SquidBleed CVE-2026-47729 : le proxy Squid fuite vos mots de passe depuis 1997
29 ans de bug silencieux, un PoC public, et vos credentials HTTP à portée de tout utilisateur du proxy
Analyse terrain 2LKATIME
Nos auditeurs OSCP ont analysé SquidBleed dès sa divulgation le 24 juin 2026. Cet articlé detaille le vecteur d'attaque, les environnements exposés, et les actions concrètes à mener en priorité pour les PME utilisant Squid comme proxy d'entreprise.
Le risque métier pour le dirigeant
Imaginez que votre proxy d'entreprise - le "portail" par lequel tous vos salariés accèdent au web - permette a n'importe quel employé malveillant de lire les mots de passe et sessions des autres en temps réel. C'est exactement ce que permet SquidBleed. Pas besoin d'être admin, pas besoin d'être hacker : juste un utilisateur ordinaire du réseau. Dans un contexte de menace interne croissante, c'est une faille critique à traitér immédiatement.
En janvier 1997, un développeur de Squid introduisait un bug d'une seule ligne dans la gestion des listings FTP. Vingt-neuf ans, des dizaines de versions, et des milliers d'audits de sécurité plus tard, ce bug existe toujours dans les installations non patchées de l'un des proxys web les plus déployés au monde. Baptisé SquidBleed (CVE-2026-47729), il permet à un utilisateur simplement autorisé d'un proxy partagé de lire les fragments de mémoire contenant les requêtes HTTP de ses voisins : mots de passe, cookies, tokens d'API.
Ce qui rend SquidBleed particulièrement dangéréux en 2026 c'est la combinaison de trois facteurs : un PoC public fonctionnel disponible sur GitHub, des préconditions d'exploitation minimales (être utilisateur du proxy et contrôler un serveur FTP), et le fait que Squid est déployé massivement dans les écoles, collectivités, PME et réseaux Wi-Fi partagés - exactement les environnements multi-utilisateurs où la faille est exploitable. Voici ce que vous devez savoir et faire.
1. SquidBleed en chiffres
Le nom SquidBleed est une référence directe a HeartBleed (2014), l'autre faille emblématique de fuite mémoire. La comparaison est pertinente : même catégorie (heap over-read), même impact (fuite de données sensibles en clair), même surprise de trouver quelque chose d'aussi critique dans un logiciel aussi audité. La différence : SquidBleed n'est exploitable que par un utilisateur interne du proxy, pas depuis l'internet.
29 ans
Bug présent depuis 1997
CWE-125
Out-of-Bounds Read
PoC
Exploit public disponible
7.7
Squid corrigé (à vérifier)
Squid est déployé dans des dizaines de milliers d'entreprises françaises, principalement comme proxy de filtrage HTTP, passerelle de cache, ou proxy transparent dans les réseaux internes. Sa popularité est précisément ce qui rend SquidBleed significatif : une faille dans un logiciel marginal serait passée inapercue, mais Squid est partout.
La découverte de SquidBleed par les chercheurs de Calif.io illustre une tendance majeure de 2026 : l'utilisation de l'IA pour auditer des codebases C/C++ matures et trouver des bugs mémoire que les humains ont ratés pendant des décennies. Voir aussi notre analyse du pentest IA sur les agents LLM.
2. Comment fonctionne l'attaque - schéma
Le mécanisme de SquidBleed exploite la passerelle FTP de Squid. Lorsque Squid reçoit une requête pour une URL FTP, il se connecte au serveur FTP distant et parse le listing de répertoire. Un bug dans ce parseur - une vérification manquante du terminateur NUL avant les appels strchr - permet de lire au-dela du buffer alloué. Sur un proxy actif avec de nombreux utilisateurs, ce buffer adjacent contient les requêtes HTTP en cours des autres utilisateurs.
Schema 1 - Flow d'exploitation de CVE-2026-47729 SquidBleed
Le flux d'exploitation se déroule en quatre étapes. L'attaquant (un simple utilisateur du proxy) envoie une requête pour une URL FTP pointant vers son serveur malveillant. Squid se connecte au serveur FTP et reçoit un listing de répertoire intentionnellement tronqué, sans terminateur NUL. Le parseur FTP de Squid lit au-dela du buffer alloué et ingère de la mémoire adjacente du heap, qui contient les requêtes HTTP d'autres utilisateurs en cours de traitément. Ces données fuitées sont renvoyées à l'attaquant dans la réponse rendue par Squid.
Le PoC public (GitHub 0xBlackash) automatise ce processus : il monte un mini-serveur FTP qui retourne systématiquement des listings tronqués, et reconstruit les credentials à partir des fragments de mémoire collectés sur de multiples requêtes.
3. Ce qui est expose vs ce qui est protege
La bonne nouvelle : le trafic HTTPS standard n'est pas exposé par SquidBleed. Le trafic HTTPS transite via un tunnel CONNECT opaque - Squid agit comme un simple relais TCP et ne voit pas le contenu. La mauvaise nouvelle : beaucoup de trafic d'entreprise transite encore en HTTP clair, et certaines configurations Squid brisent délibérément TLS pour l'inspection.
Schema 2 - Trafic expose vs protege par SquidBleed
Le cas le plus dangéréux est la configuration SSL Bump, où Squid termine le TLS côté client pour inspecter le contenu (filtrage antivirus, DLP). Dans ce cas, même le trafic HTTPS passe par le heap de Squid et devient potentiellement lisible via SquidBleed. Si votre proxy inspecte le HTTPS, l'impact est maximal.
4. 29 ans de bug - la timeline
Ce qui stupefie les chercheurs, c'est la longévité du bug. SquidBleed n'est pas une régression récente introduite par un nouveau développeur : il date du commit initial de la passerelle FTP en janvier 1997. Des dizaines de release managers, des centaines de commits de sécurité, et plusieurs audits formels ne l'ont pas détecté. C'est précisément l'outil d'analyse assisté par IA de Calif.io qui l'a finalement remonté en 2026.
Schema 3 - Timeline de CVE-2026-47729 de 1997 à la divulgation 2026
Un detail important sur le fix : la version corrigée est annoncée en Squid 7.7, mais les mainteneurs ont d'abord indiqué 7.6 avant de se corriger. Les distributions Linux (Debian, Ubuntu, RHEL) packagent leurs propres versions avec backports. Ne vous fiez pas au numéro de version seul : vérifiéz la présence du guard NUL dans FtpGateway.cc de votre installation.
Piège additionnel : Squid 7.6 contenait bien un correctif de sécurité, mais pour une faille différente (CVE-2026-50012, heap buffer overflow dans cache_digest). Si vous avez mis à jour vers 7.6 en pensant corriger SquidBleed, vous êtes peut-être encore vulnérables.
5. Actions immédiates pour les PME
La priorité est d'eliminer le vecteur d'attaque, pas d'attendre le patch parfait. Voici les actions dans l'ordre de priorité, inspirees des recommandations de Calif.io et des chercheurs qui ont analyse le CVE.
Désactiver FTP dans Squid (priorité absolue)
Sauf besoin spécifique et documenté, FTP via Squid est inutile dans 99% des entreprises. C'est la correction la plus rapide et la plus sûre.
# Dans squid.conf :
acl FTP proto FTP
http_access deny FTP
Bloquer le port 21 sortant depuis le proxy
En complément de la règle Squid, bloquer au niveau pare-feu les connexions sortantes TCP:21 depuis l'IP du proxy. Cela empêche Squid d'atteindre un serveur FTP externe malveillant même si la règle Squid est contournee.
Mettre à jour et vérifier le fix dans le code source
Mettre à jour vers Squid 7.7 via votre gestionnaire de paquets, puis vérifier manuellement : grep -n "NUL\|null\|terminator" src/clients/FtpGateway.cc. Le guard corrige doit être présent avant les appels strchr.
Rotation des secrets si le proxy était actif
Si votre Squid était en production avec FTP actif sur plusieurs mois, considerez les credentials et tokens qui ont transité en HTTP comme potentiellement compromis. Changez les mots de passe des applications critiques, invalidez les sessions actives et les tokens d'API.
Surveiller les logs proxy pour des tentatives
Recherchez dans les logs Squid des requêtes répétées vers des serveurs FTP inhabituels ou inconnus. Un attaquant qui exploite SquidBleed va générer de nombreuses requêtes FTP vers le même serveur.
6. Enjeux RGPD, NIS2 et responsabilité
SquidBleed n'est pas qu'un problème technique : c'est un risque juridique direct pour les entreprises françaises. Si votre proxy Squid est exploité et que des données personnelles de clients ou d'employés fuient via ce vecteur, vous êtes en situation de violation de données au sens de l'articlé 33 du RGPD - avec obligation de notification à la CNIL dans les 72 heures.
| Cadre | Obligation | Risque si non respecte |
|---|---|---|
| RGPD Art. 32 | Mesures techniques appropriées (patch Squid) | Jusqu'à 4% du CA mondial |
| RGPD Art. 33 | Notification CNIL sous 72h si fuite avérée | Sanction + image |
| NIS2 Art. 21 | Gestion de la vulnérabilité et patch management | 10M EUR ou 2% du CA |
| AI Act | Sécurité de l'infrastructure supportant l'IA | Interdiction de déploiement |
NIS2, transposée en droit français depuis octobre 2024, impose aux entités essentielles et importantes un patch management structuré avec des délais de remédiation documentés. Une faille publiquement connue comme SquidBleed, non traitée 30 jours après divulgation, constitue un manquement caractérisé. Les PME sous-traitantes de grandes entreprises sont directement concernées via la chaine de responsabilité. Pour vos besoins en conformité en region, nos équipes interviennent depuis Lyon et Lille notamment.
7. Comment 2LKATIME accompagne les PME face aux CVE critiques
Face a SquidBleed comme face aux autres CVE critiques, la difficulté des PME n'est pas de comprendre la faille - c'est de savoir si elles sont vraiment exposées, et de le corriger sans casser la production. C'est exactement ce que nos auditeurs OSCP font en intervention.
Notre intervention sur CVE actives
- - Audit de configuration Squid et identification de l'exposition réelle
- - Test d'exploitation en environnement isolé pour confirmer le risque
- - Patch management et vérification du fix dans FtpGateway.cc
- - Revue des logs pour détecter une exploitation antérieure
- - Rapport de remédiation pour la CNIL si nécessaire
Notre approche proactive
- - Veille CVE continue sur votre stack technique
- - Pentest infrastructure réseau et proxy
- - Audit NIS2 et RGPD de votre posture de sécurité
- - Formation des équipes IT sur le patch management
- - Dashboard de suivi des vulnérabilités ouvertes
Nos auditeurs certifiés OSCP, OSEP et OSWE interviennent depuis Paris et Bordeaux sur ce type de mission en urgence. Voir aussi notre articlé sur la sécurité externalisée pour les PME et notre guide sur les CVE heap overflow Nginx.
FAQ - SquidBleed CVE-2026-47729
Qu'est-ce que SquidBleed exactement ?
SquidBleed est un heap buffer over-read dans la passerelle FTP du proxy Squid (CVE-2026-47729). Il permet à un utilisateur autorisé du proxy de lire des fragments de mémoire adjacente contenant les requêtes HTTP des autres utilisateurs en cours de traitément - mots de passe, cookies, tokens de session.
Mon HTTPS est-il vulnérable ?
Le trafic HTTPS standard via tunnel CONNECT n'est pas exposé - Squid ne voit pas le contenu. En revanche, si vous utilisez SSL Bump (inspection TLS), le trafic est déchiffré par Squid et passe par le heap, le rendant potentiellement visible par SquidBleed.
Comment savoir si mon Squid est vulnérable ?
Verifiez votre version (squid -v), mais ne vous fiez pas qu'au numéro. Verifiez manuellement la présence du guard NUL dans FtpGateway.cc de votre installation. Les distributions comme Debian peuvent embarquer des backports qui modifient la correspondance version/fix.
Est-ce que SquidBleed est exploite en ce moment ?
Aucune exploitation in-the-wild confirmée au 26 juin 2026. Cependant, un PoC public fonctionnel est disponible sur GitHub depuis la divulgation du 24 juin. Les préconditions sont faibles et le vecteur attrayant : la fenêtre de risque sans patch est courte.
Quelles données doivent être changées après exposition ?
Si votre proxy Squid était actif avec FTP en production, traitéz comme potentiellement compromis : tous les mots de passe en Basic Auth HTTP, tous les cookies de session, tous les tokens d'API transmis en HTTP clair. Privilégiez la rotation des accès aux outils métier critiques (ERP, CRM, outils RH).
Votre proxy Squid est-il expose a SquidBleed ?
Ne laissez pas un bug vieux de 29 ans compromettre les credentials de vos équipes. Nos auditeurs OSCP vérifient votre configuration Squid, testent l'exposition réelle et déploient le correctif en toute sécurité. Intervention possible sous 48h.