← Accueil actu | Salle du marché
2026-09-16 · Source：InfoWorld
F5 Labs a compté plus de 32,000 tentatives de scan contre des serveurs Vite exposés en août, tandis que des attaquants chassaient les clés cloud, les tokens et les fichiers d'environnement via un contournement récemment divulgué.
Les attaquants ont ouvert un nouveau front dans leur campagne contre les développeurs de logiciels, braquant leurs scanneurs sur les serveurs Vite à la recherche d'identifiants cloud, de configuration d'infrastructure et de fichiers d'environnement. F5 Labs indique que son réseau de honeypots a consigné plus de 32,000 tentatives de scan de serveurs Vite exposés en août, regroupées en 807 attaques, ou sessions — une nette augmentation par rapport aux 1,732 tentatives des trois mois précédents.
Le chercheur en menaces de F5 Adam Metcalfe-Pearce, écrivant sur le blog de la société, a décrit l'ampleur de l'opération : « Plutôt que de cibler un seul fichier, la flotte de scanneurs parcourait systématiquement de vastes listes de mots de fichiers d'environnement, de clés AWS, de tokens Azure et de fichiers d'état Infrastructure-as-Code. » La campagne s'est calée sur une faille récemment divulguée, suivie sous CVE-2026-39364, qui permet à des attaquants non authentifiés de contourner les restrictions d'accès aux fichiers de Vite et d'extraire des fichiers du système hôte.
La vulnérabilité neutralise la protection par liste d'interdiction « server.fs.deny », le mécanisme sur lequel Vite compte pour tenir les fichiers sensibles hors de portée. Vite a commencé comme outil de build pour Vue, un framework JavaScript de construction d'interfaces utilisateur et d'applications web, mais s'est depuis épanoui en serveur de développement et outil de build largement employés dans l'écosystème JavaScript.
L'exposition provient généralement de choix de configuration plutôt que des valeurs par défaut. Vite se lie normalement à localhost, mais les développeurs peuvent l'ouvrir aux réseaux extérieurs via l'option « –host », la configuration du serveur, les mappages de ports de conteneurs ou d'autres erreurs de déploiement, autant de voies d'exposition que F5 a signalées avec ses conclusions.
Pour les équipes qui construisent des systèmes IA sur AWS ou Azure, le risque est que tout serveur de développement mal configuré devienne une source d'identifiants : une seule clé ou un seul token récupéré pourrait remettre aux attaquants l'accès au compte cloud qu'il déverrouille.
Mots-clés: Vite · F5 Labs · Adam Metcalfe-Pearce · AWS · Azure · CVE-2026-39364
萬安算交所 AIXX · AIXX · Bourse compute vérifiée · Accéder à la salle