SharePoint zero-day exploitée 🚨, OpenSSL DoS en 11 octets ⚡, WordPress RCE critique corrigé 🔥
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 18 juillet 2026 !
Les correctifs s'enchaînent pour des failles critiques exploitées ou exploitables, révélant l'urgence de la réactivité face à des attaques toujours plus discrètes et efficaces.
Retrouve les trois articles à la une du jour :
- CISA impose le correctif d'une faille SharePoint exploitée en zero-day
- OpenSSL corrige une faille DoS déclenchée par un payload de 11 octets
- WordPress comble une RCE critique dans son core via l'API REST
CISA rend obligatoire le correctif d'une faille SharePoint exploitée
La CISA a ajouté jeudi la CVE-2026-58644 (CVSS 9.8), une vulnérabilité critique de désérialisation dans Microsoft SharePoint Server, à son catalogue des failles exploitées. Les agences fédérales doivent déployer le correctif avant le 19 juillet 2026.
Cette faille de code à distance, exploitée en zero-day avant la disponibilité des correctifs, permet à un attaquant authentifié en tant que propriétaire de site d'injecter et exécuter du code arbitraire. Elle touche SharePoint Server Subscription Edition, 2019 et 2016. Microsoft a publié les correctifs le 14 juillet, notant que la complexité d'attaque reste faible et ne nécessite qu'une faible connaissance préalable du système.
Points d'attention
- Déployer les correctifs Microsoft du 14 juillet sur toutes les instances de SharePoint Server avant le 19 juillet, en priorisant celles exposées à Internet.
- Activer l'intégration AMSI pour chaque application web SharePoint et scanner les artefacts d'intrusion, notamment les outils de récupération de clés IIS.
- Restreindre l'accès à SharePoint Central Administration et limiter les communications réseau aux systèmes strictement nécessaires selon les recommandations de durcissement Microsoft.
OpenSSL corrige une faille DoS déclenchée par payload de 11 octets
La Red Team d'Okta a révélé une vulnérabilité baptisée HollowByte affectant OpenSSL, permettant à des attaquants non authentifiés de déclencher un déni de service sur les serveurs avec un payload malveillant de seulement 11 octets. L'équipe OpenSSL a silencieusement corrigé la faille sans lui assigner d'identifiant CVE.
La vulnérabilité exploite un défaut lors de la poignée de main TLS. Le serveur alloue la mémoire déclarée par l'en-tête sans valider le payload reçu, puis attend indéfiniment des données qui ne viendront jamais. En répétant ce processus sur plusieurs connexions avec des tailles déclarées aléatoires, l'attaquant fragmente le tas mémoire et augmente la taille résidente du serveur de façon permanente, jusqu'à 25 % sur des serveurs haute capacité.
Points d'attention
- Mettre à jour OpenSSL vers
4.0.1ou les versions rétroportées (3.6.3,3.5.7,3.4.6,3.0.21) sans délai, en priorisant les serveurs web directement accessibles. - Surveiller l'utilisation mémoire des serveurs NGINX et Apache pour détecter une augmentation anormale du RSS, indicateur d'une exploitation en cours.
- Redémarrer les processus OpenSSL régulièrement si la mise à jour est retardée, car seul le redémarrage récupère la mémoire fragmentée.
WordPress corrige une faille RCE critique en core
WordPress a publié les versions 6.9.5 et 7.0.2 pour colmater une faille d'exécution de code à distance affectant le core même d'une installation vierge. Découverte par Adam Kues d'Assetnote et décrite dans un writeup publié sous le nom wp2shell, la vulnérabilité permet à un attaquant non authentifié de déclencher du code arbitraire via une requête HTTP anonyme.
La faille réside dans le gestionnaire de routes batch de l'API REST, où une confusion de routage associée à une injection SQL ouvre l'accès non autorisé. Les versions 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1 sont concernées. WordPress a forcé le déploiement des correctifs via son système de mise à jour automatique, bien que son efficacité sur les sites ayant désactivé les mises à jour reste inconnue.
Points d'attention
- Mettre à jour WordPress vers
6.9.5ou7.0.2sans délai, en vérifiant manuellement la version active car le déploiement forcé n'atteint peut-être pas tous les sites. - Bloquer l'accès au point de terminaison
/wp-json/batch/v1et à la varianterest_route=/batch/v1au pare-feu applicatif jusqu'à l'application du correctif. - Consulter wp2shell.com pour vérifier sa propre instance, aucun CVE n'ayant été assigné et aucun CVE-scanner ne détectant cette faille.
Autres actus importantes
- Le ransomware Inc exploite des zero-days dans SonicWall SMA
- Sept paquets npm malveillants de Vite utilisent une C2 blockchain pour déployer un RAT
- La CISA exhorte à agir immédiatement face aux failles Fortinet activement exploitées
- Ernst & Young révèle une fuite de données après le piratage d'un système de support
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere