Chaque constat porte sa source : commande (fetch_url, lecture seule) ou rapport Sybil/Shodan quand la sonde n'était pas possible.
Le VPS expose NoMachine NX 9.1.24 sur le port 4000. Un service de bureau à distance accessible depuis Internet est une surface de brute-force, de vol de session et d'exploit (NX repose sur SSH). La version est datée de juillet 2025 ; NoMachine a depuis publié la branche 10.x avec des « security patches addressing potential vulnerabilities in server-side components and web sessions ».
BIND 9.18.39 est dans la plage affectée par CVE-2025-40778 (injection de RR non sollicités dans le cache, CVSS 3.1 = 8.6, exploitable à distance) et CVE-2025-8677 (épuisement CPU via DNSKEY malformé). Correctif : 9.18.41. Nuance : CVE-2025-40778 affecte surtout les résolveurs récursifs (les serveurs faisant autorité sont « believed to be unaffected ») — le rôle exact de ce BIND (autoritaire gamerzcorp vs récursif) est à confirmer côté opérateur.
Apache 2.4.58 (oct. 2023) est affecté par un lot de CVE corrigés en 2.4.59/2.4.60 : CVE-2024-38476 (important — info disclosure / SSRF / exécution locale via en-têtes backend malveillants), CVE-2024-39573 (SSRF mod_rewrite), CVE-2024-38473 (bypass d'auth mod_proxy), CVE-2023-38709 (response splitting), entre autres. Branche courante : 2.4.69 (oct. 2026). L'exploitabilité réelle dépend des modules actifs (mod_proxy / mod_rewrite) — non inspectables sans shell.
FTP transmet identifiants et données en clair. Le serveur exact (vsftpd / proftpd / …) et l'éventuel login anonyme n'ont pas pu être testés (pas d'accès TCP brut depuis cette session). Reste un risque structurel tant que le 21 est ouvert.
editionsdubureau.ovh renvoie un titre « Hello world » (WordPress par défaut). Fait notable : tous les endpoints standards renvoient 404 — /wp-login.php, /xmlrpc.php, /wp-json/, /readme.html. Soit l'installation a été retirée, soit elle est durcie, soit elle ne vit pas à la racine. À éclaircir côté opérateur, mais rien d'exploitable en l'état.
/.git/HEAD → 404 · /server-status → 403. Aucune fuite de dépôt ni de tableau de bord mod_status accessible publiquement.
La page d'accueil du site perso indique : « This website is finally back online after a ransomware attack that has heavily impacted my web host. » Contexte utile : l'infra a déjà subi un incident chez l'hébergeur — argument supplémentaire pour durcir la surface distante (NoMachine/FTP).