Une faille de PixelSmash transforme les fichiers vidéo en outils d'attaque

Une vulnérabilité récemment découverte dans le décodeur MagicYUV de FFmpeg peut transformer une petite vidéo malformée en point d'appui pour les attaquants.

Des chercheurs ont révélé PixelSmash, une vulnérabilité critique référencée CVE-2026-8461 , dans le décodeur vidéo MagicYUV de FFmpeg avec un score CVSS de 8,8.

En créant un fichier AVI, MKV ou MOV spécialement formaté, un attaquant peut faire planter ou potentiellement exécuter du code sur n'importe quel système qui tente de générer une miniature, d'extraire des métadonnées ou de lire le fichier avec une version vulnérable de FFmpeg.

Qu'est-ce que FFmpeg et est-ce sérieux ?

FFmpeg est une boîte à outils open source permettant d'enregistrer, de convertir et de diffuser de l'audio et de la vidéo, et sa bibliothèque libavcodec implémente des centaines de décodeurs audio et vidéo.

L'un d'eux est MagicYUV , un codec sans perte populaire dans les flux de travail de montage vidéo et, surtout, activé par défaut dans la version amont de FFmpeg et dans tous les paquets de distribution Linux que les chercheurs ont testés jusqu'à FFmpeg 9.0.

L'impact est plus grave qu'il n'y paraît. Si vous utilisez un système qui traite de la vidéo (qu'il s'agisse d'un ordinateur Linux, d'un serveur Jellyfin ou Nextcloud, ou même d'un modèle d'IA qui ingère des clips vidéo), vous dépendez probablement de FFmpeg en interne.

Il est difficile de chiffrer précisément le nombre de systèmes touchés, mais il est utile de savoir que :

• Des dizaines de millions de systèmes Linux dépendent de ffmpegthumbnailer et système libavcodec Pour les miniatures, cela signifie que « le simple fait de parcourir un dossier » peut déclencher le bug si un fichier malveillant est présent.
• Jellyfin et Nextcloud, deux des plateformes d'hébergement multimédia et de fichiers les plus populaires au monde, possèdent chacune au moins plusieurs dizaines de milliers de serveurs actifs accessibles via Internet. La quasi-totalité de ceux qui n'ont pas mis à jour FFmpeg ou désactivé MagicYUV sont vulnérables aux attaques par déni de service (DoS) et, dans certaines configurations, aux attaques ciblées d'exécution de code à distance (RCE).
• Une grande partie des systèmes de stockage en réseau (NAS) et des plateformes de télévision connectée grand public utilisent FFmpeg pour les aperçus et les vignettes. Ces appareils se vendent par millions.

Le plus inquiétant avec PixelSmash, c'est sa facilité de déclenchement. Il suffit d'une application utilisant FFmpeg pour traiter les médias non fiables et intégrant le décodeur MagicYUV.

PixelSmash illustre bien un problème plus général au sein de l'écosystème open-source : un bug dans une dépendance profonde qui se propage silencieusement partout.

Comment se protéger

Cette vulnérabilité ne concerne pas la plupart des utilisateurs particuliers. Elle doit être corrigée par les développeurs. Les utilisateurs des distributions Linux concernées doivent surveiller les mises à jour de FFmpeg et les correctifs de sécurité de leur distribution.

Mais si vous êtes responsable de systèmes de gestion vidéo, vous devez considérer que vous êtes concerné jusqu'à preuve du contraire. Les principales mesures d'atténuation sont les suivantes :

• Mettez à jour FFmpeg. La version 8.1.2 de FFmpeg, publiée le 17 juin 2026, corrige la vulnérabilité CVE-2026-8461. Si votre distribution ou votre fournisseur propose une version mise à jour de FFmpeg, installez-la sur tous les postes de travail, serveurs et conteneurs.
• Vérifiez si MagicYUV est activé et désactivez-le ou appliquez des correctifs lorsque cela est possible.
• Réduisez le traitement automatique des vidéos non fiables. Vérifiez les fournisseurs de prévisualisation et les générateurs de vignettes activés, notamment pour les formats rarement utilisés.

Enfin, il convient de surveiller tout plantage anormal des lecteurs multimédias, des gestionnaires de vignettes ou des serveurs multimédias, notamment après l'ouverture ou le téléchargement d'un nouveau fichier vidéo. Des plantages répétés ou l'absence de vignettes doivent être considérés comme des indicateurs potentiels de contenu malveillant jusqu'à ce que les systèmes soient mis à jour.

Du signalement des menaces à leur suppression.

Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .