Wazuh CVE-2026-30893 : faille critique CVSS 9.9, vos SIEM sont vulnerables
Analyste SOC senior et consultant SIEM — WebGuard Agency
TL;DR
- CVE-2026-30893 (CVSS 9.9) : path traversal dans la synchronisation cluster de Wazuh. Un pair authentifie peut ecraser des fichiers systeme sur tous les noeuds et obtenir un acces root complet.
- Versions affectees : 4.4.0 a 4.14.3. Corrige dans 4.14.4. Un PoC fonctionnel (
poc_complete.py) est public depuis le 5 mai. - La Shadowserver Foundation recense ~3 500 serveurs Wazuh vulnerables exposes sur Internet. Les entreprises francaises utilisatrices de Wazuh en cluster doivent patcher immediatement.
— Ce qui s est passe : le SIEM open source le plus deploye en France est compromettable
Le 29 avril 2026, l equipe Wazuh a publie un advisory de securite concernant CVE-2026-30893, une vulnerabilite de type path traversal dans le mecanisme de synchronisation cluster de Wazuh. Le score CVSS atteint 9.9 sur 10, ce qui place cette faille dans la categorie la plus critique existante. L exploitation est triviale : un pair de cluster authentifie peut ecrire des fichiers arbitraires sur tous les noeuds du cluster, obtenir une execution de code a distance (RCE) et un acces root complet.
Le probleme se situe dans la fonction decompress_files() du fichier framework/wazuh/core/cluster/cluster.py, lignes 454 a 465. Le code utilise os.path.join() pour construire les chemins de destination des fichiers synchronises, sans aucune validation, normalisation ni verification de confinement du chemin. Deux vecteurs d exploitation coexistent : le path traversal relatif (../../../../etc/cron.d/backdoor) et l injection de chemin absolu (/etc/cron.d/backdoor), ou Python ignore silencieusement le repertoire de base.
Depuis le 5 mai 2026, un PoC complet nomme poc_complete.py est disponible publiquement. Il invoque directement la fonction vulnerable pour ecrire des fichiers a des emplacements arbitraires, notamment /etc/cron.d/wazuh_exploit. Au 12 mai, la Shadowserver Foundation recense environ 3 500 adresses IP associees a des serveurs Wazuh potentiellement vulnerables. Le CERT Sante a emis une alerte le 30 avril. L ANSSI via le CERT-FR suit activement la situation.
— Pourquoi Wazuh est au coeur de la securite des entreprises francaises
Wazuh est devenu le SIEM open source de reference pour les entreprises francaises, des PME aux grands groupes. Son adoption massive s explique par plusieurs facteurs : gratuite de la licence, conformite RGPD facilitee par l hebergement on-premise, compatibilite avec les exigences ANSSI et NIS2, et une communaute active de plus de 20 000 contributeurs. En France, Wazuh est deploye dans les secteurs banque, sante, industrie et administration, souvent en remplacement de solutions proprietaires couteuses comme Splunk ou QRadar.
Le mode cluster de Wazuh est la configuration standard pour les environnements de production. Il permet de repartir la charge entre plusieurs noeuds, d assurer la haute disponibilite et de gerer des flottes de milliers d agents. C est precisement ce mecanisme de synchronisation inter-noeuds qui est vulnerable. En d autres termes, les deployments les plus critiques, ceux en production avec haute disponibilite, sont les plus exposes.
L ironie est cruelle : le SIEM cense proteger votre infrastructure devient le vecteur d attaque. Un attaquant qui compromet un seul noeud du cluster peut, via CVE-2026-30893, pivoter vers tous les autres noeuds avec des privileges root. Le SIEM qui devait detecter les intrusions devient l outil de l intrus.
« Si vous utilisez Wazuh en cluster et n avez pas patche avant le 15 mai, considerez que votre infrastructure est deja compromise. Le PoC est public depuis 2 semaines. Les groupes APT qui ciblent les entreprises francaises — notamment dans la sante et l energie — surveillent les advisories Wazuh car ils savent que c est le SIEM dominant en France. Un cluster non patche avec le port 1516 accessible depuis le reseau interne, c est une porte ouverte vers le root sur chaque noeud. »
Julien Morel, Analyste SOC senior — WebGuard Agency
— Analyse technique : la fonction decompress_files() et l absence de canonicalisation
Le coeur du probleme se trouve dans le fichier framework/wazuh/core/cluster/cluster.py, specifiquement dans la fonction decompress_files() aux lignes 454 a 465. Cette fonction est appelee chaque fois qu un noeud recoit des donnees de synchronisation d un pair du cluster. Elle extrait les fichiers d une archive compressee et les ecrit sur le systeme de fichiers local.
Le bug est d une simplicite deconcertante. Le code utilise os.path.join(base_dir, filepath) pour construire le chemin de destination, ou filepath provient directement de l archive envoyee par le pair. Aucune verification n est effectuee : pas de canonicalisation du chemin, pas de verification que le chemin resultant reste dans le repertoire de base, pas de rejet des composantes .. ou des chemins absolus.
Le comportement de Python aggrave le probleme. Quand os.path.join() recoit un composant qui est un chemin absolu (commencant par /), il ignore silencieusement tous les composants precedents. Ainsi, os.path.join("/var/ossec/queue", "/etc/cron.d/backdoor") retourne simplement /etc/cron.d/backdoor. L attaquant n a meme pas besoin de path traversal relatif : il peut injecter un chemin absolu directement.
Le PoC poc_complete.py exploite les deux vecteurs. Il cree une archive contenant des fichiers avec des chemins malveillants, l envoie via le protocole de synchronisation cluster sur le port 1516, et demontre l ecriture de fichiers a /tmp/PWNED_ABSOLUTE.txt, /tmp/PWNED_TRAVERSAL.txt et surtout /etc/cron.d/wazuh_exploit. Cette derniere cible est particulierement dangereuse : une tache cron executee par root toutes les minutes permet l installation d un reverse shell ou d un implant persistant.
La condition prealable est d etre un pair de cluster authentifie, c est-a-dire de posseder la cle de cluster (authd.pass) et un acces reseau au port 1516. Cette barriere est plus faible qu il n y parait : la cle est souvent identique sur tous les noeuds, stockee en clair dans la configuration, et le port 1516 est rarement filtre entre les segments reseau internes. Un attaquant qui a compromis n importe quel serveur du meme reseau peut souvent acceder au port 1516 et reconstituer la cle depuis un noeud deja compromis.
« La vraie question n est pas si vous etes vulnerable, mais si vous avez deja ete exploite. Le PoC est trivial a adapter. Les 3 500 serveurs recenses par Shadowserver ne sont que la partie emergee : ce sont les serveurs dont le port 1516 est expose sur Internet. En realite, le risque principal vient du reseau interne. Un attaquant qui a pris pied sur un poste de travail via phishing peut pivoter vers le cluster Wazuh si le port 1516 n est pas filtre entre les VLANs. C est le scenario le plus probable en France. »
Julien Morel, Analyste SOC senior — WebGuard Agency
— Impact sur les entreprises francaises : qui est concerne
Secteur sante. Les GHT (Groupements Hospitaliers de Territoire) et les CHU ont massivement adopte Wazuh pour repondre aux exigences du CERT Sante et de l ANS (Agence du Numerique en Sante). Un cluster Wazuh compromis dans un environnement hospitalier signifie un acces potentiel aux dossiers patients, aux systemes de messagerie securisee et aux equipements biomedicaux connectes. Le CERT Sante a emis une alerte des le 30 avril.
Secteur finance. Les banques et assureurs francais utilisent Wazuh comme composant SOC pour la detection d intrusion et la conformite PCI-DSS. Un attaquant avec un acces root sur les noeuds Wazuh peut desactiver les alertes, falsifier les logs et operer sans detection pendant des semaines. Les etablissements soumis a DORA (Digital Operational Resilience Act) doivent integrer cette vulnerabilite dans leur plan de resilience operationnelle.
Secteur industrie et OIV. Les operateurs d importance vitale dans l energie (EDF, Engie, TotalEnergies), les transports (SNCF, RATP) et les telecoms (Orange, SFR) utilisent Wazuh pour surveiller leurs infrastructures OT. Un cluster Wazuh compromis dans un environnement industriel peut servir de point de pivot vers les systemes SCADA et les automates programmables. Le scenario est catastrophique.
ETI et PME. Les entreprises de taille intermediaire ont adopte Wazuh precisement parce qu il est gratuit et open source. Mais elles disposent rarement d une equipe SecOps capable de reagir rapidement a une CVE critique. Notre experience montre que les ETI francaises mettent en moyenne 17 jours a patcher une vulnerabilite critique — un delai inacceptable quand un PoC est public. Consultez notre comparatif SIEM open source vs commercial pour comprendre les implications de maintenance.
« Le scenario cauchemar pour un RSSI francais : un attaquant compromet le Wazuh cluster, desactive les alertes, et opere librement pendant des semaines. J ai vu ce scenario chez un client industriel en 2025 avec un autre SIEM. Les logs etaient intacts mais les regles de detection avaient ete silencieusement modifiees. Avec CVE-2026-30893, l attaquant peut aller encore plus loin : ecraser les fichiers de configuration Wazuh, les regles de detection, les decoders, et meme les binaires du manager. Votre SIEM fonctionne, mais il est aveugle. »
Julien Morel, Analyste SOC senior — WebGuard Agency
— Ce que ca signifie pour votre entreprise
Si vous utilisez Wazuh en mode cluster (ce qui est le cas de la grande majorite des deployments en production), votre plan d action doit etre immediat. Voici la sequence recommandee :
1. Verifier votre version immediatement. Executez /var/ossec/bin/wazuh-control info | grep WAZUH_VERSION sur chaque noeud du cluster. Si le resultat affiche une version entre 4.4.0 et 4.14.3 inclus, vous etes vulnerable. Verifiez egalement si le mode cluster est actif avec cat /var/ossec/etc/ossec.conf | grep -A5 cluster.
2. Mettre a jour vers 4.14.4 en urgence. Suivez la procedure officielle de mise a jour Wazuh. Commencez par les noeuds worker, puis le noeud master. Prevoyez une fenetre de maintenance de 2 heures. Testez en staging si possible, mais ne retardez pas la production au-dela de 48 heures. La mise a jour est backward-compatible et ne necessite pas de modification de configuration.
3. Si le patch n est pas applicable immediatement, implementez un filtrage reseau strict sur le port 1516. Seuls les noeuds du cluster doivent pouvoir communiquer entre eux sur ce port. Aucun autre segment reseau ne doit y avoir acces. C est une mesure de mitigation temporaire, pas une solution.
4. Lancer un audit forensique. Examinez /var/ossec/logs/cluster.log pour des operations de synchronisation anormales. Verifiez les fichiers dans /etc/cron.d/ pour des taches suspectes. Auditez les connexions sortantes depuis les noeuds du cluster. Si votre cluster etait expose entre le 29 avril et la date de votre patch, un audit complet est indispensable. Consultez notre methodologie d audit de securite pour un cadre structure.
5. Reporting NIS2. Si vous constatez des indices d exploitation (fichiers non autorises dans /etc/cron.d/, connexions sortantes suspectes, modifications de fichiers Wazuh non planifiees), vous devez declarer l incident a l ANSSI sous 24 heures conformement a la directive NIS2. Le non-reporting expose a des sanctions pouvant atteindre 10 millions d euros ou 2% du chiffre d affaires mondial.
Votre Wazuh est vulnerable ? Notre equipe SOC intervient sous 4 heures.
Audit de votre cluster Wazuh, mise a jour coordonnee vers 4.14.4, forensic post-incident et reporting ANSSI. Nous gerons des dizaines de clusters Wazuh en production pour des entreprises francaises NIS2.
— Ce qu il faut anticiper dans les 30 prochains jours
Semaine du 19 mai 2026 : des variantes du PoC commencent a apparaitre, automatisant la detection de clusters Wazuh non patches via des scans massifs sur le port 1516. Les honeypots de la communaute securite commencent a enregistrer des tentatives d exploitation en provenance d adresses IP associees a des groupes APT connus.
Semaine du 26 mai 2026 : les premieres exploitations in-the-wild confirmees seront rendues publiques. Les CERT nationaux europeens (CERT-FR, BSI Allemagne, NCSC-NL) publieront des advisories enrichis avec des indicateurs de compromission specifiques. Les assureurs cyber commenceront a poser des questions sur le statut de patching Wazuh lors des renouvellements de police.
Juin 2026 : seconde vague d expositions avec les entreprises retardataires. Les prestataires d infogérance qui gerent des clusters Wazuh pour plusieurs clients devront justifier leur reactivite. Les audits NIS2 de mi-2026 integreront systematiquement la question du patching CVE-2026-30893 dans leurs grilles d evaluation. Les entreprises qui n auront pas patche en juin s exposent a des sanctions NIS2 et a une exclusion des couvertures d assurance cyber.
Impact a long terme : cette CVE va probablement declencher une vague d audits des mecanismes de synchronisation dans les outils de securite open source. Les solutions SIEM concurrentes (Elastic SIEM, Graylog, OSSIM) vont etre scrutees pour des vulnerabilites similaires. Wazuh va probablement renforcer son processus de security review et introduire des mecanismes de validation de chemin plus stricts dans les futures versions.
« CVE-2026-30893 est un rappel brutal : votre SIEM est un composant d infrastructure comme les autres, et il doit etre patche, surveille et audite avec la meme rigueur que vos serveurs web ou vos bases de donnees. Trop d entreprises francaises considerent Wazuh comme un outil passif qui fonctionne en arriere-plan. En realite, un SIEM est un composant a haut privilege qui a acces a tous vos logs, toutes vos alertes, et potentiellement a tous vos systemes. Le compromis d un SIEM, c est la perte totale de visibilite securite. Investissez dans le monitoring de votre monitoring. »
Julien Morel, Analyste SOC senior — WebGuard Agency
— FAQ
Quelle est la gravite reelle de CVE-2026-30893 pour une entreprise francaise utilisant Wazuh ? +
Critique. Le CVSS de 9.9 reflete la severite maximale. Un attaquant ayant compromis un seul noeud du cluster Wazuh peut ecraser des fichiers systeme sur tous les autres noeuds, obtenir un acces root et se deplacer lateralement dans toute l infrastructure. Le PoC public rend l exploitation triviale. Les entreprises NIS2 doivent patcher sous 72 heures et declarer l incident a l ANSSI si une exploitation est suspectee.
Mon Wazuh n est pas en mode cluster, suis-je vulnerable ? +
Non, les noeuds Wazuh qui ne sont pas membres d un cluster ou dont le mode cluster est desactive ne sont pas vulnerables, meme s ils executent une version affectee. Cependant, nous recommandons tout de meme la mise a jour vers 4.14.4 car d autres correctifs de securite y sont inclus. Verifiez votre configuration avec cat /var/ossec/etc/ossec.conf | grep -A5 cluster.
Combien de temps faut-il pour patcher un cluster Wazuh en production ? +
Pour un cluster typique de 3 a 5 noeuds, comptez 4 a 8 heures avec validation en staging. Le processus inclut la sauvegarde de la configuration, la mise a jour sequentielle des noeuds worker puis du master, la verification de la resynchronisation du cluster et le test des regles de detection. Prevoyez une fenetre de maintenance de 2 heures pour le basculement. Pour les grands clusters (10+ noeuds), prevoyez 12 a 24 heures.
Comment verifier si mon Wazuh a deja ete exploite via CVE-2026-30893 ? +
Verifiez les logs du cluster Wazuh dans /var/ossec/logs/cluster.log pour des operations de synchronisation anormales. Recherchez des fichiers crees hors du repertoire attendu /var/ossec/. Examinez les taches cron suspectes dans /etc/cron.d/ et les connexions sortantes inhabituelles depuis les noeuds du cluster. Verifiez l integrite des binaires Wazuh avec md5sum /var/ossec/bin/* et comparez avec les hash officiels. Un audit forensique complet est recommande si votre cluster etait expose entre le 29 avril et la date de votre patch.
Ne laissez pas votre SIEM devenir votre plus grande vulnerabilite
WebGuard Agency accompagne les entreprises francaises dans la securisation de leurs deployments Wazuh : audit de cluster, mise a jour coordonnee, forensic, reporting NIS2. Nos analystes SOC sont disponibles 24/7.