Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 21
Tableau récapitulatif :
CVE-2026-9082 : Vulnérabilité dans Drupal
La vulnérabilité CVE-2026-9082 permet une injection SQL (SQLi) sur les applications vulnérables qui utilisent PostgreSQL comme système de gestion de base de données.
Des codes d'attaques sont publiquement disponibles pour cette vulnérabilité et celle-ci est activement exploitée.
Liens :
Autres vulnérabilités
Tableau récapitulatif :
Multiples vulnérabilités dans le noyau Linux
Ces dernières semaines, de nombreuses vulnérabilités permettant une élévation de privilège ont été découvertes dans le noyau Linux. Des preuves de concept sont disponibles publiquement et elles sont réputées activement exploitées. Certains correctifs sont disponibles, mais pas forcément pour toutes les distributions ainsi que pour les produits qui utilisent Linux comme système d'exploitation.
- Dirty Frag : CVE-2026-43284 et CVE-2026-43500
- Fragnesia : CVE-2026-46300
- Copy Fail : CVE-2026-31431
- Dirty Decrypt / Dirty CBC : pas d'identifiant CVE officiel, mais possiblement lié à la vulnérabilité CVE-2026-31635
- Pintheft : CVE-2026-43494
Liens :
- https://www.cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-020/
- https://www.cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-021/
- https://www.qnap.com/fr-fr/security-advisory/qsa-26-17
- https://www.axis.com/dam/public/d6/39/96/copy-fail-attackpdf-en-US-535190.pdf
- https://www.fortiguard.com/psirt/FG-IR-26-139
- https://csaf.arubanetworking.hpe.com/2026/hpe_aruba_networking_-_hpesbnw05059.txt
CVE-2024-12802 : Vulnérabilité dans les VPN Sonicwall
La vulnérabilité CVE-2024-12802 permet un contournement d'authentification. Le 21 mai 2026, SonicWall a mis à jour son avis de sécurité du 7 janvier 2025 pour indiquer que pour les utilisateurs des boîtiers GEN6 versions 6.5.5.1-6n, l'application seule de la version corrective n'était pas suffisante. En effet, des modifications doivent être effectuées à la configuration du serveur LDAP ainsi qu'à la liste des utilisateurs (cf. avis de sécurité SNWLID-2025-0001 de l'éditeur).
Liens :
- https://cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-0013
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0001
- https://reliaquest.com/blog/threat-spotlight-vpn-exploitation-when-patched-doesnt-mean-protected/
Incidents
Attaques par la chaîne d’approvisionnement et propagations par le groupe d'attaquants TeamPCP
TeamPCP est un groupe cybercriminel actif depuis au moins septembre 2025, connu pour l’exfiltration et la vente de bases de données et d'identifiants valides. Les opérateurs du groupe sont motivés par le gain financier et sont donc opportunistes dans le choix de leurs victimes. Ils recherchent également la notoriété auprès de l’écosystème cybercriminel ce qui pourrait expliquer la compromission d’entreprises IT majeures telles que GitHub.
Depuis la fin avril 2026, le groupe se distingue par plusieurs campagnes d'attaques par la chaîne d’approvisionnement et, en particulier, par la compromission de paquets NPM, PyPI et GitHub populaires.
Lorsqu'un paquet compromis est installé, un code malveillant est déployé. Le dernier en date, le ver mini Shai-Hulud, cherche à identifier de nombreux secrets sur la machine infectée (Github, NPM, clés SSH, Kubernetes, Claude Code, Azure, AWS, bases de données, etc.) puis à les exfiltrer de manière chiffrée. Si le ver récupère un jeton Github ou NPM, il cherche à s'injecter dans les paquets du développeur victime afin de se propager.
Les paquets compromis lors de la vague d'avril sont [1] :
- mbt@1.2.48
- @cap-js/sqlite@2.2.2
- @cap-js/postgres@2.2.2
- @cap-js/db-service@2.10.1
- @tanstack/* versions en date d'avril et mai 2026
- @squawk/* toutes versions
- @mistralai/mistralai@2.2.x
- mistralai==2.4.6 (PyPI)
- guardrails-ai==0.10.1 (PyPI)
- lightning==2.6.2 or lightning==2.6.3 (PyPI)
La semaine dernière, plus de trois cents paquets liés à @antv et maintenus par le compte
atool ont été compromis [2].
Le ver implémente plusieurs mécanismes de persistance dont un script qui lance un daemon qui intègre un mécanisme de destruction via la commande
rm -rf ~/ . s'il identifie une modification des secrets volés.
Le CERT-FR recommande donc de rechercher la présence de :
- paquets compromis, notamment dans les fichiers de dépendances (ex. package-lock.json, yarn.lock, pnpm-lock.yaml, requirements.txt, poetry.lock, etc.) ;
- moyens de persistance du code malveillant ;
- traces de compromissions laissées par l'attaquant ;
- communications avec l'infrastructure de l'attaquant.
Des marqueurs sont présents dans les rapports [1], [2] et [3], ils n'ont cependant pas été pleinement qualifiés par l'ANSSI.
En cas de compromission avérée, il convient de :
- mettre fin au daemon malveillant ;
- retirer les moyens de persistance ;
- désinstaller les paquets compromis ;
- changer TOUS les secrets présents sur la machine infectée ;
Le 13 mai 2026, le code source de Shai‑Hulud a été publié par TeamPCP sur le forum cybercriminel Breached[.]st ; il est donc probable que plusieurs autres acteurs cybercriminels utilisent ce code. L’ANSSI a connaissance de plusieurs victimes françaises actuellement affectées par cette campagne.
Liens :
- [1] https://www.cyberchief.ai/2026/05/mini-shai-hulud-breach-practical.html
- [2] https://snyk.io/fr/blog/mini-shai-hulud-antv-npm-supply-chain-attack/
- [3] https://www.microsoft.com/en-us/security/blog/2026/05/20/mini-shai-hulud-compromised-antv-npm-packages-enable-ci-cd-credential-theft/
- https://semgrep.dev/blog/2026/children-of-shai-hulud-an-analysis-of-the-the-evolution-delivery-and-spread-of-the-tanstack-shai-hulud-campaign/
- https://unit42.paloaltonetworks.com/fr/teampcp-supply-chain-attacks/
- https://grafana.com/blog/grafana-labs-security-update-latest-on-tanstack-npm-supply-chain-ransomware-incident/
- https://x.com/github/status/2056949168208552080
- https://cert.ssi.gouv.fr/actualite/CERTFR-2025-ACT-040/
- https://cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-022/
- https://cert.ssi.gouv.fr/actualite/CERTFR-2025-ACT-051/
