Sécurité

Résumé de l'avis de sécurité

Avis PHP à l'attention des clients

Wasabi a pris connaissance de deux failles de sécurité critiques de PHP récemment révélées (CVE-2026-109618 et CVE-2026-109619).

Les produits et services Wasabi suivants ne sont PAS concernés par ces CVE :

Service Wasabi Hot Cloud Storage S3 (y compris les API S3 et de gestion)

Console de gestion Wasabi
Gestionnaire de comptes Wasabi
Wasabi Cloud Sync Manager
NAS Wasabi Cloud
Wasabi Explorer
Wasabi Surveillance Cloud
Appareil de transfert « Wasabi Ball »
Site web public Wasabi.com

Notre évaluation a mis en évidence une vulnérabilité potentielle dans un outil de test de débit tiers et facultatif, accessible via la console de gestion Wasabi. Le service de test de débit est séparé logiquement de l’infrastructure centrale de notre application Wasabi. La fonctionnalité de test de débit ne stocke pas de données client, et nous n’avons trouvé aucun indice de compromission. Nous avons appliqué un correctif à PHP sur le serveur de test de débit dans les 16 régions de stockage Wasabi.

Pour plus d’informations sur ces vulnérabilités, veuillez vous reporter aux références CVE-2026-109618 et CVE-2026-109619.

Les clients ayant des questions relatives à la sécurité peuvent contacter security@wasabi.com.om.

Déclaration de Wasabi concernant la faille de sécurité REACT

Mis à jour le 24 août 2026
Publié le 17 décembre 2025
1 minute de lecture

3 décembre 2025 : Wasabi a pris connaissance de la vulnérabilité React2Shell, également désignée sous le nom de CVE-2025-66478, et a vérifié que ce problème n'affectait aucun de ses produits ou services.

Une nouvelle vulnérabilité, classée CVSS 10,00 et permettant l'exécution de code à distance (RCE), a été révélée le 3 décembre 2025 dans React Server Components et Next.js. Elle a été référencée sous le numéro CVE-2025-66478 et s'est vu attribuer le niveau de gravité maximal de 10. Baptisée « REACT », cette faille a affecté une grande partie des applications JavaScript.

Cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire sur un serveur à l'aide d'une simple requête HTTP spécialement conçue. Les composants serveur React (RSC) utilisent un format de transport sérialisé – « Flight » – pour échanger des données de composants structurées et des appels de fonctions serveur entre le client et le serveur. La vulnérabilité réside dans une faille logique liée à la manière dont React désérialise les charges utiles RSC entrantes.

Extrait de la description de la vulnérabilité REACT CVE-2025-66478 (Vulnérabilité de sécurité critique dans les composants serveur React) : « Le 29 novembre, Lachlan Davidson a signalé une vulnérabilité de sécurité dans React qui permet l’exécution de code à distance sans authentification en exploitant une faille dans la manière dont React décode les charges utiles envoyées aux points de terminaison des fonctions serveur React. Même si votre application n’implémente aucun point de terminaison React Server Function, elle peut tout de même être vulnérable si elle prend en charge les composants serveur React. Cette vulnérabilité a été répertoriée sous le numéro CVE-2025-55182 et présente un score CVSS de 10,0. »

Le NIST a également publié les détails du CVE-2025-66478 : « Une vulnérabilité permettant l’exécution de code à distance avant authentification existe dans les versions 19.0.0, 19.1.0, 19.1.1 et 19.2.0 de React Server Components, y compris les paquets suivants : react-server-dom-parcel, react-server-dom-turbopack et react-server-dom-webpack. Le code vulnérable désérialise de manière non sécurisée les charges utiles provenant de requêtes HTTP adressées aux points de terminaison des fonctions serveur. »

Wasabi a pris connaissance de cette vulnérabilité et a vérifié que ce problème n’affectait aucun de ses produits ou services.

Cela inclut notre service lui-même, ainsi que Wasabi Hot Cloud Storage, Wasabi Account Control Manager, Wasabi Cloud NAS, Wasabi Surveillance Cloud et Wasabi File Acceleration. Assurer la sécurité de nos clients et de leurs données est toujours notre priorité absolue. Wasabi teste et surveille en permanence ses systèmes afin de détecter des vulnérabilités de ce type. Nous avons pris des mesures concrètes pour garantir qu’aucun client Wasabi ne soit exposé à ce type de vulnérabilités. À la date de publication de cet article de la base de connaissances, Wasabi n’a reçu aucune information indiquant que ce type de vulnérabilités ait été utilisé pour attaquer l’infrastructure Wasabi ou pour compromettre de quelque manière que ce soit l’intégrité des données des clients stockées sur le service Wasabi.

Déclaration de Wasabi concernant la faille de sécurité de Salesloft Drift

Mis à jour le 30 janvier 2026
Publié le 5 septembre 2025
1 minute de lecture

Une faille de sécurité touchant l'ensemble du secteur a été révélée le 26 août 2025. Cette faille a touché les organisations utilisant Salesloft Drift, un agent chatbot basé sur l’IA racheté par Salesloft et très prisé des équipes commerciales et marketing américaines. Drift s’intègre à des applications tierces pour convertir les visiteurs de sites web en prospects. Cette faille ne concerne pas Wasabi, car nous n’utilisons en aucune manière Salesloft Drift.

Bien que Wasabi utilise Salesforce, l'entreprise n'est pas abonnée à Salesloft Drift. Par conséquent, la faille de sécurité de Salesloft Drift n'a aucune incidence sur Wasabi. Ainsi, cette faille ne représente pas une menace directe pour l'instance Salesforce de Wasabi ni pour les informations relatives aux comptes clients qui y sont stockées.

La sécurité de nos clients et de leurs données est toujours notre priorité absolue. Wasabi surveille en permanence ses systèmes afin de détecter tout incident de ce type. Nous avons pris des mesures concrètes pour garantir qu’aucun client de Wasabi ne soit exposé à ce genre d’incidents de cybersécurité. À la date de publication de cet article de la base de connaissances, Wasabi n’a reçu aucune information indiquant que cette violation ait affecté l’instance Salesforce de Wasabi ou ait compromis de quelque manière que ce soit l’intégrité des informations client stockées dans les enregistrements Salesforce de Wasabi.

Veuillez consulter régulièrement cet article de la base de connaissances pour obtenir des informations complémentaires sur ce sujet.

Déclaration de Wasabi concernant la faille de sécurité Log4j (CVE-2021-44228)

Mis à jour le 5 février 2026
Publié le 14 décembre 2023
1 minute de lecture

13 décembre 2021 : Wasabi a pris connaissance de la vulnérabilité révélée par Log4j (CVE-2021-44228) et a vérifié que ce problème n'affectait aucun de ses produits ou services.

Une nouvelle vulnérabilité affectant les versions 2.0 à 2.14.1 d’Apache Log4j 2 a été révélée sur la page GitHub du projet le 9 décembre 2021. Elle a été référencée sous le code CVE-2021-44228 et s’est vu attribuer le niveau de gravité maximal de 10. Cette faille a été baptisée Log4Shell.

Log4j 2 est une bibliothèque de journalisation Java open source largement utilisée dans toute une série d'applications logicielles et de services à travers le monde. Cette vulnérabilité peut permettre à des acteurs malveillants de prendre le contrôle de n'importe quel serveur basé sur Java et connecté à Internet, et de mener des attaques par exécution de code à distance (RCE).

Extrait de la description de la vulnérabilité CVE-2021-44228 : « Un attaquant capable de contrôler les messages de journalisation ou leurs paramètres peut exécuter du code arbitraire chargé à partir de serveurs LDAP lorsque la substitution lors de la recherche de messages est activée. » L'impact de cette vulnérabilité risque d'être très étendu. Des rapports indiquent déjà que des acteurs malveillants se livrent activement à des analyses massives sur Internet afin d'identifier les serveurs susceptibles d'être exploités.

Wasabi a pris connaissance de cette vulnérabilité et a vérifié que ce problème n'affectait aucun de ses produits ou services.

Cela inclut notre service lui-même, ainsi que Wasabi Explorer, Wasabi Account Control Manager, Wasabi Cloud NAS et Wasabi File Acceleration.

Pour ceux qui s'inquiètent de la correction des vulnérabilités liées à des produits tiers (c'est-à-dire autres que Wasabi), Apache, qui gère le produit Log4j, a publié un avis de sécurité à ce sujet. Voici les mesures recommandées que vous pouvez prendre :

Passez à la version 2.15.0 d'Apache Log4j. Si vous utilisez Log4j, toutes les versions 2.x antérieures à la 2.14.1 semblent présenter une vulnérabilité par défaut.
Si vous utilisez encore Log4j 1.x, arrêtez, car cette version n'est plus du tout prise en charge. Notez que Log4j 1.x comporte lui-même une faille de type Log4Shell, baptisée CVE-2021-4104 ; l'absence de prise en charge de cette version signifie donc que cette faille ne sera probablement jamais corrigée. Vous devez passer à la dernière version (2.15.0) si vous comptez continuer à utiliser Log4j.
Empêchez JNDI d'envoyer des requêtes vers des serveurs non fiables. Si vous ne pouvez pas effectuer de mise à jour, mais que vous utilisez Log4j 2.10.0 ou une version ultérieure, vous pouvez définir la valeur de configuration log4j2.formatMsgNoLookups sur true, ce qui empêche d'emblée l'envoi de requêtes LDAP et autres requêtes similaires.

Si vous avez d'autres questions concernant le problème lié à Log4j et Wasabi, n'hésitez pas à contacter le service d'assistance Wasabi (support@wasabi.com) pour obtenir de l'aide.

Déclaration de Wasabi concernant les failles de sécurité « Spectre » et « Meltdown »

Mis à jour le 30 janvier 2026
Publié le 14 décembre 2023
1 minute de lecture

Une vulnérabilité de sécurité matérielle touchant l'ensemble du secteur a été révélée le 3 janvier 2018. La vulnérabilité révélée nécessite l'exécution d'un code d'exploitation spécifique sur un processeur. Il s'agit d'un problème pertinent pour les fournisseurs de services de calcul en tant que service (par exemple, AWS EC2), car, de par leur nature, ces services permettent aux clients d'exécuter du code arbitraire sur le service de calcul fourni. Ce scénario de menace ne s'applique pas à Wasabi, car nous ne proposons pas de services de calcul en tant que service à nos clients.

Wasabi exploite ses propres serveurs (nous n'utilisons pas de service de calcul en tant que service proposé par un tiers) ; par conséquent, nous n'autorisons pas l'exécution de code arbitraire sur nos serveurs. Ainsi, ces failles ne constituent pas une menace directe pour le service Wasabi ni pour les données qui y sont stockées. Cela dit, Wasabi continue d'évaluer les correctifs fournis par les fournisseurs de serveurs concernant les composants que nous utilisons, et nous les mettrons en œuvre dès qu'ils seront disponibles.

La sécurité de nos clients et de leurs données est toujours notre priorité absolue. Wasabi teste et surveille en permanence ses systèmes afin de détecter des vulnérabilités telles que celle-ci. Nous avons pris des mesures concrètes pour garantir qu’aucun client de Wasabi ne soit exposé à ce type de vulnérabilités. À la date de publication de cet article de la base de connaissances, Wasabi n’a reçu aucune information indiquant que ce type de vulnérabilités ait été utilisé pour attaquer l’infrastructure de Wasabi ou pour compromettre de quelque manière que ce soit l’intégrité des données des clients stockées sur le service Wasabi.

Nous vous invitons à consulter régulièrement cet article de la base de connaissances pour obtenir des informations complémentaires sur ce sujet.