CVE-2026-115188 : Mautic CVSS 9.9, RCE via import de campagne

Les faits

Le 26 octobre 2026, le projet Mautic a publié la version 7.2.2 de sa plateforme open source d'automatisation marketing, corrigeant une vulnérabilité critique référencée CVE-2026-115188. Avec un score CVSS de 9,9 sur 10, cette faille permet à un utilisateur authentifié — y compris avec de simples droits de création de campagnes — d'exécuter du code arbitraire sur le serveur hébergeant l'instance Mautic.

Le vecteur d'attaque est la fonctionnalité d'import de campagnes, permettant aux équipes marketing d'importer des archives de données de campagne au format ZIP. Lors du traitement d'une archive importée, l'application copie les fichiers d'assets inclus (images, médias) vers un répertoire accessible publiquement sur le serveur web, sans vérifier ni restreindre l'extension ou le type des fichiers concernés. C'est cette absence totale de contrôle sur les types de fichiers qui constitue la faille classifiée CWE-434 (Unrestricted Upload of File with Dangerous Type).

En pratique, un attaquant conditionne une archive d'import contenant un webshell PHP et le dépose dans le répertoire public de l'instance. Une fois déposé, le script est directement exécutable via une simple requête HTTP, accordant un accès de niveau serveur. Le vecteur est exploitable via l'interface utilisateur web mais aussi via l'API REST de Mautic (/api/campaigns/import), ce qui facilite l'automatisation et la scalabilité des attaques.

Le vecteur CVSS complet est CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. L'attaque est initiée depuis le réseau, ne nécessite aucune interaction utilisateur au-delà de l'authentification initiale, et l'impact se propage au-delà du composant vulnérable (Scope: Changed). Dès lors qu'un attaquant possède des identifiants valides — obtenus par phishing, credential stuffing, compromission d'un prestataire ou achat sur un marché cybercriminel — l'exploitation est immédiate et triviale.

Mautic est l'une des plateformes d'automatisation marketing open source les plus déployées. Utilisée par des milliers d'organisations mondiales — PME, e-commerce, agences, mais aussi grandes entreprises ayant opté pour une solution auto-hébergée — elle gère des données de contact sensibles, intègre des connecteurs CRM, des pipelines emailing critiques et parfois des données comportementales clients. Une compromission d'une instance Mautic expose donc bien plus que le périmètre marketing : bases de contacts complètes, accès aux intégrations CRM (Salesforce, HubSpot), voire pivot vers les infrastructures réseau internes.

L'escalade post-exploitation est directe. Une fois le webshell déposé, l'attaquant dispose d'une exécution de commandes en tant que l'utilisateur système sous lequel tourne le serveur web — généralement www-data sous Linux. La lecture des fichiers de configuration Mautic (app/config/local.php) révèle les credentials de base de données MySQL. À partir de là, les opérations classiques de post-exploitation s'enchaînent : exfiltration de la base de contacts complète, installation d'un backdoor persistant, mouvement latéral vers d'autres services sur le même réseau interne.

Deux autres vulnérabilités sérieuses ont été corrigées dans la même version 7.2.2 : CVE-2026-115189 (Server-Side Template Injection, CVSS 8.8) et CVE-2026-115191 (injection SQL, CVSS 7.1). La version 7.2.2 doit donc être traitée comme une mise à jour de sécurité à priorité absolue, indépendamment du risque spécifique lié à CVE-2026-115188 seul.

Au moment de la rédaction de cet article, aucune exploitation active confirmée dans la nature n'a été rapportée. Cependant, la publication du patch officiel déclenche systématiquement un processus de reverse engineering par les chercheurs et les acteurs malveillants. Pour des vulnérabilités de ce calibre — CVSS 9.9, exploitation ne nécessitant que des droits utilisateurs basiques — la fenêtre entre patch et PoC public est historiquement mesurée en heures, pas en jours.

Impact et exposition

L'exploitation nécessite un compte authentifié avec droits de création d'imports de campagnes — profil très répandu dans les instances Mautic multi-utilisateurs (agences, équipes marketing distribuées). Les instances exposées à Internet sans contrôle d'accès complémentaire (VPN obligatoire, restriction IP, WAF) sont directement concernées. Les instances cloud sans isolation réseau sont particulièrement exposées. Les données les plus à risque sont la base de contacts, les credentials de base de données et les tokens d'intégration avec des services tiers.

Recommandations

• Mettre à jour vers Mautic 7.2.2 immédiatement — aucun workaround ne compense cette vulnérabilité à ce stade
• Auditer les logs d'import de campagnes pour identifier toute activité suspecte antérieure au patch
• Scanner le répertoire public de l'instance à la recherche de fichiers PHP inattendus (find /var/www/mautic/media -name "*.php")
• Désactiver l'API REST Mautic si elle n'est pas utilisée (paramètre API Enabled dans la configuration système)
• Restreindre l'accès à l'interface d'administration Mautic par liste blanche d'adresses IP