La priorité de la semaine se trouve sur les services exposés. PaperCut confirme une seconde vague d’attaques contre les serveurs NG/MF insuffisamment corrigés. SonicWall signale de son côté l’exploitation active de deux nouvelles vulnérabilités sur les appliances SMA 1000. Dans les deux cas, installer le correctif ne suffit pas si des indicateurs de compromission sont déjà présents.
Plex demande également de mettre à jour ses serveurs et son client Desktop, mais ne publie encore ni CVE ni détail technique. L’action est simple, l’évaluation du risque l’est moins. Il faut patcher sans inventer un scénario d’exploitation que l’éditeur n’a pas encore documenté.
DokuWiki et File Browser rappellent deux autres réalités opérationnelles. Une application peu exposée peut devenir dangereuse dès qu’un compte dispose d’un droit d’écriture, et un projet archivé ne retrouve pas un cycle de maintenance parce que son conteneur continue de démarrer correctement.
En bref#
- PaperCut NG/MF : restreindre immédiatement l’accès web public aux adresses de confiance et installer l’Emergency Patch Release 3. Les versions 24, 25 et 26 disposent d’un correctif. Les branches antérieures doivent être mises à niveau.
- SonicWall SMA 1000 : passer à 12.4.3-03526 ou 12.5.0-02952. L’exploitation est confirmée. Si des traces sont détectées, SonicWall recommande de réinstaller l’appliance et de renouveler mots de passe et jetons TOTP.
- Plex : mettre Plex Media Server à jour vers 1.43.3 ou une version ultérieure, et Plex Desktop vers 1.115.0 ou plus récent. Les détails des vulnérabilités ne sont pas encore publics.
- DokuWiki : installer la version 2026-07-14c “Mort”. L’exploitation exige un droit d’écriture, mais peut mener à une exécution de code ou à une suppression arbitraire de fichiers.
- Home Assistant 2026.9 : sauvegarder, lire les incompatibilités puis tester. La nouvelle architecture Modbus, les diagnostics Matter, MQTT et série, ainsi que la vue de causalité des activités apportent une vraie valeur d’exploitation.
- File Browser : le dépôt est archivé et deux classes de problèmes de sécurité restent sans correctif. Réduire l’exposition maintenant, puis préparer une migration.
PaperCut NG/MF : une seconde vague d’attaques vise les serveurs exposés#
PaperCut enquête sur des compromissions confirmées de serveurs PaperCut NG et MF accessibles depuis Internet. Le bulletin, encore actif au 4 septembre, couvre toutes les versions des deux produits. PaperCut Pocket, Hive, Mobility Print et les clients ne sont pas concernés par cet avis.
Deux vulnérabilités sont désormais publiques :
- CVE-2026-81578, score CVSS 4.0 de 8,8, permet à un attaquant non authentifié de modifier certaines configurations via l’interface web d’administration avant la fin des contrôles d’accès ;
- CVE-2026-82078, score de 9,4, permet de charger du bytecode Java présent dans le classpath en contrôlant le nom d’un pilote de base de données. Prise isolément, cette seconde faille exige des privilèges élevés.
Le rapprochement des deux descriptions rend plausible un enchaînement : la première faille modifie certaines configurations, tandis que la seconde devient exploitable si un attaquant peut manipuler des paramètres système. C’est une inférence, pas la description officielle des incidents. Le bulletin confirme en revanche qu’une seconde vague touche les serveurs publics qui ne sont pas complètement corrigés et que l’Emergency Patch Release 3 ferme des vecteurs supplémentaires observés dans la nature.
Release 3 remplace les deux correctifs d’urgence précédents. Il n’est pas nécessaire de les installer d’abord. Les builds à rechercher sont :
| Branche | PaperCut NG | PaperCut MF |
|---|---|---|
| 26.0.4 | 76530 | 76531 |
| 25.0.12 | 76533 | 76532 |
| 24.1.9 | 76535 | 76534 |
Un numéro comme 26.0.4 ne suffit donc pas à valider le correctif. Il faut aussi contrôler le build affiché dans l’interface ou dans les journaux. Release 3 corrige par ailleurs deux régressions des premiers patchs, sur l’authentification SAML et l’utilisation des anciens pilotes Microsoft SQL Server pour la recherche externe de numéros de carte.
Pour une instance accessible depuis Internet, l’ordre de travail raisonnable est le suivant :
- restreindre immédiatement les interfaces web aux adresses de confiance au niveau du pare-feu, du load balancer ou du reverse proxy ;
- conserver les journaux, alertes EDR et sauvegardes avant toute intervention ;
- installer Release 3 sur le serveur applicatif, les Site Servers et les serveurs secondaires ;
- rechercher des traces de compromission antérieures au correctif ;
- reconstruire depuis une base saine si une compromission est suspectée.
PaperCut fournit plusieurs indicateurs précis dans server.log, notamment jdbc:derby:memory:pwn, VALUES CAST(X'cafebabe et des pilotes jdbc:no:x associés à un nom aléatoire de cinq caractères. Une recherche locale en lecture seule peut accélérer le triage :
rg -n 'jdbc:derby:memory:pwn|cafebabe|jdbc:no:x|Database error looking up cardID' \
/chemin/vers/papercut/server/logs/server.log*Les incidents observés incluent aussi le processus pc-app.exe lançant un shell, l’installation de SimpleHelp sous le nom de service Remote Access Service et l’ajout d’AnyDesk. L’absence de ces éléments ne prouve pas que la machine est saine. Sur un serveur suspect, préserver les preuves puis repartir d’une installation propre et d’une sauvegarde antérieure est plus défendable que d’appliquer uniquement le patch.
Bulletin de sécurité PaperCut NG/MF du 27 août, mis à jour le 4 septembre
SonicWall SMA 1000 : deux failles exploitées sur les accès distants#
Le bulletin SNWLID-2026-0016 concerne les appliances SonicWall SMA 1000 physiques et virtuelles : modèles 6210, 7210 et 8200v sur tous les hyperviseurs pris en charge.
Deux vulnérabilités sont corrigées :
- CVE-2026-83548, SSRF pré-authentification dans l’interface Workplace via un chemin d’accès faisant office de proxy involontaire, avec un score CVSS de 10,0 ;
- CVE-2026-83549, injection de commandes pouvant mener à une exécution de code à distance après authentification comme administrateur, avec un score de 7,8.
SonicWall confirme leur exploitation active. Le produit sert précisément à fournir un accès distant, donc l’exposition réseau n’est pas un cas marginal. La priorité dépend surtout de la version réellement installée :
| Branche vulnérable | Version corrigée |
|---|---|
| 12.4.3-03453 | 12.4.3-03526 |
| 12.5.0-02835 | 12.5.0-02952 |
Les correctifs sont distribués via MySonicWall. Après la mise à jour, le constructeur demande de contacter son support pour examiner les indicateurs de compromission. Si des traces sont trouvées, la recommandation officielle est plus lourde qu’un simple redémarrage : réimager l’appliance physique ou redéployer la VM, modifier tous les mots de passe utilisateurs et administrateurs, puis réinitialiser les jetons TOTP.
Cette rotation doit intervenir après avoir repris le contrôle de l’équipement. Changer les secrets alors qu’un attaquant conserve un accès persistant risque seulement de lui fournir les nouvelles valeurs.
Avis SonicWall SNWLID-2026-0016
Plex publie un correctif de sécurité sans détailler les failles#
Plex a publié Plex Media Server 1.43.3 et Plex Desktop 1.115.0 pour traiter plusieurs problèmes de sécurité. L’éditeur demande aux propriétaires de serveurs et aux utilisateurs du client Desktop de mettre à jour rapidement.
Au 4 septembre, les identifiants CVE sont seulement demandés et aucun scénario d’exploitation n’est publié. Il n’est donc pas possible d’affirmer si les défauts exigent une authentification, une exposition directe, un fichier multimédia piégé ou une interaction locale. L’absence de détails ne justifie pas d’attendre, mais elle interdit de qualifier proprement la gravité technique.
Les cibles minimales sont claires :
- Plex Media Server 1.43.3 ou plus récent ;
- Plex Desktop 1.115.0 ou plus récent.
Sur un serveur accessible localement, l’endpoint d’identité permet de voir la version réellement exécutée :
curl -fsS http://127.0.0.1:32400/identityPour un paquet Debian ou RPM, contrôler aussi la version installée :
dpkg-query -W plexmediaserver 2>/dev/null || rpm -q plexmediaserverLes catalogues des fabricants de NAS peuvent publier le paquet avec retard. Plex documente l’installation manuelle d’un paquet téléchargé depuis son site pour ces cas. Avec Docker, tirer une nouvelle image ne met pas à jour le conteneur en cours d’exécution : il faut le recréer, puis vérifier à nouveau /identity.
Avant la maintenance, sauvegarder la base Plex et le fichier de préférences reste prudent, surtout sur un NAS où le retour arrière d’un paquet applicatif est parfois mal documenté. Après redémarrage, vérifier la lecture locale, l’accès distant et les tâches d’analyse de bibliothèque.
DokuWiki corrige un défaut pouvant mener à une RCE#
DokuWiki 2026-07-14c “Mort”, également identifié comme la release 57.3, corrige un problème dans la gestion des brouillons. Le mainteneur confirme qu’il peut conduire à une exécution de code à distance ou à la suppression arbitraire de fichiers.
La condition d’exploitation change fortement le risque réel : l’attaquant doit disposer d’un droit d’écriture sur le wiki. Sur une documentation interne où seuls quelques comptes de confiance peuvent modifier des pages, le scénario est plus limité. Sur un wiki public qui autorise l’édition anonyme ou dont les comptes sont largement distribués, la surface devient nettement plus sérieuse.
Selon le mainteneur, les versions publiées depuis environ dix ans sont concernées, même si la charge d’exploitation peut différer d’une version à l’autre. Aucun identifiant CVE n’est encore indiqué dans l’avis public au moment de la rédaction.
Vérifier la version déployée :
cat /var/www/dokuwiki/VERSIONLa cible est :
2026-07-14c "Mort"Si la mise à jour ne peut pas être appliquée immédiatement, le contournement officiel consiste à désactiver usedraft. La valeur par défaut est 1, donc une option absente de conf/local.php signifie généralement que les brouillons automatiques restent actifs. Vérifier la surcharge locale avec :
rg -n -F "\$conf['usedraft']" /var/www/dokuwiki/conf/local.phpLa mitigation temporaire correspond à :
$conf['usedraft'] = 0;Le correctif durcit la désérialisation du cache d’instructions. Il peut casser les plugins dont un composant de syntaxe stocke des objets PHP dans la valeur retournée par handle(). Bureaucracy et Gallery ont déjà nécessité des adaptations. Il faut donc sauvegarder, mettre DokuWiki et les plugins à jour, vider proprement les caches par les mécanismes prévus, puis tester les formulaires et pages utilisant des plugins de syntaxe avant de refermer la maintenance.
Home Assistant 2026.9 améliore surtout l’exploitation quotidienne#
La nouveauté la plus structurante de Home Assistant 2026.9 est peu visible dans l’interface. Le projet introduit une bibliothèque de connexion Modbus partagée qui permet aux intégrations de connaître directement la cartographie d’un équipement et de réutiliser une même connexion.
La configuration Modbus historique en YAML reste prise en charge. La nouvelle voie réduit surtout le besoin de recopier manuellement des registres pour chaque onduleur, compteur ou pompe à chaleur. Fronius, Sofar Inverter Modbus et Flexit sont les premiers à utiliser cette architecture. Pour les onduleurs qui limitent le nombre de sessions Modbus simultanées, le partage de connexion évite aussi d’épuiser inutilement cette limite.
Les autres changements utiles concernent le diagnostic :
- le panneau Matter affiche désormais une carte des équipements Thread et Wi-Fi, des routeurs de bordure et de la qualité des liens ;
- les ports série sont classés entre ports utilisés, libres et attendus mais absents ;
- MQTT reçoit une page de statut, un outil de publication et une vue d’abonnement plus lisible ;
- les stockages réseau affichent leur taux de remplissage, en orange au-delà de 85 % et en rouge au-delà de 95 % ;
- la vue Activity montre la chaîne ayant causé un changement, depuis le déclencheur jusqu’à l’entité en passant par l’automatisation ou le script ;
- le tableau Security accepte des favoris et des alertes actives avec deux niveaux de sévérité.
Pour les abonnés Home Assistant Cloud, l’adresse IP réelle des tentatives de connexion est maintenant transmise à l’instance au lieu d’apparaître comme 127.0.0.1. Le bannissement par IP devient donc exploitable. Il complète le MFA, sans le remplacer.
Quelques incompatibilités méritent une recherche avant mise à jour :
- les noms d’outils LLM sont désormais préfixés par le domaine de l’intégration ;
- UniFi Protect 7.2.105 devient la version minimale ;
- l’installation ou l’ignorance d’une mise à jour exige un compte administrateur lorsqu’elle est lancée depuis un script utilisateur ;
- les actions Z-Wave JS qui gèrent les utilisateurs et identifiants de serrure exigent désormais un administrateur ;
- KNX n’envoie plus la première valeur d’une exposition sur le bus sauf si
send_on_initest activé.
Une sauvegarde complète, la lecture des réparations en attente et un test des intégrations personnalisées restent les trois contrôles utiles avant de passer une instance importante en 2026.9.
Notes de publication Home Assistant 2026.9
File Browser est désormais archivé#
Le dépôt historique filebrowser/filebrowser est passé en lecture seule le 1er septembre. La dernière release prévue a déjà été publiée et il n’y aura plus de correction fonctionnelle ou de sécurité.
Ce n’est pas seulement un changement de gouvernance. Le README documente deux classes de défauts qui resteront ouvertes :
- le lanceur de commandes et les hooks ont accumulé plusieurs vulnérabilités et nécessiteraient une réécriture. La fonction est désactivée par défaut ;
- les sessions reposent sur des JWT autonomes qui ne peuvent pas être révoqués côté serveur. Une déconnexion, un changement de mot de passe ou un renouvellement ne rendent donc pas immédiatement inutilisable un jeton déjà volé.
Une instance existante ne devient pas compromise le jour de l’archivage. Elle devient en revanche une dette sans chemin de correction amont. En attendant la migration :
- ne pas l’exposer directement à Internet ;
- placer une authentification indépendante devant l’application ;
- conserver l’exécution de commandes désactivée ;
- exécuter le service sans privilège, avec uniquement les répertoires nécessaires montés dans le conteneur ;
- considérer tout jeton volé comme valide jusqu’à son expiration, même après une déconnexion ou un changement de mot de passe.
Ces mesures limitent le risque mais ne remplacent pas un logiciel maintenu. Un fork n’est une solution que s’il dispose de responsables identifiés, d’un processus de publication et d’une politique de sécurité active.
Signaux de veille cette semaine#
Debian et SourceHut choisissent deux politiques opposées sur l’IA générative. Debian a retenu par vote l’option “Responsible Use of Generative AI”. Elle n’ajoute pas de régime spécial : le contributeur reste responsable de la qualité, des licences, de la confidentialité et des actions automatisées à grande échelle. SourceHut interdira à partir du 10 septembre le contenu original produit ou assisté par des LLM, ainsi que les logiciels qui facilitent directement leur utilisation. Les projets existants ne sont pas sanctionnés rétroactivement, mais doivent aligner leurs contributions futures ou préparer une migration.
BentoPDF 2.8.8 ajoute l’édition directe du texte et des objets. Le traitement reste dans le navigateur. La release publie aussi Kura, un moteur de conformité et de contrôle PDF, et Hyper, un moteur de compression, sous forme de projets open source séparés. Point à ne pas rater : les deux moteurs sont annoncés stables, mais ne sont pas encore intégrés dans l’interface BentoPDF. Mettre à jour le conteneur ne fait donc pas apparaître automatiquement toutes leurs fonctions.
Nextcloud documente enfin un chemin UnifiedPush complet pour Talk sur Android. La procédure demande Nextcloud 34 ou plus récent, Talk Android 24.0.2 au minimum et une application distributrice. L’exemple avec Sunup remplace Firebase Cloud Messaging par le service push de Mozilla. Pour garder aussi cette brique chez soi, il faut choisir un distributeur et un serveur compatibles, par exemple NextPush ou ntfy, puis tester la réception avec les optimisations de batterie du téléphone.
openmediavault 8.5.7 reste une maintenance ciblée. La version améliore le nettoyage des sessions PHP et l’affichage des tags dans les widgets de systèmes de fichiers. Le plugin LVM2 8.0.3 améliore son formulaire d’extension. Rien ne justifie une fenêtre d’urgence, mais les sauvegardes et l’état des systèmes de fichiers doivent rester vérifiés avant toute mise à jour d’un NAS.
- Résultat du vote Debian sur l’usage des LLM
- Nouvelles conditions d’utilisation de SourceHut
- BentoPDF 2.8.8
- Nextcloud Talk et UnifiedPush
- openmediavault 8.5.7
Les pépites de la semaine#
Tailcat réutilise le plan de données open source de Tailscale sans compte ni control plane. L’outil se comporte comme un netcat chiffré : WireGuard protège le transport, magicsock tente une traversée NAT directe et DERP sert de relais en dernier recours. L’adresse tailcat embarque la clé publique et les informations de rendez-vous ; elle est transmise hors bande ou publiée dans un enregistrement DNS TXT. Le serveur peut limiter les clés clientes acceptées. Il n’y a en revanche ni utilisateur, ni ACL centrale, ni administration centralisée : ce n’est pas un remplacement complet de Tailscale ou Headscale. Les relais publics fournis pour Tailcat sont limités en débit, mais le serveur DERP peut être auto-hébergé.
MinusPod transcrit des podcasts avec Whisper, détecte les segments publicitaires avec un LLM, découpe l’audio avec FFmpeg puis publie un nouveau flux RSS. Le projet accepte des modèles locaux via Ollama ou des fournisseurs distants et apprend des corrections appliquées aux épisodes précédents. Le coût opérationnel dépend fortement du volume audio et du mode de transcription. L’authentification se limite actuellement à un mot de passe partagé, donc l’interface et les clés de fournisseurs doivent rester derrière un reverse proxy correctement protégé.
Le retour d’expérience QFieldCloud publié cette semaine illustre bien pourquoi une mise à jour Compose n’est pas toujours un simple pull. Le déploiement étudié cumule une migration PostgreSQL 13 vers 17, le remplacement de MinIO par RustFS, deux nouvelles images QGIS et la suppression d’un service PostGIS. L’intérêt dépasse QFieldCloud : comparer .env.example, Compose, images et formats de données avant de relancer la stack évite de confondre reconstruction de conteneurs et migration applicative.
Commande du jour#
docker ps -q | xargs -r docker inspect \
--format '{{.Name}} -> {{.Config.Image}} ({{.Image}})'La commande inventorie les conteneurs actifs sans les modifier. Elle affiche pour chacun le nom de l’image déclaré dans la configuration et l’identifiant immuable de l’image réellement utilisée.
C’est utile après un docker compose pull : si le conteneur pointe encore vers l’ancien identifiant, l’image a été téléchargée mais le service n’a pas été recréé. Le tag seul, notamment latest, ne prouve jamais quelle image tourne réellement. Cet inventaire ne donne pas non plus la version de l’application embarquée ; il faut encore la vérifier dans l’interface, les logs ou un endpoint de version.
Conclusion#
PaperCut et SonicWall passent avant le reste lorsque leurs interfaces sont exposées : les attaques sont confirmées et la réponse doit inclure une recherche de compromission. Plex mérite une mise à jour rapide, avec une communication encore trop incomplète pour évaluer précisément l’exploitabilité. DokuWiki demande de raisonner sur les droits d’écriture plutôt que sur la seule visibilité du site.
Home Assistant 2026.9 peut attendre une sauvegarde et une fenêtre de test. File Browser demande une décision plus durable : le confiner réduit le risque immédiat, mais seul un remplacement maintenu règle le problème de fond.
Sources#
- PaperCut - bulletin de sécurité NG/MF du 27 août 2026
- SonicWall - SNWLID-2026-0016
- Plex - mise à jour de sécurité pour Media Server et Desktop
- DokuWiki - signalement du défaut pouvant mener à une RCE
- DokuWiki - correctif contre l’injection d’objets lors de la désérialisation
- DokuWiki 2026-07-14c “Mort”
- Home Assistant 2026.9
- File Browser - dépôt archivé et avertissements de sécurité
- Henrique Dias - arrêt de File Browser
- Debian - résolution générale sur l’usage des LLM
- SourceHut - modification des conditions d’utilisation sur les LLM
- BentoPDF 2.8.8
- Nextcloud - UnifiedPush pour Talk sur Android
- openmediavault 8.5.7 et openmediavault-lvm2 8.0.3
- Tailscale - Tailcat
- MinusPod
- F84 - migration QFieldCloud vers l’upstream