Plusieurs vulnérabilités de sécurité affecteraient des sites rattachés à la Fédération Syndicale Unitaire (FSU), permettant notamment de lire des fichiers directement sur un serveur et d’accéder à une base contenant des comptes utilisateurs. Des captures transmises à Cyberattaque.org montrent également ce qui est présenté comme un accès à un compte disposant de privilèges d’administration.
Les personnes à l’origine de la découverte, dont les captures portent la signature LunarisSec, affirment avoir identifié plusieurs failles distinctes : une inclusion de fichier local, une vulnérabilité XSS persistante, des fichiers SQL exposés et, sur un autre service lié à la FSU, une injection SQL.
Un fichier système du serveur récupéré à distance
L’un des éléments transmis à Cyberattaque.org montre l’exploitation présumée d’une faille de type Local File Inclusion, ou LFI. Ce type de vulnérabilité peut permettre à un internaute de détourner une fonctionnalité du site afin de demander au serveur de lire un fichier qui n’était normalement pas destiné à être accessible depuis Internet.
La démonstration fournie affiche le contenu d’un fichier système Linux contenant notamment la liste des comptes techniques présents sur la machine. Cyberattaque.org ne publie volontairement ni l’adresse exacte du service vulnérable, ni le paramètre permettant de reproduire l’exploitation.
La lecture de ce fichier ne signifie pas à elle seule que les attaquants disposent d’un contrôle complet du serveur. Elle démontre néanmoins qu’une séparation essentielle entre les fichiers internes de la machine et les contenus accessibles depuis le Web peut être contournée.
Des fichiers SQL contenant des comptes utilisateurs découverts
La seconde partie de la découverte pourrait être plus préoccupante. Les chercheurs indiquent avoir trouvé des fichiers SQL accessibles depuis l’environnement compromis.
Une capture consultée par Cyberattaque.org montre une table d’utilisateurs comportant notamment des noms, identifiants, adresses email, mots de passe sous forme de condensats et indicateurs de privilèges administratifs. Plusieurs noms de syndicats composant la FSU apparaissent également dans cette base.
Les auteurs de la découverte affirment avoir réussi à retrouver certains mots de passe à partir des valeurs stockées et indiquent qu’au moins un compte disposant de privilèges importants aurait ainsi pu être identifié.
Cyberattaque.org ne reproduit aucun identifiant, mot de passe ou condensat présent dans ces fichiers. Nous n’avons pas non plus tenté de nous connecter aux comptes concernés.
Une XSS persistante aurait également été découverte
Les chercheurs signalent en parallèle une vulnérabilité XSS stockée. Contrairement à une XSS classique déclenchée uniquement lorsqu’une victime ouvre un lien spécialement conçu, une XSS persistante permet d’enregistrer du contenu malveillant dans l’application.
Le code peut ensuite être exécuté automatiquement lorsque d’autres utilisateurs consultent la page concernée. Selon l’endroit où se trouve la vulnérabilité, ce mécanisme peut notamment être utilisé pour afficher de faux formulaires ou tenter de détourner une session utilisateur.
Les captures disponibles ne permettent toutefois pas de déterminer si cette faiblesse pouvait réellement conduire à la compromission d’un compte administrateur ou si son exploitation était limitée à une partie moins sensible du site.
Un autre service lié à la FSU touché par une injection SQL
Les auteurs de la découverte affirment avoir identifié une autre vulnérabilité sur un second site rattaché à l’écosystème FSU.
La capture transmise montre l’utilisation d’un outil de test ayant identifié ce qui est présenté comme une injection SQL. Une telle faille peut, lorsqu’elle est exploitable, permettre d’interagir directement avec la base de données utilisée par une application.
Les conséquences dépendent fortement des droits accordés à l’application et de la configuration du serveur : lecture de tables, extraction de données ou, dans les scénarios les plus graves, modification de certaines informations.
Cyberattaque.org ne publiera pas le nom précis de ce service tant que les responsables concernés n’auront pas eu la possibilité de corriger la vulnérabilité.
Une fédération qui compte environ 160 000 adhérents
La Fédération Syndicale Unitaire regroupe de nombreux syndicats de la fonction publique, notamment dans l’Éducation nationale, l’enseignement supérieur, la recherche, la culture, la justice ou encore les collectivités territoriales.
La FSU indique compter environ 160 000 adhérents. Elle fédère notamment le SNES-FSU, la FSU-SNUipp, le SNESUP-FSU, le SNASUB-FSU, le SNEP-FSU et de nombreuses autres organisations professionnelles.
Cette organisation décentralisée implique l’existence de nombreux sites et outils distincts. La compromission d’un service ne signifie donc pas automatiquement que l’ensemble du système d’information de la FSU ou les bases nationales de ses syndicats sont accessibles.
L’appartenance syndicale rend certaines données particulièrement sensibles
Le contexte rend néanmoins l’incident particulièrement délicat. L’appartenance syndicale fait partie des catégories de données sensibles protégées par le RGPD, au même titre notamment que les opinions politiques ou certaines informations de santé.
Si les bases compromises contiennent des listes permettant d’associer une identité à l’adhésion ou à l’activité d’un syndicat, les conséquences pourraient donc dépasser une fuite classique d’adresses email.
Les données pourraient notamment être utilisées pour du phishing ciblé, de l’usurpation d’identité, du harcèlement ou des tentatives de récupération de comptes.
Les captures ne prouvent pas une fuite massive d’adhérents
Une distinction importante reste cependant nécessaire. Les éléments transmis démontrent l’existence présumée de plusieurs faiblesses et montrent des comptes présents dans une base, mais ils ne permettent pas d’affirmer qu’une base nationale contenant les 160 000 adhérents de la FSU a été extraite.
Le volume exact des informations accessibles reste inconnu. Il n’est pas davantage possible de déterminer si les comptes visibles correspondent à des administrateurs actuels, à d’anciens utilisateurs ou à des comptes techniques conservés dans une vieille application.
Aucune confirmation publique de la FSU à ce stade
Lors des recherches de Cyberattaque.org ce 25 octobre 2026, aucune communication publique de la Fédération Syndicale Unitaire confirmant cet incident n’avait encore été identifiée.
Les éléments techniques transmis présentent néanmoins plusieurs indices cohérents avec des services appartenant à l’écosystème de la fédération. Les chercheurs indiquent avoir signalé leur découverte et les investigations devront désormais établir depuis combien de temps les vulnérabilités étaient présentes et si d’autres personnes ont pu les exploiter auparavant.
La priorité est désormais la correction des différents points d’entrée, la réinitialisation des comptes potentiellement exposés et l’analyse des journaux afin de déterminer si ces failles ont servi à autre chose qu’à la démonstration présentée publiquement.
Source originale : Cyberattaque.org.
