← Retour au blog

Briefing sécurité, 19 avril 2026 : RCE protobuf.js, Mirai Nexcorium et opération PowerOFF

Le briefing sécurité d’aujourd’hui suit trois signaux concrets : une faille critique d’exécution de code dans protobuf.js avec PoC public, l’exploitation par Mirai de DVR TBK et de routeurs vieillissants, et une opération mondiale contre l’écosystème DDoS-for-hire.

---

---

1. protobuf.js entre dans la file des dépendances urgentes

La faille critique protobuf.js, suivie sous GHSA-xq3m-2v4x-88gg, peut mener à une exécution de code à distance lorsque des applications chargent des schémas influencés par un attaquant. Endor Labs explique que l’exploitation est simple, car une génération dynamique de code non sûre permet d’injecter du code via des identifiants malveillants. La bibliothèque se trouve profondément dans de nombreuses piles JavaScript et pèse environ 50 millions de téléchargements npm par semaine.

• Passez à la version 8.0.1 ou 7.5.5 et vérifiez aussi les dépendances transitives.
• Traitez le chargement de schémas comme une entrée non fiable et privilégiez des schémas précompilés ou statiques en production.
• Si votre application décode des définitions protobuf fournies par l’utilisateur, supposez que l’impact potentiel inclut secrets, bases de données et services internes.

---

2. Les opérateurs Mirai continuent de récolter les vieux objets connectés

Fortinet indique que la variante Mirai Nexcorium exploite la CVE-2024-3721 sur des DVR TBK et combine cet accès avec du brute force et une logique d’exploitation plus ancienne visant Huawei. Palo Alto Networks a aussi observé des tentatives contre des routeurs TP-Link en fin de vie. La leçon est la même : les appliances Internet anciennes deviennent un stock bon marché pour botnet quand les correctifs et l’hygiène des identifiants s’effondrent.

• Corrigez ou isolez immédiatement les DVR TBK concernés et remplacez les équipements TP-Link non supportés.
• Auditez les mots de passe par défaut, l’exposition Telnet et toute persistance inattendue via cron ou systemd.
• Considérez les appareils de vidéosurveillance et de succursale exposés comme une surface d’intrusion active.

---

3. L’opération PowerOFF augmente le coût du DDoS-for-hire

L’opération PowerOFF, soutenue par Europol, a saisi 53 domaines, exposé des bases liées à plus de 3 millions de comptes criminels et visé des services utilisés par plus de 75 000 clients. Le signal défensif clé n’est pas que le DDoS disparaît, mais que la pression sur l’infrastructure booter augmente, avec à la clé migration, représailles ou bruit temporaire.

• Surveillez de possibles déplacements vers des fournisseurs de secours, de nouveaux panneaux ou des canaux Telegram de revente.
• Conservez journaux et échanges clients si des extorsions ou faux stress tests apparaissent après cette vague.
• Profitez de cette fenêtre pour revoir limitation de débit, filtrage amont et contacts d’incident avant que le prochain clone ne prenne la relève.

---

Ce que les équipes sécurité doivent faire aujourd’hui

1. Corriger d’abord l’exposition protobuf.js dans les services JavaScript exposés à Internet ou multi-tenant.
2. Établir un inventaire des DVR, routeurs et équipements encore accessibles avec identifiants faibles ou Telnet.
3. Demander aux équipes réseau et SOC si les seuils de surveillance DDoS doivent être ajustés temporairement après PowerOFF.
4. Envoyer à la direction une note simple : risque dépendances, risque botnet IoT et turbulence du marché DDoS sont trois problèmes distincts.

---

Bottom line: En bref : la menace du jour est à la fois un problème de stack, un problème edge et un problème de marché. Corrigez la bibliothèque, nettoyez les appliances, et n’imaginez pas que les saisies rendent les réseaux calmes.