Plusieurs serveurs de Yahoo, vraisemblablement associés au service Sport de la firme, ont été infiltrés par des hackers deux semaines plus tôt. C’est ce qu’affirme un chercheur en sécurité indépendant. Par ailleurs, selon lui, cette attaque résulte de l’exploitation de la faille Shellshock, c’est-à-dire une vulnérabilité critique au niveau de l’interpréteur de commandes Bash. Lundi après-midi, Yahoo a confirmé à CNet.com que le piratage était la conséquence du Shellshock Bug. Mais le directeur de la sécurité de Yahoo, Alex Stamos, est finalement revenu sur cette conclusion. « Après avoir enquêté pleinement sur la situation, il s’avère que les serveurs n’étaient en réalité pas affectés par Shellshock » commente-t-il. D’après Stamos, c’est une autre vulnérabilité qui est en cause et localisée dans un script de débogage de Yahoo en cours d’exécution lors de l’attaque contre les serveurs. Le directeur de la sécurité rappelle par ailleurs qu’aucune donnée utilisateur n’a été exposée. Jonathan Hall, le chercheur indépendant contacté par CNet.com, assure lui que la faille de Bash était bien en cause dans l’attaque. Il critique par ailleurs Yahoo pour le peu de détails communiqués sur l’attaque et le nombre exact de systèmes affectés. A noter que Hall avait aussi révélé la vulnérabilité de WinZip et Lycos à Shellshock.
