Les CVE de la semaine #1 : FortiMail, Bricksforge, GitLab et cinq vieilles failles réveillées par la Chine
Une messagerie Fortinet attaquée, un plugin WordPress noté 10/10 déjà exploité, GitLab en alerte maximale et cinq failles de 2015 à 2023 utilisées par Flax Typhoon. Ce qu'il faut patcher en premier.
Premier épisode de notre nouvelle rubrique. Chaque lundi, on trie les failles de la semaine écoulée pour ne garder que celles qui comptent : ce qu’elles touchent, si elles sont déjà exploitées, et quoi patcher en premier.
Au programme cette semaine : une passerelle de messagerie attaquée, un plugin WordPress pris d’assaut par des robots, une note maximale chez GitLab, et cinq failles d’un autre âge remises au goût du jour par un groupe lié à la Chine.
1. FortiMail : la priorité absolue
CVE-2026-104286, note 9,8 sur 10, exploitée.
Fortinet a confirmé que cette faille de sa passerelle de messagerie FortiMail est utilisée dans de vraies attaques. Un attaquant non authentifié peut écrire des fichiers où il veut sur l’appareil, grâce à une requête web piégée (un chemin de fichier détourné combiné à un caractère nul mal filtré). Écrire un fichier sur un équipement réseau, c’est très souvent la porte ouverte à une prise de contrôle complète.
Versions touchées : 7.2.0 à 7.2.9, 7.4.0 à 7.4.8, 7.6.0 à 7.6.6 et 8.0.0 à 8.0.1.
Que faire : passer en 8.0.2, 7.6.7 ou 7.4.9 (la branche 7.2 doit migrer en 7.4). En attendant, Fortinet recommande de désactiver le chiffrement IBE et de réserver l’interface d’administration à des réseaux de confiance. Si votre FortiMail était exposé, cherchez des fichiers ajoutés ou modifiés comme /data/etc/ld.so.preload ou /bin/smit.
2. Bricksforge pour WordPress : les robots sont déjà là
CVE-2026-85097, note 10 sur 10, exploitée.
Ce module complémentaire du constructeur de pages Bricks permet à n’importe qui, sans compte, de déposer puis d’exécuter un fichier PHP sur le site. L’astuce des attaquants : envoyer une image qui contient aussi du code, puis faire croire au plugin que le fichier se termine en .php. La société Patchstack a détecté les premières attaques le 7 octobre au soir, depuis 63 adresses IP différentes : c’est de l’exploitation automatisée, à grande échelle.
Versions touchées : jusqu’à la 3.1.8.9 incluse.
Que faire : mettre à jour vers la dernière version (4.0.1). Si le site a tourné avec une version vulnérable depuis le 7 octobre, vérifiez la présence de fichiers PHP inconnus dans le dossier des téléversements.
3. GitLab : note maximale, à corriger avant qu’elle ne soit exploitée
CVE-2026-97229, note 10 sur 10, pas d’exploitation signalée pour l’instant.
Un dépassement d’entier dans le moteur d’expressions régulières des pipelines CI/CD permet, à distance et sans authentification, d’exécuter du code sur le serveur. Les éditions Community et Enterprise sont concernées.
Versions touchées : 19.2 avant 19.2.8, 19.3 avant 19.3.5, 19.4 avant 19.4.2.
Que faire : seules les instances auto-hébergées sont concernées, GitLab.com est déjà corrigé. Installez 19.4.2, 19.3.5 ou 19.2.8, publiées le 12 octobre. Une faille notée 10 dans un outil qui détient votre code source et vos secrets de déploiement ne reste jamais longtemps sans exploitation.
4. Cinq vieilles failles réveillées par Flax Typhoon
Le 8 octobre, l’agence américaine CISA a ajouté à sa liste des failles exploitées cinq vulnérabilités… dont la plus ancienne date de 2015. Elles sont utilisées par Flax Typhoon, un groupe lié à la Chine, selon un avis commun de sept pays dont les États-Unis, le Royaume-Uni et l’Espagne.
- ProFTPD (CVE-2015-3306, 10/10) : lecture et écriture de fichiers à distance.
- ONLYOFFICE Docs (CVE-2021-3199, 9,8/10) : peut mener à l’exécution de code.
- Apache Struts (CVE-2016-3081, 8,1/10) : injection de commandes.
- Strapi (CVE-2023-22894, 7,2/10) : données sensibles stockées en clair.
- ISC BIND (CVE-2015-5477, 7,5/10) : plantage du serveur DNS à distance.
Que faire : si l’un de ces logiciels tourne encore chez vous dans une version d’époque, c’est le moment de le mettre à jour ou de le débrancher. La leçon est toujours la même : les attaquants n’ont pas besoin de failles récentes quand les anciennes sont toujours là.
Le tri en une ligne
À faire aujourd’hui : FortiMail et Bricksforge, déjà attaqués. À faire cette semaine : GitLab auto-hébergé. À vérifier dans l’inventaire : les cinq vieilles failles de Flax Typhoon.
Et ce n’est pas fini : le Patch Tuesday d’octobre de Microsoft tombe ce mardi soir. Rendez-vous lundi prochain pour l’épisode 2.