D'où vient le problèmeCes requêtes forment ensemble une séquence de reconnaissance Joomla. /plugins/editors/jce/jce.xml est le manifeste de JCE (Joomla Content Editor), l'éditeur de texte le plus installé de l'écosystème : ce fichier XML annonce en clair son numéro de version. /administrator/components/com_jce/ vérifie la présence du composant d'administration. Les trois autres — /media/system/js/core.js, /media/jui/js/bootstrap.min.js, /media/vendor/jquery/js/jquery.min.js — servent à dater le cœur de Joomla : le dossier media/jui/ n'existe que sur Joomla 3, media/vendor/ sur Joomla 4 et 5. Le robot établit donc la version de Joomla et celle de JCE avant de décider s'il attaque. La cible est CVE-2026-48907, divulguée en juin 2026 : un défaut de contrôle d'accès dans index.php?option=com_jce&task=profiles.import permet, sans aucune authentification, d'importer un fichier PHP déguisé en configuration XML. Score CVSS 10.0, toutes les versions de 1.0.0 à 2.9.99.4 concernées, corrigé en 2.9.99.5.

Ce qui est en jeuExécution de code à distance et dépôt d'un shell web persistant. C'est la famille la plus dangereuse de cette page : les autres cherchent des secrets, celle-ci vise directement le contrôle du serveur.

Sources SonicWall — Joomla Content Editor Unauthenticated RCE (CVE-2026-48907) · YesWeHack — Unauthenticated RCE in the Joomla Content Editor extension

D'où vient le problèmeDeux attaques WordPress sans rapport l'une avec l'autre. /wp-admin/setup-config.php est l'assistant d'installation : sur un WordPress déposé mais pas encore configuré, il est accessible à tout le monde et ne demande rien. Un attaquant qui le trouve avant l'administrateur termine l'installation à sa place, en la pointant vers sa propre base de données ; il devient alors administrateur du site et installe un greffon porte-dérobée. La campagne est connue sous le nom de WPSetup depuis 2017, et le délai observé entre l'émission du certificat TLS d'un site neuf et la première tentative est descendu sous la minute. /wp-json/gravitysmtp/v1/tests/mock-data vise CVE-2026-4020 : jusqu'à la version 2.1.4, le greffon Gravity SMTP enregistrait un point d'accès REST dont le permission_callback renvoyait true sans condition. Un simple GET retourne environ 365 Ko de JSON contenant le rapport système complet — et toutes les clés d'API, secrets et jetons OAuth configurés dans les connecteurs d'envoi. Corrigé le 17 mars 2026 en 2.1.5, puis exploité en masse à partir du 7 juin 2026, avec 4 millions de requêtes bloquées en une seule journée.

Ce qui est en jeuPrise de contrôle complète du site pour la première ; vol des identifiants d'envoi d'e-mails pour la seconde.

Sources Wordfence — The WPSetup Attack: New Campaign Targets Fresh WordPress Installs · BleepingComputer — Hackers exploit info disclosure bug in Gravity SMTP · GitHub Advisory — CVE-2026-4020

D'où vient le problèmeSpring Boot Actuator est le module de supervision des applications Java Spring : il expose des points d'accès de santé, de métriques et de diagnostic. Par défaut, Spring Boot 2 et 3 n'en publient que deux sur HTTP (/health et /info) ; c'est une configuration trop permissive — management.endpoints.web.exposure.include=* — qui les ouvre tous, dont heapdump. Celui-ci renvoie un instantané binaire complet de la mémoire de la machine virtuelle Java, souvent plus de 100 Mo. La faille n'est donc pas dans le code de Spring : elle est dans une ligne de configuration copiée depuis un tutoriel.

Ce qui est en jeuIl n'y a rien à déchiffrer : un strings | grep sur le fichier suffit à extraire les mots de passe de base de données, jetons de session et clés d'API que l'application manipulait en mémoire. Un cas documenté chez Volkswagen a permis, à partir d'un seul /actuator/heapdump ouvert, de récupérer des clés AWS puis 9 To de données GPS de véhicules.

Sources Wiz — Exploring Spring Boot Actuator Misconfigurations · HackTricks — Spring Actuators

D'où vient le problèmeQuand on crée un compte de service Google Cloud et qu'on télécharge sa clé, on obtient un fichier JSON contenant une clé privée RSA. Google le nomme <projet>-<empreinte>.json, mais les développeurs le renomment presque toujours de la même poignée de façons : service-account.json, credentials.json, key.json, sa.json. D'où cette liste courte et très ciblée, sans énumération de dossiers. /.config/gcloud/application_default_credentials.json est l'emplacement où l'outil en ligne de commande gcloud range les identifiants par défaut dans le répertoire personnel : le robot teste le cas où ce répertoire est lui-même servi par le web. firebase-adminsdk.json est la clé du SDK Admin Firebase.

Ce qui est en jeuUne clé de compte de service ne s'authentifie auprès de rien : elle est l'authentification. Qui la détient devient ce compte de service, avec ses droits, sans second facteur et sans expiration — jusqu'à révocation manuelle. La clé Admin Firebase, elle, court-circuite l'intégralité des règles de sécurité de la base.

Sources Google Cloud — Best practices for managing service account keys · Red Canary — The dark cloud around GCP service accounts

D'où vient le problèmeDes fichiers qui contiennent directement un moyen d'accès, chacun avec sa propre histoire. /.ssh/id_rsa et /.ssh/id_ed25519 sont les clés privées SSH d'un compte : les demander sous la racine web revient à parier que le répertoire personnel est servi par le serveur. /server.key est la clé privée d'un certificat TLS, souvent laissée à côté du .crt lors d'une installation manuelle. /.npmrc contient le jeton d'authentification npm, qui permet de publier des paquets sous l'identité de son propriétaire — porte d'entrée classique vers une attaque de chaîne d'approvisionnement. /.vscode/sftp.json est le fichier de configuration de l'extension SFTP de Visual Studio Code, qui stocke hôte, utilisateur et mot de passe en clair ; il est activement recherché par des scanners publics comme LeakIX. /_vti_pvt/service.pwd est le vestige des extensions FrontPage de Microsoft, abandonnées depuis 2006 : le fichier contient des couples utilisateur/mot de passe chiffrés, et Metasploit conserve un module dédié à son extraction — preuve que les robots n'abandonnent jamais une cible, même vingt ans après. /.bash_history enregistre les commandes tapées, mots de passe passés en argument compris.

Ce qui est en jeuAccès direct, sans exploitation à construire : la clé ou le mot de passe se réutilisent tels quels, depuis n'importe où.

Sources SANS ISC — Hackers Love This VSCode Extension · Rapid7 — FrontPage .pwd File Credential Dump

D'où vient le problèmeUne sauvegarde faite à la main, au mauvais endroit. Le scénario est presque toujours identique : avant une migration ou une mise à jour, on lance un mysqldump > backup.sql depuis le dossier courant — qui se trouve être la racine web — et on ne nettoie pas après. Les noms testés ici sont les plus évidents (backup.sql, dump.sql, database.sql, backup.zip), sans la moindre tentative de deviner : si le fichier existe sous un nom original, le robot passera à côté. C'est une attaque à très faible coût, rentabilisée par le seul volume.

Ce qui est en jeuLe plus élevé de tous. Un dump de base, c'est l'intégralité des comptes utilisateurs avec leurs empreintes de mots de passe, les données personnelles, les commandes, les messages. Aucune compétence technique n'est requise : il suffit de télécharger.