FiveM
Minecraft
Rust
RedM
HytaleDes failles de 2015 encore exploitées en 2026
Le 8 octobre 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté cinq vulnérabilités à son catalogue KEV (Known Exploited Vulnerabilities). Ces failles, dont certaines datent de 2015, sont activement exploitées par le groupe Flax Typhoon, un acteur étatique chinois lié à Integrity Technology Group, une entreprise de cybersécurité basée à Pékin. L'avis conjoint AA26-281A, cosigné par les agences de sept pays (États-Unis, Royaume-Uni, Australie, Canada, Japon, Nouvelle-Zélande et Espagne), détaille les outils et méthodes utilisés par ce groupe pour compromettre des serveurs dans le monde entier.
Le problème que cet avis met en lumière est simple : des failles corrigées depuis des années restent présentes sur des serveurs jamais mis à jour. Parmi les cinq CVE ajoutées au catalogue KEV, trois concernent directement des logiciels que l'on retrouve sur des VPS et des serveurs dédiés : ProFTPD (serveur FTP), ISC BIND (serveur DNS) et ONLYOFFICE Document Server (suite bureautique collaborative). Ce guide détaille chacune de ces vulnérabilités et les étapes concrètes pour vérifier et corriger votre serveur.
CVE-2015-3306 : ProFTPD mod_copy (CVSS 10.0)
La faille la plus critique du lot concerne le module mod_copy de ProFTPD 1.3.5. Ce module expose deux commandes FTP, SITE CPFR et SITE CPTO, qui permettent de copier des fichiers sur le serveur. Le problème : mod_copy ne vérifie pas l'identité de l'utilisateur qui exécute ces commandes. Un attaquant non authentifié peut lire et écrire des fichiers arbitraires sur le système, y compris déposer un web shell dans un répertoire accessible depuis le web.
Avec un score CVSS de 10.0 sur 10, c'est le maximum possible. En pratique, cette faille permet une prise de contrôle complète du serveur à distance, sans aucun mot de passe.
Vérifier si votre VPS est concerné
Connectez-vous en SSH à votre serveur et vérifiez la version de ProFTPD installée :
proftpd --versionSi la commande renvoie ProFTPD Version 1.3.5 (sans suffixe "a" ou supérieur), votre serveur est vulnérable. Vérifiez également si mod_copy est chargé :
grep -i mod_copy /etc/proftpd/proftpd.conf /etc/proftpd/modules.conf 2>/dev/nullCorriger la faille ProFTPD
Deux options, à appliquer immédiatement :
- Mettre à jour ProFTPD vers la version 1.3.5a au minimum (les distributions Debian et Ubuntu fournissent des paquets corrigés depuis 2015) :
sudo apt update && sudo apt upgrade proftpd-basic -y
proftpd --version- Désactiver mod_copy si vous ne l'utilisez pas. Dans
/etc/proftpd/modules.conf, commentez la ligne qui charge le module :
# LoadModule mod_copy.cPuis redémarrez ProFTPD :
sudo systemctl restart proftpdSi vous n'utilisez pas du tout FTP sur votre VPS, la solution la plus sûre est de désinstaller ProFTPD et de transférer vos fichiers exclusivement par SSH/SFTP, qui chiffre le trafic et ne nécessite pas de service supplémentaire.
CVE-2015-5477 : ISC BIND, déni de service par requête TKEY (CVSS 7.5)
ISC BIND est le serveur DNS le plus répandu au monde. La faille CVE-2015-5477 permet à un attaquant d'envoyer une requête TKEY malformée qui provoque un arrêt immédiat du processus named par assertion. Un seul paquet UDP suffit pour faire tomber le service DNS. Les serveurs DNS récursifs comme les serveurs faisant autorité sont concernés, et aucune ACL ni option de configuration ne bloque l'attaque, car le code vulnérable s'exécute avant les contrôles d'accès.
Les versions concernées sont toutes les versions de BIND 9 antérieures à 9.9.7-P2 et 9.10.2-P3.
Vérifier votre version de BIND
named -vSi votre VPS n'exécute pas BIND (pas de processus named), vous n'êtes pas concerné. Pour le vérifier :
systemctl is-active named 2>/dev/null || systemctl is-active bind9 2>/dev/null || echo "BIND non actif"Corriger la faille BIND
Mettez à jour BIND via votre gestionnaire de paquets :
sudo apt update && sudo apt upgrade bind9 -y
named -vSi vous n'avez pas besoin d'un serveur DNS local sur votre VPS (la plupart des serveurs de jeu et des applications web n'en ont pas besoin), désactivez-le :
sudo systemctl stop bind9
sudo systemctl disable bind9Pour aller plus loin dans le diagnostic de votre configuration DNS : diagnostiquer la résolution DNS sur Linux.
CVE-2021-3199 : ONLYOFFICE Document Server, exécution de code à distance (CVSS 9.8)
ONLYOFFICE Document Server est une suite bureautique collaborative auto-hébergée, souvent déployée en complément de Nextcloud ou d'autres plateformes. La faille CVE-2021-3199 est une traversée de répertoire (path traversal) dans l'endpoint /upload : même lorsque l'authentification JWT est activée, un attaquant peut injecter une séquence /.. dans le paramètre d'upload d'image pour écrire des fichiers en dehors du répertoire prévu et exécuter du code arbitraire sur le serveur.
Les versions antérieures à ONLYOFFICE Document Server 5.6.3 sont vulnérables.
Vérifier votre version d'ONLYOFFICE
Si ONLYOFFICE est déployé en conteneur Docker :
docker inspect onlyoffice/documentserver | grep -i versionOu depuis la ligne de commande du serveur :
dpkg -l onlyoffice-documentserver 2>/dev/null | grep -i onlyofficeCorriger la faille ONLYOFFICE
Mettez à jour vers ONLYOFFICE Document Server 5.6.3 ou supérieur. Si vous utilisez Docker, mettez à jour l'image :
docker pull onlyoffice/documentserver:latest
# puis recréez le conteneur avec votre docker-compose.ymlSi vous n'utilisez plus ONLYOFFICE, supprimez le conteneur et l'image pour réduire la surface d'attaque de votre serveur.
Les deux autres CVE du catalogue KEV
L'avis AA26-281A inclut également deux autres vulnérabilités exploitées par Flax Typhoon :
- CVE-2016-3081 : Apache Struts, exécution de code à distance via une évaluation de code dynamique ;
- CVE-2023-22894 : Strapi, fuite d'informations sensibles (clés API, tokens de réinitialisation de mot de passe).
Si vous hébergez des applications Java sur Struts ou un CMS Strapi sur votre VPS, vérifiez vos versions et appliquez les correctifs disponibles.
Tableau récapitulatif des cinq vulnérabilités
| CVE | Logiciel | CVSS | Impact | Version corrigée |
|---|---|---|---|---|
| CVE-2015-3306 | ProFTPD mod_copy | 10.0 | Lecture/écriture de fichiers arbitraires | 1.3.5a+ |
| CVE-2015-5477 | ISC BIND | 7.5 | Déni de service (crash named) | 9.9.7-P2 / 9.10.2-P3 |
| CVE-2021-3199 | ONLYOFFICE Docs | 9.8 | Exécution de code à distance | 5.6.3+ |
| CVE-2016-3081 | Apache Struts | - | Exécution de code à distance | Consulter l'avis Apache |
| CVE-2023-22894 | Strapi | - | Fuite de secrets | Consulter l'avis Strapi |
Vérifier et corriger votre VPS en cinq minutes
Voici la procédure rapide pour auditer votre serveur :
- Lister les services qui écoutent sur les ports réseau (guide ss/netstat) :
ss -tlnpSi vous voyez un service écouter sur le port 21 (FTP), 53 (DNS) ou 80/443 avec ONLYOFFICE, vérifiez les versions comme indiqué ci-dessus.
- Mettre à jour tous les paquets de votre système d'exploitation. Sur Ubuntu ou Debian :
sudo apt update && sudo apt upgrade -yCette commande applique les correctifs de sécurité fournis par votre distribution, y compris pour ProFTPD et BIND si vous les avez installés via apt. Pour automatiser ces mises à jour de sécurité : configurer les mises à jour automatiques sur Ubuntu.
- Désactiver les services inutiles. Un serveur FTP que personne n'utilise ou un serveur DNS dont vous n'avez pas besoin sont autant de portes d'entrée. Chaque service désactivé est une surface d'attaque en moins.
- Mettre en place un pare-feu pour bloquer les ports inutilisés. Seuls les ports nécessaires à votre application doivent être ouverts (configurer nftables).
- Surveiller les connexions suspectes avec Fail2ban et les journaux d'audit système.
Pourquoi ces failles restent-elles exploitables aussi longtemps ?
Les correctifs pour CVE-2015-3306 et CVE-2015-5477 existent depuis plus de onze ans. Pourtant, en octobre 2026, la CISA considère que ces failles sont encore suffisamment exploitées dans la nature pour justifier leur ajout au catalogue KEV, avec un délai de correction fixé au 11 octobre 2026 pour les agences fédérales américaines.
Plusieurs facteurs expliquent cette situation :
- Des serveurs installés et oubliés. Un VPS configuré en 2015 et jamais mis à jour conserve toutes les failles de l'époque. Sans mises à jour automatiques, les correctifs ne s'appliquent jamais.
- Des logiciels installés par défaut. Certaines images de systèmes d'exploitation incluent ProFTPD ou BIND sans que l'administrateur les utilise réellement. Le service tourne en arrière-plan, exposé sur le réseau, sans que personne ne le surveille.
- Des conteneurs Docker jamais reconstruits. Une image Docker figée à une version ancienne d'ONLYOFFICE reste vulnérable même si l'hôte est à jour.
La leçon est claire : la sécurité d'un serveur repose d'abord sur les mises à jour. Un pare-feu et un durcissement SSH (guide complet de sécurisation VPS Ubuntu) sont indispensables, mais ils ne protègent pas contre une faille dans un service qui écoute légitimement sur le réseau.
Conclusion
L'ajout de ces cinq CVE au catalogue KEV de la CISA rappelle qu'une faille connue et non corrigée est une faille exploitée. Vérifiez dès maintenant si ProFTPD, BIND ou ONLYOFFICE sont installés sur votre serveur, appliquez les mises à jour, et désactivez les services que vous n'utilisez pas. Pour aller plus loin dans le durcissement de votre serveur, consultez notre guide sécuriser un serveur dédié : premiers réglages.