Le 3 septembre 2026, l'agence américaine de cybersécurité (CISA) a ajouté sept vulnérabilités d'un coup à son catalogue KEV (vulnérabilités dont l'exploitation est avérée). Deux d'entre elles visent précisément les logiciels que l'on installe sur ses propres serveurs :

  • CVE-2026-49869 — injection de commandes dans Kestra OSS, CVSS 10.0
  • CVE-2026-59822 — authentification défaillante dans Berri LiteLLM, CVSS 8.8

Les cinq autres : CVE-2026-83548 (falsification de requête côté serveur dans SonicWall SMA 1000, 10.0), CVE-2026-83549 (injection de commandes OS sur le même produit, 7.8), CVE-2026-9586 (injection SQL dans Sangoma Switchvox, 9.3), CVE-2026-82329 (authentification défaillante dans JFrog Artifactory, 9.8) et CVE-2026-48710 (HTTP smuggling dans Kludex Starlette, 6.5).

Les attaquants ne visent pas vos données, mais votre CPU

Le comportement post-exploitation observé est documenté : mise en place de reverse shells et de mécanismes de persistance ; sur les déploiements LiteLLM, dépôt d'un mineur XMRig via un binaire ELF ; du côté de Kestra, exécution de shell à travers le moteur de workflow, débouchant là encore sur un mineur et le détournement des ressources de l'hôte.

Cela mérite d'être explicité. Quand ce que vous auto-hébergez est un outil interne, on se dit volontiers : « il n'y a pas de données clients là-dedans, tant pis ». Mais le minage n'a pas besoin de vos données pour être rentable : il lui faut du temps CPU et de la bande passante. La facture et l'avis d'abus de l'hébergeur, eux, arrivent bien chez vous.

Pourquoi cette série concerne directement les utilisateurs de VPS

Regardez la nature des logiciels : LiteLLM est la passerelle que beaucoup placent devant plusieurs API de modèles, Kestra un moteur de workflow et d'ordonnancement, Artifactory un dépôt d'artefacts et Starlette la base de FastAPI. Ce sont tous des composants typiques du « j'en installe un sur mon VPS » — et leurs guides de démarrage rapide, soucieux de vous rendre opérationnel en trois minutes, écoutent très souvent sur 0.0.0.0. Installé puis oublié, cela signifie exposé à Internet.

Les échéances fixées aux agences fédérales disent aussi l'urgence : cinq des sept devaient être traitées pour le 5 septembre, CVE-2026-48710 et CVE-2026-59822 pour le 16 septembre. Les délais KEV n'engagent juridiquement que les agences fédérales américaines, mais pour tous les autres, l'étiquette « exploitation confirmée » reste le meilleur critère de priorisation des correctifs disponible : elle en dit plus sur le danger présent qu'un score CVSS.

Une vérification en trois minutes

  • Votre CPU est-il dévoré ? uptime pour la charge, ps aux --sort=-%cpu | head pour le coupable. Une charge pleine et durable sans trafic correspondant est le symptôme classique ; diagnostiquer une utilisation CPU à 100 % sur un VPS déroule la méthode complète.
  • Des connexions sortantes étranges ? ss -tnp state established, en surveillant les ports habituels des pools de minage comme 3333, 5555, 7777 et 14444, ainsi que les domaines inconnus.
  • Vérifiez la persistance : crontab -l, ls -la /etc/cron.*, systemctl list-timers, ls -la ~/.config/systemd/user/. Un mineur tourne rarement en un seul processus solitaire ; il cherchera à survivre au redémarrage.
  • Vérifiez votre exposition : ss -tlnp liste tous les ports en écoute. Pour chaque ligne commençant par 0.0.0.0:, demandez-vous à voix haute si elle doit vraiment être joignable depuis Internet.

Comment déployer correctement ce type de logiciel

  • Écoutez sur la boucle locale par défaut. Interfaces d'administration et API internes sur 127.0.0.1 ; on y accède par tunnel SSH (ssh -L 8080:127.0.0.1:8080 user@host) ou WireGuard, plutôt qu'en ouvrant un port public protégé par un mot de passe faible.
  • Si l'exposition est indispensable, placez un reverse proxy devant, ajoutez une authentification réelle (pas l'administrateur par défaut de l'application), restreignez par IP et passez le pare-feu en refus par défaut — le durcissement d'un VPS avec ufw et l'authentification par clé SSH donne les commandes exactes.
  • Mettez à jour vers les versions corrigées et attribuez à chaque composant auto-hébergé un responsable qui lit ses avis de sécurité. Trois minutes pour l'installer, puis trois ans sans surveillance : c'est le scénario commun à ces incidents.

Si vous avez déjà été touché

Ne vous arrêtez pas à « tuer le processus, supprimer le fichier ». Un point d'entrée suffisant pour déposer un mineur suffit pour déposer autre chose, et la persistance est rarement unique. Suivez la marche à suivre pour enquêter sur un VPS compromis et le resécuriser : collectez les preuves avant de nettoyer, faites tourner tous les identifiants, et reconstruisez si possible. Les nœuds SharkCloud au Japon, à Singapour, à Hong Kong et aux États-Unis sont des instances indépendantes : monter une machine propre et y remigrer les données est généralement plus rapide et plus fiable que d'opérer une machine qui ne vous appartient plus.