if ( !emtpy($headline_subheadline ) ) : ?>
Les attaquants analysent les serveurs de développement Vite exposés à Internet à la recherche de fichiers d’environnement, d’informations d’identification cloud et de configuration de l’infrastructure.
endif; ?>
Les attaquants ont ouvert un nouveau front dans leur guerre contre les développeurs de logiciels : les serveurs Vite, qu’ils recherchent à la recherche de données sensibles, notamment les informations d’identification du cloud, la configuration de l’infrastructure et les fichiers d’environnement.
Vite a été créé comme un outil de construction pour Vue, un framework JavaScript permettant de créer des interfaces utilisateur et des applications Web, mais est maintenant devenu un serveur de développement et un outil de construction largement utilisés dans l’écosystème JavaScript.
F5 Labs a signalé que les attaquants ont envoyé plus de 32 000 tentatives d’analyse des éléments exposés.
Les serveurs Vite sur son réseau honeypot, regroupés en 807 attaques (ou sessions), au cours du mois d’août, soit une forte augmentation par rapport à seulement 1 732 tentatives au cours des trois mois précédents.
« Plutôt que de cibler un seul fichier, la flotte d’analyse a systématiquement parcouru de longues listes de mots de fichiers d’environnement, de clés AWS, de jetons Azure et de fichiers d’état Infrastructure-as-Code », a écrit Adam Metcalfe-Pearce, chercheur sur les menaces de F5, dans un article sur le blog de F5.
F5 a noté que Vite se lie normalement à localhost, mais les développeurs peuvent l’exposer via l’option « –host », la configuration du serveur, les mappages de ports de conteneur ou d’autres erreurs de déploiement.
Les analyses ciblaient un contournement de l’accès aux fichiers
L’activité ciblait une vulnérabilité récemment révélée qui permet à des attaquants non authentifiés de contourner la restriction d’accès aux fichiers de Vite et de récupérer des fichiers du système hôte. Suivie sous le numéro CVE-2026-39364, la faille permet aux attaquants de contourner la protection par liste de refus « server.fs.deny » utilisée pour empêcher l’accès aux fichiers sensibles.
« Lorsque des paramètres spécifiques tels que ?raw, ?import&raw ou ?import&url&inline sont ajoutés à une requête, le serveur ne parvient pas à appliquer le filtrage de liste refusée et sert le fichier cible avec une réponse HTTP 200 », a écrit Metcalfe-Pearce.
Certaines requêtes utilisaient également une traversée de chemin à double codage, ce qui, selon F5, indiquait une tentative d’échapper aux contrôles de sécurité tels que les proxys inverses et les pare-feu d’applications Web (WAF).
Attribuée à un indice de gravité de CVSS 8.2, la faille affecte Vite 7.1.0 jusqu’aux versions antérieures à 7.3.2 et Vite 8 avant 8.0.5.
F5 a recommandé de mettre à jour Vite vers une version corrigée, de faire tourner les secrets potentiellement exposés, de garantir que les serveurs de développement ne se lient pas à des interfaces externes et d’auditer les configurations Docker, Kubernetes et cloud afin que les ports de développement ne soient pas exposés à l’Internet public.
Le blog a également partagé le répertoire organisé et les listes de mots d’identification que les attaquants ont utilisés lors de ces attaques.
Vite faisait partie d’un modèle d’analyse plus large
F5 a également observé des attaquants combinant CVE-2026-39364 avec d’anciennes vulnérabilités d’accès aux fichiers Vite, notamment CVE-2025-30208, CVE-2025-31125 et CVE-2024-45811. La même infrastructure d’analyse a également recherché un contournement du middleware Next.js, indiquant que l’activité ne se limite pas à un seul framework.
Dans son article de blog, la société a également noté qu’à l’exception du CVE-2025-31125, aucun de ces CVE n’est encore répertorié dans le catalogue de vulnérabilités exploitées connues (KEV) de CISA.
Si F5 a connu une forte augmentation en août des attaques contre des failles récemment découvertes dans Vite, cela n’a pas fait partie des trois principaux CVE attaqués sur les honeypots de l’entreprise, tous beaucoup plus anciens. CVE-2017-9841, une faille critique d’exécution de code à distance dans PHPUnit vieille de près de dix ans, est restée en tête du classement avec 4 201 attaques enregistrées, suivie par CVE-2018-14028, un échec de vérification des plugins WordPress en tant que fichiers ZIP valides (4 102), et CVE-2018-20062, une exécution de code à distance ThinkPHP dans NoneCms (3 482).
InfoMonde
