Kiteworks publie des correctifs pour une faille critique dans Email Protection Gateway

Le fournisseur de solutions de partage sécurisé de fichiers Kiteworks a publié des mises à jour logicielles pour corriger 126 vulnérabilités sur l'ensemble de sa plateforme. Cet ensemble de correctifs traite notamment une vulnérabilité de sévérité maximale dans le Kiteworks Email Protection Gateway (EPG), un composant d'entreprise conçu pour intégrer les transferts sécurisés de fichiers, la protection de la messagerie, les API et les formulaires web au sein du réseau Private Content Network de Kiteworks.

Risques d'exploitation critique

La vulnérabilité la plus grave, répertoriée sous la référence CVE-2026-54154, a été signalée à Kiteworks via son programme de prime aux bogues sur YesWeHack. Selon l'éditeur, la faille implique une chaîne de problèmes de traitement des entrées sur des points de terminaison exposés publiquement, combinant un traversement de répertoire, une injection de code et l'absence de contrôles d'authentification. Des attaquants distants sans privilèges préalables pourraient exploiter ces faiblesses de faible complexité sans nécessiter d'interaction de l'utilisateur, ce qui leur permettrait d'exécuter du code arbitraire et d'élever leurs privilèges jusqu'au contrôle root de l'appareil ciblé.

Correctifs de sécurité globaux

Outre la vulnérabilité de sévérité maximale, la mise à jour de sécurité résout 11 autres failles critiques affectant les composants Kiteworks Core et EPG. Les vulnérabilités corrigées comprennent des contournements d'authentification, des prises de contrôle de comptes d'administration, des injections de scripts intersites stockés (XSS), des défauts d'authentification ainsi que des contrôles d'accès inappropriés.

Systèmes affectés et mesures de correction

La faille critique concerne toutes les versions d'Email Protection Gateway antérieures à la version 9.4.1. Kiteworks a résolu le problème dans la version 9.4.1 et les distributions ultérieures. L'éditeur avait auparavant publié un avis de précaution invitant les clients à mettre temporairement leurs serveurs hors ligne après avoir reçu des informations sur une attaque zero-day imminente, bien que les environnements hébergés aient été remis en ligne lundi après l'application des correctifs. Kiteworks a déclaré n'avoir trouvé aucune preuve de compromission du système. Le groupe de surveillance des menaces Shadowserver dénombre actuellement près de 400 instances Kiteworks exposées sur Internet, bien que les chiffres exacts concernant les systèmes effectivement corrigés ne soient pas confirmés.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Kiteworks patches max severity code injection vulnerability