RadioCSIRT

📈 Le 13 octobre 2026, Microsoft publie 1409 CVE dans l'export par produit du Security Update Guide : 672 élévations de privilèges, 315 exécutions de code à distance, 251 divulgations d'informations, 72 dénis de service, 40 contournements de fonction de sécurité, 29 altérations et 27 usurpations. Windows en porte 1114, soit 79 %. Une faille est exploitée, la CVE-2026-96951, et deux sont divulguées publiquement, la CVE-2026-108398 et la CVE-2026-92707. Gravité critique : 79 failles dans les fiches de l'éditeur, 70 dans l'export par produit, où neuf failles d'Office figurent en gravité importante ; l'éditeur recense 1421 entrées publiées le même jour dans son guide en ligne.

🐛 CVE-2026-96951, contournement de fonction de sécurité dans le shell de Windows, CVSS 8,8, CWE-77, injection de commande : exploitée selon Microsoft, avec un exploit fonctionnel selon le vecteur CVSS, elle contourne le Mark of the Web par un fichier envoyé par email ou par messagerie instantanée, technique T1553.005. Gravité importante, aucun contournement publié. Correctifs : KB5126836 (Windows Server 2012 R2), KB5126868 (Windows 10 1607 et Server 2016), KB5126651 (Windows 10 1809 et Server 2019), KB5126657 (Windows 10 21H2 et 22H2), KB5126655 (Server 2022), KB5126653 (Windows 11 23H2), KB5127648 (Windows 11 24H2, 25H2 et 26H2), KB5127646 (Windows 11 26H1) et KB5126646 (Server 2025). Outlook.com figure aussi parmi les produits concernés.

🪟 Hyper-V : CVE-2026-102214, CVSS 8,8, CWE-416, use after free, évasion d'un invité peu privilégié vers l'hôte, technique T1611, et CVE-2026-105733, CWE-1419, en virtualisation imbriquée. Autres failles critiques : CVE-2026-108471 (enclave VBS, CWE-822, exécution de code dans l'enclave), CVE-2026-108130, CVE-2026-102211, CVE-2026-96914 et CVE-2026-88074 (enclaves VBS), CVE-2026-96913 (noyau, privilèges SYSTEM, technique T1068), CVE-2026-88073 (noyau graphique), CVE-2026-83917 (ALPC) et CVE-2026-108399 (Hyper-V). Aucune exploitation, exploitation jugée moins probable, correctif dans les mises à jour cumulatives d'octobre.

🖼️ Composant PDF de Windows : CVE-2026-108457, CVSS 8,1, CWE-787, écriture hors limites, exécution de code sans interaction par une pièce jointe traitée automatiquement. Autres failles critiques : CVE-2026-97814 et CVE-2026-102225 (mise en forme du texte), CVE-2026-83934 (GDI+), CVE-2026-100215 (composant graphique), CVE-2026-96952 (Media Foundation), CVE-2026-100220 (décodeur vidéo), CVE-2026-21413, CVE-2026-96202 et CVE-2026-96943 (Raw Image Extension, versions 2.4.36.0 et 2.5.35.0), CVE-2026-108400 (extensions HEVC, versions 2.4.85.0, 2.4.86.0 et 2.4.87.0). Pour la CVE-2026-21413, CVSS 9,8, dont l'identifiant vient de Cisco Talos, la génération de la miniature d'une image RAW piégée suffit.

🖥️ Active Directory Domain Services : CVE-2026-70229, CVSS 8,1, CWE-863, autorisation incorrecte, exécution de code à distance sans authentification, exploitation jugée plus probable. Autres failles critiques : CVE-2026-96934 (serveur DHCP, CVSS 9,8), CVE-2026-88117, CVE-2026-88119, CVE-2026-88120 et CVE-2026-88171 (serveur DHCP), CVE-2026-70250 (client DHCP), CVE-2026-100202 (MSMQ, CVSS 9,8) et CVE-2026-108460 (MSMQ), CVE-2026-105016 et CVE-2026-100219 (QUIC, CVSS 9,8), CVE-2026-70187 (passerelle RDS), CVE-2026-88174 (WDS), CVE-2026-69802 (NDES), CVE-2026-108131 et CVE-2026-96222 (AD FS), CVE-2026-70153, CVE-2026-70147 et CVE-2026-108467 (pilote d'impression PostScript), CVE-2026-69789 (RMCAST). Windows Server 2012 (KB5126835) et Windows Server 2012 R2 (KB5126836) atteignent le terme de leur troisième année d'ESU le 14 octobre 2026.

📄 Office : 138 failles, dont 100 exécutions de code à distance et 25 critiques dans l'export par produit. Failles déclenchées dans le volet de lecture ou de visualisation : CVE-2026-70242 (Outlook, CVSS 9,8, CWE-122, débordement de tampon dans le tas, technique T1203), CVE-2026-97749, CVE-2026-97016, CVE-2026-88156 et CVE-2026-70291 (Outlook, CVSS 9,8), CVE-2026-70300 (Word, document WordPerfect, CVSS 9,8) et CVE-2026-88178 (PowerPoint, CVSS 9,8). Versions corrigées : Office LTSC 2021 en 16.0.14334.20974, Office LTSC 2024 en 16.0.17932.21056 ; pour plusieurs failles, les correctifs d'Office LTSC pour Mac 2021 et 2024 ne sont pas encore disponibles.

📧 Exchange Server : CVE-2026-70571, CVSS 8,1, CWE-121, débordement de tampon dans la pile, exécution de code par un email piégé sans authentification, technique T1190, exploitation jugée plus probable. Autres failles : CVE-2026-70279 (CVSS 9,3, CWE-79, lien piégé, exploitation jugée plus probable), CVE-2026-77910 (empoisonnement de cache, complément malveillant), CVE-2026-87692 et CVE-2026-87695 (élévation locale vers SYSTEM), CVE-2026-87696 (élévation de privilèges) et CVE-2026-96940, publiée le 2 octobre (accès aux boîtes d'autres utilisateurs, Exchange Online corrigé côté service). Mises à jour KB5128895 à KB5128898 selon la version, de Exchange 2016 CU23 à Exchange Server Subscription Edition. Skype for Business Server : CVE-2026-70297, CVE-2026-83746 et CVE-2026-85873, corrigées par KB5132779 (2015 CU13), KB5131693 (2019 CU8) et KB5131692 (Subscription Edition CU1).

📁 SharePoint Server : CVE-2026-102866, CVSS 8,1, CWE-347, vérification incorrecte d'une signature cryptographique, ouverture de session sous l'identité d'un autre utilisateur à partir d'un jeton de preuve modifié. La CVE-2026-69943, CWE-22, traversée de répertoire, concerne aussi SharePoint 2016 et 2019, listés sans article de correctif ; leur support étendu a pris fin en juillet 2026 selon les pages de cycle de vie de Microsoft. Correctifs : KB5002927 pour SharePoint Server Subscription Edition (16.0.20326.20190) et KB5002928 pour Office Online Server (16.0.10417.20228).

🗄️ SQL Server : 22 failles, dont la CVE-2026-65674, CVSS 8,8, CWE-502, désérialisation de données non fiables, exécution de code par un utilisateur authentifié. Paquets : KB5126967 (2025 CU9+GDR, 17.0.5015.4), KB5128492 (2025 RTM+GDR, 17.0.1145.4), KB5126934 (2022 CU27+GDR1, 16.0.4305.5), KB5128493 (2022 RTM+GDR, 16.0.1210.3), KB5128494 (2019 CU32+GDR, 15.0.4500.2), KB5128495 (2019 RTM+GDR, 15.0.2200.2), KB5128496 (2017 CU31+GDR, 14.0.3560.2) et KB5128497 (2017 RTM+GDR, 14.0.2140.2). Microsoft renvoie à l'article 321185 pour identifier la version installée.

💻 .NET Framework : CVE-2026-108398, CVSS 8,8, CWE-426, chemin de recherche non fiable, divulguée publiquement, contournement de WDAC par un assembly chargé dans un processus protégé, technique T1574. Autre faille divulguée : CVE-2026-92707 (MessagePack 3.1.9, déni de service, CWE-1325, gravité modérée). Postes de développeurs : CVE-2026-102235 (Visual Studio Code 1.141.1), CVE-2026-102870 (débogage Blazor WebAssembly) et CVE-2026-96251 (PowerShell 7.4.21, 7.5.12 et 7.6.7). Versions corrigées : .NET 8.0.32, 9.0.21, 10.0.14 et 11.0.0-rc.2.26504.105, Visual Studio 2022 17.14.42 et Visual Studio 2026 18.10.4.

⚙️ Configuration Manager : CVE-2026-70049, CVSS 8,0, CWE-89, injection SQL, contrôle administratif de l'environnement par un attaquant qui relaie l'identité d'un point de gestion, vecteur CVSS au niveau PoC, sans divulgation ni exploitation. La CVE-2026-88075, CWE-89, donne les privilèges SYSTEM depuis le réseau. Versions corrigées : 2503 en 5.00.9135.1040, 2509 en 5.00.9141.1039 et 2603 en 5.00.9146.1026. Autres correctifs : CVE-2026-70264 (Defender), CVE-2026-105726 (Defender for Endpoint pour Windows), CVE-2026-105725 (application Sécurité Windows), CVE-2026-100205 et CVE-2026-105729 (Process Monitor v4.04), CVE-2026-105732 (PipeList 1.03).

☁️ Linux : CVE-2026-62840, pilote réseau MANA du noyau Linux, CVSS 7,0, gravité critique, CWE-367, race condition entre vérification et utilisation, élévation de privilèges locale ; correctif accepté en amont, à appliquer selon les avis de chaque distribution. Defender for Endpoint pour Linux : CVE-2026-102204, CWE-59. Azure : CVE-2026-85922 (bibliothèques Key Vault, CWE-1390, jeton envoyé à un hôte non fiable), CVE-2026-96204 (agent Azure Arc 1.68, CWE-918, SSRF) et CVE-2026-100207 (CycleCloud 8.9.2, CWE-78). Le 8 octobre, Microsoft a publié sept failles critiques de services en ligne, dont la CVE-2026-94510 (Bookings), la CVE-2026-88131 (Dataverse) et la CVE-2026-77900 (App Service), déjà corrigées sans action des clients.

Sources :

• Blog Marc Frédéric Gomez : https://blog.marcfredericgomez.fr/patch-tuesday-octobre-2026-1413-cve/ 
• Security Update Guide, mises à jour de sécurité du 13 octobre 2026, export par produit. Microsoft MSRC : https://msrc.microsoft.com/update-guide
• Windows Shell Security Feature Bypass Vulnerability, CVE-2026-96951. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
• Windows Hyper-V Remote Code Execution Vulnerability, CVE-2026-102214. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-102214
• Microsoft Windows PDF Remote Code Execution Vulnerability, CVE-2026-108457. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108457
• Windows Active Directory Domain Services Remote Code Execution Vulnerability, CVE-2026-70229. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70229
• Windows Server 2012 R2, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012-r2
• Windows Server 2012, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012
• Microsoft Office Outlook Remote Code Execution Vulnerability, CVE-2026-70242. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70242
• Microsoft Exchange Server Remote Code Execution Vulnerability, CVE-2026-70571. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70571
• Microsoft Office SharePoint Elevation of Privilege Vulnerability, CVE-2026-102866. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-102866
• SharePoint Server 2019, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/sharepoint-server-2019
• SharePoint Server 2016, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/sharepoint-server-2016
• Microsoft SQL Server Remote Code Execution Vulnerability, CVE-2026-65674. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-65674
• .NET Framework Security Feature Bypass Vulnerability, CVE-2026-108398. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108398
• Microsoft Configuration Manager Elevation of Privilege Vulnerability, CVE-2026-70049. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70049
• Linux Kernel Elevation of Privilege Vulnerability, CVE-2026-62840. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62840

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Microsoft #PatchTuesday #Windows #ZeroDay #MarkOfTheWeb #HyperV #VBS #ActiveDirectory #DHCP #MSMQ #QUIC #Office #Outlook #Word #Exchange #SharePoint #SQLServer #DotNet #WDAC #VisualStudio #PowerShell #ConfigMgr #Linux #Azure #KeyVault #MITREATTACK #CVE-2026-96951 #CVE-2026-102214 #CVE-2026-108457 #CVE-2026-70229 #CVE-2026-70242 #CVE-2026-70571 #CVE-2026-102866 #CVE-2026-65674 #CVE-2026-108398 #CVE-2026-70049 #CVE-2026-62840 #RadioCSIRT

🛡️ WatchGuard publie Fireware 12.12.3, qui corrige quinze vulnérabilités dans le système d'exploitation de ses pare-feux Firebox. Parmi les corrections figure une exécution de code à distance dans le traitement du fichier de configuration du client BOVPN Over TLS, la CVE-2026-86131. Les autres corrections couvrent une désérialisation de données non fiables dans le démon samld, deux dépassements de capacité entiers dans le démon iked lors du traitement de messages IKEv2, une initialisation de fichier arbitraire et un déni de service dans wgagent, un contournement d'authentification SAML pour le VPN mobile, et une traversée de répertoire dans le portail d'accès. Aucun score CVSS ni état d'exploitation n'est précisé pour ces quinze corrections.

🪟 Morphisec détaille VulcanRAT207.A, un cheval de Troie d'accès à distance diffusé par WhatsApp, c'est le phishing par un service tiers, la technique T1566.003. Le chargeur s'exécute entièrement en mémoire et injecte son code dans le planificateur de tâches Windows pour obtenir les droits système, l'injection de processus, la technique T1055. La persistance recourt à une tâche planifiée, USOPrivate Kit, qui relance au démarrage l'utilitaire Intel VulkanInfo pour charger une bibliothèque malveillante, le détournement de chargement, la technique T1574.002. Morphisec recommande de bloquer l'adresse du serveur de commande et de restreindre les pilotes signés vulnérables autorisés sur le parc.

🐛 Le chercheur Simon Köck révèle une exécution de code à distance sans authentification dans l'infrastructure partagée DevSite de Google, qui dessert developers.google.com, firebase.google.com, developer.android.com, source.android.com et docs.partner.android.com. Google réutilisait le secret client OAuth comme clé de signature des cookies de session Flask, ce qui permettait à un attaquant de forger un cookie accepté comme authentique. Le serveur désérialisait ensuite l'objet contenu dans ce cookie avec la bibliothèque Python pickle, capable d'exécuter du code pendant l'opération, c'est l'exploitation d'une application exposée sur Internet, la technique T1190. Google corrige la faille le 7 octobre 2026 et verse 90 000 dollars à Köck, qui avait signalé le problème le 6 août.

☁️ Des drones ukrainiens frappent pour la troisième fois en une semaine un centre de données Yandex en Russie, à Vladimir, après Riazan et Kalouga. Sur les six centres de données de l'entreprise en Russie, deux sont désormais à l'arrêt complet et un troisième endommagé, pour une capacité combinée d'environ 115 mégawatts. La coupure touche Yandex Cloud, utilisé par des milliers d'entreprises, ainsi que les services Yandex Pay, Alice et la messagerie. Yandex recommande à ses clients cloud des plans de reprise alternatifs et a modifié ses conditions générales pour exclure sa responsabilité en cas de frappes de drones.

🐧 Le projet Linux Gentoo recherche de nouveaux sponsors d'infrastructure après le retrait de plusieurs soutiens de longue date, selon une annonce publiée le 7 octobre 2026. Le projet recherche de l'hébergement de machines virtuelles à partir de deux processeurs virtuels, quatre gigaoctets de mémoire et vingt-cinq gigaoctets de stockage, des serveurs physiques complets hébergés par le sponsor ou confiés en gestion à distance, de la place en baie avec alimentation et connectivité, et des dons en numéraire. Gentoo avait quitté GitHub, propriété de Microsoft, en février pour la plateforme Codeberg, et précise privilégier les partenariats avec des organisations alignées sur ses objectifs.

Sources :

• Enhancements and Resolved Issues in Fireware v12.12.3. WatchGuard Technologies : https://www.watchguard.com/support/release-notes/fireware/12/en-US/EN_ReleaseNotes_Fireware_12_12_3/
• VulcanRAT207.A Malware Spreads via WhatsApp to Gain SYSTEM-Level Access. CyberPress : https://cyberpress.org/vulcanrat207a-whatsapp-malware/
• Critical Google DevSite Flaw Allowed Attackers to Execute Remote Code Without Authentication. GBHackers : https://gbhackers.com/critical-google-devsite-flaw/
• Ukraine strikes third Yandex data center, disrupting digital services across Russia. The Record : https://therecord.media/ukraine-strikes-third-yandex-data-center
• Gentoo Is Looking for Infrastructure Sponsors. FOSS Force : https://fossforce.com/2026/10/gentoo-is-looking-for-infrastructure-sponsors/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #WatchGuard #Fireware #Firebox #VulcanRAT #WhatsApp #Morphisec #Google #DevSite #OAuth #Pickle #MITREATTACK #Yandex #Ukraine #CloudDisruption #Gentoo #Linux #OpenSource #CVE-2026-86131 #RadioCSIRT

🎙️ Huawei fait l'objet d'une question d'auditeur, trop large pour un avis donné à la volée. Un épisode dédié est en préparation, construit à partir de sources vérifiables, de façon neutre et factuelle, loin des clichés habituels.

🛡️ Le VOC revient dans un message d'auditeur, qui réclame un épisode spécial sur le sujet. Porté par son intervention à InterVOC, MarcFred envisage une mini-série d'ici la fin de l'année.

🔬 Un format plus technique est demandé, avec les TTPs et les modes opératoires, en complément du flash court. L'idée est à l'étude : un épisode le samedi, consacré à un groupe, une attaque ou un malware.

💬 Un message de remerciement clôt les retours d'auditeurs que je partage avec l'ensemble des auditrices et auditeurs : ce podcast est fait pour eux, à 100 %.

🎬 La vidéo de RadioCSIRT, réclamée par plusieurs auditeurs lors des Assises, reste à venir. Le matériel d'enregistrement et de diffusion est prêt, la compétence sur le montage reste à acquérir, pour une diffusion en parallèle du podcast avec des éléments de reportage.

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Repondeur #Huawei #InterVOC #Podcast #RadioCSIRT

🚨 L'agence nationale de police japonaise confirme l'arrestation et l'extradition vers l'Allemagne d'un ressortissant russe de 28 ans, soupçonné d'avoir participé aux activités du ransomware Qilin, interpellé en mai dans un hôtel d'Osaka et remis à l'Allemagne en juin. Qilin opère en ransomware-as-a-service, le noyau prélevant 15 à 20 % des rançons selon CybelAngel, avec un accès initial par identifiants valides sur VPN et RDP, par exploitation d'équipements exposés, dont les CVE-2024-21762 et CVE-2024-55591 chez Fortinet, la CVE-2026-50751 chez Check Point et la CVE-2024-27198 sur TeamCity, et par compromission de comptes d'administration d'infogérants. La chaîne d'exécution combine PowerShell, stratégies de groupe, vol d'identifiants dans LSASS et dans Chrome via Mimikatz, arrêt des EDR par pilote vulnérable (BYOVD), redémarrage en mode sans échec, exécution d'ELF sous WSL, exfiltration par Rclone et WinRAR, puis suppression des clichés instantanés et des catalogues Veeam avant chiffrement par un binaire Go puis Rust visant Windows, Linux et ESXi. Deuxième groupe le plus actif en juillet avec 127 attaques signalées, Qilin a revendiqué Die Linke, Asahi et l'agence fédérale américaine ATF.

🍏 Le Museo de Historia de la Computación, en Espagne, dévoile une réplique visuelle à l'échelle 1 du Cray-1 de 1976, construite en 18 mois avec 30 Mac mini, dont 5 i7 quadricœur et 25 i5 bicœur, tous de 2012 sauf deux unités de 2014. Les 64 cœurs actifs atteignent 1,3 téraflops, contre 1,5 téraflops relevés auparavant sur 70 cœurs, mesurés par un script Python de multiplication de matrices ; le Cray-1 d'origine plafonnait à 160 mégaflops théoriques. Le cluster tourne sous macOS Mojave 10.14 pour son support natif de MPI, et se refroidit par convection passive, le châssis vertical servant de cheminée thermique, les seuls 30 à 33 décibels venant de deux commutateurs gigabit en pied de tour. Le musée prévoit une campagne de financement participatif pour 70 à 80 Mac mini M4 supplémentaires, avec l'objectif d'un classement au TOP500.

🎣 Le FBI a arrêté le 8 octobre en Pennsylvanie Edward Dubrovsky, dirigeant d'une société canadienne spécialisée dans la négociation de rançons, dans le cadre de l'enquête sur ShinyHunters ; les chefs retenus sont l'entente en vue d'extorquer de l'argent en menaçant la confidentialité d'informations et l'entrave au commerce par la menace, la plainte est scellée et le dossier a été transféré le 9 octobre au district Est du Texas. Cypfer précise que l'intéressé y a été directeur général jusqu'à sa démission en novembre 2025, et non fondateur comme l'indique son profil LinkedIn. Selon Huntress, le mode opératoire du groupe repose sur le vishing vers des pages de connexion aux couleurs de la victime, la capture en direct des codes MFA puis l'enrôlement d'un appareil attaquant, la réutilisation de jetons OAuth volés à des intégrations tierces comme Drift, Gainsight et Anodot, la recherche de jetons dans les dépôts de code avec TruffleHog, et l'export en masse via Salesforce Data Loader, SharePoint et OneDrive, avant extorsion par échantillon de preuve, négociation sur Tox et paiement en bitcoin sous 72 heures. Selon le FBI, ShinyHunters a extorqué plus de 70 millions de dollars depuis janvier ; KrebsOnSecurity indique que des poursuites contre des responsables d'autres sociétés de négociation pourraient suivre, à partir des appareils saisis lors de l'arrestation de Pepijn van der Stap aux Pays-Bas.

📡 DomainTools publie une enquête sur une vague de VPN-over-DNS rattachée circonstanciellement à l'Iran, dans laquelle le domaine supaghost[.]cc a produit 40 milliards d'observations passives, jusqu'à 500 000 par seconde, soit 50 % de charge supplémentaire sur un réseau qui en traite environ un million par seconde. Le trafic, porté par des enregistrements TXT contenant probablement plusieurs paquets binaires multiplexés et par des sous-domaines générés automatiquement, était partitionné par étiquettes de troisième niveau déléguées à des serveurs de noms distincts, de slsa1 à slsa6, eux-mêmes hébergés sur des VPS bon marché placés derrière Cloudflare. L'activité a démarré le 1er mars vers 07:00 UTC, environ 24 heures après le début d'une campagne de bombardements américano-israélienne, puis s'est étendue à plus de 100 domaines, avec une surreprésentation du TLD .ir et des enregistrements datés de septembre à novembre 2025 restés dormants ; des services de tunneling établis en Eurasie et en Asie du Sud ont aussi vu leur activité croître. Ian Campbell précise qu'il n'a ni décodé le contenu, ni identifié les opérateurs, ni confirmé la finalité, que la concomitance ne vaut pas attribution, et qualifie de spéculation l'implication du régime iranien ou un transfert de données du programme nucléaire.

🤖 CrowdStrike attribue les attaques de fin septembre à début octobre contre Shinhan Bank, KB Kookmin Bank et Hana Bank à un attaquant sinophone qui a employé la suite agentique ARTEX AI, développée en Chine, et des agents Claude pilotés par un fichier d'instructions de pentest en chinois ; un service de suivi de dossiers de prêt destiné aux courtiers et un outil mobile de travail pour salariés figurent parmi les accès obtenus. L'instance d'ARTEX utilisait DeepSeek v4.1-flash comme moteur principal, complété par GLM-5.3 de Zhipu AI et Grok 4.6, l'accès à DeepSeek passant probablement par le revendeur xcai[.]pro, sur une infrastructure à deux serveurs dont une machine à Hong Kong. Des répertoires ouverts ont livré historiques de session, fichiers de configuration et fichiers de mémoire, ainsi qu'un curriculum vitae rédigé avec les mêmes outils, qui pointe vers un Chinois de 26 ans établi à Maoming, dans le Guangdong, avec une date de naissance d'abord renseignée en 2007 ; CrowdStrike ne rattache l'activité à aucun groupe connu et retient avec une confiance modérée un opérateur sinophone à motivation financière. Le développeur d'ARTEX a fermé le code source et arrêté les mises à jour en se disant étranger aux attaques, mais des dérivés en anglais et en coréen restent disponibles.

🎙️ Jan Kopriva, du SANS Internet Storm Center, explique pourquoi les marquages du Traffic Light Protocol ne remplacent pas une classification interne : le standard du FIRST énonce lui-même que le TLP n'est pas un schéma de classification formel et qu'il ne traite ni les conditions de licence, ni les règles de manipulation, ni les règles de chiffrement. Les niveaux ne se recouvrent pas non plus, TLP:CLEAR n'imposant aucune limite, TLP:GREEN autorisant la diffusion dans la communauté du destinataire hors canaux publics, par défaut la communauté cybersécurité, TLP:AMBER le partage dans l'organisation et avec ses clients sur la base du besoin d'en connaître, TLP:AMBER+STRICT la seule organisation, et TLP:RED aucune rediffusion au-delà des destinataires individuels. Marquer selon la sensibilité plutôt que selon le destinataire conduit soit à bloquer des partages légitimes, soit à faire ignorer le marquage. Kopriva conclut que le TLP doit compléter la classification interne et non la remplacer.

Sources :

• Japan confirms arrest of Russian Qilin operative, extradition to Germany. The Record : https://therecord.media/japan-germany-ransomware-arrest
• Qilin Ransomware: Attack Methods and 2026 Status. CybelAngel : https://cybelangel.com/blog/qilin-ransomware-tactics-attack/
• A Cray-1 supercomputer replica from 30 "obsolete" Mac Minis. Ars Technica : https://arstechnica.com/gadgets/2026/10/a-cray-1-supercomputer-replica-from-30-obsolete-mac-minis/
• FBI Arrests Executive at Ransomware Negotiation Firm. KrebsOnSecurity : https://krebsonsecurity.com/2026/10/fbi-arrests-founder-of-ransomware-negotiation-firm/
• ShinyHunters Threat Actor Profile: TTPs, IoCs & Attacks. Huntress : https://www.huntress.com/threat-library/threat-actors/shinyhunters
• Iran-Linked DNS Tunneling Activity Generates 40 Billion Records During 2026 Conflict. Cyber Press : https://cyberpress.org/iran-linked-dns-tunneling-activity-generates-40-billion/
• Iranian VPN-over-DNS Activity Generates 40 Billion DNS Observations During Military Conflict. GBHackers : https://gbhackers.com/iranian-vpn-over-dns-activity-generates-40-billion/
• ARTEX AI, Claude agents used in cyberattacks on South Korean banks. BleepingComputer : https://www.bleepingcomputer.com/news/security/hacker-used-artex-ai-and-claude-agents-to-target-south-korean-banks/
• AI-Driven tool ARTEX used in attacks against South Korean Banks. Security Affairs : https://securityaffairs.com/200661/hacking/ai-driven-tool-artex-used-in-attacks-against-south-korean-banks.html
• Why TLP should not replace your internal information classification. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33414
• Traffic Light Protocol version 2.0. FIRST : https://www.first.org/tlp/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Qilin #Ransomware #RaaS #BYOVD #ShinyHunters #Vishing #OAuth #FBI #DNSTunneling #Iran #DomainTools #ARTEX #CrowdStrike #CoreeDuSud #TLP #FIRST #CVE-2024-21762 #CVE-2024-55591 #CVE-2026-50751 #CVE-2024-27198 #RadioCSIRT

🚨 Le FBI, la CISA et la NSA publient le 8 octobre, avec sept autres organisations, l'avis conjoint AA26-281A sur Integrity Technology Group, société chinoise liée au gouvernement chinois, dont les méthodes recoupent Flax Typhoon, Ethereal Panda et Red Juliett. Les attaquants combinent scan open source, injections de code pour voler des identifiants, password spray contre Microsoft Exchange, réplication de l'Active Directory et exfiltration de messageries, avec une persistance assurée par le client VPN SoftEther renommé en exécutable Windows. Les failles exploitées relevées dans leurs scripts sont les CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 et CVE-2023-22894. Les organisations signataires recommandent de désactiver les services et ports inutilisés, d'assainir les entrées des applications web et d'imposer la MFA, et précisent que certains indicateurs remontent à 2016 et doivent être vérifiés avant blocage.

🐧 Le CERT-FR publie l'avis CERTFR-2026-AVI-1280 sur une vulnérabilité dans Ceph, avec un risque d'exécution de code arbitraire à distance et d'élévation de privilèges. L'avis renvoie au bulletin Ceph GHSA-32wm-mjvr-8w9f du 7 octobre 2026 et à la CVE-2020-27781. Les systèmes affectés qu'il liste portent le nom de Manila : versions 15.x antérieures à 15.2.8, versions 16.x antérieures à 16.2.0 et versions antérieures à 14.2.16. Aucun score CVSS, composant ni état d'exploitation n'est indiqué.

☁️ Le CERT-FR publie l'avis CERTFR-2026-AVI-1284 sur la CVE-2026-106126, qui permet une exécution de code arbitraire à distance dans Tenable Identity Exposure en version SaaS. Les versions antérieures à 3.126.0 sont concernées. L'avis reprend le bulletin Tenable tns-2026-27 du 8 octobre 2026. L'éditeur indique qu'une réinstallation d'un composant est nécessaire après la mise à jour.

🤖 Ecosia met fin à son partenariat avec Mistral, cinq mois après avoir remplacé OpenAI par l'éditeur français, et se tourne vers la plateforme allemande Melious, qui héberge en Europe une soixantaine de modèles ouverts dont Qwen d'Alibaba, GLM de Z.ai et Kimi de Moonshot AI. Dans un entretien à Politico, le PDG Christian Kroll invoque une qualité décevante et un an de retard sur la concurrence, des serveurs saturés, l'alimentation des serveurs de Mistral par l'électricité nucléaire française, et la dépendance de l'éditeur à des investissements internationaux. Il déclare avoir réduit ses coûts de moitié. Mistral répond par la voix de son directeur scientifique Guillaume Lample, qui invite Ecosia à tester le modèle Large 4 annoncé le même jour.

🛡️ Citrix corrige la CVE-2026-107406, un dépassement de mémoire noté avec un score CVSS de 9,5 sur l'échelle 4.0, qui peut conduire à une exécution de code à distance ou à un déni de service dans NetScaler ADC et NetScaler Gateway. L'équipement n'est vulnérable que s'il est configuré comme fournisseur de service ou fournisseur d'identité SAML, selon la version. Les versions correctives sont 14.1-73.46 et ultérieures, 13.1-64.29 et ultérieures de la branche 13.1, 14.1-73.46 FIPS et ultérieures pour 14.1-FIPS, et 13.1-37.283 et ultérieures pour 13.1-FIPS et 13.1-NDcPP. Citrix indique n'avoir connaissance d'aucune exploitation non atténuée à la date de son bulletin, et le CIS ne rapporte aucune exploitation observée.

Sources :

• Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data. CISA : https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• Vulnérabilité dans Ceph. CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1280/
• Vulnérabilité dans les produits Tenable. CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1284/
• « Nous sommes déçus de Mistral » : le moteur de recherche Ecosia abandonne l'IA française pour des modèles chinois. 01net : https://www.01net.com/actualites/nous-sommes-decus-mistral-moteur-recherche-ecosia-abandonne-mistral-profit-ia-chinoises.html
• CVE-2026-107406 : Citrix Fixes Critical NetScaler ADC and Gateway Vulnerability. Security Affairs : https://securityaffairs.com/200670/security/cve-2026-107406-citrix-fixes-critical-netscaler-adc-and-gateway-vulnerability.html
• A Vulnerability in Citrix NetScaler ADC and Citrix NetScaler Gateway Could Allow for Remote Code Execution. Center for Internet Security : https://www.cisecurity.org/advisory/a-vulnerability-in-citrix-netscaler-adc-and-citrix-netscaler-gateway-could-allow-for-remote-code-execution_2026-110

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Chine #FlaxTyphoon #IntegrityTech #Exchange #ActiveDirectory #Ceph #OpenStack #Tenable #Mistral #Ecosia #Citrix #NetScaler #SAML #CVE-2020-27781 #CVE-2026-106126 #CVE-2026-107406 #RadioCSIRT

🗂️ GitGuardian détaille GhostAction, une campagne qui détourne GitHub Actions pour voler des secrets dans des dépôts publics. L'enquête recense 772 dépôts compromis chez 373 utilisateurs et organisations entre le 31 août et le 30 septembre, pour 2 577 secrets ciblés et 26 secrets confirmés exfiltrés dans 13 dépôts. Les clés SSH et les identifiants de déploiement forment la catégorie la plus visée, devant les identifiants Azure et les clés d'accès AWS. Au 5 octobre, seuls 124 dépôts, soit environ 16 %, montrent une remédiation effective.

🪟 Checkmarx détaille MALFEX, une campagne npm qui propage huit paquets malveillants vers des systèmes Windows depuis un compte actif depuis août 2023. Les paquets concernés sont function-flag, function-color, cdn-img-fetch, img-to-native, native-runner, tlxbnhd, tldriver et mxdriver. Ils livrent selon le cas Overlord RAT, un cheval de Troie en Go injecté dans un processus système légitime, ou movinlike, un stealer visant Discord, les navigateurs, Telegram et les portefeuilles de cryptomonnaie. Au 1er octobre, les paquets totalisaient 40 767 téléchargements, et trois d'entre eux restaient installables : function-flag, function-color et cdn-img-fetch.

🐧 Black Lotus Labs décrit PoeLLM, une campagne de minage qui a compromis plus de 3 400 serveurs LiteLLM, Ollama, Gotenberg et Gitea depuis avril. Le logiciel malveillant choisit son serveur de commande en décodant un poème hébergé sur GitHub. Un échantillon exploite la CVE-2026-42271 dans LiteLLM : un utilisateur authentifié peut exécuter des commandes sur les versions antérieures à 1.83.7, que corrige l'éditeur. Les serveurs compromis reçoivent ensuite les mineurs XMRig et Iron.

🎙️ Le MIT annonce la mort de Margaret Hamilton, survenue le 30 septembre à 90 ans. Elle avait dirigé le développement du logiciel de vol des missions Apollo au laboratoire d'instrumentation du MIT, où plus de 400 personnes travaillaient sous sa direction en 1968. Son logiciel, conçu pour hiérarchiser les tâches, a permis à l'ordinateur de bord d'Apollo 11 de gérer une surcharge sans interrompre l'alunissage. Elle avait reçu la médaille présidentielle de la liberté en 2016.

🚨 Le CERT-FR publie le 7 octobre un avis sur de multiples vulnérabilités dans OpenSSH, versions antérieures à 10.6, avec un risque d'exécution de code à distance et d'élévation de privilèges. L'éditeur, par la voix du développeur Damien Miller, indique que cette version corrige onze failles de sécurité. L'un des correctifs interdit le symbole dollar et la barre oblique inversée dans un nom d'utilisateur saisi en ligne de commande. Le CERT-FR ne donne aucun identifiant CVE pour ces onze failles.

🔐 Europol publie deux rapports sur la menace que l'informatique quantique fait peser sur la cryptographie, avec l'université Carlos III de Madrid pour le second. Le premier situe le risque dans les clés qui protègent les portefeuilles de cryptomonnaie, qu'un ordinateur quantique suffisamment puissant pourrait recalculer à partir d'une clé publique exposée. Le second porte sur la collecte de communications chiffrées aujourd'hui en vue de leur déchiffrement futur ; Europol n'en constate aucune exploitation systématique avérée à ce jour. L'agence recommande d'identifier où la cryptographie est utilisée et de planifier par phases la transition vers des algorithmes post-quantiques.

🐛 Le CERT-Bund signale plusieurs vulnérabilités dans X.Org X11 et Xwayland, notées avec un score CVSS de 7,8. Les versions concernées sont antérieures à 21.1.25 pour X.Org X11 et à 24.1.14 pour Xwayland. Un attaquant local peut en exploiter une ou plusieurs pour exécuter du code arbitraire ou provoquer un déni de service sur Linux et Unix. L'agence allemande ne précise ni le nombre de failles ni leur identifiant CVE.

Sources :

• Hackers Abuse GitHub Actions to Steal SSH Keys, Cloud Credentials and Access Tokens. GBHackers : https://gbhackers.com/github-actions-workflows/
• MALFEX npm Campaign Uses 8 Malicious Packages to Deploy RATs and Credential Stealers. Cyber Press : https://cyberpress.org/malfex-npm-packages-spread-malware/
• PoeLLM Malware Hijacks 3,400+ Servers for Crypto Mining and Botnet Expansion. GBHackers : https://gbhackers.com/poellm-malware/
• Margaret Hamilton, computing pioneer who led software development for the Apollo program, dies at 90. MIT News : https://news.mit.edu/2026/margaret-hamilton-computing-pioneer-dies-1007
• Multiples vulnérabilités dans OpenSSH. CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1271/
• OpenSSH 10.6 Released With Security Fixes and a Dozen New Features. FOSS Force : https://fossforce.com/2026/10/openssh-10-6-released-with-security-fixes-and-a-dozen-new-features/
• Europol urges early action to protect cryptocurrencies and sensitive data from quantum threats. Europol : https://www.europol.europa.eu/media-press/newsroom/news/europol-urges-early-action-to-protect-cryptocurrencies-and-sensitive-data-quantum-threats
• [WID-SEC-2026-3787] X.Org X11 und Xwayland : Mehrere Schwachstellen. CERT-Bund : https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3787

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #GitHubActions #GhostAction #SupplyChain #MALFEX #PoeLLM #CryptoMining #OpenSSH #ANSSI #Europol #PostQuantum #XOrg #Xwayland #CVE-2026-42271 #RadioCSIRT

💾 Kaseya décrit des groupes de ransomware qui neutralisent les sauvegardes avant de chiffrer : ALPHV/BlackCat chez Change Healthcare en février 2024 (22 millions de dollars de rançon versés par UnitedHealth, environ 1,6 milliard de dollars de coûts de reprise), BlackMatter contre NEW Cooperative et Crystal Valley en 2021, Gunra dans l'avis commun de la CISA et du FBI d'août 2026. Dans le cas Gunra, un seul jeu d'identifiants volés a suffi pour effacer les sauvegardes et les archives du centre de données principal et du site de secours. Mesures avancées par la société : stockage immuable avec verrouillage des objets, isolation réseau et identifiants des sauvegardes, MFA et contrôle d'accès par rôle, correctifs des logiciels de sauvegarde au rythme de la production, tests de restauration. Contenu sponsorisé publié sur BleepingComputer, qui renvoie au rapport d'enquête de Kaseya.

🔓 Le FBI et le Secret Service américain alertent sur FortiBleed, campagne de credential stuffing et de password spray sans zero-day contre les portails VPN SSL des FortiGate : plus de 86 644 équipements compromis dans 194 pays selon SOCRadar. Les attaquants créent des comptes d'administration et suppriment ou modifient les comptes d'origine, ce qui peut exclure les victimes de leurs équipements, puis revendent les accès à des initial access brokers qui fournissent les groupes de ransomware INC/Lynx et Payload. Mesures publiées par les deux agences : restreindre l'administration externe à des systèmes de confiance ou passer par une local-in policy, fermer les sessions d'administration et VPN, réinitialiser les mots de passe, imposer une MFA résistante au phishing ; Fortinet recommande PBKDF2 au lieu de l'ancien stockage SHA-256 pour les mots de passe d'administrateur à partir de FortiOS 7.2.11. Les agences demandent de vérifier les indicateurs avant tout blocage, parce que l'infrastructure hébergée dans le cloud change souvent de titulaire.

🛡️ SonicWall corrige quatre failles dans les SMA1000 6210, 7210 et 8200v, sans exploitation constatée : CVE-2026-102255, SSRF sans authentification dans WorkPlace, CVSS 10,0 ; CVE-2026-102256, injection de commandes système avec compte administrateur, CVSS 7,8 ; CVE-2026-102257, Zip Slip dans l'AMC après connexion, CVSS 7,2 ; CVE-2026-102258, XSS stocké dans l'AMC avec compte administrateur, CVSS 5,5. Versions corrigées : 12.4.3-03670 et 12.5.0-03082 ou ultérieures ; les versions 12.4.3-03526 et 12.5.0-02952, que SonicWall donnait le 1er septembre comme correctifs de deux failles exploitées, restent vulnérables. Correctif sur le portail MySonicWall, redémarrage de la passerelle à l'installation, aucun contournement ; les pare-feu en SSL-VPN et la gamme SMA 100 ne sont pas concernés.

🐛 Cisco Talos détaille huit failles corrigées par leurs éditeurs, dont quatre dans des pilotes Windows : élévation de privilèges et confusion de type dans Cloud Files Mini Filter Driver, fuites d'informations dans NETIO.sys et tcpip.sys, déni de service possible dans ce dernier. Foxit Reader 2026.1.1.36485 compte deux exécutions de code par fichier ou PDF piégé, l'installateur de Photoshop une élévation de privilèges, CoreWLAN de macOS 26.3.1 une fuite d'informations sans CVE indiquée. CVE : CVE-2026-58613, CVE-2026-80093, CVE-2026-50475, CVE-2026-49177 (Windows), CVE-2026-57256, CVE-2026-91799 (Foxit), CVE-2026-48388 (Photoshop). Règles Snort disponibles sur Snort.org ; Talos ne publie ni score ni état d'exploitation.

Sources :

• Ransomware has a new target. Is your backup ready? BleepingComputer : https://www.bleepingcomputer.com/news/security/ransomware-has-a-new-target-is-your-backup-ready/
• FortiBleed hit 86,000 firewalls by exploiting something nobody can patch away. Security Affairs : https://securityaffairs.com/200558/cyber-crime/fortibleed-hit-86000-firewalls-by-exploiting-something-nobody-can-patch-away.html
• SonicWall Patches CVSS 10.0 Pre-Authentication SSRF Flaw in SMA1000 Appliances. The Hacker News : https://thehackernews.com/2026/10/sonicwall-patches-cvss-100-pre.html
• Microsoft, Adobe, Apple, and Foxit vulnerabilities. Cisco Talos : https://blog.talosintelligence.com/microsoft-adobe-apple-and-foxit-vulnerabilities/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Ransomware #Backup #Kaseya #Gunra #BlackMatter #ALPHV #FBI #SecretService #Fortinet #FortiGate #FortiBleed #SOCRadar #CredentialStuffing #PasswordSpray #SonicWall #SMA1000 #SSRF #CiscoTalos #Microsoft #Windows #Adobe #Photoshop #Apple #macOS #Foxit #Snort #CVE-2026-102255 #CVE-2026-102256 #CVE-2026-102257 #CVE-2026-102258 #CVE-2026-58613 #CVE-2026-80093 #CVE-2026-50475 #CVE-2026-49177 #CVE-2026-57256 #CVE-2026-91799 #CVE-2026-48388 #RadioCSIRT

🐧 Ubuntu 26.10 réduit le code des composants privilégiés : GRUB signé allégé, chiffrement adossé au TPM étendu aux machines sans racine de confiance matérielle, utilitaires de base entièrement en Rust, OpenSSL 4.0 et OpenSSH 10.5 avec échange de clés post-quantique par défaut, bus de messages remplacé avec médiation AppArmor maintenue. Billet d'éditeur sans mesure. Vérifier toute disposition de partition de démarrage personnalisée avant de migrer, le durcissement de Secure Boot retire le support de LVM, du RAID hors miroir et de LUKS sur /boot.

🐛 CVE-2026-64507 et CVE-2026-64508, BTR, variante de Spectre v2 classée modérée par Red Hat : un utilisateur local ordinaire lit la mémoire du noyau via le compilateur à la volée des filtres BPF. PoC public limité aux microarchitectures Intel Raptor Cove et Lion Cove, aucune exploitation observée, la faille ne donne pas root seule. Aucune mitigation : ni le durcissement du JIT, ni le blocage du BPF non privilégié ne protègent. Corrigé en amont le 25 juillet 2026 ; à ce jour Red Hat, AlmaLinux et Canonical n'ont pas publié le noyau corrigé. Toutes les versions de CloudLinux sont concernées sauf CloudLinux 7, qui interprète les filtres au lieu de les compiler.

🤖 CVE-2026-104247, CVSS 6,3 : exécution de commande dans l'agent de code VTCode par contournement du contrôle d'approbation des recherches. Une citation vide insérée dans une option destructrice déjoue la comparaison, la commande est apprise comme recherche sûre et s'exécute sans prompt. Exploitation conditionnée à une session locale, trois approbations préalables et un pilotage de l'agent, par exemple une prompt injection indirecte. Corrigé en version 0.171.5 ; toute version inférieure est concernée.

🎣 Première comparution au Nebraska d'Anibal Alexander Canelon Aguirre, concepteur présumé du malware Ploutus de jackpotting de distributeurs, qui a plaidé non coupable et reste détenu. Au moins 1 500 attaques recensées pour 40,7 millions de dollars de pertes ; 117 attaques et plus de 5,4 millions de dollars entre février 2024 et décembre 2025 ; 120 personnes inculpées ; jusqu'à 70 ans de prison encourus. Des chercheurs qui suivent Ploutus depuis plus de dix ans n'ont pas confirmé qu'il en est le développeur ; le département de la Justice précise qu'il n'a pas été extradé.

🪟 CVE-2026-21589, classée critique : accès à un fichier sans authentification dans les produits Atlassian Data Center auto-hébergés, dont Confluence, Jira et Bitbucket. L'attaquant doit connaître le nom exact et le chemin du fichier, la faille ne permet pas d'énumérer les dossiers. Versions corrigées, à appliquer sur chaque nœud du cluster : Confluence 9.2.26 et 10.2.19 ; Jira Software 9.12.40, 10.3.26 et 11.3.12 ; Jira Service Management 5.12.40, 10.3.26 et 11.3.12 ; Bitbucket 9.4.26, 10.2.8 et 10.5.1 ; Bamboo 10.2.24 et 12.1.12 ; Crowd 6.3.7, 7.0.3, 7.1.7 et 7.2.4 ; Crucible et Fisheye 4.9.15. Clients cloud corrigés automatiquement. Aucune exploitation constatée à ce jour ; contournements temporaires par règle de pare-feu applicatif disponibles.

Sources :

• What's new in security for Ubuntu 26.10? Ubuntu : https://ubuntu.com//blog/ubuntu-26-10-security
• BTR (CVE-2026-64507, CVE-2026-64508) Spectre v2 kernel memory leak: status for CloudLinux. CloudLinux : https://blog.cloudlinux.com/btr-cve-2026-64507-cve-2026-64508-status-cloudlinux
• VTCode is vulnerable to Arbitrary Command Execution via an ANSI-C Quote Bypass of the find Approval Check. JFrog Security Research : https://research.jfrog.com/vulnerabilities/vtcode-is-vulnerable-to-arbitrary-command-execution-via-an-ansi-c-quote-bypass-of-the-find-approval-check-cve-2026-104247-jfsa-2026-001694179/
• Alleged ATM malware creator appears in Nebraska court after arrest. The Record : https://therecord.media/atm-malware-creator-appears-in-nebraska-court
• Atlassian warns of critical file-access flaw in Jira, Confluence. BleepingComputer : https://www.bleepingcomputer.com/news/security/atlassian-warns-of-critical-file-access-flaw-in-jira-confluence/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Ubuntu #Canonical #SecureBoot #Rust #OpenSSL #PostQuantum #BTR #Spectre #BPF #CloudLinux #RedHat #AlmaLinux #VTCode #JFrog #PromptInjection #Ploutus #ATMJackpotting #FBI #Atlassian #Jira #Confluence #Bitbucket #CVE-2026-64507 #CVE-2026-64508 #CVE-2026-104247 #CVE-2026-21589 #RadioCSIRT

🚨 La CISA a ajouté le 4 octobre au catalogue KEV la CVE-2026-88779, un dépassement de mémoire dans Citrix NetScaler ADC et NetScaler Gateway configurés en authentification SAML. Citrix la décrit comme un déni de service exploité lors d'attaques ciblées, avec un score CVSS de 8,7. Les versions corrigées sont 14.1-73.41 et 13.1-64.28 ; pour les variantes FIPS et NDcPP, 14.1-73.41 FIPS et 13.1-37.282. Selon BleepingComputer, des chercheurs examinent un possible impact d'exécution de code à distance, et la CISA fixe au 7 octobre l'échéance pour les agences civiles fédérales, au titre de la directive BOD 26-04.

🪟 Le CERT-UA décrit UAC-0277, une campagne ClickFix sur plus de 100 sites compromis en septembre : une fausse vérification Cloudflare fait installer un paquet MSI qui livre LUNEXSTEALER, et un smart contract Polygon ou Ethereum fournit le domaine de la fausse page. Une variante dépose un pilote AMD vulnérable (CVE-2023-20598), une autre utilise du DLL sideloading, et l'extension LUNARAXE vole cookies, historique et identifiants. Le CERT-UA recommande de bloquer Win+R par stratégie de groupe, de limiter les paquets MSI aux administrateurs, d'activer la liste de blocage des pilotes vulnérables de Microsoft et de n'autoriser que des extensions listées.

🐧 FortiGuard Labs décrit ClingSTUN, un backdoor Linux qui fait des routeurs, enregistreurs vidéo et objets connectés des nœuds de proxy, via 24 failles d'entrée (dont la CVE-2022-36553 sur Hytec, EnGenius, D-Link, TP-Link et Ivanti Connect Secure) et sept exploits intégrés pour se propager. Il contacte 24 serveurs STUN publics, 13 dans la troisième version. Fortinet recommande d'inventorier les appareils exposés, de les corriger, de remplacer ceux qui ne reçoivent plus de mises à jour et de surveiller les processus suspects, les connexions UDP inattendues et le trafic de maintien régulier.

🤖 Google a suspendu temporairement les soumissions à OSS VRP, son programme de bug bounty open source, après une forte hausse de soumissions automatisées, en grande majorité invalides. Malwarebytes cite deux précédents : curl a mis fin à son programme HackerOne au début de 2026, et Intel ne propose plus de primes sur Intigriti. Google promet une mise à jour au premier trimestre 2027.

Sources :

• CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/04/cisa-adds-one-known-exploited-vulnerability-catalog
• UAC-0277: ClickFix на скомпрометованих вебсайтах для поширення LUNEXSTEALER. CERT-UA : https://cert.gov.ua/article/6319983
• ClingSTUN Linux Backdoor Abuses Public STUN Infrastructure. Fortinet : https://www.fortinet.com/blog/threat-research/clingstun-linux-backdoor-abuses-public-stun-infrastructure
• Google pauses open source bug bounty program after rise in AI submissions. Malwarebytes : https://www.malwarebytes.com/blog/news/2026/10/google-pauses-open-source-bug-bounty-program-after-rise-in-ai-submissions

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Citrix #NetScaler #CISA #KEV #CERTUA #ClickFix #LUNEXSTEALER #Fortinet #ClingSTUN #Linux #Google #BugBounty #CVE-2026-88779 #CVE-2023-20598 #CVE-2022-36553 #RadioCSIRT

📈 Aikido relaie le graphique du fonds d'investissement A16Z : plus de 600 CVE critiques ou élevées par mois chez 21 éditeurs depuis le printemps 2026, contre moins de 100 auparavant. Un audit fédéral de mai place l'arriéré du NIST à plus de 27 000 CVE. Verizon, cité par Aikido, relève 26 % des failles du catalogue KEV entièrement corrigées en 2025 contre 38 % un an plus tôt, avec un délai médian de 32 à 43 jours. Mandiant mesure un délai moyen d'exploitation de 5 jours en 2023.

🧩 Quatre grilles : CVSS 4.0 du FIRST (groupes base, menace, environnement, supplémentaire), EPSS (probabilité d'exploitation sur 30 jours, recalculée chaque jour), catalogue KEV de la CISA (CVE attribuée, exploitation avérée, correction disponible) et SSVC de la CISA (cinq points de décision). Dans une étude de 2023 sur l'EPSS version 3, une couverture d'environ 82 % demande de corriger 58,1 % des CVE avec un seuil CVSS de 7, contre 7,3 % des CVE avec l'EPSS. Stylesmuggler, sans CVE, échappe au KEV et à l'EPSS. Le NIST propose la métrique LEV pour compenser les limites des deux, encore en développement.

📡 Exposition : le NIST note que la plupart des technologies sont directement exposées à Internet et demande de consigner connectivité réseau et mesures de sécurité dans l'inventaire. Le CVSS 4.0 décrit l'exposition par le vecteur d'attaque, les privilèges requis et l'interaction de l'utilisateur, et le SSVC par la valeur automatisable. Cas cités : Parallels Desktop pour Mac (CVE-2026-90894, score CVSS de 7,8, PoC public, version 27.0.1), mode de noyau sécurisé de Windows (CVE-2026-85921, score CVSS de 8,2, KB5129194) et OpenCTI (avis WID-SEC-2026-3717, score CVSS de 8,8, versions antérieures à 7.260624.0). Un guide conjoint de février 2025 sur les équipements de périmètre demande de ne pas exposer les interfaces d'administration à Internet. L'ASD a vu 212 000 équipements de périmètre sur 17,9 millions d'équipements visibles.

🐛 Risque propre à l'actif : exigences de sécurité du CVSS 4.0 (haute, moyenne, basse, haute par défaut), impact technique, prévalence dans la mission et bien-être public du SSVC, caractéristiques de mission de l'inventaire du NIST : rôle, exigences réglementaires, restrictions contractuelles. Métriques supplémentaires du CVSS 4.0 : sûreté, densité de valeur.

🚨 Décision : quatre scénarios du NIST (correction de routine, correction d'urgence, mitigation d'urgence, actifs non corrigeables), groupes de maintenance, plans par groupe et scénario, quatre résultats du SSVC (Track, Track*, Attend, Act). Seule échéance chiffrée des sources : deux semaines pour les agences fédérales, selon le NIST. Le tableau du NIST croise importance de la vulnérabilité et importance de l'actif, avec des valeurs d'exemple de 95,2 % et 64,7 % de correction dans le délai.

🛠️ Flux quotidien en six étapes : entrée (bulletins des éditeurs, balayage quotidien des équipements exposés, sources d'exploitation de la CISA), qualification dans l'ordre du SSVC, affectation à un groupe de maintenance et à un scénario, exécution en vagues avec canary, vérification de compromission avant correctif, clôture et suivi des exceptions. Les sources ne répartissent pas ces étapes entre équipes.

🛡️ Sans correctif : mitigation d'urgence et isolation réseau chez le NIST. Parallels : version 27.0.1 corrigée, branche 26 sans correctif. Windows : KB5129194 pour la seule version 26H1. Le guide sur les équipements de périmètre demande de remplacer immédiatement un équipement en fin de vie et, à défaut, de documenter des contrôles compensatoires. Anton Chuvakin remplace le correctif par la mitigation en 15 minutes, avec quatre capacités à tester : isoler des chemins réseau, révoquer des identifiants, connaître le rayon d'impact, pousser une règle par API.

🎙️ Pilotage : inventaire mis à jour en continu et balayages authentifiés selon le NIST, matrice segmentée par plateforme, entité et groupe de maintenance, questionnaire d'achat. Le guide sur les équipements de périmètre recommande un balayage quotidien des correctifs manquants. Chuvakin propose cinq premiers gestes (inventaire, tests, taux de remplaçabilité, gouvernance du pipeline, retour arrière répété) et un atelier de 90 minutes sur trois systèmes, sans objectif de 15 minutes inscrit dans une politique.

Sources :

• The CVE spike across major software companies is a remediation problem. Aikido : https://www.aikido.dev/blog/cve-spike-remediation-problem
• NIST SP 800-40 Rev. 4, Enterprise Patch Management Planning. NIST : https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-40r4.pdf
• Common Vulnerability Scoring System v4.0: Specification Document. FIRST : https://www.first.org/cvss/v4.0/specification-document
• EPSS Model. FIRST : https://www.first.org/epss/model
• Enhancing Vulnerability Prioritization: Data-Driven Exploit Predictions with Community-Driven Insights. arXiv : https://arxiv.org/pdf/2302.14172
• Known Exploited Vulnerabilities Catalog. CISA : https://www.cisa.gov/known-exploited-vulnerabilities
• Stakeholder-Specific Vulnerability Categorization (SSVC). CISA : https://www.cisa.gov/stakeholder-specific-vulnerability-categorization-ssvc
• CISA Stakeholder-Specific Vulnerability Categorization (SSVC) Guide. CISA : https://www.cisa.gov/sites/default/files/publications/cisa-ssvc-guide 508c.pdf
• Time-to-Exploit Trends: 2023. Google Cloud, Mandiant : https://cloud.google.com/blog/topics/threat-intelligence/time-to-exploit-trends-2023
• Verizon's DBIR Reveals 34% Jump in Vulnerability Exploitation. Infosecurity Magazine : https://www.infosecurity-magazine.com/news/verizon-dbir-jump-vulnerability/
• The 15-Minute Patch, Reverse-Engineered: What Had to Be True? Anton on Security : https://medium.com/anton-on-security/the-15-minute-patch-reverse-engineered-what-had-to-be-true-2a98559f9879
• Security considerations for edge devices. ACSC, Australian Signals Directorate : https://www.cyber.gov.au/business-government/protecting-devices-systems/hardening-systems-applications/network-hardening/securing-edge-devices/security-considerations-for-edge-devices
• Mitigation strategies for edge devices: practitioner guidance. ACSC, Australian Signals Directorate : https://www.cyber.gov.au/business-government/protecting-devices-systems/hardening-systems-applications/network-hardening/securing-edge-devices/mitigation-strategies-for-edge-devices-practitioner-guidance
• Likely Exploited Vulnerabilities: A Proposed Metric (CSWP 41). NIST : https://csrc.nist.gov/pubs/cswp/41/likely-exploited-vulnerabilities-a-proposed-metric/final
• Parallels Desktop is vulnerable to a Local Privilege Escalation via Appliance Extract Argument Injection. JFrog Security Research : https://research.jfrog.com/vulnerabilities/parallels-desktop-is-vulnerable-to-a-local-privilege-escalation-via-appliance-extract-argument-injection-cve-2026-90894/
• Vulnérabilité d'élévation de privilèges dans le mode de noyau sécurisé de Windows. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85921
• [WID-SEC-2026-3717] OpenCTI: Schwachstelle ermöglicht Erlangen von Administratorrechten. CERT-Bund : https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3717

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #VulnerabilityManagement #PatchManagement #CVSS #EPSS #KEV #SSVC #NIST #CISA #FIRST #Mandiant #Verizon #DBIR #Stylesmuggler #CVE-2026-90894 #CVE-2026-85921 #RadioCSIRT