Un exploit public pour la chaîne Telerik UI permet une RCE non authentifiée sur les applications ASP.NET

La société de sécurité TantoSec a publié le 7 septembre une chaîne d'exploit fonctionnelle ciblant Telerik UI for ASP.NET AJAX, permettant à un attaquant non authentifié d'exécuter du code arbitraire sur tout serveur exécutant une version vulnérable. La publication inclut un outil en ligne de commande appelé telerik-rau-exploit et deux charges utiles — l'une qui dépose un web shell sur disque, l'autre qui s'exécute entièrement en mémoire.

La chaîne relie quatre vulnérabilités distinctes : CVE-2026-13181 (résolution de type non protégée, CVSS 8.1), CVE-2026-13182 (oracle de padding AES-CBC), CVE-2026-13183 (variante d'oracle basée sur le temps) et CVE-2026-13184 (clé de chiffrement par défaut prévisible). Le chercheur Marcio Almeida a démontré que combiner ces vulnérabilités avec un gadget de désérialisation de nom de type suffit à passer de «pouvoir déchiffrer des données côté serveur» à «exécuter du code en tant qu'application pool IIS».

La plage affectée couvre les versions de 2010.1.309 à 2026.2.519, soit 16 ans de versions Telerik. Progress Software a corrigé toutes les failles dans la version 2026.2.708, publiée le 8 juillet 2026. À ce jour, aucune exploitation confirmée dans des environnements réels n'a été signalée.

Il existe une condition préalable importante : l'attaque nécessite que l'application soit configurée avec une clé de chiffrement explicite et non par défaut pour le contrôle RadAsyncUpload. Les organisations exécutant toute version depuis 2010 doivent immédiatement mettre à niveau vers la version 2026.2.708.

Selon The Hacker News, citant la recherche de TantoSec par Marcio Almeida publiée le 7 septembre 2026.