Sitecore

Selon le blog Google Cloud Threat Intelligence (Mandiant), une attaque en cours cible des instances Sitecore exposées sur Internet via une désérialisation ViewState exploitant la zero‑day CVE‑2025-53690, en s’appuyant sur des clés machine d’exemple issues d’anciens guides de déploiement. Sitecore a corrigé le problème et a notifié les clients utilisant des configurations héritées avec ces clés. L’attaque passe par l’endpoint blocked.aspx et injecte un ViewState malveillant contenant le malware WEEPSTEEL dédié à la reconnaissance, qui collecte des informations système et les exfiltre via des champs HTML cachés. Le ou les acteurs ont ensuite élevé les privilèges de NETWORK SERVICE vers SYSTEM, créé des comptes administrateurs locaux, procédé à un dump des hives SAM/SYSTEM et déployé plusieurs outils pour la persistance, le mouvement latéral et la reconnaissance AD : EARTHWORM (tunneling réseau), DWAGENT (accès à distance) et SHARPHOUND (cartographie Active Directory). ...

Dans un article publié par Piotr Bazydlo sur la plateforme watchTowr, des vulnérabilités critiques ont été découvertes dans le Sitecore Experience Platform (XP), un système de gestion de contenu largement utilisé par les entreprises. L’article détaille une chaîne de RCE pré-authentification exploitant des identifiants codés en dur et des failles de sécurité dans les mécanismes d’authentification de Sitecore. Ces vulnérabilités permettent à des attaquants de prendre le contrôle de systèmes Sitecore sans authentification préalable. ...