Faille SQL sur un plugin WordPress 🔓, 20 000 serveurs Exchange exposés 📧, attaques actives sur Sangoma Switchvox 📞

Veille

03 septembre 2026 • 4 minutes de lecture

Bonjour, voici ta veille Cybere du 3 septembre 2026 !

Un plugin WordPress utilisé par des millions de sites menacé par une injection SQL de second ordre, plus de 20 000 serveurs Microsoft Exchange toujours non corrigés face à une faille critique de Pwn2Own, et l'exploitation active de centrales téléphoniques VoIP : l'actualité du jour illustre à quel point la vitesse de déploiement des correctifs reste le maillon faible de nos infrastructures.

Retrouve les trois articles à la une du jour :

Faille CVE-2026-19949 dans All-in-One WP Migration : une injection SQL menace plus de trois millions de sites WordPress non mis à jour
Élévation de privilèges sur Exchange Server (CVE-2026-62911) : des milliers de serveurs exposés à un exploit PoC désormais public
Des honeypots interceptent des attaques ciblant la faille RCE de la plateforme VoIP Sangoma Switchvox pour installer des shells

Une injection SQL dans un plugin WordPress expose des millions de sites

Le plugin All-in-One WP Migration and Backup, installé sur plus de cinq millions de sites WordPress, présente une vulnérabilité d'injection SQL permettant à un attaquant non authentifié d'exécuter du code à distance. Baptisée CVE-2026-19949 avec une note de sévérité élevée, la faille a été découverte par le chercheur Jack Taylor et signalée à Wordfence à la mi-août.

Le vecteur repose sur une injection SQL de second ordre exploitant un mauvais traitement des barres obliques et guillemets lors de la réécriture de base de données pendant la restauration d'archives. Un attaquant peut injecter des données forgées via les trackbacks WordPress, qui s'exécutent lorsqu'un administrateur exporte puis importe le site. L'attaque révèle la clé secrète d'import du plugin dans un commentaire public, permettant ensuite l'injection d'une archive .wpress malveillante. ServMask a corrigé la faille dans la version 7.110 le 20 août, mais 65 % des installations restent vulnérables.

Points d'attention

Le payload reste inactif jusqu'à ce qu'un administrateur restaure une archive, opération courante pour ce plugin dont la fonction première est justement la sauvegarde et la restauration.
Seuls 35 % de la base utilisateurs ont appliqué la mise à jour, laissant environ 3,25 millions de sites exposés à une compromission complète par injection d'une archive exécutable.
Une version vulnérable désactivée réduit le risque immédiat, mais demeure exploitable si l'administrateur réactive temporairement le plugin pour effectuer une opération de maintenance.

→ Lire la source

Exchange : plus de 20 000 serveurs restent exposés à une faille critique

Microsoft a corrigé le 11 août la CVE-2026-62911 (CVSS critique), une vulnérabilité d'élévation de privilèges à distance découverte lors du concours Pwn2Own Berlin 2026 par Orange Tsai de DEVCORE. La faille touche Exchange Server 2016, 2019 et Subscription Edition, et permet à un attaquant de prendre le contrôle de l'ensemble des boîtes mail.

Selon Shadowserver, près de 22 000 serveurs exposés sur Internet demeurent potentiellement vulnérables, dont 6 200 aux États-Unis et 5 100 en Allemagne. Un exploit PoC circule déjà sur GitHub. Aucune exploitation en conditions réelles n'est documentée à ce stade, et la CVE-2026-62911 ne figure pas encore au catalogue KEV de la CISA.

Points d'attention

La faille révélée lors de Pwn2Own Berlin a rapporté 200 000 dollars à son découvreur grâce à une prise de contrôle complète du système, signe de la gravité du scénario d'exploitation.
Exchange Server 2016 et 2019 ne sont plus supportés depuis le 14 octobre 2025 : seul le programme de mises à jour de sécurité étendues couvre désormais ces versions.
Le décompte Shadowserver repose sur la version détectée et non sur une tentative d'exploitation réelle, ce qui signifie qu'un serveur signalé peut avoir bénéficié d'une mesure de contournement.

→ Lire la source

Des attaquants exploitent une faille Sangoma Switchvox pour déployer des shells inverses

Des chercheurs d'Horizon3 rapportent une exploitation active de la CVE-2026-9586, une injection SQL non authentifiée dans la plateforme VoIP Sangoma Switchvox qui permet d'exécuter du code à distance. Sangoma a corrigé la faille dans la version 8.4.0.2 publiée le 14 juillet, mais les honeypots d'Horizon3 ont observé le 30 août des tentatives ciblant plusieurs systèmes en succession rapide depuis l'adresse IP 176.65.148.184.

La vulnérabilité réside dans le point de terminaison /pa, qui extrait le champ PhoneIP d'un message XML et le concatène directement dans une requête SQL non paramétrée. L'attaquant peut ainsi exécuter des commandes système via une requête XML forgée. Environ 4 000 instances Switchvox restent exposées sur Internet, principalement aux États-Unis. Horizon3 estime que la plupart ont déjà été ciblées ou le seront bientôt, l'assaillant collectant les processus actifs et transmettant les données encodées en base64.

Points d'attention

L'attaquant a tenté d'établir un shell inversé et à collecter la liste des processus actifs sur les systèmes compromis, signe d'une reconnaissance précédant une phase d'exploitation plus approfondie.
Shodan recense environ 4 000 instances exposées, concentrées aux États-Unis, ce qui délimite le périmètre d'attaque potentiel et explique la rapidité des campagnes observées par Horizon3.
Les journaux /var/log/switchvox/db-quirks.log et les connexions réseau vers le port 39323 constituent des marqueurs de compromission concrets pour identifier une tentative d'exploitation sur un système donné.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere