Cyberpediapar Brain
FRDEEN

La porte dérobée XZ Utils

En mars 2024, du code malveillant est découvert dans XZ Utils 5.6.0 et 5.6.1. Ce que l'alerte de la CISA dit, et ce qu'un salarié peut faire.

En 30 secondes

Où ça arrive
Dans XZ Utils, un logiciel de compression de données qui peut être présent dans des distributions Linux1.
Ce que le code malveillant peut permettre
Un accès non autorisé aux systèmes touchés, selon la CISA1.
Le réflexe
Signaler rapidement à l'équipe informatique ou sécurité tout comportement anormal d'un système, et laisser les équipes techniques appliquer les consignes officielles.
Si c'est déjà fait
La CISA recommande de revenir à une version non compromise, comme XZ Utils 5.4.6 Stable, de chercher toute activité malveillante et de signaler les découvertes1.

De quoi parle-t-on

Fin mars 2024, la CISA indique répondre à des signalements de code malveillant intégré à XZ Utils, un logiciel de compression de données. Les versions 5.6.0 et 5.6.1 sont concernées, et l'affaire reçoit l'identifiant CVE-2024-30941.

Pour un salarié, ce type d'incident a une particularité : il ne vient pas d'un message suspect ni d'un faux site. Il passe par un logiciel légitime, installé ou mis à jour comme d'habitude. Cette fiche décrit ce que la CISA a publié et ce que les référentiels de MITRE ATT&CK disent de cette famille d'attaques. Elle ne donne pas le détail de la préparation de l'attaque ni celui de sa découverte : les sources citées ici ne les contiennent pas.

Questions directes

Qu'est-ce que XZ Utils ?

C'est un logiciel de compression de données. Il peut être présent dans des distributions Linux1.

Quelles versions sont touchées ?

Les versions 5.6.0 et 5.6.1, dans lesquelles du code malveillant a été signalé1. Cette activité porte l'identifiant CVE-2024-30941.

Que permet le code malveillant ?

Selon la CISA, il peut permettre un accès non autorisé aux systèmes touchés1.

Qu'est-ce qu'une compromission de la chaîne d'approvisionnement ?

MITRE ATT&CK la définit comme la manipulation de produits ou de leurs moyens de livraison avant qu'ils parviennent au consommateur final, dans le but de compromettre des données ou des systèmes2.

Que doit faire un salarié ?

Si une machine se comporte de façon inhabituelle, il la signale vite. La CISA demande de son côté aux développeurs et aux utilisateurs de revenir à une version non compromise et de signaler ce qu'ils trouvent1. Sur un poste géré par l'entreprise, ce retour en arrière relève des équipes techniques.

1Dans la peau de l'attaquant1 min

Les sources citées ici ne décrivent pas la préparation de cette attaque. Il décrit en revanche la logique générale de la famille à laquelle elle appartient.

MITRE ATT&CK range la compromission de la chaîne d'approvisionnement parmi les techniques d'accès initial. Elle peut avoir lieu à n'importe quelle étape : outils de développement, dépôts de code source, code des dépendances open source, mécanismes de mise à jour, remplacement d'un logiciel légitime par une version modifiée2.

Les projets open source très utilisés comme dépendances par de nombreuses applications peuvent être visés pour ajouter du code malveillant chez tous ceux qui les utilisent23. L'attaquant peut cibler un ensemble précis de victimes, ou diffuser le logiciel à un large public et ne poursuivre que chez certaines victimes24.

MITRE décrit aussi la relation de confiance : des acteurs qui ont déjà un accès légitime, comme des prestataires, peuvent être utilisés comme point d'entrée, car cet accès reçoit parfois moins d'attention que les voies d'entrée ordinaires6.

2Ce que vous voyez à l'écran1 min

La CISA ne décrit aucun signe visible côté utilisateur1. Le texte consulté ne dit donc pas à quoi ressemble la mise à jour pour un salarié, et cette fiche n'affirme rien là-dessus.

Ce que la source permet d'écrire est plus limité : XZ Utils peut être présent dans des distributions Linux1.

3Sous le capotÉquipes IT1 min

Ce que dit la CISA du mécanisme tient en peu de mots : du code malveillant est intégré aux versions 5.6.0 et 5.6.1, et il peut permettre un accès non autorisé1.

MITRE ATT&CK situe ce type d'action dans deux familles de techniques :

  • La compromission de la chaîne d'approvisionnement logicielle : manipulation du code source de l'application, de son mécanisme de mise à jour ou de distribution, ou remplacement des versions compilées par une version modifiée4.
  • La modification du processus d'authentification : un attaquant peut modifier les mécanismes qui collectent, stockent et valident les identifiants, par exemple les modules d'authentification enfichables (PAM) sur les systèmes de type Unix. Il peut alors s'authentifier à un service sans utiliser de compte valide5.

Ces deux pages sont des référentiels généraux. Elles ne mentionnent pas XZ Utils, et rien dans les sources citées ici ne relie cet incident à une technique précise. Le rapprochement est donné ici comme une grille de lecture, pas comme un constat.

4AutopsiesCas réels1 min

29 mars 2024 : l'alerte de la CISA sur XZ Utils

Le 29 mars 2024, la CISA publie une alerte intitulée « Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 ». Elle indique que la CISA et la communauté open source répondent à des signalements de code malveillant intégré à XZ Utils, versions 5.6.0 et 5.6.11.

Le texte rappelle que XZ Utils est un logiciel de compression de données, qu'il peut se trouver dans des distributions Linux, et que le code malveillant peut permettre un accès non autorisé aux systèmes touchés1.

La CISA recommande aux développeurs et aux utilisateurs de rétrograder XZ Utils vers une version non compromise, comme XZ Utils 5.4.6 Stable, de chercher toute activité malveillante et de signaler à la CISA tout résultat positif1. L'alerte renvoie aussi vers un avis de Red Hat concernant Fedora 41 et Rawhide1.

Les sources citées ici ne contiennent ni la chronologie de la préparation de l'attaque, ni le nom des personnes impliquées, ni les circonstances de la découverte. Ces éléments ne figurent donc pas dans cette fiche.

Fiche

Identifiant
CP-179
Aile
2. Malwares et autopsies
Compétence Brain
Signaler les incidents (report_incidents)
Réflexe Brain
cr-016
Schéma
G4 · Chronologie d'incident (Autopsie)
Langues
de, en, fr
Sources
6 sources vérifiées le 3 novembre 2026
Sources6 sources
  1. CISA, « Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 », 29 mars 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Supply Chain Compromise ». https://attack.mitre.org/techniques/T1195/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Supply Chain Compromise: Compromise Software Dependencies and Development Tools ». https://attack.mitre.org/techniques/T1195/001/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Supply Chain Compromise: Compromise Software Supply Chain ». https://attack.mitre.org/techniques/T1195/002/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Modify Authentication Process ». https://attack.mitre.org/techniques/T1556/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Trusted Relationship ». https://attack.mitre.org/techniques/T1199/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « La porte dérobée XZ Utils », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/

BibTeX 
@misc{brain_cp179_fr_2026,
  author = {Brain},
  title = {La porte dérobée XZ Utils},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0