Faille RCE zero-day sur N-able 🚨, backdoor Linux cachée dans Magento 🛒, amende CNIL pour l'Hôpital de la Loire 🏥
• 4 minutes de lecture
Bonjour, voici ta veille Cybere du 8 septembre 2026 !
Une prise de contrôle à distance exploitée sur l'outil de supervision N-central, une porte dérobée Linux dissimulée au cœur des e-boutiques Magento, et une sanction financière lourde infligée par la CNIL pour défaut d'authentification robuste : l'actualité du jour rappelle que la réactivité sur les zero-days et la stricte application des fondamentaux de sécurité (MFA, VPN) restent indispensables.
- N-able colmate la CVE-2026-86218, une vulnérabilité RCE critique sur N-central exploitée en conditions réelles
- StyleSmuggler : une zero-day Magento exploitée pour déployer un backdoor Linux camouflé en trafic NTP
- Manque de VPN et de MFA : la CNIL condamne l'Hôpital privé de la Loire à 500 000 € d'amende suite à une exfiltration de données
N-able corrige une zero-day RCE exploitée dans N-central
N-able a publié le 5 septembre le correctif Hotfix 4 pour N-central 2026.3, portant la version à 2026.3.1.14, afin de colmater la CVE-2026-86218 (CVSS critique), une faille d'exécution de code à distance exploitée en conditions réelles. Un avis interne envoyé aux clients confirme l'exploitation de la zero-day, contredisant l'advisory public qui indiquait n'avoir aucune confirmation d'exploitation.
La vulnérabilité touche les déploiements hébergés et sur site de N-central, solution de supervision utilisée par de nombreux fournisseurs de services managés. Elle autorise l'exécution de code sans authentification préalable sur le serveur. Deux autres failles haute sévérité, CVE-2026-86206 et CVE-2026-86207, corrigées le même week-end, permettent de contourner l'authentification. Huntress a relayé l'alerte via un post Discord d'un employé N-able. L'éditeur souligne l'impossibilité de confirmer laquelle des trois CVE a été exploitée chez un client compromis, les journaux ayant déjà pivoté.
Points d'attention
- La divulgation initiale évoquait une remontée responsable sans exploitation connue, mais l'avis interne marqué urgent confirme des attaques en conditions réelles contre des environnements de production.
- Les journaux du serveur N-central compromis avaient déjà pivoté au moment de l'analyse, rendant impossible l'attribution définitive de l'exploitation à l'une des trois CVE corrigées ce week-end.
- Huntress a appris l'existence de la faille via un post Discord d'un employé N-able dans la communauté MSPGeek, avant même l'annonce publique du correctif par l'éditeur.
Une zero-day Magento exploitée pour installer une porte dérobée Linux
Sansec a révélé l'exploitation en conditions réelles d'une zero-day baptisée StyleSmuggler, qui touche toutes les versions de Magento et Adobe Commerce. Le premier cas d'exploitation a été observé le 4 septembre sur une cible à jour. Adobe Enterprise Support a confirmé travailler sur un correctif sans donner d'échéance, alors que Magento équipe plus de 160 000 sites.
L'attaque repose sur une injection de code PHP dans le système de templates de Magento, déclenchée par la génération d'un faux e-mail de paiement échoué. L'exploitation installe une porte dérobée Rust qui se déguise en processus kworker/u:8:0 ou fc-cache et ajoute une tâche cron toutes les 30 minutes. Les versions récentes du malware masquent leur trafic en UDP sur le port 123, imitant le protocole NTP pour contourner les pare-feux.
Points d'attention
- Le malware détecte le traçage actif en lisant la valeur TracerPid de Linux : s'il repère une supervision, il s'installe mais n'envoie aucun signal au serveur de commande et contrôle.
- Les nouvelles versions de la backdoor déguisent leurs communications en trafic NTP via UDP sur le port 123, en utilisant des noms d'hôtes qui évoquent une infrastructure de synchronisation horaire.
- Sansec recommande provisoirement de désactiver GraphQL comme mesure de contournement, Adobe devant publier son prochain bulletin de sécurité le 8 septembre sans confirmer l'inclusion du correctif.
La CNIL sanctionne l'Hôpital de la Loire pour absence de VPN et de MFA
La CNIL a condamné l'Hôpital privé de la Loire à 500 000 € d'amende après une cyberattaque ayant exposé les données de 524 867 patients et 202 246 tiers de confiance durant l'été 2025. L'attaquant a exploité l'absence de VPN et de MFA sur les accès externes au Dossier Patient Informatisé (DPI), pour accéder à ces informations avec les identifiants d'un utilisateur.
Une fois connecté, l'attaquant a pu consulter l'ensemble des dossiers de l'établissement, la politique d'habilitation ne limitant pas les accès aux seuls patients suivis par chaque professionnel. La CNIL relève également l'absence de détection en temps réel, qui a permis plusieurs jours d'exfiltration sans alerte. Cette décision s'inscrit dans une série de sanctions visant France Travail, Free et IQVIA sur des défaillances similaires.
Points d'attention
- La CNIL avait annoncé en janvier 2025 que l'absence de MFA pour les accès distants à de grandes bases de données sensibles justifierait désormais l'ouverture d'une procédure de sanction.
- L'amende Free de 42 millions d'euros en janvier 2026 avait déjà ciblé une infrastructure d'accès distant jugée insuffisamment sécurisée, préfigurant le raisonnement appliqué à l'hôpital de la Loire.
- La Commission examine désormais la sécurité comme une chaîne de contrôles : authentification robuste, limitation des privilèges, cloisonnement, journalisation et détection des comportements anormaux doivent être pensés ensemble.
Autres actus importantes
- Faille de remplissage Padding-Oracle dans Telerik UI chaînée à une exécution de code distante sans authentification, exploit public disponible
- VMware Workstation et Fusion : deux failles permettent de s'évader d'une VM vers l'hôte
- La violation de données Trezor affecte désormais 81 000 clients
- Le ministère de la Transition écologique ciblé par une cyberattaque
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere