétrie et de l'historique, et a retiré tous les disques existants.

→ Lire la source

Une faille d'injection SQL dans Roundcube exploitée activement

Le Centre canadien pour la cybersécurité signale l'exploitation active de la CVE-2026-48842 (CVSS 8.1), une injection SQL pré-authentification dans le plugin virtuser_query de Roundcube Webmail. La vulnérabilité touche les versions 1.6.x antérieures à 1.6.16 et 1.7.x antérieures à 1.7.1, corrigées en mai 2026.

Selon SentinelOne, la faille permet à un attaquant non authentifié d'injecter du SQL dans la base de données de Roundcube via un contournement d'échappement de barre oblique inverse dans preg_replace(). L'exploitation expose les identifiants de comptes mail et les messages stockés. La Shadowserver Foundation recense plus de 523 000 instances Roundcube exposées sur Internet, dont dix restent vulnérables au 23 septembre 2026.

Points d'attention

L'injection ne requiert aucune authentification préalable : le contournement de l'échappement dans preg_replace() suffit à forger des requêtes SQL arbitraires contre le backend de Roundcube.
Roundcube constitue une cible privilégiée pour la collecte d'emails sensibles : en juillet 2026, Proofpoint a documenté l'acteur chinois présumé UNK_MassTraction déployant des web shells via des failles Roundcube.
Deux autres vulnérabilités du webmail, CVE-2025-49113 et CVE-2025-68461, avaient déjà été inscrites au catalogue KEV de la CISA en février 2026 pour exploitation active.

→ Lire la source

Des cybercriminels "defacent" des sites pour crédibiliser leurs offres de données volées

Le barbouillage de sites web, longtemps cantonné à la provocation numérique, sert désormais de preuve commerciale chez certains vendeurs de bases de données compromises. Le 20 septembre 2026, un pirate a annoncé sur un forum clandestin la vente de la base complète de la Fédération Française de Spéléologie, accompagnée du barbouillage de sept sous-domaines constaté par ZATAZ.

L'auteur revendique 93 493 membres uniques, 31 801 adresses électroniques, 33 471 numéros de téléphone et 371 IBAN présentés comme validés, ainsi qu'un accès RCE (exécution de code à distance) aux serveurs. Le barbouillage ne constitue plus une simple signature graphique : il devient un élément de démonstration destiné à distinguer une revente de fichiers d'une compromission plus profonde. Cette convergence entre vandalisme visible et commerce clandestin rappelle toutefois qu'une page modifiée ne garantit pas l'accès à des données sensibles.

Points d'attention

Le barbouillage intervient après l'exfiltration et sert de vitrine commerciale : l'attaquant affiche son accès pour valoriser son offre auprès d'acheteurs potentiels sur les forums clandestins.
L'auteur refuse les offres jugées trop basses et les demandes d'échantillons gratuits, inscrivant sa démarche dans une logique de marché structurée avec un extrait de 1 000 enregistrements comme preuve.
Une page barbouillée ne prouve pas nécessairement l'exfiltration de données sensibles : le signal visible peut masquer l'étendue réelle ou l'absence de compromission des bases sous-jacentes.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere