Une vulnérabilité grave de prise de contrôle de compte a été divulguée dans ZITADEL, la plateforme d'identité à code source ouvert. CVE-2026-105207 touche les versions ZITADEL 3.0.0 à 3.4.15 ainsi que la version 4.0.0 avant 4.17.3. Si vous exploitez l'une ou l'autre de ces branches sans correctif, un attaquant qui ne connaît que le nom d'ouverture de session d'une cible peut en prendre le contrôle total.

Voici la défaillance fondamentale : les sessions d'identification uniquement de ZITADEL Login V2 et le point de terminaison AddIDPLink du User Service V2 permettent tous deux de créer des liens vers un fournisseur d'identité externe sans compléter un défi de facteur primaire ni vérifier que l'appelant est autorisé à agir sur ce compte. Aucun mot de passe, aucun MFA, aucun jeton de session. Un attaquant enregistre une identité jetable auprès d'un IdP externe pris en charge, appelle le point de terminaison avec le nom d'ouverture de session de la victime, lie cette identité IdP au compte de la victime, puis s'y connecte à l'aide de ce justificatif lié. Il s'agit d'un contournement complet de l'authentification qui exploite le mécanisme de fédération lui-même comme vecteur d'attaque.

Ce qui rend la situation particulièrement inconfortable, c'est que la liaison à un IdP externe est censée être une fonctionnalité pratique destinée aux utilisateurs légitimes. L'hypothèse inscrite dans sa conception voulait que seule une session authentifiée et autorisée puisse déclencher une liaison. Cette hypothèse était erronée, et les conséquences sont aussi graves que possible : prise de contrôle de compte sans aucune connaissance des justificatifs. Si votre déploiement ZITADEL dispose de la fédération exposée aux utilisateurs et est accessible depuis des réseaux non fiables, vous devriez considérer chaque compte comme potentiellement compromis jusqu'à l'application du correctif.

Pour quiconque exploite ZITADEL en tant que plateforme CIAM ou IdP interne, la question à poser en priorité est simple : sur quelle version êtes-vous? Mettez à niveau vers la version 3.x appropriée (consultez les notes de version de ZITADEL pour la version 3.x corrigée) ou vers la version 4.17.3 ou ultérieure sans délai. Si vous ne pouvez pas appliquer le correctif immédiatement, vérifiez si vous pouvez restreindre l'accès au point de terminaison API AddIDPLink au niveau du réseau ou de la passerelle comme mesure temporaire. Analysez également vos journaux d'audit des liens IdP pour repérer tout compte auquel un IdP externe a été ajouté récemment, en particulier si l'événement de liaison ne correspond pas à une action connue d'un utilisateur. Vous recherchez des événements de création de liens anormaux sur des comptes qui n'étaient pas gérés activement à ce moment-là.

Un avis honnête : je ne sais pas, d'après la divulgation, si la journalisation d'audit de ZITADEL capture suffisamment de détails pour identifier de manière définitive les tentatives d'exploitation. Dans le cas contraire, vous pourriez naviguer partiellement à l'aveugle sur le plan de la détection rétrospective. Quoi qu'il en soit, appliquez d'abord le correctif, effectuez l'audit ensuite, et ne présumez pas que vous êtes en sécurité simplement parce que vous n'avez pas reçu d'alertes.