Webshell

🔍 Contexte Publié le 23 juin 2026 par l’équipe technique de SSD Secure Disclosure, cet article présente une analyse technique complète d’une vulnérabilité critique affectant Cisco Unified Communications Manager (CUCM) version 15.0.1.13901-2, découverte par un chercheur indépendant. 🎯 Nature de la vulnérabilité La vulnérabilité CVE-2026-20230 est une chaîne d’exploitation combinant plusieurs failles : Un endpoint non authentifié /installClusterStatusExecute exposé via le servlet ClusterInstallStatusServlet dans web.xml Une SSRF (Server-Side Request Forgery) exploitable via des requêtes HTTPS, contournant la validation d’hôte grâce à l’obtention du vrai hostname via /webdialer/Version.jws?wsdl Une écriture de fichier arbitraire inspirée de la vulnérabilité historique CVE-2019-0227 (Axis 1.4), permettant de déposer un fichier WSDD malveillant ⚙️ Chaîne d’exploitation Reconnaissance : récupération du hostname réel via https://<cible>/webdialer/Version.jws?wsdl SSRF + écriture de fichier : envoi d’une requête GET vers /cmplatform/installClusterStatusExecute avec un payload encodé créant un nouveau service Axis (randomR11) via un descripteur WSDD Déploiement d’un premier webshell (aaa.jsp) via le service randomR11 pour écrire des fichiers arbitraires Déploiement d’un webshell final (c.jsp) permettant l’exécution de commandes système arbitraires Exécution de commandes via https://<cible>/platform-services/axis2-web/c.jsp?pwd=123&i=id 🛠️ Composants techniques impliqués Fichier de configuration : \jakarta-tomcat\webapps\cmplatform\WEB-INF\web.xml Classe vulnérable : com.cisco.ccm.cmplatform.servlets.ClusterInstallStatusServlet Filtre de sécurité contourné : com.cisco.ccm.common.security.InjectionFilter Mécanisme d’exploitation : Apache Axis LogHandler pour écriture de fichiers Webshells déposés : aaa.jsp, c.jsp 🩹 Correctif Cisco a publié un correctif disponible via l’advisory officiel cisco-sa-cucm-ssrf-cXPnHcW. ...

🗓️ Contexte Le 12 juin 2026, Widget Factory Limited publie sur le site officiel de JCE (Joomla Content Editor) un avis de sécurité détaillant une vulnérabilité critique affectant toutes les versions de JCE antérieures à 2.9.99.5. La correction initiale a été publiée le 3 juin 2026 (version 2.9.99.5), suivie d’un durcissement supplémentaire le 8 juin 2026 (version 2.9.99.6). 🔍 Nature de la vulnérabilité La vulnérabilité repose sur un import de profil d’éditeur non authentifié via le chemin index.php?option=com_jce&task=profiles.import. Elle permet à un attaquant de : ...

🔍 Contexte Publié le 14 avril 2026 par la Sansec Forensics Team sur sansec.io, ce rapport de recherche documente une mauvaise configuration critique affectant plus de 200 boutiques PrestaShop en production réparties dans 27 pays, dont la France, l’Italie, la Pologne et la République tchèque représentent la majorité des cas. ⚠️ Mécanisme d’attaque PrestaShop est livré avec un répertoire d’installation (/install/ en version release, /install-dev/ en version développement) contenant un assistant d’installation complet. Lorsque ce répertoire reste accessible publiquement, un attaquant peut : ...

🔍 Contexte Publié le 3 avril 2026 par Ctrl-Alt-Intel (ctrlaltintel.com), cet article de recherche détaille une attaque supply-chain contre l’écosystème WordPress BuddyBoss / Caseproof, découverte indépendamment le 18 mars 2026 par le chercheur @ice_wzl_cyber. L’attaque avait été signalée publiquement pour la première fois par Cybernews le 24 mars 2026. 🎯 Vecteur d’attaque et déroulement L’acteur malveillant, identifié comme francophone, a utilisé Claude Code (Anthropic) comme outil d’assistance tout au long de la chaîne d’attaque : ...

📋 Contexte Publié en avril 2026 par InterCERT France (communauté de plus de 130 CERT français), ce rapport d’incidentologie analyse 366 incidents de sécurité documentés en 2025 par 66 membres (40 CERT internes, 21 CERT externes, 5 CERT institutionnels), en hausse de 154 incidents par rapport à 2024. L’étude a été conduite avec l’appui de Wavestone via l’outil « Le Sphinx ». 🎯 Ciblage et motivations Les attaques opportunistes restent largement majoritaires (83% des cas déterminés) Les attaques ciblées ne représentent que 17% de l’échantillon La motivation financière domine (72% des attaques) Les grandes entreprises sont presque deux fois plus ciblées par des attaques d’espionnage, d’influence et de déstabilisation Les 3 secteurs les plus touchés : santé/action sociale (+515% vs 2024), industrie manufacturière (+34%), administration publique (+45%) 🦠 Outils et techniques Près d’une attaque outillée sur trois utilise un rançongiciel Les infostealers constituent le deuxième type d’outil le plus utilisé, en forte hausse en 2025 (campagnes ClickFix et EpiBrowser) La technique la plus observée : exploitation de comptes légitimes (Valid Accounts), centrale dans les kill-chains 2025 Les backdoors et RATs sont utilisés pour établir une persistance avant déploiement de ransomware 34% des systèmes ciblés sont des environnements Microsoft 💥 Rançongiciels — focus 266 attaques recensées par l’OFAC en 2025, en baisse de 37% vs 2024 et 89% vs 2023 Familles les plus actives : Qilin, LockBit, Akira (toutes des franchises RaaS) Qilin revendique une attaque contre l’académie d’Amiens (10 octobre 2025), touchant 80% des lycées publics des Hauts-de-France et vol de plus d'1 To de données ; l’ANSSI recense plus de 700 revendications Qilin en 2025 Le secteur santé est le plus touché, avec une multiplication par deux des incidents vs 2024 85% des attaques par rançongiciel nécessitent une reconstruction partielle ou totale du SI Les PME sont les plus touchées proportionnellement Double levier de négociation : chiffrement du SI + chantage à la fuite de données 🕵️ Infostealers — focus Hausse importante des incidents impliquant des infostealers en 2025 Utilisés dans 13% des cas en amont de l’exécution d’un rançongiciel Dans 1 cas sur 3, combinés avec des backdoors ou RATs Impacts principaux : fuite/vol de données (36%), arrêts d’activité (18%), campagnes de phishing ultérieures (13%) Actifs les plus touchés : comptes utilisateurs, comptes de messagerie, postes utilisateurs 🌐 Attaques non-lucratives — focus Échantillon de 44 incidents à motivation non-lucrative Majorité liée à l’espionnage et au pré-positionnement Les attaques de déstabilisation passent principalement par des DDoS (notamment contre les administrations publiques) Les infostealers sont majoritairement utilisés à des fins de pré-positionnement Les grandes entreprises sont les plus touchées par tous types d’attaques non-lucratives 📊 Type d’article Il s’agit d’un rapport statistique d’incidentologie à visée opérationnelle et décisionnelle, produit par une communauté nationale de CERT. Son but principal est de présenter les tendances de la menace cyber en France en 2025 à partir de données terrain déclaratives, et de fournir des éléments comparatifs avec l’année 2024. ...

🔍 Contexte Source : BleepingComputer, publié le 30 mars 2026. F5 Networks a mis à jour son advisory pour reclassifier CVE-2025-53521, initialement catégorisée comme une vulnérabilité de déni de service (DoS), en exécution de code à distance (RCE) de sévérité critique, suite à de nouvelles informations obtenues en mars 2026. 🎯 Vulnérabilité et impact Produit affecté : F5 BIG-IP APM (Access Policy Manager) CVE : CVE-2025-53521 Type : Remote Code Execution (RCE) sans authentification préalable Condition d’exploitation : BIG-IP APM avec des politiques d’accès configurées sur un serveur virtuel Impact observé : déploiement de webshells sur les équipements vulnérables non patchés Exposition : Shadowserver recense plus de 240 000 instances BIG-IP exposées sur Internet ⚠️ Exploitation active F5 confirme que la vulnérabilité est activement exploitée dans la nature. Des indicateurs de compromission (IOCs) ont été publiés par F5. La CISA a ajouté CVE-2025-53521 à sa liste des vulnérabilités activement exploitées et a ordonné aux agences fédérales américaines de sécuriser leurs systèmes BIG-IP APM avant le 30 mars 2026 à minuit. ...

🔍 Contexte Publié le 17 mars 2026 par Sansec (sansec.io), cet article présente une analyse technique détaillée d’une vulnérabilité critique baptisée PolyShell, affectant Magento Open Source et Adobe Commerce dans toutes leurs versions de production actuelles. 🚨 Vulnérabilité La faille réside dans l’API REST de Magento, au niveau du traitement des options de panier (cart item custom options). Trois contrôles critiques sont absents : Aucune validation de l’ID d’option soumis Aucune vérification du type d’option (file) Aucune restriction sur les extensions de fichier (.php, .phtml, .phar autorisées) La seule validation présente (getimagesizefromstring) est trivialement contournable via des fichiers polyglots (images GIF/PNG contenant du code PHP exécutable). ...

Source: JPCERT/CC — Alerte JPCERT-AT-2025-0024 (ouverte le 2025-12-03, mise à jour le 2025-12-05). Le CERT japonais décrit une vulnérabilité d’injection de commandes affectant la fonctionnalité DesktopDirect des appliances Array AG d’Array Networks, permettant l’exécution de commandes arbitraires. Aucun CVE n’est attribué au moment de la publication. Produits et versions concernés: ArrayOS AG 9.4.5.8 et antérieurs lorsque la fonction DesktopDirect est activée. État et impact: JPCERT/CC a confirmé des attaques survenues depuis août 2025 au Japon, menant à l’implantation de webshells, la création de nouveaux comptes utilisateurs et des intrusions internes via l’équipement ciblé. Dans les cas observés, des commandes tentaient de déposer un webshell PHP sous le chemin incluant /webapp/. Un IOC IP d’émission des communications d’attaque est fourni: 194.233.100[.]138. ...

Selon Howler Cell Research Team, une enquête a mis au jour une chaîne multi‑infection liée à un botnet, au centre de laquelle un étudiant bangladais vend l’accès à des sites compromis (surtout WordPress et cPanel) à des acheteurs principalement basés en Asie, via Telegram et paiements en cryptomonnaie. Principaux constats 🔎 Webshell PHP ‘Beima’: totalement indétecté par des outils modernes, y compris VirusTotal (depuis mai 2024). Marché: plus de 5 200 sites compromis listés à la vente sur Telegram; .EDU/.GOV ~200 $ contre 3–4 $ pour d’autres sites; 76% des cibles seraient gouvernement/éducation. Origine/acheteurs: vendeur étudiant au Bangladesh; acheteurs surtout Chine, Indonésie, Malaisie; focus pays: Inde, Indonésie (aussi Brésil, Thaïlande, États‑Unis). Accès initial: mauvaise configuration WordPress et cPanel; diffusion via un panneau de botnet. Détails techniques du webshell 🐚 ...

Selon une publication récente, une vulnérabilité a été identifiée et corrigée dans toutes les versions supportées du logiciel Commvault. Cette faille permettait à des acteurs malveillants de compromettre des serveurs web en créant et exécutant des webshells. Pour exploiter cette vulnérabilité, un acteur malveillant devait disposer de certificats d’utilisateur authentifiés au sein de l’environnement logiciel Commvault. L’accès non authentifié n’était pas exploitable, ce qui signifie que pour les clients du logiciel, leur environnement devait être : (i) accessible via Internet, (ii) compromis par une autre voie, et (iii) accédé en utilisant des identifiants d’utilisateur légitimes. ...