APCEN

🚨 CVE-2026-42533 : faille critique dans NGINX — Ce que la communauté APCEN doit savoir

Bulletin de sensibilisation – Juillet 2026

En bref
Une vulnérabilité critique, identifiée sous la référence CVE-2026-42533, affecte le serveur web NGINX. Le 15 juillet 2026, F5 a publié des correctifs pour cette faille, qui peut permettre à un attaquant distant, sans authentification, de provoquer un déni de service (DoS) et, dans certaines configurations, une exécution de code à distance (RCE).

Niveau de gravité :
- CVSS v4 : 9.2 / 10 (Critique)
- CVSS v3.1 : 8.1 / 10 (Élevé

Versions concernées

Toutes les versions de NGINX Open Source comprises entre 0.9.6 et 1.31.2, soit une portion du code présente depuis plus d'une décennie.

Versions corrigées
NGINX 1.30.4 (branche stable)
NGINX 1.31.3 (branche mainline)
NGINX Plus 37.0.3.1
Comprendre la vulnérabilité

NGINX construit certaines chaînes de caractères en deux étapes :

il calcule la taille de la mémoire nécessaire et réserve un espace (buffer) ;
il remplit ensuite cet espace avec les données réelles.

La vulnérabilité apparaît dans une configuration très spécifique impliquant :

un bloc map utilisant une expression régulière ;
une variable issue de ce map ;
une capture numérotée ($1, $2, etc.) provenant d'une autre expression régulière.

Dans ce scénario, les données de capture peuvent être modifiées entre les deux étapes du traitement. Le buffer est alors dimensionné pour une taille donnée, mais reçoit finalement une valeur plus grande, pouvant être contrôlée par un attaquant.

Les conséquences peuvent être :

le plantage des processus worker (déni de service) ;
dans certaines conditions, une exécution de code à distance.

Il s'agit du troisième défaut de ce type découvert en seulement deux mois, ce qui laisse penser qu'une partie du moteur d'évaluation des expressions de NGINX mérite une attention particulière.

Qui est concerné ?

Votre exposition dépend principalement de votre configuration NGINX, et non uniquement de la version installée.

Les produits potentiellement concernés sont :
- NGINX Open Source ;
- NGINX Plus ;
- NGINX Ingress Controller ;
- NGINX Gateway Fabric ;
- NGINX App Protect WAF ;
- NGINX Instance Manager.

Remarque : lors de la publication de l'avis de sécurité, les correctifs pour certains produits F5 n'étaient pas encore disponibles. Il est recommandé de consulter régulièrement les bulletins de sécurité de F5 afin de suivre leur disponibilité.

Comment vérifier votre exposition ?
1. Vérifier la version installée : nginx -v
2. Examiner la configuration
Recherchez notamment :
un bloc map utilisant une expression régulière ;
une variable produite par ce map réutilisée avec une capture
numérotée ($1, $2, etc.) provenant d'une autre expression régulière.

3. Utiliser un outil d'analyse
Le chercheur ayant signalé cette vulnérabilité met à disposition
un outil permettant de détecter automatiquement cette
configuration à risque :
👉 https://github.com/0xCyberstan/CVE-2026-42533-Config-Scanner

Attention : cet outil est développé par le chercheur et ne constitue pas un logiciel officiel de F5 ou de NGINX. Comme pour tout outil tiers, il est recommandé d'examiner son code avant toute utilisation en environnement de production.

Recommandations de l'APCEN
Priorité Recommandation
🔴 Immédiate Mettre à niveau vers NGINX 1.30.4, 1.31.3 ou
NGINX Plus 37.0.3.1.
🟠 Temporaire Si la mise à jour est impossible, remplacer les
captures numérotées ($1, $2) par des captures
nommées lorsque cela est applicable.
⚠️ Important Cette mesure est uniquement une mitigation.

Elle ne protège pas contre tous les scénarios d'exploitation. La mise à jour reste la seule protection complète.
🔍 Suivi Surveiller les bulletins de sécurité de F5, NGINX et le catalogue CISA KEV afin de détecter toute évolution ou exploitation active.
Pourquoi faut-il agir rapidement ?

Un précédent bug similaire (CVE-2026-42945) a vu apparaître une preuve de concept publique quelques jours seulement après la publication du correctif, suivie rapidement d'exploitations réelles.

Le chercheur ayant découvert CVE-2026-42533 a annoncé la publication prochaine d'une preuve de concept, ce qui réduit considérablement la fenêtre dont disposent les administrateurs pour appliquer les correctifs.

La règle reste la même : corrigez avant que les attaques ne commencent.

Conclusion

Cette vulnérabilité rappelle une nouvelle fois que la sécurité d'un serveur ne dépend pas uniquement de sa version logicielle, mais également de sa configuration.

La communauté APCEN encourage tous les administrateurs système, DevOps, hébergeurs et responsables de la sécurité à :
- maintenir leurs serveurs NGINX à jour ;
- auditer régulièrement leurs configurations ;
- mettre en place une veille de sécurité active ;
- appliquer les correctifs dès leur publication.

En cybersécurité, la rapidité de réaction est souvent la meilleure défense.
------------
Sources
- F5 Security Advisory (K000162097)
- CVE-2026-42533 – CVE.org
- The Hacker News (19 juillet 2026)
- Stan Shaw (Cyberstan)

Dysphoria : le botnet qui utilise la blockchain pour échapper aux défenseurs

Par APCEN – Association pour la Protection du Cyber Espace National

La cybersécurité évolue en permanence, tout comme les techniques employées par les cybercriminels. Une nouvelle menace attire aujourd'hui l'attention de la communauté internationale : Dysphoria, un botnet qui aurait compromis plus de 200 000 appareils connectés dans le monde et qui innove en s'appuyant sur la blockchain pour rendre son infrastructure beaucoup plus difficile à neutraliser.

Qu'est-ce qu'un botnet ?

Un botnet est un réseau d'appareils compromis (ordinateurs, routeurs, caméras IP, objets connectés, serveurs, etc.) contrôlés à distance par un cybercriminel. Les victimes ignorent généralement que leur équipement participe à des activités malveillantes.

Ces réseaux sont souvent utilisés pour :
- lancer des attaques par déni de service distribué (DDoS) ;
- masquer l'origine d'autres attaques ;
- servir de relais de communication pour des opérations malveillantes ;
- distribuer d'autres logiciels malveillants.

Pourquoi Dysphoria est-il différent ?

Traditionnellement, un botnet communique avec un ou plusieurs serveurs de commande et de contrôle (C2). Lorsqu'ils sont identifiés, ces serveurs peuvent être saisis ou bloqués par les autorités.

Dysphoria adopte une stratégie beaucoup plus sophistiquée.

Au lieu d'utiliser uniquement des serveurs classiques, il exploite des services de noms décentralisés hébergés sur les blockchains Ethereum (ENS) et Solana (SNS). Les informations permettant aux machines infectées de retrouver leur centre de commande sont publiées sur ces registres décentralisés, rendant leur suppression beaucoup plus complexe.

Les chercheurs indiquent également que les véritables adresses IP des serveurs sont dissimulées dans de fausses chaînes IPv6 et reconstruites uniquement par le malware. De plus, certains appareils compromis servent eux-mêmes de relais, ce qui masque davantage les infrastructures des attaquants.

Comment se propage-t-il ?

Selon les analyses publiées par les chercheurs, Dysphoria cible principalement :
- les routeurs mal configurés ;
- les caméras IP ;
- les objets connectés (IoT) ;
- les équipements Linux exposés sur Internet.

Le botnet exploite principalement :
- les mots de passe faibles ou par défaut sur les services Telnet et SSH ;
- plusieurs vulnérabilités connues affectant différents équipements réseau.

Pourquoi cette découverte est importante ?

Cette menace marque une évolution majeure.
Pendant des années, les équipes de réponse à incident pouvaient neutraliser de nombreux botnets en démantelant leurs serveurs de commande.

Avec Dysphoria, les cybercriminels utilisent désormais des technologies initialement conçues pour renforcer la résilience et la décentralisation, afin de compliquer les opérations de démantèlement.

Cela confirme que la blockchain n'est pas uniquement un outil financier : elle peut également être détournée à des fins malveillantes lorsque des acteurs malintentionnés exploitent ses propriétés.

Comment se protéger ?

Les bonnes pratiques restent les meilleures défenses :

✅ Mettre régulièrement à jour le firmware des routeurs et objets connectés.
✅ Changer immédiatement tous les mots de passe par défaut.
✅ Désactiver Telnet lorsqu'il n'est pas indispensable.
✅ Limiter l'exposition des équipements à Internet.
✅ Désactiver l'administration distante lorsqu'elle n'est pas nécessaire.
✅ Segmenter les réseaux IoT du réseau principal de l'entreprise.
✅ Surveiller les communications sortantes inhabituelles.

Le regard de l'APCEN
Cette nouvelle menace rappelle une réalité incontournable : les cybercriminels innovent aussi rapidement que les défenseurs.

La cybersécurité ne consiste plus seulement à protéger les ordinateurs, mais également les objets connectés, les infrastructures réseau et les nouvelles technologies décentralisées.

L'APCEN invite les organisations publiques, les entreprises, les établissements d'enseignement et les particuliers à renforcer leur posture de cybersécurité, à maintenir leurs équipements à jour et à promouvoir une culture de vigilance numérique.

Face à des menaces toujours plus sophistiquées, la sensibilisation demeure notre première ligne de défense.

Microsoft a retiré 119 extensions de la plateforme de téléchargement du navigateur Edge.

Avec The Hacker News – On est reconnue comme l’une de ses meilleurs fans ! 🎉

CVE-2026-34040 : une vulnérabilité critique dans Docker pouvant mener à un accès root sur l’hôte

Publié le 08 avril 2026

Une vulnérabilité critique référencée CVE-2026-34040 a été identifiée dans le Docker Engine, exposant certains environnements à un risque majeur de compromission. Cette faille, qui obtient un score CVSS de 8.8/10, permet dans des conditions spécifiques de contourner les mécanismes de contrôle d’accès et d’aboutir à une élévation de privilèges jusqu’au niveau root sur l’hôte.

Origine et contexte de la vulnérabilité

La vulnérabilité CVE-2026-34040 s’inscrit dans la continuité d’un problème antérieur, identifié sous la référence CVE-2024-41110. Bien que cette dernière ait fait l’objet de correctifs en 2024 (et même précédemment en 2019), les ajustements apportés se sont révélés incomplets, permettant une nouvelle forme d’exploitation.

Les travaux du chercheur en cybersécurité Vladimir Tokarev ont mis en évidence une faiblesse dans la manière dont les requêtes API sont traitées par Docker, notamment en interaction avec les plugins d’autorisation.

Description technique de la faille

Le problème réside dans la gestion des requêtes envoyées à l’API Docker. Lorsqu’un plugin d’autorisation (AuthZ) est utilisé, celui-ci est censé analyser les requêtes afin de décider si elles doivent être autorisées ou rejetées.

Cependant, dans certains cas, Docker transmet la requête au plugin sans inclure son corps (body). Cette omission empêche le plugin de disposer de toutes les informations nécessaires pour effectuer un contrôle fiable.

Le correctif précédent avait introduit une vérification sur la taille du corps de la requête via l’attribut Content-Length, en s’assurant qu’il soit supérieur à zéro. Toutefois, aucune vérification n’a été mise en place pour gérer les valeurs anormalement élevées. Un attaquant peut exploiter cette lacune en manipulant ce champ pour contourner les contrôles.

Ce comportement conduit à un scénario de type « fail-open », dans lequel une requête potentiellement malveillante est acceptée faute d’analyse complète.

Conditions d’exploitation

L’exploitation de la vulnérabilité nécessite plusieurs conditions :

un accès à l’API Docker ;

l’utilisation d’un plugin d’autorisation (AuthZ) ;

un environnement exposé, tel qu’un système CI/CD, une infrastructure cloud ou une plateforme multi-tenant.

Il est important de noter que les environnements n’utilisant pas de plugin AuthZ ne sont pas concernés par cette faille.

Impacts et risques

Une exploitation réussie permet à un attaquant de :

contourner les mécanismes de contrôle d’accès ;

créer un conteneur privilégié ;

échapper à l’isolation des conteneurs ;

obtenir un accès root sur l’hôte ;

compromettre l’intégrité du système et accéder à des données sensibles.

Dans des environnements d’entreprise ou de production, ces conséquences peuvent entraîner des pertes de données, des interruptions de service et une compromission globale de l’infrastructure.

Correctifs et mesures de mitigation

Un correctif officiel a été publié par Docker. Les versions sécurisées sont les suivantes :

Docker Engine version 29.3.1 ;

Docker Desktop version 4.66.1.

Les correctifs apportés incluent :

l’augmentation de la taille maximale du corps des requêtes (de 1 Mo à 4 Mo) ;

la suppression de certaines fonctions vulnérables liées au traitement des requêtes ;

l’adoption d’un comportement « fail-closed », dans lequel les requêtes suspectes sont explicitement rejetées.

En complément de la mise à jour, les recommandations suivantes doivent être appliquées :

restreindre strictement l’accès à l’API Docker ;

appliquer le principe du moindre privilège ;

isoler les environnements critiques ;

surveiller les activités suspectes au niveau des API.

Conclusion

La vulnérabilité CVE-2026-34040 illustre les risques liés à des correctifs incomplets dans des composants critiques. Elle met en évidence l’importance d’une validation rigoureuse des mécanismes de sécurité, notamment dans des environnements DevOps et cloud où les conteneurs jouent un rôle central.

La mise à jour vers les versions corrigées de Docker, combinée à des mesures de sécurité appropriées, est essentielle pour limiter les risques d’exploitation.

---

Sources

Analyse technique du chercheur Vladimir Tokarev:https://www.cyera.com/blog/cyera-research-discovers-docker-authorization-bypass-that-silently-disables-security-policies?utm_source=uwazy.com

Base de données des vulnérabilités CVE (MITRE):
https://nvd.nist.gov/vuln/detail/CVE-2026-34040?utm_source=uwazy.com

Documentation de sécurité Docker:

https://github.com/advisories/GHSA-x744-4wpc-v9h2?utm_source=uwazy.com

Alerte cybersécurité : une fausse application WhatsApp utilisée pour espionner des utilisateurs

Une nouvelle menace numérique majeure vient d’être révélée autour de WhatsApp. Une campagne d’espionnage sophistiquée a trompé des centaines d’utilisateurs en les incitant à installer une fausse version de l’application, exposant ainsi leurs données personnelles.

📱 Une application espion imitant WhatsApp

Selon les informations publiées par Meta, environ 200 utilisateurs ont été piégés par une fausse application WhatsApp contenant un logiciel espion.

Cette application frauduleuse a été développée par Asigint, une filiale d’une société italienne spécialisée dans les technologies de surveillance (SIO). Elle imitait parfaitement WhatsApp afin de tromper les victimes et les inciter à l’installer. [ZONE BOURSE]

L’attaque était hautement ciblée et reposait sur des techniques d’ingénierie sociale pour pousser les utilisateurs à télécharger cette version malveillante.

📱Des risques importants pour les données personnelles

Une fois installée, cette fausse application permettait aux attaquants d’accéder à des informations sensibles des victimes. Elle pouvait notamment :
->Accéder aux données personnelles et aux communications
->Prendre le contrôle de l’appareil
->Surveiller l’activité de l’utilisateur

WhatsApp a indiqué que les comptes concernés ont été immédiatement déconnectés et que les utilisateurs ont été alertés des risques, avec recommandation de supprimer l’application frauduleuse. [THE HACKER NEWS ]

📱Une attaque principalement localisée en Italie

Les victimes identifiées se trouvent principalement en Italie, ce qui suggère une campagne ciblée géographiquement.

Ce n’est pas un cas isolé : Meta avait déjà démantelé des opérations similaires dans le pays au cours des derniers mois, impliquant d’autres logiciels espions.

📱Une technique d’attaque bien connue

Les experts en cybersécurité soulignent que ce type d’attaque repose sur une méthode classique :
->Création d’applications clones
->Diffusion via des liens frauduleux
->Installation hors des stores officiels

Dans ce cas précis, la fausse application n’était pas distribuée via l’App Store, mais par des canaux détournés, ce qui a facilité la compromission des appareils.

🛡️ Comment se protéger ?

Face à ce type de menace, il est essentiel d’adopter de bonnes pratiques :
->Télécharger uniquement depuis les stores officiels
->Vérifier l’éditeur de l’application
->Éviter les liens suspects
->Mettre à jour régulièrement ses applications

Cette affaire confirme une tendance préoccupante : les cybercriminels (ou acteurs étatiques) utilisent désormais des techniques de plus en plus crédibles pour infiltrer les appareils des utilisateurs.

Même des applications réputées sécurisées comme WhatsApp peuvent être exploitées indirectement via des clones frauduleux. La vigilance reste donc essentielle pour protéger ses données.
---
Nos sources :
[ZONE BOURSE]: https://www.zonebourse.com/actualite-bourse/whatsapp-affirme-qu-une-societe-de-surveillance-italienne-a-piege-environ-200-utilisateurs-pour-leur-ce7e51dcd88cfe25?utm_source=chatgpt.com

[THE HACKER NEWS ] The Hacker News]
https://thehackernews.com/2026/04/whatsapp-alerts-200-users-after-fake.html?utm_source=chatgpt.com

image: The hacker news

Joyeux fêtes de paques !

Pendant la période de Pâques,
la vigilance est de mise face à la recrudescence des cyberarnaques. Les criminels utilisent des e-mails frauduleux, des fausses cartes-cadeaux (Rituals, etc.), des promotions de vacances suspectes et des messages de phishing pour voler des données personnelles ou bancaires.
Principales menaces de Pâques :
* Phishing thématique : E-mails et SMS simulant des marques célèbres ou des jeux-concours pour gagner des chocolats/cadeaux.
*Faux sites de vacances : Offres de location ou vols "dernière minute" à des prix irréalistes.
*Arnaques aux dons : Fausses associations caritatives sollicitant des dons durant la période festive.
SOYEZ PRUDENTS !!!

📢 AVIS DE REPORT - WEBINAIRE SÉCURITÉ WHATSAPP

Chers membres et partenaires,

Pour des raisons indépendantes de notre volonté, nous vous informons que le webinaire sur la « Sécurité de vos comptes réseaux sociaux : Cas de WhatsApp », initialement prévu ce samedi 28 mars, est reporté à une date ultérieure.

Nous tenons à nous excuser pour ce changement de programme et pour tout désagrément que cela pourrait causer.

🛠️ Bonne nouvelle : Les inscriptions restent ouvertes ! Si vous ne l'avez pas encore fait, vous pouvez toujours vous inscrire via le lien ci-dessous pour être informé(e) en priorité de la nouvelle date :
🔗 https://forms.gle/KKNWVWE2WQ5HBFN76

Restez connectés, la nouvelle date vous sera communiquée très prochainement. Merci pour votre compréhension et votre intérêt constant pour la cybersécurité.

L'équipe APCEN

🔐 **WEBINAIRE GRATUIT** Thème : Sécurité des comptes réseaux sociaux : Cas de WhatsApp / Le 28 mars 2026