Une faille dans le File Manager de DreamHost a exposé les identifiants utilisés pour accéder aux sites web des clients et aux comptes de messagerie web.
Le fournisseur d'hébergement a confirmé qu'un attaquant avait exploité une vulnérabilité dans son File Manager accessible depuis un navigateur, exposant les noms d'utilisateur et mots de passe FTP/SFTP ainsi que les identifiants de certains utilisateurs de messagerie web. DreamHost a découvert l'intrusion le 23 octobre 2026, la période d'exposition potentielle des identifiants remontant approximativement à août 2026.
DreamHost a réinitialisé les mots de passe potentiellement exposés et mis fin aux sessions concernées. Toutefois, les administrateurs doivent encore déterminer si les attaquants ont accédé à des fichiers sensibles, modifié le contenu de sites web ou consulté des communications privées.
Comment les attaquants ont exploité le File Manager de DreamHost
Selon l'avis de sécurité publié par DreamHost le 29 octobre, l'attaquant a exploité une vulnérabilité non précisée dans un logiciel tiers faisant fonctionner le File Manager sur files.dreamhost.com.
L'attaquant a obtenu les identifiants FTP/SFTP des utilisateurs ayant accédé à l'outil pendant la période concernée. Ces identifiants pouvaient permettre un accès non autorisé aux fichiers ou leur modification, selon les autorisations du compte. Une fuite de données de Dropbox impliquant l'authentification Lenovo ID a de la même manière montré comment des contrôles d'accès compromis peuvent mettre en danger des fichiers hébergés.
L'intrusion chez DreamHost a également atteint les systèmes de messagerie web. Les identifiants de connexion d'un nombre limité d'utilisateurs ont été exposés, et l'entreprise estime que le contenu des boîtes aux lettres a pu être consulté dans certains cas.
Selon le rapport de BleepingComputer publié le 4 novembre, des informations de session de messagerie web pourraient également avoir été exposées. Des jetons de session valides peuvent potentiellement permettre un accès non autorisé sans saisir à nouveau les mots de passe, un risque également illustré par la fuite de données de Chainalysis impliquant des jetons d'authentification actifs.
DreamHost estime que bien moins de 10 % de ses comptes de messagerie et FTP/SFTP hébergés ont été concernés. L'entreprise n'a pas communiqué de chiffre exact.
L'entreprise n'a trouvé aucune preuve de compromission des identifiants du panneau de contrôle ou des informations de facturation.
Après avoir découvert l'attaque, DreamHost a désactivé le File Manager, réinitialisé les mots de passe potentiellement exposés et mis fin aux sessions concernées. Le service a ensuite été reconstruit avec des contrôles de sécurité supplémentaires. La vulnérabilité exploitée n'a pas été identifiée publiquement.
Contrôles de sécurité à effectuer pour les comptes d'hébergement concernés
Bien que DreamHost affirme avoir corrigé la vulnérabilité, les organisations concernées doivent rechercher d'éventuelles activités non autorisées. Les responsables des comptes doivent définir de nouveaux mots de passe pour les utilisateurs concernés depuis le panneau de contrôle de l'hébergement.
L'incident de sécurité des identifiants de mSecurerappelle qu'il faut examiner les autres secrets potentiellement exposés plutôt que de s'en remettre uniquement aux réinitialisations de mots de passe.
Les équipes de sécurité doivent donner la priorité aux mesures suivantes :
- Réinitialiser les identifiants et vérifier les sessions : Remplacez les mots de passe potentiellement exposés ou réutilisés, mettez à jour les identifiants enregistrés et confirmez l'invalidation des sessions concernées.
- Examiner l'activité et conserver les preuves : Examinez les journaux d'accès disponibles à la recherche de connexions ou de modifications de fichiers suspectes, en conservant les éléments de preuve pertinents avant la remédiation.
- Auditer les comptes et les autorisations : Vérifiez les utilisateurs FTP/SFTP, les clés SSH et les règles de transfert de la messagerie web afin de repérer tout ajout ou toute modification non autorisé(e).
- Faire tourner les secrets potentiellement exposés : Remplacez les mots de passe de bases de données, les jetons d'API et les identifiants d'application s'ils étaient stockés dans des fichiers potentiellement accessibles. Activez l'authentification multifacteur lorsqu'elle est prise en charge.
- Vérifier l'intégrité et la restauration du site web : Comparez les fichiers hébergés à des sauvegardes fiables, recherchez les modifications inattendues et testez les procédures de restauration.
- Tester les plans de réponse aux incidents : Simulez des scénarios de compromission d'identifiants et validez les processus de confinement, d'escalade, de notification et de restauration.
DreamHost a également averti ses clients de l'existence d'e-mails d'hameçonnage usurpant ses notifications de sécurité. Les administrateurs doivent accéder directement au panneau de contrôle de l'hébergement plutôt que de suivre des liens de connexion inattendus.
Les personnes concernées éligibles se voient proposer un an de protection contre le vol d'identité par Equifax, selon les notifications de fuite de données de DreamHost.
DreamHost n'a pas communiqué le nombre exact de comptes concernés ni l'étendue complète des accès non autorisés. Les administrateurs doivent vérifier les réinitialisations d'identifiants et rechercher une éventuelle compromission des fichiers du site web ou des boîtes aux lettres.
Pour plus d'actualités sur la cybersécurité : une campagne d'hameçonnage aux clés d'accès Microsoft 365 montre comment les attaquants peuvent exploiter les processus d'authentification pour compromettre des comptes professionnels et accéder à des données cloud.