Multiples failles critiques en OpenSSH, Zyxel et Rails Active Storage
Plusieurs failles de sécurité viennent de faire surface, affectant des couches très diverses de l’infrastructure numérique, des systèmes d’exploitation aux bibliothèques d’analyse d’images. La plus médiatisée concerne OpenSSH, où des acteurs malveillants tentent d’exploiter une faiblesse d’authentification qui permet d’accéder à des comptes sans mot de passe défini. Cette vulnérabilité, identifiée comme CVE-2026-123158, touche les systèmes Linux utilisant la bibliothèque musl C sans que le Pluggable Authentication Modules (PAM) ne soit activé, comme c’est souvent le cas sur Alpine Linux, selon les données de NVD.
Cette faille repose sur une mauvaise interprétation par le serveur sshd de ce qui est censé être un hachage de mot de passe. Pour certaines configurations, introduire un mot de passe d’une longueur comprise entre 256 et 1 024 octets peut induire le système en erreur, faisant passer la tentative de connexion pour valide, même si le compte ne possède aucun hachage de mot de passe. Previdian a d’ailleurs rapporté avoir détecté vingt tentatives d’exploitation impliquant treize adresses IP différentes, ce qui montre que l’exploit est déjà en usage sur le terrain.
Les faiblesses du matériel et des dépendances logicielles
Le périmètre d’attaque s’élargit bien au-delà des systèmes d’authentification. Concernant les équipements réseau, Zyxel a dû corriger une vulnérabilité critique dans son firmware pour la série GS1900. Cette faille, CVE-2026-107441, permet à un attaquant adjacent, sans avoir besoin d’authentification, d’exécuter des commandes système via une requête HTTP spécialement construite. Le niveau de criticité est élevé, avec un score CVSS de 8,8, et cette vulnérabilité est exploitée via un problème d’écriture hors limites dans le programme CGI.
Parallèlement, le monde du développement rencontre des problèmes, notamment dans les applications Rails. Une alerte de GitHub concerne Active Storage, une fonctionnalité utilisée pour traiter les pièces jointes. Si une application utilise ImageMagick pour l’analyse d’images et qu’elle n’applique pas les politiques de sécurité adéquates, un utilisateur non authentifié pourrait potentiellement écrire des fichiers arbitraires sur le serveur ou lire des fichiers sensibles, comme secret_key_base. Le dépôt officiel de Rails précise que l’attachement d’un fichier mal construit est suffisant pour déclencher cette analyse. Difficile de ne pas s’inquiéter quand des clés secrètes peuvent être mises à disposition si le service de stockage est configuré en mode disque.
Les risques de la chaîne d’approvisionnement et des systèmes d’exploitation
Les problèmes ne sont pas confinés aux composants isolés. Sur les systèmes Debian et Ubuntu, une vulnérabilité dans le gestionnaire de paquets APT (CVE-2026-109518) permet à un attaquant se positionnant sur le réseau de manipuler le trafic HTTP. Sous certaines conditions, l’attaquant peut forcer l’installation d’un paquet non vérifié, conduisant à une exécution de code avec des privilèges root. Amazon a souligné que cela survient lorsque APT utilise des sources HTTP et que les réglages de nouvelle tentative sont activés.
Face à ce tableau de failles, la première ligne de défense doit être la mise à jour immédiate. Pour les utilisateurs d’OpenSSH, le passage à la version 10.6p2 est conseillé, et une vérification des logs pour toute activité inhabituelle est impérative. Pour les applications Rails, l’adoption des versions corrigées d’Active Storage est la voie recommandée, et si le stockage est en disque, il faut changer immédiatement les clés secrètes exposées. Enfin, concernant Zyxel, le remplacement du firmware pour les modèles concernés est nécessaire pour colmater cette brèche d’exécution de commandes à distance.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-107441 | — | Élevée (CVSS 8,8) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-109518 | — | Élevée (CVSS 7,7) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-123158 | — | Élevée (CVSS 8,1) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Possible arbitrary file write and read in Active Storage image analysis, github.com
- FinCEN.gov, fincen.gov
- ⚡ Weekly Recap: SSHole Exploited, APT Root RCE, Robot Takeovers, 15K Hacked Sites, and More, The Hacker News, 9 novembre 2026
- Hackers Exploiting ‘SSHole’ Authentication Bypass in OpenSSH, SecurityWeek, 9 novembre 2026
- GHSA-c73h-2jmc-4mfp : An out-of-bounds write vulnerability in the CGI program of Zyxel GS1900-24E firmware…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-107441, NVD (NIST)
- GHSA-jw32-37xr-xwfw : On Debian, Ubuntu, and derivative Linux distributions, an on-path attacker who can…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-109518, NVD (NIST)
- GHSA-4fcc-vm97-gx3x : sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-123158, NVD (NIST)
