RadioCSIRT

🛡️ PAN-OS : CVE-2026-0322, CVSS 4.0 de 8,6, CWE-94, injection de code dans l'interface d'administration, qui donne l'exécution de code sous root à un attaquant authentifié avec des privilèges élevés et un accès réseau ; exploitation très limitée selon Palo Alto Networks, découverte interne, ajout au catalogue KEV le 14 octobre avec échéance fédérale au 17 octobre. PA-Series, VM-Series et Panorama concernés, Cloud NGFW et Prisma Access hors périmètre, aucun contournement, couverture partielle par les Threat ID 510046 et 510047 sous réserve de déchiffrer le trafic d'administration. Versions corrigées : 12.2.4, 12.1.4-h12, 12.1.7-h8, 12.1.10-h2, 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16 (annoncée pour le 15 octobre), 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3, 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 et 10.2.18-h12. L'éditeur recommande de réserver l'interface d'administration à des adresses internes de confiance ou à un poste de rebond.
📧 Cisco Secure Email Gateway : CVE-2026-76519, CVSS de 9,8, CWE-23, traversée de répertoire relative dans la protection AMP, qui permet, sans authentification et par un message porteur d'une pièce jointe forgée, d'écrire des fichiers arbitraires et d'exécuter des commandes sous root (T1190) ; exploitation constatée par Cisco en octobre 2026, ajout au catalogue KEV le 14 octobre. Conditions : service File Reputation actif dans une politique de messagerie et Content Scanner Tools antérieur à 25.3.0.5525 ; Secure Email and Web Manager et Secure Web Appliance non concernés, clés SSH du cluster exposées en cas de compromission. Correctifs : AsyncOS 15.5.5-014 et 16.5.0-780, migration pour la branche 16.0, ou Content Scanner Tools 25.3.0.5525 et suivants sur toute version supportée, sans redémarrage ; aucun contournement. Cisco recommande de rechercher les messages System Security dans system_logs sur chaque membre du cluster et, pour une appliance virtuelle compromise, de conserver les éléments forensiques, de redéployer une machine propre sans réimporter la configuration et de renouveler identifiants et clés.
💾 AhsayCBS : CVE-2026-105133, contournement d'authentification de gravité moyenne, et CVE-2026-105134, injection de commande critique dans le composant Replication Receiver, enchaînées pour une exécution de code à distance sous SYSTEM sans authentification (T1190) ; exploitation observée par Huntress depuis le 7 octobre, cinq organisations ciblées au 8 octobre, ajout au catalogue KEV le 14 octobre. Post-exploitation : web shell JSP (T1505.003), mineur XMRig déguisé en processus Edge et maintenu par un service sous SYSTEM (T1496.001), script PowerShell qui suspend le minage à l'ouverture du Gestionnaire des tâches, chargement du pilote vulnérable WinRing0. Versions touchées jusqu'à 10.3.4 incluse ; correctifs d'urgence 10.3.4.45 pour la branche 10 et 9.15.2.70 pour les branches 7 à 9, publiés le 12 octobre. Huntress recommande de restreindre l'accès web à la console aux adresses de confiance ou au VPN, de réinstaller tout hôte compromis depuis une sauvegarde de confiance, et publie quatre règles Sigma.
🔓 Ivanti Connect Secure : CVE-2026-104935, CVSS de 8,6 selon Ivanti, contournement d'authentification et exécution de code à distance enchaînés par UTA0576 depuis le 3 octobre sur une passerelle à jour en 22.8R2.4, avec une troisième faille d'élévation de privilèges vers root encore sans correctif ; ajout au catalogue KEV le 13 octobre, avec la CVE-2026-96951 de Windows, traitée dans l'épisode 779. Chaîne décrite par Volexity : requête vers la page de connexion publique avec un en-tête qui désigne un script protégé, dépôt d'un script Perl déguisé en ZIP puis race condition entre son exécution et sa suppression, détournement en mémoire d'une tâche de maintenance exécutée sous root, effacement sélectif des journaux de débogage et d'audit (T1070), chaîne rejouée à chaque commande sans web shell, invisible pour l'Integrity Checker Tool. Post-exploitation : vol des identifiants LDAP de la passerelle, recherche des mots de passe LAPS et des clés BitLocker, outil Kerberos de test d'identifiants, password spray (T1110.003) et capture du trafic LDAP. Versions corrigées : 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1 ; Volexity recommande de surveiller les écarts entre l'adresse demandée et l'en-tête de routage, et de mener une analyse forensique de la mémoire et du réseau en cas de doute.
📡 Proxyjacking : GreyNoise relève au moins 143 équipements compromis dans 34 pays, sur lesquels l'opérateur installe sans consentement l'application de partage de bande passante Pawns.app, pour revendre leur connexion à travers un réseau de proxys résidentiels (T1496). Failles exploitées (T1190) : CVE-2024-3272 et CVE-2024-3273 sur les NAS D-Link ShareCenter, CVE-2021-44228 sur Ubiquiti UniFi Video NVR, CVE-2025-31324 sur SAP NetWeaver Visual Composer ; ciblage aussi observé sur des enregistreurs Hikvision et Dahua, sans failles précisées. Accès de secours par authentification SSH à clé dans certains cas. GreyNoise propose un service gratuit, sur compte, pour vérifier si une adresse IP appartient à un service de proxy connu.
🧩 Backuply : CVE-2026-93953, CVSS de 8,0, injection SQL de second ordre dans l'extension WordPress de sauvegarde, active sur plus de 600 000 sites, toutes versions jusqu'à 1.5.8, exploitable depuis un compte d'abonné par le champ Biographical Info et déclenchée quand un administrateur restaure une sauvegarde créée après le dépôt du payload. La requête injectée passe default_role à administrator et users_can_register à 1, puis l'attaquant crée un compte administrateur par le formulaire d'inscription. Corrigée en 1.5.9 le 1er octobre ; règle de pare-feu Wordfence depuis le 24 septembre pour les offres payantes, le 24 octobre pour la version gratuite. Faille signalée par le chercheur daroo par le bug bounty de Wordfence, récompensée de 1 352 dollars.
Sources :
CISA Adds Four Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/14/cisa-adds-four-known-exploited-vulnerabilities-catalog
CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface. Palo Alto Networks : https://security.paloaltonetworks.com/CVE-2026-0322
Cisco Secure Email Gateway Arbitrary File Write Vulnerability. Cisco : https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp
Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer. Huntress : https://www.huntress.com/blog/ahsaycbs-flaws-exploit
CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products. Help Net Security : https://www.helpnetsecurity.com/2026/10/15/cve-2026-0322-cve-2026-76519-cve-2026-105133-cve-2026-105134-exploted/
CISA Adds Two Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-adds-two-known-exploited-vulnerabilities-catalog
A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days. Volexity : https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935). Rapid7 : https://www.rapid7.com/blog/post/etr-ivanti-connect-secure-zero-day-exploited-in-the-wild-cve-2026-104935/
Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN. SecurityWeek : https://www.securityweek.com/ivanti-zero-day-chain-gave-attackers-root-access-to-fully-patched-vpn/
Windows Shell Security Feature Bypass Vulnerability, CVE-2026-96951. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
Hackers hijack D-Link, Ubiquiti devices to resell your stolen bandwidth. BleepingComputer : https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/
600,000 WordPress Sites Affected by SQL Injection Vulnerability in Backuply WordPress Plugin. Wordfence : https://www.wordfence.com/blog/2026/10/600000-wordpress-sites-affected-by-sql-injection-vulnerability-in-backuply-wordpress-plugin/
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #PaloAltoNetworks #PANOS #Firewall #Cisco #SecureEmailGateway #AsyncOS #Ahsay #AhsayCBS #Huntress #XMRig #Ivanti #ConnectSecure #Volexity #UTA0576 #ZeroDay #KEV #MITREATTACK #GreyNoise #Proxyjacking #PawnsApp #DLink #Ubiquiti #SAP #WordPress #Backuply #Wordfence #SQLInjection #CVE-2026-0322 #CVE-2026-76519 #CVE-2026-105133 #CVE-2026-105134 #CVE-2026-104935 #CVE-2026-96951 #CVE-2024-3272 #CVE-2024-3273 #CVE-2021-44228 #CVE-2025-31324 #CVE-2026-93953 #RadioCSIRT

📈 Le 13 octobre 2026, Microsoft publie 1409 CVE dans l'export par produit du Security Update Guide : 672 élévations de privilèges, 315 exécutions de code à distance, 251 divulgations d'informations, 72 dénis de service, 40 contournements de fonction de sécurité, 29 altérations et 27 usurpations. Windows en porte 1114, soit 79 %. Une faille est exploitée, la CVE-2026-96951, et deux sont divulguées publiquement, la CVE-2026-108398 et la CVE-2026-92707. Gravité critique : 79 failles dans les fiches de l'éditeur, 70 dans l'export par produit, où neuf failles d'Office figurent en gravité importante ; l'éditeur recense 1421 entrées publiées le même jour dans son guide en ligne.
🐛 CVE-2026-96951, contournement de fonction de sécurité dans le shell de Windows, CVSS 8,8, CWE-77, injection de commande : exploitée selon Microsoft, avec un exploit fonctionnel selon le vecteur CVSS, elle contourne le Mark of the Web par un fichier envoyé par email ou par messagerie instantanée, technique T1553.005. Gravité importante, aucun contournement publié. Correctifs : KB5126836 (Windows Server 2012 R2), KB5126868 (Windows 10 1607 et Server 2016), KB5126651 (Windows 10 1809 et Server 2019), KB5126657 (Windows 10 21H2 et 22H2), KB5126655 (Server 2022), KB5126653 (Windows 11 23H2), KB5127648 (Windows 11 24H2, 25H2 et 26H2), KB5127646 (Windows 11 26H1) et KB5126646 (Server 2025). Outlook.com figure aussi parmi les produits concernés.
🪟 Hyper-V : CVE-2026-102214, CVSS 8,8, CWE-416, use after free, évasion d'un invité peu privilégié vers l'hôte, technique T1611, et CVE-2026-105733, CWE-1419, en virtualisation imbriquée. Autres failles critiques : CVE-2026-108471 (enclave VBS, CWE-822, exécution de code dans l'enclave), CVE-2026-108130, CVE-2026-102211, CVE-2026-96914 et CVE-2026-88074 (enclaves VBS), CVE-2026-96913 (noyau, privilèges SYSTEM, technique T1068), CVE-2026-88073 (noyau graphique), CVE-2026-83917 (ALPC) et CVE-2026-108399 (Hyper-V). Aucune exploitation, exploitation jugée moins probable, correctif dans les mises à jour cumulatives d'octobre.
🖼️ Composant PDF de Windows : CVE-2026-108457, CVSS 8,1, CWE-787, écriture hors limites, exécution de code sans interaction par une pièce jointe traitée automatiquement. Autres failles critiques : CVE-2026-97814 et CVE-2026-102225 (mise en forme du texte), CVE-2026-83934 (GDI+), CVE-2026-100215 (composant graphique), CVE-2026-96952 (Media Foundation), CVE-2026-100220 (décodeur vidéo), CVE-2026-21413, CVE-2026-96202 et CVE-2026-96943 (Raw Image Extension, versions 2.4.36.0 et 2.5.35.0), CVE-2026-108400 (extensions HEVC, versions 2.4.85.0, 2.4.86.0 et 2.4.87.0). Pour la CVE-2026-21413, CVSS 9,8, dont l'identifiant vient de Cisco Talos, la génération de la miniature d'une image RAW piégée suffit.
🖥️ Active Directory Domain Services : CVE-2026-70229, CVSS 8,1, CWE-863, autorisation incorrecte, exécution de code à distance sans authentification, exploitation jugée plus probable. Autres failles critiques : CVE-2026-96934 (serveur DHCP, CVSS 9,8), CVE-2026-88117, CVE-2026-88119, CVE-2026-88120 et CVE-2026-88171 (serveur DHCP), CVE-2026-70250 (client DHCP), CVE-2026-100202 (MSMQ, CVSS 9,8) et CVE-2026-108460 (MSMQ), CVE-2026-105016 et CVE-2026-100219 (QUIC, CVSS 9,8), CVE-2026-70187 (passerelle RDS), CVE-2026-88174 (WDS), CVE-2026-69802 (NDES), CVE-2026-108131 et CVE-2026-96222 (AD FS), CVE-2026-70153, CVE-2026-70147 et CVE-2026-108467 (pilote d'impression PostScript), CVE-2026-69789 (RMCAST). Windows Server 2012 (KB5126835) et Windows Server 2012 R2 (KB5126836) atteignent le terme de leur troisième année d'ESU le 14 octobre 2026.
📄 Office : 138 failles, dont 100 exécutions de code à distance et 25 critiques dans l'export par produit. Failles déclenchées dans le volet de lecture ou de visualisation : CVE-2026-70242 (Outlook, CVSS 9,8, CWE-122, débordement de tampon dans le tas, technique T1203), CVE-2026-97749, CVE-2026-97016, CVE-2026-88156 et CVE-2026-70291 (Outlook, CVSS 9,8), CVE-2026-70300 (Word, document WordPerfect, CVSS 9,8) et CVE-2026-88178 (PowerPoint, CVSS 9,8). Versions corrigées : Office LTSC 2021 en 16.0.14334.20974, Office LTSC 2024 en 16.0.17932.21056 ; pour plusieurs failles, les correctifs d'Office LTSC pour Mac 2021 et 2024 ne sont pas encore disponibles.
📧 Exchange Server : CVE-2026-70571, CVSS 8,1, CWE-121, débordement de tampon dans la pile, exécution de code par un email piégé sans authentification, technique T1190, exploitation jugée plus probable. Autres failles : CVE-2026-70279 (CVSS 9,3, CWE-79, lien piégé, exploitation jugée plus probable), CVE-2026-77910 (empoisonnement de cache, complément malveillant), CVE-2026-87692 et CVE-2026-87695 (élévation locale vers SYSTEM), CVE-2026-87696 (élévation de privilèges) et CVE-2026-96940, publiée le 2 octobre (accès aux boîtes d'autres utilisateurs, Exchange Online corrigé côté service). Mises à jour KB5128895 à KB5128898 selon la version, de Exchange 2016 CU23 à Exchange Server Subscription Edition. Skype for Business Server : CVE-2026-70297, CVE-2026-83746 et CVE-2026-85873, corrigées par KB5132779 (2015 CU13), KB5131693 (2019 CU8) et KB5131692 (Subscription Edition CU1).
📁 SharePoint Server : CVE-2026-102866, CVSS 8,1, CWE-347, vérification incorrecte d'une signature cryptographique, ouverture de session sous l'identité d'un autre utilisateur à partir d'un jeton de preuve modifié. La CVE-2026-69943, CWE-22, traversée de répertoire, concerne aussi SharePoint 2016 et 2019, listés sans article de correctif ; leur support étendu a pris fin en juillet 2026 selon les pages de cycle de vie de Microsoft. Correctifs : KB5002927 pour SharePoint Server Subscription Edition (16.0.20326.20190) et KB5002928 pour Office Online Server (16.0.10417.20228).
🗄️ SQL Server : 22 failles, dont la CVE-2026-65674, CVSS 8,8, CWE-502, désérialisation de données non fiables, exécution de code par un utilisateur authentifié. Paquets : KB5126967 (2025 CU9+GDR, 17.0.5015.4), KB5128492 (2025 RTM+GDR, 17.0.1145.4), KB5126934 (2022 CU27+GDR1, 16.0.4305.5), KB5128493 (2022 RTM+GDR, 16.0.1210.3), KB5128494 (2019 CU32+GDR, 15.0.4500.2), KB5128495 (2019 RTM+GDR, 15.0.2200.2), KB5128496 (2017 CU31+GDR, 14.0.3560.2) et KB5128497 (2017 RTM+GDR, 14.0.2140.2). Microsoft renvoie à l'article 321185 pour identifier la version installée.
💻 .NET Framework : CVE-2026-108398, CVSS 8,8, CWE-426, chemin de recherche non fiable, divulguée publiquement, contournement de WDAC par un assembly chargé dans un processus protégé, technique T1574. Autre faille divulguée : CVE-2026-92707 (MessagePack 3.1.9, déni de service, CWE-1325, gravité modérée). Postes de développeurs : CVE-2026-102235 (Visual Studio Code 1.141.1), CVE-2026-102870 (débogage Blazor WebAssembly) et CVE-2026-96251 (PowerShell 7.4.21, 7.5.12 et 7.6.7). Versions corrigées : .NET 8.0.32, 9.0.21, 10.0.14 et 11.0.0-rc.2.26504.105, Visual Studio 2022 17.14.42 et Visual Studio 2026 18.10.4.
⚙️ Configuration Manager : CVE-2026-70049, CVSS 8,0, CWE-89, injection SQL, contrôle administratif de l'environnement par un attaquant qui relaie l'identité d'un point de gestion, vecteur CVSS au niveau PoC, sans divulgation ni exploitation. La CVE-2026-88075, CWE-89, donne les privilèges SYSTEM depuis le réseau. Versions corrigées : 2503 en 5.00.9135.1040, 2509 en 5.00.9141.1039 et 2603 en 5.00.9146.1026. Autres correctifs : CVE-2026-70264 (Defender), CVE-2026-105726 (Defender for Endpoint pour Windows), CVE-2026-105725 (application Sécurité Windows), CVE-2026-100205 et CVE-2026-105729 (Process Monitor v4.04), CVE-2026-105732 (PipeList 1.03).
☁️ Linux : CVE-2026-62840, pilote réseau MANA du noyau Linux, CVSS 7,0, gravité critique, CWE-367, race condition entre vérification et utilisation, élévation de privilèges locale ; correctif accepté en amont, à appliquer selon les avis de chaque distribution. Defender for Endpoint pour Linux : CVE-2026-102204, CWE-59. Azure : CVE-2026-85922 (bibliothèques Key Vault, CWE-1390, jeton envoyé à un hôte non fiable), CVE-2026-96204 (agent Azure Arc 1.68, CWE-918, SSRF) et CVE-2026-100207 (CycleCloud 8.9.2, CWE-78). Le 8 octobre, Microsoft a publié sept failles critiques de services en ligne, dont la CVE-2026-94510 (Bookings), la CVE-2026-88131 (Dataverse) et la CVE-2026-77900 (App Service), déjà corrigées sans action des clients.
Sources :
Blog Marc Frédéric Gomez : https://blog.marcfredericgomez.fr/patch-tuesday-octobre-2026-1413-cve/ 
Security Update Guide, mises à jour de sécurité du 13 octobre 2026, export par produit. Microsoft MSRC : https://msrc.microsoft.com/update-guide
Windows Shell Security Feature Bypass Vulnerability, CVE-2026-96951. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
Windows Hyper-V Remote Code Execution Vulnerability, CVE-2026-102214. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-102214
Microsoft Windows PDF Remote Code Execution Vulnerability, CVE-2026-108457. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108457
Windows Active Directory Domain Services Remote Code Execution Vulnerability, CVE-2026-70229. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70229
Windows Server 2012 R2, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012-r2
Windows Server 2012, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012
Microsoft Office Outlook Remote Code Execution Vulnerability, CVE-2026-70242. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70242
Microsoft Exchange Server Remote Code Execution Vulnerability, CVE-2026-70571. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70571
Microsoft Office SharePoint Elevation of Privilege Vulnerability, CVE-2026-102866. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-102866
SharePoint Server 2019, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/sharepoint-server-2019
SharePoint Server 2016, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/sharepoint-server-2016
Microsoft SQL Server Remote Code Execution Vulnerability, CVE-2026-65674. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-65674
.NET Framework Security Feature Bypass Vulnerability, CVE-2026-108398. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108398
Microsoft Configuration Manager Elevation of Privilege Vulnerability, CVE-2026-70049. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70049
Linux Kernel Elevation of Privilege Vulnerability, CVE-2026-62840. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62840
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Microsoft #PatchTuesday #Windows #ZeroDay #MarkOfTheWeb #HyperV #VBS #ActiveDirectory #DHCP #MSMQ #QUIC #Office #Outlook #Word #Exchange #SharePoint #SQLServer #DotNet #WDAC #VisualStudio #PowerShell #ConfigMgr #Linux #Azure #KeyVault #MITREATTACK #CVE-2026-96951 #CVE-2026-102214 #CVE-2026-108457 #CVE-2026-70229 #CVE-2026-70242 #CVE-2026-70571 #CVE-2026-102866 #CVE-2026-65674 #CVE-2026-108398 #CVE-2026-70049 #CVE-2026-62840 #RadioCSIRT

🛡️ WatchGuard publie Fireware 12.12.3, qui corrige quinze vulnérabilités dans le système d'exploitation de ses pare-feux Firebox. Parmi les corrections figure une exécution de code à distance dans le traitement du fichier de configuration du client BOVPN Over TLS, la CVE-2026-86131. Les autres corrections couvrent une désérialisation de données non fiables dans le démon samld, deux dépassements de capacité entiers dans le démon iked lors du traitement de messages IKEv2, une initialisation de fichier arbitraire et un déni de service dans wgagent, un contournement d'authentification SAML pour le VPN mobile, et une traversée de répertoire dans le portail d'accès. Aucun score CVSS ni état d'exploitation n'est précisé pour ces quinze corrections.
🪟 Morphisec détaille VulcanRAT207.A, un cheval de Troie d'accès à distance diffusé par WhatsApp, c'est le phishing par un service tiers, la technique T1566.003. Le chargeur s'exécute entièrement en mémoire et injecte son code dans le planificateur de tâches Windows pour obtenir les droits système, l'injection de processus, la technique T1055. La persistance recourt à une tâche planifiée, USOPrivate Kit, qui relance au démarrage l'utilitaire Intel VulkanInfo pour charger une bibliothèque malveillante, le détournement de chargement, la technique T1574.002. Morphisec recommande de bloquer l'adresse du serveur de commande et de restreindre les pilotes signés vulnérables autorisés sur le parc.
🐛 Le chercheur Simon Köck révèle une exécution de code à distance sans authentification dans l'infrastructure partagée DevSite de Google, qui dessert developers.google.com, firebase.google.com, developer.android.com, source.android.com et docs.partner.android.com. Google réutilisait le secret client OAuth comme clé de signature des cookies de session Flask, ce qui permettait à un attaquant de forger un cookie accepté comme authentique. Le serveur désérialisait ensuite l'objet contenu dans ce cookie avec la bibliothèque Python pickle, capable d'exécuter du code pendant l'opération, c'est l'exploitation d'une application exposée sur Internet, la technique T1190. Google corrige la faille le 7 octobre 2026 et verse 90 000 dollars à Köck, qui avait signalé le problème le 6 août.
☁️ Des drones ukrainiens frappent pour la troisième fois en une semaine un centre de données Yandex en Russie, à Vladimir, après Riazan et Kalouga. Sur les six centres de données de l'entreprise en Russie, deux sont désormais à l'arrêt complet et un troisième endommagé, pour une capacité combinée d'environ 115 mégawatts. La coupure touche Yandex Cloud, utilisé par des milliers d'entreprises, ainsi que les services Yandex Pay, Alice et la messagerie. Yandex recommande à ses clients cloud des plans de reprise alternatifs et a modifié ses conditions générales pour exclure sa responsabilité en cas de frappes de drones.
🐧 Le projet Linux Gentoo recherche de nouveaux sponsors d'infrastructure après le retrait de plusieurs soutiens de longue date, selon une annonce publiée le 7 octobre 2026. Le projet recherche de l'hébergement de machines virtuelles à partir de deux processeurs virtuels, quatre gigaoctets de mémoire et vingt-cinq gigaoctets de stockage, des serveurs physiques complets hébergés par le sponsor ou confiés en gestion à distance, de la place en baie avec alimentation et connectivité, et des dons en numéraire. Gentoo avait quitté GitHub, propriété de Microsoft, en février pour la plateforme Codeberg, et précise privilégier les partenariats avec des organisations alignées sur ses objectifs.
Sources :
Enhancements and Resolved Issues in Fireware v12.12.3. WatchGuard Technologies : https://www.watchguard.com/support/release-notes/fireware/12/en-US/EN_ReleaseNotes_Fireware_12_12_3/
VulcanRAT207.A Malware Spreads via WhatsApp to Gain SYSTEM-Level Access. CyberPress : https://cyberpress.org/vulcanrat207a-whatsapp-malware/
Critical Google DevSite Flaw Allowed Attackers to Execute Remote Code Without Authentication. GBHackers : https://gbhackers.com/critical-google-devsite-flaw/
Ukraine strikes third Yandex data center, disrupting digital services across Russia. The Record : https://therecord.media/ukraine-strikes-third-yandex-data-center
Gentoo Is Looking for Infrastructure Sponsors. FOSS Force : https://fossforce.com/2026/10/gentoo-is-looking-for-infrastructure-sponsors/
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #WatchGuard #Fireware #Firebox #VulcanRAT #WhatsApp #Morphisec #Google #DevSite #OAuth #Pickle #MITREATTACK #Yandex #Ukraine #CloudDisruption #Gentoo #Linux #OpenSource #CVE-2026-86131 #RadioCSIRT

🎙️ Huawei fait l'objet d'une question d'auditeur, trop large pour un avis donné à la volée. Un épisode dédié est en préparation, construit à partir de sources vérifiables, de façon neutre et factuelle, loin des clichés habituels.
🛡️ Le VOC revient dans un message d'auditeur, qui réclame un épisode spécial sur le sujet. Porté par son intervention à InterVOC, MarcFred envisage une mini-série d'ici la fin de l'année.
🔬 Un format plus technique est demandé, avec les TTPs et les modes opératoires, en complément du flash court. L'idée est à l'étude : un épisode le samedi, consacré à un groupe, une attaque ou un malware.
💬 Un message de remerciement clôt les retours d'auditeurs que je partage avec l'ensemble des auditrices et auditeurs : ce podcast est fait pour eux, à 100 %.
🎬 La vidéo de RadioCSIRT, réclamée par plusieurs auditeurs lors des Assises, reste à venir. Le matériel d'enregistrement et de diffusion est prêt, la compétence sur le montage reste à acquérir, pour une diffusion en parallèle du podcast avec des éléments de reportage.
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Repondeur #Huawei #InterVOC #Podcast #RadioCSIRT

🚨 L'agence nationale de police japonaise confirme l'arrestation et l'extradition vers l'Allemagne d'un ressortissant russe de 28 ans, soupçonné d'avoir participé aux activités du ransomware Qilin, interpellé en mai dans un hôtel d'Osaka et remis à l'Allemagne en juin. Qilin opère en ransomware-as-a-service, le noyau prélevant 15 à 20 % des rançons selon CybelAngel, avec un accès initial par identifiants valides sur VPN et RDP, par exploitation d'équipements exposés, dont les CVE-2024-21762 et CVE-2024-55591 chez Fortinet, la CVE-2026-50751 chez Check Point et la CVE-2024-27198 sur TeamCity, et par compromission de comptes d'administration d'infogérants. La chaîne d'exécution combine PowerShell, stratégies de groupe, vol d'identifiants dans LSASS et dans Chrome via Mimikatz, arrêt des EDR par pilote vulnérable (BYOVD), redémarrage en mode sans échec, exécution d'ELF sous WSL, exfiltration par Rclone et WinRAR, puis suppression des clichés instantanés et des catalogues Veeam avant chiffrement par un binaire Go puis Rust visant Windows, Linux et ESXi. Deuxième groupe le plus actif en juillet avec 127 attaques signalées, Qilin a revendiqué Die Linke, Asahi et l'agence fédérale américaine ATF.
🍏 Le Museo de Historia de la Computación, en Espagne, dévoile une réplique visuelle à l'échelle 1 du Cray-1 de 1976, construite en 18 mois avec 30 Mac mini, dont 5 i7 quadricœur et 25 i5 bicœur, tous de 2012 sauf deux unités de 2014. Les 64 cœurs actifs atteignent 1,3 téraflops, contre 1,5 téraflops relevés auparavant sur 70 cœurs, mesurés par un script Python de multiplication de matrices ; le Cray-1 d'origine plafonnait à 160 mégaflops théoriques. Le cluster tourne sous macOS Mojave 10.14 pour son support natif de MPI, et se refroidit par convection passive, le châssis vertical servant de cheminée thermique, les seuls 30 à 33 décibels venant de deux commutateurs gigabit en pied de tour. Le musée prévoit une campagne de financement participatif pour 70 à 80 Mac mini M4 supplémentaires, avec l'objectif d'un classement au TOP500.
🎣 Le FBI a arrêté le 8 octobre en Pennsylvanie Edward Dubrovsky, dirigeant d'une société canadienne spécialisée dans la négociation de rançons, dans le cadre de l'enquête sur ShinyHunters ; les chefs retenus sont l'entente en vue d'extorquer de l'argent en menaçant la confidentialité d'informations et l'entrave au commerce par la menace, la plainte est scellée et le dossier a été transféré le 9 octobre au district Est du Texas. Cypfer précise que l'intéressé y a été directeur général jusqu'à sa démission en novembre 2025, et non fondateur comme l'indique son profil LinkedIn. Selon Huntress, le mode opératoire du groupe repose sur le vishing vers des pages de connexion aux couleurs de la victime, la capture en direct des codes MFA puis l'enrôlement d'un appareil attaquant, la réutilisation de jetons OAuth volés à des intégrations tierces comme Drift, Gainsight et Anodot, la recherche de jetons dans les dépôts de code avec TruffleHog, et l'export en masse via Salesforce Data Loader, SharePoint et OneDrive, avant extorsion par échantillon de preuve, négociation sur Tox et paiement en bitcoin sous 72 heures. Selon le FBI, ShinyHunters a extorqué plus de 70 millions de dollars depuis janvier ; KrebsOnSecurity indique que des poursuites contre des responsables d'autres sociétés de négociation pourraient suivre, à partir des appareils saisis lors de l'arrestation de Pepijn van der Stap aux Pays-Bas.
📡 DomainTools publie une enquête sur une vague de VPN-over-DNS rattachée circonstanciellement à l'Iran, dans laquelle le domaine supaghost[.]cc a produit 40 milliards d'observations passives, jusqu'à 500 000 par seconde, soit 50 % de charge supplémentaire sur un réseau qui en traite environ un million par seconde. Le trafic, porté par des enregistrements TXT contenant probablement plusieurs paquets binaires multiplexés et par des sous-domaines générés automatiquement, était partitionné par étiquettes de troisième niveau déléguées à des serveurs de noms distincts, de slsa1 à slsa6, eux-mêmes hébergés sur des VPS bon marché placés derrière Cloudflare. L'activité a démarré le 1er mars vers 07:00 UTC, environ 24 heures après le début d'une campagne de bombardements américano-israélienne, puis s'est étendue à plus de 100 domaines, avec une surreprésentation du TLD .ir et des enregistrements datés de septembre à novembre 2025 restés dormants ; des services de tunneling établis en Eurasie et en Asie du Sud ont aussi vu leur activité croître. Ian Campbell précise qu'il n'a ni décodé le contenu, ni identifié les opérateurs, ni confirmé la finalité, que la concomitance ne vaut pas attribution, et qualifie de spéculation l'implication du régime iranien ou un transfert de données du programme nucléaire.
🤖 CrowdStrike attribue les attaques de fin septembre à début octobre contre Shinhan Bank, KB Kookmin Bank et Hana Bank à un attaquant sinophone qui a employé la suite agentique ARTEX AI, développée en Chine, et des agents Claude pilotés par un fichier d'instructions de pentest en chinois ; un service de suivi de dossiers de prêt destiné aux courtiers et un outil mobile de travail pour salariés figurent parmi les accès obtenus. L'instance d'ARTEX utilisait DeepSeek v4.1-flash comme moteur principal, complété par GLM-5.3 de Zhipu AI et Grok 4.6, l'accès à DeepSeek passant probablement par le revendeur xcai[.]pro, sur une infrastructure à deux serveurs dont une machine à Hong Kong. Des répertoires ouverts ont livré historiques de session, fichiers de configuration et fichiers de mémoire, ainsi qu'un curriculum vitae rédigé avec les mêmes outils, qui pointe vers un Chinois de 26 ans établi à Maoming, dans le Guangdong, avec une date de naissance d'abord renseignée en 2007 ; CrowdStrike ne rattache l'activité à aucun groupe connu et retient avec une confiance modérée un opérateur sinophone à motivation financière. Le développeur d'ARTEX a fermé le code source et arrêté les mises à jour en se disant étranger aux attaques, mais des dérivés en anglais et en coréen restent disponibles.
🎙️ Jan Kopriva, du SANS Internet Storm Center, explique pourquoi les marquages du Traffic Light Protocol ne remplacent pas une classification interne : le standard du FIRST énonce lui-même que le TLP n'est pas un schéma de classification formel et qu'il ne traite ni les conditions de licence, ni les règles de manipulation, ni les règles de chiffrement. Les niveaux ne se recouvrent pas non plus, TLP:CLEAR n'imposant aucune limite, TLP:GREEN autorisant la diffusion dans la communauté du destinataire hors canaux publics, par défaut la communauté cybersécurité, TLP:AMBER le partage dans l'organisation et avec ses clients sur la base du besoin d'en connaître, TLP:AMBER+STRICT la seule organisation, et TLP:RED aucune rediffusion au-delà des destinataires individuels. Marquer selon la sensibilité plutôt que selon le destinataire conduit soit à bloquer des partages légitimes, soit à faire ignorer le marquage. Kopriva conclut que le TLP doit compléter la classification interne et non la remplacer.
Sources :
Japan confirms arrest of Russian Qilin operative, extradition to Germany. The Record : https://therecord.media/japan-germany-ransomware-arrest
Qilin Ransomware: Attack Methods and 2026 Status. CybelAngel : https://cybelangel.com/blog/qilin-ransomware-tactics-attack/
A Cray-1 supercomputer replica from 30 "obsolete" Mac Minis. Ars Technica : https://arstechnica.com/gadgets/2026/10/a-cray-1-supercomputer-replica-from-30-obsolete-mac-minis/
FBI Arrests Executive at Ransomware Negotiation Firm. KrebsOnSecurity : https://krebsonsecurity.com/2026/10/fbi-arrests-founder-of-ransomware-negotiation-firm/
ShinyHunters Threat Actor Profile: TTPs, IoCs & Attacks. Huntress : https://www.huntress.com/threat-library/threat-actors/shinyhunters
Iran-Linked DNS Tunneling Activity Generates 40 Billion Records During 2026 Conflict. Cyber Press : https://cyberpress.org/iran-linked-dns-tunneling-activity-generates-40-billion/
Iranian VPN-over-DNS Activity Generates 40 Billion DNS Observations During Military Conflict. GBHackers : https://gbhackers.com/iranian-vpn-over-dns-activity-generates-40-billion/
ARTEX AI, Claude agents used in cyberattacks on South Korean banks. BleepingComputer : https://www.bleepingcomputer.com/news/security/hacker-used-artex-ai-and-claude-agents-to-target-south-korean-banks/
AI-Driven tool ARTEX used in attacks against South Korean Banks. Security Affairs : https://securityaffairs.com/200661/hacking/ai-driven-tool-artex-used-in-attacks-against-south-korean-banks.html
Why TLP should not replace your internal information classification. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33414
Traffic Light Protocol version 2.0. FIRST : https://www.first.org/tlp/
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Qilin #Ransomware #RaaS #BYOVD #ShinyHunters #Vishing #OAuth #FBI #DNSTunneling #Iran #DomainTools #ARTEX #CrowdStrike #CoreeDuSud #TLP #FIRST #CVE-2024-21762 #CVE-2024-55591 #CVE-2026-50751 #CVE-2024-27198 #RadioCSIRT