RadioCSIRT

🐛 OpenSSH 10.6p2, publiée le 5 novembre 2026, corrige la CVE-2026-123158, contournement de l'authentification par mot de passe de sshd sur Linux avec musl libc sans PAM. Fiche CVE : score CVSS de 8,1 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H), CWE-394, valeur de retour ou code d'état inattendu ; OpenSSH la qualifie de critique, absente du catalogue KEV de la CISA. Un mot de passe de 257 à 1 024 octets ouvre tout compte à * ; Previdian confirme un accès root sur un honeypot, puis une reconnaissance T1033 et T1082. Paquets Alpine corrigés : edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1 ; Alpine demande ensuite rc-service sshd restart, ou à défaut PasswordAuthentication no.
Sources :
La faille OpenSSH permet aux attaquants de se connecter à des comptes Linux où l'authentification par mot de passe est désactivée. Reddit, r/cybersecurity : https://www.reddit.com/r/cybersecurity/comments/1xpg7ot/openssh_flaw_lets_attackers_log_into/
OpenSSH flaw exploited in the wild just hours after disclosure (CVE-2026-123158). Help Net Security : https://www.helpnetsecurity.com/2026/11/06/openssh-sshole-cve-2026-123158-exploitation/
*sshole. Özgün Kültekin, Wakefield : https://sshhole.com
Critical OpenSSH Authentication Bypass Lets Hackers Log In Without Knowing Passwords. Cyber Security News : https://cyberpress.org/critical-openssh-authentication/
OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux. The Hacker News : https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html
Security advisory: openssh-server password authentication bypass. Alpine Linux : https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/
OpenSSH 10.6p2 Release Notes. OpenSSH : https://www.openssh.org/releasenotes.html#10.6p2
SSHole: OpenSSH Authentication Bypass, CVE-2026-123158. TheCyberThrone : https://thecyberthrone.in/2026/11/06/sshole-openssh-authentication-bypass-cve-2026-123158/
CVE-2026-123158. CVE Program : https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2026/123xxx/CVE-2026-123158.json
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #OpenSSH #sshole #AlpineLinux #musl #Linux #SSH #AuthenticationBypass #Previdian #SOCRadar #Wakefield #CVE-2026-123158 #RadioCSIRT

🐛 Zyxel corrige la CVE-2026-107441, écriture hors limites dans l'interface web d'administration de dix modèles de commutateurs GS1900, exploitable sans authentification par requête HTTP forgée, qui contourne le correctif du 16 juin de la CVE-2026-7273 par corruption du compteur de paramètres avant sa validation. GreyNoise a observé l'exploitation dès le 17 août environ par Kapibala, threat actor sinophone présumé lié à la campagne Red Heron : 996 commutateurs compromis dans 48 pays, avec collecte des configurations, des hashs des identifiants root et des informations réseau ; exploitation d'une application exposée, technique T1190. Binarly a retrouvé l'exploit sur l'infrastructure Red Heron, liée à la backdoor JITTERLY et au rootkit SIXZUT, l'a signalé le 29 septembre, et Zyxel a confirmé la faille le 11 octobre. Firmwares corrigés publiés le 22 octobre et avis du 3 novembre 2026 ; BleepingComputer ne donne pas les numéros de version corrigés et conseille d'installer les derniers firmwares.
📈 Linus Torvalds a publié la version 7.4-rc1 du noyau Linux : 19 671 commits dans la fenêtre de fusion selon le décompte de Phoronix, contre 7 620 pour la version 3.1, et près de 42 millions de lignes. Il attribue ce volume au flot de travaux déclenchés par l'IA, qu'il préfère voir arriver à ce stade plutôt qu'en correctifs pendant les versions candidates, et à l'attente d'une 7.4 en version à support long terme. Selon Neowin, un tiers des modifications porte sur des décalages de registres et des masques de bits des processeurs graphiques AMD, et la 7.4-rc1 est la première de sept ou huit versions candidates. La version finale est attendue en décembre 2026.
🐧 Canonical corrige la CVE-2026-109518 d'APT, découverte par Max Justicz, avec un score CVSS 4.0 de 7,7 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) : un attaquant en position d'homme du milieu sur le trafic HTTP d'APT, technique T1557, fait installer un paquet .deb qui échoue à la vérification de signature et obtient les privilèges root par ses scripts d'installation ; un miroir malveillant peut faire de même. Ubuntu 22.04 et les versions suivantes sont exposées par défaut, les versions antérieures seulement si Acquire::Retries est différent de 0 ; le HTTPS protège et les paquets snap ne sont pas concernés. Versions corrigées (USN-8996-1) : 1.0.1ubuntu2.24+esm4 pour la 14.04, 1.2.36+esm1 pour la 16.04, 1.6.19+esm1 pour la 18.04, 2.0.12+esm1 pour la 20.04, 2.4.15ubuntu0.1 pour la 22.04, 2.8.4ubuntu0.1 pour la 24.04, 3.2.1ubuntu0.1 pour la 26.04, et 3.3.3ubuntu0.1 en cours de publication pour la 26.10. Canonical recommande d'installer la mise à jour avec Acquire::Retries=0 et de passer les sources APT en HTTPS quand le chemin réseau n'est pas sûr.
🪟 ESET attribue à SlippyNunchucks, groupe aligné sur la Chine et actif depuis septembre 2023, une campagne de surveillance lancée le 1er juillet 2026 contre des organisations et des sinophones à Hong Kong, en Thaïlande, au Japon, au Vietnam, à Oman et au Sri Lanka. Le groupe falsifie la résolution DNS du serveur de configuration que Sogou Input Method pour Windows interroge en HTTP, livre une configuration piégée, puis charge DarkVigil (alias FDMTP) par DLL sideloading derrière un exécutable légitime d'Adobe ; détournement du flux d'exécution, technique T1574, et C2 sur le protocole DMTP. Tencent corrige la CVE-2026-120422 dans la version 16.10 du 29 octobre 2026, qui passe ces requêtes en HTTPS. ESET ne relève aucun recoupement tactique avec Mustang Panda, et Gen Digital a signalé en septembre l'exploitation par UNC3569 d'une autre faille de Sogou, la CVE-2026-51990, pour livrer la backdoor GRAYRABBIT.
🚨 L'agence américaine CISA a inscrit le 3 novembre 2026 au catalogue KEV la CVE-2026-119977 du cœur de WordPress : lors d'une mise à jour complète, les fichiers et l'installateur sont décompressés dans un répertoire prévisible sous wp-content/upgrade/, qu'un attaquant non authentifié peut atteindre pour aller jusqu'à l'exécution de code PHP. Wordfence, qui a attribué la CVE, la note avec un score CVSS de 8,1 à complexité élevée et la classe en CWE-367, race condition entre le contrôle et l'utilisation ; WordPress la classe en gravité faible, et Wordfence a bloqué 62 969 tentatives en 24 heures sans signaler de compromission réussie. WordPress corrige la faille en 7.1.4 le 28 octobre 2026 et sur toutes les branches jusqu'à la 4.7.39 ; les versions 4.6 et antérieures ne reçoivent aucun correctif. Wordfence recommande de vérifier que la mise à jour s'est faite et de chercher des requêtes vers des fichiers PHP sous wp-content/upgrade/, ainsi que des comptes administrateur, des extensions ou des fichiers PHP inconnus.
📡 Johannes Ullrich, du SANS Internet Storm Center, relève sur les honeypots une reprise des scans vers des scripts d'envoi de courriel, sur sept chemins dont le nom évoque un test d'envoi ou une configuration de messagerie ; scan actif, technique T1595. Les noms en « test » visent des scripts de développement laissés en ligne, comme un script qui prend le destinataire dans un paramètre d'URL et lui envoie des variables du serveur. Il rapproche ces scans de la CVE-2000-0411, un ancien script CGI d'envoi de courriel, et recommande d'attraper ces fichiers au déploiement ; le scan de ses propres serveurs reste un contrôle d'appoint.
🤖 Anton Chuvakin applique la défense en profondeur à l'IA à partir de trois principes de Phil Venables : duplication sans cause commune de défaillance, contrôle de détection pour chaque contrôle préventif, suivi de la couche où les attaques sont arrêtées. Selon lui, des garde-fous LLM empilés échouent ensemble, d'où la diversité de la question plutôt que du modèle, des contrôles déterministes hors de la fenêtre de contexte et des barrières synchrones sur les actions irréversibles des agents, avec une supervision par IA asynchrone pour le reste. Face aux attaquants dotés d'IA, il recommande d'investir dans le confinement derrière la bordure : segmentation, contrôle des flux sortants, détection et reprise rapide. L'auteur, employé de Cisco, invite lui-même à minorer de 20 % son plaidoyer pour la segmentation.
Sources :
Zyxel fixes zero-day exploited to hack nearly 1,000 network switches. BleepingComputer : https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/
Linux 7.4 is "Much Healthier" Thanks to AI. Linux Magazine : https://www.linux-magazine.com/Online/News/Linux-7.4-is-Much-Healthier-Thanks-to-AI
Linux 7.4-rc1 rolling out with a massive merge window driven heavily by AI. Neowin : https://www.neowin.net/news/linux-74-rc1-rolling-out-with-a-massive-merge-window-driven-heavily-by-ai/
CVE-2026-109518 APT vulnerability fixes available. Canonical Ubuntu : https://ubuntu.com/blog/apt-vulnerability-fixes-available
China-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor. The Hacker News : https://thehackernews.com/2026/11/china-aligned-hackers-hijack-sogou.html
CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog
A race condition during core updates that could lead to remote code execution. WordPress : https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg
WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours. The Hacker News : https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
WordPress Core 7.1.4 Fixes an Unauthenticated Upgrade-Window Race RCE (CVE-2026-119977). Rescana : https://www.rescana.com/post/wordpress-core-7-1-4-upgrade-staging-race-rce
The Classics Return: Vulnerable E-Mail Scripts. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33488
How to Solve the Mystery of AI Defense in Depth? Anton on Security : https://medium.com/anton-on-security/how-to-solve-the-mystery-of-ai-defense-in-depth-e8bbc48024eb
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Zyxel #GS1900 #ZeroDay #GreyNoise #Binarly #Kapibala #Linux #Kernel #LinusTorvalds #AI #Ubuntu #Debian #Canonical #DebianAPT #SupplyChain #ESET #SlippyNunchucks #DarkVigil #Sogou #Tencent #DLLSideloading #CISA #KEV #WordPress #Wordfence #RaceCondition #SANS #InternetStormCenter #Honeypot #DefenseInDepth #AISecurity #MITREATTACK #CVE-2026-107441 #CVE-2026-7273 #CVE-2026-109518 #CVE-2026-120422 #CVE-2026-119977 #RadioCSIRT

🔐 mSeven Software, éditeur du gestionnaire de mots de passe mSecure, a écrit le 3 novembre à ses clients actuels et anciens après une activité suspecte, et leur suggère de changer leurs mots de passe, de réinitialiser leur authentification à deux facteurs et de retirer leurs passkeys. Le courriel ne nomme ni les systèmes touchés, ni la période, ni l'arrêt éventuel de l'activité, ni une atteinte aux coffres ou à leurs clés, et ne précise pas si ses conseils visent les éléments stockés ou la connexion au compte. mSecure 7 peut stocker passkeys et codes d'authentification à deux facteurs dans le coffre à partir de l'offre Essentials ; le BSI avait relevé en décembre 2025 que mSeven pouvait en théorie accéder aux données stockées dans mSecure 6.1.5 pour Android, seule version testée. La version iPhone la plus récente sur l'App Store est la 7.1.0 du 23 octobre.
🚨 Le CERT-FR publie les avis CERTFR-2026-AVI-1434 sur Redmine et CERTFR-2026-AVI-1436 sur Tenable Identity Exposure. Redmine corrige dans les versions 7.0.3, 6.1.6 et 6.0.12 la portée des jetons OAuth ignorée dans le calcul des droits sur les projets et son contournement à la création de projets (versions depuis 6.1.0), un déni de service par expression régulière dans les macros du wiki (versions depuis 6.0.0), et une injection XSS réfléchie qui touche toutes les versions depuis 3.0.0, sans version corrective citée pour la branche 5.1. Tenable corrige dans Identity Exposure 3.93.6 et 3.77.18 la CVE-2026-119314, avec un score CVSS de 9,9, CWE-78, injection de commandes du système d'exploitation : un attaquant authentifié peu privilégié exécute des commandes avec le compte SYSTEM sur l'émulateur PDC, via le composant d'écoute des événements Active Directory. Les mêmes versions corrigent la CVE-2026-119315, déni de service par l'API GraphQL, et la CVE-2026-119316, clé de liaison Secure Relay écrite dans un journal d'erreurs ; aucune exploitation n'est mentionnée.
🛡️ Barracuda corrige la CVE-2026-116606, faille critique d'authentification de l'Email Security Gateway qui permet de modifier la configuration globale de l'équipement, et la CVE-2026-111560, injection de commandes système exécutées sous root par un attaquant doté des droits d'administration ; combinées, elles contournent les contrôles d'autorisation et donnent un accès root, à condition d'atteindre l'interface d'administration. La CVE-2026-111560 touche aussi Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway. Pour l'Email Security Gateway, les correctifs sont BNSF-40425 pour les versions 9.4.017 et ultérieures, et BNSF-40430 pour les versions antérieures. L'éditeur recommande de restreindre l'accès aux interfaces d'administration à des réseaux internes de confiance et d'appliquer le dernier firmware.
🎣 Le ministère russe de l'Intérieur a démantelé l'infrastructure de VasyGrek, alias Fluffy Wolf, actif depuis 2016 : chef présumé assigné à résidence, deux complices présumés sous interdiction de voyager, enquête menée avec l'aide de Kaspersky. Le groupe procède par spear phishing avec pièce jointe, la technique T1566.001, avec un fichier déguisé en document financier, puis prend la main à distance avec des outils d'administration achetés sur le dark web ; en septembre 2025, une entreprise s'est fait virer plus de 660 000 roubles depuis sa banque en ligne. Kaspersky a détecté plus de 100 tentatives d'attaque entre janvier et septembre 2026 en Russie, en Biélorussie et au Kazakhstan, surtout contre la métallurgie, le commerce de gros industriel et les administrations. Les suspects encourent jusqu'à 10 ans de prison pour vol et 5 ans pour création ou diffusion de malware.
🐛 Le groupe Leakers$ revendique la diffusion d'images pornographiques sur des panneaux publicitaires numériques en Égypte le 29 octobre, en Malaisie et au Brésil, par l'accès au logiciel qui transmet les contenus aux écrans à LED et non aux écrans eux-mêmes ; ses revendications en Irak et en Chine sont moins corroborées. Un représentant affirme à The Cairo Report avoir trouvé des milliers de systèmes exposés en deux heures environ de balayage automatisé, tandis que les autorités égyptiennes évoquent la compromission du site web de l'exploitant. Aucun logiciel ni éditeur n'est nommé. Malwarebytes reprend les consignes de l'OAAA : pas de mots de passe par défaut ni réutilisés, accès restreint aux services de gestion, authentification multifacteur et VPN pour les connexions à distance.
🗂️ Le hacker Department of Peace a publié les données de plus de 40 000 employés du DHS américain, dont environ 21 000 de la CBP, 10 000 de l'ICE et de HSI et près de 1 000 de la CISA : noms, fonctions, coordonnées professionnelles, données de connexion et appartenance aux groupes Active Directory. Il affirme les avoir tirées du système d'authentification unique Okta du ministère ; les horodatages situent l'exfiltration vers la mi-août, et les données ont été transmises à maia arson crimew puis partagées avec DDoSecrets. TechCrunch en a authentifié une partie ; le DHS a connaissance d'une possible fuite, et Okta dit n'avoir aucune preuve d'une compromission de ses systèmes. Les groupes Active Directory renvoient notamment à Penlink, à Mobile Fortify et aux enquêtes sur Salt Typhoon et Volt Typhoon.
🎙️ Emacs a 50 ans : l'EMACS d'origine, Editing MACroS running on TECO, a été écrit en 1976 au laboratoire d'intelligence artificielle du MIT par Richard Stallman, d'abord avec Guy Steele. GNU Emacs, lancé en 1984, a été le premier programme distribué par le projet GNU, et XEmacs en est un fork de 1991. Depuis la version 30 de février 2025, GNU Emacs compile par défaut le code Emacs Lisp, exécuté de 2 à 40 fois plus vite qu'en mode interprété selon Wikipédia. Sur LinuxFr, small_duck attribue le regain d'Emacs au Language Server Protocol et cite des modes d'intégration d'agents comme agent-shell.
Sources :
mSecure Warns Users to Change Passwords, Reset 2FA and Passkeys After Suspicious Activity. The Hacker News : https://thehackernews.com/2026/11/msecure-warns-users-to-change-passwords.html
Multiples vulnérabilités dans Redmine. CERT-FR : https://www.cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1434/
Redmine Security Advisories. Redmine : https://www.redmine.org/projects/redmine/wiki/security_advisories
Multiples vulnérabilités dans Tenable Identity Exposure. CERT-FR : https://www.cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1436/
[R1] Tenable Identity Exposure Versions 3.93.6 and 3.77.18 Fix Multiple Vulnerabilities. Tenable : https://www.tenable.com/security/tns-2026-34
Barracuda warns of critical flaws allowing root access to devices. BleepingComputer : https://www.bleepingcomputer.com/news/security/barracuda-warns-of-critical-flaws-allowing-root-access-to-devices/
Russia dismantles infrastructure of VasyGrek cybercrime group, detains three suspects. The Record : https://therecord.media/russia-dismantles-vasygrek-infrastructure-detains-three
Hackers put porn on public billboards and claim it was "far too easy". Malwarebytes : https://www.malwarebytes.com/blog/bugs/2026/11/hackers-put-porn-on-public-billboards-and-claim-it-was-far-too-easy
Hacker stole personnel data about thousands of Homeland Security employees, including CBP and ICE agents. TechCrunch : https://techcrunch.com/2026/10/28/hacker-stole-personnel-data-about-thousands-of-homeland-security-employees-including-cbp-and-ice-agents/
EMACS Turns 50. Slashdot : https://news.slashdot.org/story/26/10/28/1541214/emacs-turns-50
Emacs a 50 ans. LinuxFr.org : https://linuxfr.org/news/emacs-a-50-ans
Emacs. Wikipédia : https://fr.wikipedia.org/wiki/Emacs#Autres
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #mSecure #PasswordManager #Passkeys #CERTFR #Redmine #OAuth #Tenable #IdentityExposure #ActiveDirectory #Barracuda #EmailSecurityGateway #VasyGrek #FluffyWolf #Kaspersky #SpearPhishing #DigitalSignage #Leakers #DHS #Okta #DataLeak #DDoSecrets #Emacs #GNU #CVE-2026-119314 #CVE-2026-119315 #CVE-2026-119316 #CVE-2026-116606 #CVE-2026-111560 #RadioCSIRT

🎙️ Le NIST publie le CSWP 50, Small Business Cybersecurity: Non-Employer Firms, signé par Daniel Eliot, Jeffrey A. Marron et Savann Thorn, qui remplace le NISTIR 7621 révision 1 de 2016. Le guide adapte le CSF 2.0 aux entreprises sans salarié, plus de 28 millions aux États-Unis, avec pour chaque action la justification, les premiers pas et les évolutions à prévoir quand l'entreprise grandit ; les annexes D à J, dont trois cas fictifs, sont publiées dans un classeur séparé. Parmi les premières mesures : MFA résistante au phishing, phrases de passe d'au moins 15 caractères, sauvegardes testées, changement des mots de passe par défaut et logiciels à jour. Une note précise qu'un décret présidentiel du 29 septembre 2026 impose aux agences fédérales « super intelligence » à la place d'« intelligence artificielle ».
🐧 CVE-2026-98432, use after free dans le noyau Linux 4.4 et suivants : lors de l'établissement d'une connexion TCP en IPv4, la nouvelle socket reprend sans les copier les options IP de la demande, qui peuvent être libérées pendant qu'un autre processeur construit un SYNACK ; score CVSS de 9,8 selon l'équipe CVE du noyau, 5,9 chez Red Hat. Anthropic indique qu'un modèle Claude de recherche non publié a obtenu le root à distance sur un serveur doté d'un listener MPTCP, sans publier l'exploit ni la configuration ; CloudLinux n'a pas reproduit le résultat, aucune exploitation n'était signalée au 29 octobre. Correctif amont dans les noyaux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3 ; noyaux Amazon Linux 2 et 2023 disponibles, AMI EKS et ECS 20261031, Ubuntu 16.04 à 20.04 sans correctif et RHEL 8 à 10 sans noyau corrigé à la date de l'article. En attendant le redémarrage sur un noyau corrigé, AWS propose de désactiver MPTCP (net.mptcp.enabled=0, GODEBUG=multipathtcp=0 pour Go 1.24 et suivants) et de rejeter les paquets IPv4 porteurs d'options IP.
🪟 FortiGuard Labs attribue avec un haut niveau de confiance au groupe BITTER une campagne contre des organisations d'Asie du Sud, en trois chaînes : raccourci LNK qui détourne ftp.exe pour exécuter un script et créer des tâches planifiées (T1053.005), image VHDX avec leurre Excel et installeur MSI, raccourci URL qui récupère un LNK par WebDAV puis un MSI lancé par msiexec (T1218.007). PapRAT, écrit en C++ puis en Rust, se présente comme bruzsvc.exe de Microsoft, masque sa configuration par XOR ou par ROT-3 inversé et accepte huit commandes, onze dans la version Rust qui ajoute PowerShell, la mise en sommeil et l'arrêt. Dans la troisième chaîne, PapRAT a livré WmRAT sous le nom vnces.exe. Fortinet publie les IOC et les signatures LNK/Agent.BC!tr, LNK/Agent.F!tr, W64/PapRAT.A!tr et W32/WmRAT.A!tr.
💾 Synology alerte depuis le jeudi 29 octobre sur l'exploitation, contre des NAS sous DSM non à jour, d'une faille corrigée en décembre 2024 qu'il ne nomme pas ; son avis renvoie au bulletin de novembre 2024 qui couvre la CVE-2024-10441 (exécution de code), la CVE-2024-50629 (lecture de fichiers) et la CVE-2024-10445 (écriture de fichiers). Versions corrigées : DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 et 6.2.4-25556-8 ou ultérieures. Le ransomware C3RB3R chiffre les fichiers (T1486), ajoute l'extension .L0CK3D et dépose la note read-me3.txt ; Shadowserver recense plus de 380 000 NAS Synology exposés à Internet. Synology recommande d'activer les mises à jour automatiques, BleepingComputer de bloquer l'accès Internet à l'interface d'administration.
📱 Le Threat Intelligence Group de Google attribue avec un haut niveau de confiance à Videostrong Technology Co. le botnet XCPE, plus de 1,3 million de boîtiers Android TV dont le firmware embarque les backdoors x.cpe et com.oemservice, exécutées avec les privilèges système, pilotées par un broker MQTT et revendues à des affiliés pour des proxies résidentiels, de la fraude publicitaire et d'autres backdoors (Moyu, Spirit, Bird). Le démantèlement, mené avec l'Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI, coupe aussi l'accès à au moins 10 millions d'autres appareils infectés par une douzaine de familles liées. Google révoque la licence Android TV de Videostrong et lui interdit de produire des appareils certifiés ou de fournir du logiciel à des fabricants certifiés. Le malware n'est pas retiré des appareils et se réinstalle depuis la partition /oem/ : seul un firmware propre l'élimine.
📡 Johannes Ullrich (SANS Internet Storm Center) décrit le multipath TCP, défini par la RFC 8684 et signalé par l'option TCP 30, en versions 0 et 1, qu'il observe surtout entre iOS et le réseau 17.0.0.0/8 d'Apple. Détection : filtre mptcp dans Wireshark, mot-clé tcp.hdr dans Suricata sur les octets 1e 14 00 ou 1e 14 01 de l'option MP_CAPABLE, événement tcp_option dans Zeek, heuristique de longueur d'en-tête tcp[12]>0xd0 dans tcpdump. Snort ne dispose d'aucun mot-clé pour inspecter les options TCP.
🔓 Ivanti a mis à jour le 29 octobre son avis sur Connect Secure : la CVE-2026-111357, absence d'authentification sur une fonction critique, avec un score CVSS de 8,8, donne le root, et la CVE-2026-118527, identifiant prévisible, avec un score CVSS de 4,3, permet de déposer un fichier à un emplacement connu ; avec la CVE-2026-104935, elles forment la chaîne exploitée depuis le 3 octobre par UTA0576 selon Volexity. Les versions corrigées sont 25.1.1.3 et 22.8R2.6. La CISA a inscrit les deux failles au catalogue KEV le 30 octobre, avec des échéances fédérales au 2 et au 13 novembre au titre de la directive BOD 22-01. Selon GBHackers, l'attaquant a visé les mots de passe LAPS et les clés BitLocker sans web shell, par exploitation pour l'élévation de privilèges (T1068), et un contrôle d'intégrité propre n'exclut pas une compromission.
Sources :
Self-Employed? Solopreneur? NIST Has a Cybersecurity Guide Just for You. NIST : https://www.nist.gov/news-events/news/2026/11/self-employed-solopreneur-nist-has-cybersecurity-guide-just-you
Small Business Cybersecurity: Non-Employer Firms, NIST CSWP 50. NIST : https://doi.org/10.6028/NIST.CSWP.50
Critical Linux kernel TCP vulnerability can allow remote code execution (CVE-2026-98432). Aikido : https://www.aikido.dev/blog/linux-kernel-tcp-rce-vulnerability-cve-2026-98432
BITTER Expands Its Arsenal with PapRAT. Fortinet FortiGuard Labs : https://www.fortinet.com/blog/threat-research/bitter-expands-its-arsenal-with-paprat
Synology warns of C3RB3R ransomware attacks targeting NAS devices. BleepingComputer : https://www.bleepingcomputer.com/news/security/synology-warns-customers-of-ongoing-c3rb3r-ransomware-attacks/
Google disrupts million-device XCPE Android malware botnet, bans TV box maker. BleepingComputer : https://www.bleepingcomputer.com/news/security/google-disrupts-million-device-xcpe-android-malware-botnet-bans-tv-box-maker/
Mutipath TCP: Use and Detection. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33482
Hackers Exploit Ivanti Connect Secure Zero-Day Vulnerabilities to Gain Root Access and Steal Credentials. GBHackers : https://gbhackers.com/hackers-exploit-ivanti-connect-secure-zero-day-vulnerabilities/
U.S. CISA adds Ivanti Connect Secure flaws to its Known Exploited Vulnerabilities catalog. Security Affairs : https://securityaffairs.com/202175/security/u-s-cisa-adds-ivanti-connect-secure-flaws-to-its-known-exploited-vulnerabilities-catalog.html
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #NIST #CSF #SmallBusiness #Linux #Kernel #MPTCP #Aikido #Anthropic #Fortinet #FortiGuard #BITTER #PapRAT #WmRAT #APT #Synology #NAS #DSM #Ransomware #C3RB3R #Google #Android #AndroidTV #Botnet #XCPE #Videostrong #SANS #ISC #Ivanti #ConnectSecure #Volexity #CISA #KEV #CVE-2026-98432 #CVE-2024-10441 #CVE-2024-50629 #CVE-2024-10445 #CVE-2026-111357 #CVE-2026-118527 #RadioCSIRT

👥 Cas étudié : 1 000 postes, 500 serveurs (250 sur site, 250 dans Azure, AWS et GCP), filiales dans plusieurs pays, un RSSI et un alternant, pas de SOC interne. Trois rôles : responsable du VOC, analyste vulnérabilités, ingénieur outillage et automatisation. Priorisation par catalogue KEV, score EPSS version 4, exposition sur Internet et criticité métier.
🏛️ Place du VOC : il prescrit et pilote, les équipes d'exploitation corrigent. Rattachement au RSSI, mandat donné par une charte signée par la direction générale avec un engagement de capacité de la DSI, propriétaire nommé pour chaque actif, criticité fixée par les métiers, correspondant par filiale, délais de correction inscrits dans les contrats des prestataires.

🪟 Mise en situation sur le Patch Tuesday d'octobre 2026 (vulnérabilités rapportées par Security Affairs, entreprise fictive) : CVE-2026-96951, contournement de Mark of the Web dans le Shell de Windows, exploitée activement, CVSS 8,8 ; 59 vulnérabilités potentiellement wormable, notamment dans DHCP, DNS et Remote Desktop Gateway ; CVE-2026-102866, SharePoint, exploitable sans authentification, CVSS 8,1 ; CVE-2026-65674, exécution de code à distance dans SQL Server, CVSS 8,8.

💶 Budget : environ 285 000 euros de masse salariale chargée par an. Licences selon l'existant : environ 24 000 dollars par an pour le module premium de gestion des vulnérabilités Defender sur 1 000 utilisateurs, environ 90 000 dollars pour Defender for Servers Plan 2 sur 500 serveurs, ou 25 000 à 50 000 dollars pour Qualys sur 1 500 actifs selon des estimations tierces. La hausse de la capacité de correction relève du budget de la DSI.

📅 À six mois : charte signée, inventaire consolidé avec taux de couverture, surface exposée identifiée, veille et premier tableau de bord. À un an : délai de correction des vulnérabilités exploitées suivi contre le repère de 43 jours, correspondant actif par filiale, dérogations datées, procédure de divulgation coordonnée (RFC 9116). Cadre : règlement d'exécution (UE) 2024/2690 pour NIS2, règlement délégué (UE) 2024/1774 pour DORA ; examen du projet de loi français de transposition de NIS2 de nouveau retiré de l'ordre du jour le 6 octobre 2026.
📈 Selon Security Affairs, le Patch Tuesday de Microsoft du 13 octobre 2026 corrige plus de 1 400 CVE, contre 164 en avril 2026 selon Infosecurity Magazine. SOCRadar compte 74 645 CVE publiées entre janvier et mi-octobre 2026, contre 48 163 sur toute l'année 2025. Selon le premier bilan de Project Glasswing publié par Anthropic le 22 mai 2026, environ 530 vulnérabilités open source élevées ou critiques avaient été signalées aux mainteneurs, dont 75 corrigées à cette date.

🧱 HackerOne suspend l'Internet Bug Bounty le 27 mars 2026 en invoquant l'écart entre découvertes et capacité de correction. Mandiant (M-Trends 2026) estime le délai moyen d'exploitation à moins sept jours, et VulnCheck relève que près de 29 % des vulnérabilités exploitées en 2025 l'étaient au plus tard le jour de la publication de leur CVE. Verizon (DBIR 2026) : exploitation de vulnérabilités premier vecteur d'accès initial à 31 %, 26 % des vulnérabilités KEV entièrement corrigées, délai médian de correction passé de 32 à 43 jours.

Sources :

Microsoft Patch Tuesday Sets New Record with 1,415 CVEs in October 2026 Updates. Security Affairs : https://securityaffairs.com/?p=200953
Microsoft Shatters Patch Tuesday Record With 974 CVE Fixes in September 2026. Infosecurity Magazine : https://infosecurity-magazine.com/news/microsoft-patch-tuesday-record
CVE Radar, CVE trends. SOCRadar : https://socradar.io/free-tools/cve-radar/trends
Microsoft expects more Windows security updates from AI-discovered flaws. BleepingComputer : https://www.bleepingcomputer.com/news/microsoft/microsoft-expects-more-windows-security-updates-from-AI-discovered-flaws/
Project Glasswing: An initial update. Anthropic : https://www.anthropic.com/research/glasswing-initial-update
Project Glasswing. Anthropic : https://www.anthropic.com/glasswing
AI-Led Remediation Crisis Prompts HackerOne to Pause Bug Bounties. Dark Reading : https://darkreading.com/application-security/ai-led-remediation-crisis-prompts-hackerone-pause-bug-bounties
M-Trends 2026: Data, Insights, and Strategies From the Frontlines. Google Cloud, Mandiant : https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026
State of Exploitation 2026. VulnCheck : https://www.vulncheck.com/blog/state-of-exploitation-2026
Verizon DBIR: Vulnerability exploitation is the dominant initial access vector. Help Net Security : https://www.helpnetsecurity.com/2026/05/20/verizon-2026-dbir-findings/
Disrupting the first reported AI-orchestrated cyber espionage campaign. Anthropic : https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf
Le préavis Syntec : règles et délais. Alan : https://alan.com/fr-fr/ressources/guides-pratiques/a/preavis-syntec
Network Reporting. The Shadowserver Foundation : https://www.shadowserver.org
CISA extends CVE program contract with MITRE. The Record : https://therecord.media/cisa-extends-cve-program-contract-with-mitre
Le financement du programme CVE finalement pérennisé. Le Monde Informatique : https://www.lemondeinformatique.fr/actualites/lireamp-le-financement-du-programme-cve-finalement-perennise-99593.html
As US vuln-tracking falters, EU enters with its own security bug database. The Register : https://theregister.com/2025/05/13/eu_security_bug_database
1H 2025 State of Exploitation Report. VulnCheck : https://wwv.vulncheck.com/1h2025-state-of-exploitation
Introducing EPSS v4. Empirical Security : https://research.empiricalsecurity.com/research/introducing-epss-version-4
CISA KEV catalog: a working sysadmin's guide to actually using it. DEV Community : https://dev.to/adam_lewandowski_59674796/cisa-kev-catalog-a-working-sysadmins-guide-to-actually-using-it-2o15
Des salaires toujours élevés pour les profils IT qualifiés en 2026. Le Monde Informatique : https://www.lemondeinformatique.fr/actualites/lire-des-salaires-toujours-eleves-pour-les-profils-it-qualifies-en-2026-97818.html
Salaire cybersécurité 2026. Licorne Society : https://www.licornesociety.com/blog/salaire-cybersecurite
Charges patronales 2026 : taux, calcul et coût réel. Swapn : https://www.swapn.fr/blog/charges-patronales
Microsoft Defender Vulnerability Management: Core vs the Add-on, and What Each Costs. O365HQ : https://o365hq.com/blog/microsoft-defender-vulnerability-management-core-vs-add-on-what-you-get-and-what-it-costs
Do Defender for Endpoint license pricing differ whether the endpoint is a server or a client machine? Microsoft Learn : https://learn.microsoft.com/en-us/answers/questions/1923421/do-defender-for-endpoint-license-pricing-differ-wh
Best Vulnerability Management Software 2026. CheckThat.ai : https://checkthat.ai/answers/what-is-the-best-vulnerability-management-software
OpenVAS Scanner. Greenbone : https://github.com/greenbone/openvas-scanner
Vulnerability-Lookup. CIRCL : https://github.com/vulnerability-lookup/vulnerability-lookup
IBM: one in four data breaches is enabled by AI. Silicon Saxony : https://silicon-saxony.de/en/ibm-one-in-four-data-breaches-is-enabled-by-ai-data-breaches-cost-german-companies-an-average-of-4-25-million-euros/
RFC 9116, A File Format to Aid in Security Vulnerability Disclosure. IETF : https://www.rfc-editor.org/rfc/rfc9116
Gestion des vulnérabilités NIS 2 au titre de l'article 21(2)(e). nisd2.eu : https://nisd2.eu/fr/wiki/implementation/nis2-vulnerability-management
Réglementation NIS2 : ce qu'il faut savoir pour être en règle. Docusign : https://www.docusign.com/fr-fr/blog/reglementation-nis2-ce-quil-faut-savoir-pour-etre-en-regle
Article 10, Vulnerability and patch management, règlement délégué 2024/1774. Advisera : https://advisera.com/cdr-2024-1774/vulnerability-and-patch-management/
La CSNP appelle à l'examen du projet de loi Résilience dans les plus brefs délais. CSNP : https://next.ink/wp-content/uploads/2026/03/1773843284755.pdf
NIS 2 : l'Assemblée nationale reporte de nouveau l'examen du projet de loi Résilience, sans nouvelle date. Leto : https://www.leto.legal/news/assemblee-nationale-report-projet-loi-resilience-nis2-octobre-2026

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #VulnerabilityManagement #PatchTuesday #Microsoft #ProjectGlasswing #Mythos #KEV #EPSS #SBOM #NIS2 #DORA #RSSI #DSI #CVE-2026-96951 #CVE-2026-102866 #CVE-2026-65674 #RadioCSIRT