CVE-2026-74040 touche Wazuh, la plateforme open source de SIEM/XDR que beaucoup d'équipes déploient justement pour détecter les compromissions. Notée 9.1, publiée par NVD le 13 octobre 2026 : dans un cluster, un nœud worker compromis peut écraser des fichiers protégés du master, et en déduire une exécution de code root sur le manager et sur chaque agent.
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.1 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
| Publication NVD | 2026-10-13 |
| Versions | de 3.9.0 à 4.14.8 exclue |
| CISA KEV | non (à la date de rédaction) |
Ce que fait la faille
Wazuh versions from 3.9.0 before 4.14.8 contain an arbitrary file overwrite vulnerability [...] allowing a cluster worker to overwrite protected master files.
Dans un cluster Wazuh, les workers synchronisent des fichiers avec le master. Le master est censé n'accepter d'eux qu'un ensemble limité de fichiers. La faille contourne ce filtrage : un worker peut faire écrire par le master des fichiers qu'il n'a pas le droit de toucher, dont la configuration du manager et la configuration centralisée des agents.
La suite est mécanique. La configuration centralisée est distribuée par le master à tous les agents du parc. Contrôler son contenu, c'est contrôler ce que chaque agent exécute — avec les privilèges root qu'ont les agents sur leurs hôtes.
Pourquoi c'est grave : l'outil de sécurité comme vecteur
Le PR:H fait baisser le score : il faut déjà contrôler un worker. Ne t'y fie pas trop. Le S:C dit l'essentiel : la compromission sort du worker pour atteindre le master, puis tout ce que le master pilote.
Un agent de sécurité, c'est par construction :
- installé partout — serveurs, postes, parfois contrôleurs de domaine
- exécuté en root ou SYSTEM
- piloté à distance par un serveur central dont les ordres sont considérés comme légitimes
C'est exactement le profil d'un outil de déploiement de malware. Un attaquant qui atteint un seul worker — un nœud moins surveillé, exposé pour recevoir les agents d'un site distant — peut transformer le SIEM en canal de diffusion vers tout le parc. Et le trafic qu'il génère ressemble à de l'administration normale.
Autre effet de bord : l'outil qui devait te prévenir est celui qui est compromis. Une configuration modifiée peut aussi couper la remontée d'alertes.
Versions
La description NVD est explicite : de 3.9.0 jusqu'à 4.14.8 exclue. La version corrigée est 4.14.8. NVD n'expose pas encore de configuration CPE détaillée ; vérifie l'avis Wazuh pour ta branche.
Seuls les déploiements en cluster (master + workers) sont concernés par ce scénario. Un manager unique sans worker n'a pas de nœud worker à compromettre — mais la mise à jour reste à faire.
Détection
- Modifications de la configuration du manager (
ossec.conf) et de la configuration centralisée des agents (agent.conf) sur le master, sans changement documenté - Contenu inattendu dans la configuration centralisée : commandes, modules ou scripts que ton équipe n'a pas ajoutés
- Processus enfants inhabituels de l'agent Wazuh sur les hôtes
- Activité anormale sur les workers : connexions d'administration, comptes, fichiers modifiés hors mise à jour
- Trafic de synchronisation du cluster depuis une adresse qui n'est pas un worker connu
Mitigation
- Mettre à jour en 4.14.8 tous les nœuds du cluster, master et workers.
- Isoler le canal du cluster : le port de synchronisation entre master et workers ne doit être joignable que depuis les nœuds du cluster, pas depuis le réseau des agents ni depuis Internet.
- Durcir les workers comme le master : même niveau de supervision, mêmes restrictions d'accès. Un worker est un point d'entrée vers le master.
- Surveiller l'intégrité des fichiers de configuration du master depuis un outil indépendant de Wazuh.
- En cas de doute : relire la configuration centralisée distribuée aux agents, la comparer à une version de référence, et traiter tous les hôtes équipés d'un agent comme potentiellement exposés.
Pourquoi surveiller vos outils de sécurité
On inventorie rarement les versions de l'outil qui fait l'inventaire. Pourtant un SIEM avec des agents root sur tout le parc est l'un des actifs les plus privilégiés du SI, et une CVE comme celle-ci en fait un vecteur de propagation.
Avec cveo.tech, inventorie aussi tes outils de sécurité avec leur version exacte, et reçois une alerte dès qu'une CVE critique les concerne.