CVE-2026-23863: Attachment Spoofing in WhatsApp Desktop
Plateforme
android
Composant
Corrigé dans
2.3000.1032164386.258709
Une vulnérabilité de falsification d'attachement a été découverte dans WhatsApp Desktop pour Windows. Cette faille permet à un attaquant de créer des documents malveillants avec des noms de fichiers contenant des caractères NUL, ce qui peut induire l'application à afficher un type de fichier incorrect tout en exécutant le document comme un exécutable. Les versions affectées sont comprises entre 2.3000.0.0 et 2.3000.1032164386.258709. Une correction est disponible dans la version 2.3000.1032164386.258709.
Détecte cette CVE dans ton projet
Téléverse ton fichier build.gradle et nous te dirons instantanément si tu es affecté.
Impact et Scénarios d'Attaque
L'impact principal de cette vulnérabilité réside dans la possibilité d'exécution de code arbitraire sur la machine de la victime. Un attaquant pourrait envoyer un document apparemment inoffensif (par exemple, un fichier texte ou une image) qui, une fois ouvert, serait exécuté comme un programme malveillant. Cela pourrait conduire à l'installation de logiciels malveillants, au vol de données sensibles, ou à la prise de contrôle complète du système. Bien que l'attaquant doive convaincre la victime d'ouvrir le fichier, la falsification du nom de fichier rend l'attaque plus plausible et potentiellement trompeuse. La complexité de l'exploitation dépend de la capacité de l'attaquant à créer un document malformé et à le faire parvenir à la victime.
Contexte d'Exploitation
Cette vulnérabilité a été publiée le 1er mai 2026. À ce jour, aucune preuve d'exploitation active dans le monde réel n'a été observée. La vulnérabilité n'est pas répertoriée sur KEV (Kernel Exploit Vulnerability Database) ni n'a reçu de score EPSS (Exploit Prediction Scoring System). Le NVD (National Vulnerability Database) et CISA (Cybersecurity and Infrastructure Security Agency) ont également publié des informations à ce sujet.
Renseignement sur les Menaces
Statut de l'Exploit
EPSS
0.01% (percentile 1%)
Vecteur CVSS
Que signifient ces métriques?
- Attack Vector
- Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
- Attack Complexity
- Faible — aucune condition spéciale requise. Exploitable de manière fiable.
- Privileges Required
- Aucun — sans authentification. Aucune identifiant requis pour exploiter.
- User Interaction
- Requise — la victime doit ouvrir un fichier, cliquer sur un lien ou visiter une page.
- Scope
- Inchangé — impact limité au composant vulnérable.
- Confidentiality
- Aucun — aucun impact sur la confidentialité.
- Integrity
- Élevé — l'attaquant peut écrire, modifier ou supprimer toutes les données.
- Availability
- Aucun — aucun impact sur la disponibilité.
Logiciel Affecté
Classification de Faiblesse (CWE)
Chronologie
- Publiée
- EPSS mis à jour
Mitigation et Contournements
La mitigation principale consiste à mettre à jour WhatsApp Desktop pour Windows vers la version corrigée 2.3000.1032164386.258709 ou ultérieure. En attendant la mise à jour, il est recommandé d'être extrêmement prudent lors de l'ouverture de pièces jointes reçues, en particulier si elles proviennent de sources inconnues ou suspectes. Évitez d'ouvrir des fichiers avec des extensions inhabituelles ou des noms de fichiers suspects. Les administrateurs système peuvent envisager de mettre en place des politiques de sécurité qui restreignent l'exécution de fichiers à partir de dossiers temporaires ou de boîtes de réception. Il n'existe pas de règles WAF ou de signatures Sigma/YARA spécifiques pour cette vulnérabilité, car elle repose sur la manipulation du nom de fichier au niveau de l'application.
Comment corrigertraduction en cours…
Actualice WhatsApp Desktop para Windows a la versión 2.3000.1032164386.258709 o superior para mitigar el riesgo de spoofing de archivos. Esta actualización corrige la forma en que la aplicación maneja los nombres de archivo, evitando que archivos maliciosos se ejecuten bajo una falsa identidad. Descargue la última versión desde el sitio web oficial de WhatsApp.
Questions fréquentes
What is CVE-2026-23863 — Attachment Spoofing in WhatsApp Desktop?
CVE-2026-23863 décrit une vulnérabilité de falsification d'attachement dans WhatsApp Desktop pour Windows, permettant l'exécution de code via des documents malformés. La version affectée est 2.3000.0.0–2.3000.1032164386.258709.
Am I affected by CVE-2026-23863 in WhatsApp Desktop?
Vous êtes affecté si vous utilisez WhatsApp Desktop pour Windows dans la version 2.3000.0.0–2.3000.1032164386.258709. Mettez à jour vers la dernière version pour vous protéger.
How do I fix CVE-2026-23863 in WhatsApp Desktop?
La correction consiste à mettre à jour WhatsApp Desktop pour Windows vers la version 2.3000.1032164386.258709 ou ultérieure. Vérifiez les mises à jour dans l'application.
Is CVE-2026-23863 being actively exploited?
À ce jour, aucune preuve d'exploitation active dans le monde réel de CVE-2026-23863 n'a été observée.
Where can I find the official WhatsApp advisory for CVE-2026-23863?
Consultez le site web de WhatsApp ou le blog de sécurité de Meta pour l'avis officiel concernant CVE-2026-23863.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Détecte cette CVE dans ton projet
Téléverse ton fichier build.gradle et nous te dirons instantanément si tu es affecté.
Scannez votre projet Android / Gradle maintenant — sans compte
Téléchargez votre build.gradle et obtenez le rapport de vulnérabilité instantanément. Pas de compte. Le téléchargement du fichier n'est qu'un début : avec un compte, vous bénéficiez d'une surveillance continue, d'alertes Slack/e-mail, de rapports multi-projets et en marque blanche.
Glissez-déposez votre fichier de dépendances
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...