RadioCSIRT

🛡️ Le Centre canadien pour la cybersécurité publie le bulletin AV26-755 sur Progress Software, établi sur la situation au 27 juillet 2026. Sont concernés LoadMaster, MOVEit WAF, ECS Connection Manager, Object Scale Connection Manager et l'édition Multi Tenant. L'éditeur a publié un bulletin de sécurité critique LoadMaster couvrant CVE-2026-59686, CVE-2026-59687, CVE-2026-59688, CVE-2026-59689 et CVE-2026-59690. Les correctifs convergent vers la version 7.2.63.3, avec les branches 7.2.54.19 pour LoadMaster et 7.1.35.16 pour Multi Tenant.
🐛 Le bulletin AV26-749 du Centre canadien pour la cybersécurité porte sur Apache Thrift, pour toutes les versions antérieures à 0.24.0. CVE-2026-48586 concerne l'absence de limite de taille à la décompression dans TZlibTransport, CVE-2026-49158 une bombe de décompression ZLIB dans l'implémentation Ruby de THeaderTransport. CVE-2026-55969 est un dépassement d'entier dans TProtocol::checkReadBytesAvailable() et CVE-2026-58023 une lecture hors limites dans le tas du transport c_glib. Le point commun est le traitement de données non fiables reçues sur le transport, avec un impact allant de l'épuisement de ressources à la corruption de mémoire.
☁️ Malwarebytes revient sur l'indexation par Google de conversations Claude partagées publiquement. Une requête Google identifiée par des utilisateurs de Reddit faisait remonter des échanges et des Artifacts rendus accessibles via la fonction Share d'Anthropic, avec des clés de portefeuilles de cryptomonnaies, des noms, des adresses et des notes professionnelles. Fortune indique qu'Anthropic semble avoir traité l'indexation côté Google, Wired signale que les résultats restent visibles sur Bing et que les liens déjà diffusés demeurent actifs. Anthropic rappelle que seules les conversations explicitement partagées sont concernées.
📱 Clubic rapporte le cas de Samuel Tunick, inculpé aux États-Unis après avoir déclenché la fonction de mot de passe de contrainte de GrapheneOS lors d'un contrôle douanier à l'aéroport d'Atlanta le 24 janvier 2025. Le ministère de la Justice retient l'article 2232(a) du code pénal américain, destruction de biens destinée à empêcher une saisie légale. La défense a déposé une requête en suppression des preuves, examinée le 20 juillet, avec une décision attendue au plus tôt fin octobre. Le titre de l'article mentionne une condamnation alors que le corps du texte fait état d'une inculpation et d'une procédure en cours.
🔓 BleepingComputer relaie l'étude de la société Lava sur l'exposition de contrôleurs BMC. Sur le port UDP 623, 36 872 hôtes exposés ont été identifiés, dont 24 650 renvoient un élément d'authentification dérivé du mot de passe exploitable en cassage hors ligne via CVE-2013-4786, faiblesse d'authentification d'IPMI 2.0. Parmi eux, 6 240 acceptent un nom d'utilisateur vide et 2 340 utilisent des mots de passe administrateur issus de dictionnaires publics, les États-Unis concentrant 39 pour cent des systèmes. Lava a observé une interface HPE iLO 4 exposée affichant une demande de rançon de 0,3 BTC.
Sources : 
Bulletin de sécurité Progress Software (AV26-755). Centre canadien pour la cybersécurité : https://www.cyber.gc.ca/fr/alertes-avis/bulletin-securite-progress-software-av26-755
Bulletin de sécurité Apache (AV26-749). Centre canadien pour la cybersécurité : https://www.cyber.gc.ca/fr/alertes-avis/bulletin-securite-apache-av26-749
Shared Claude chats were searchable on Google. Malwarebytes : https://www.malwarebytes.com/blog/privacy/2026/07/shared-claude-chats-were-searchable-on-google
GrapheneOS : un homme condamné pour avoir effacé son smartphone à la frontière américaine. Clubic : https://www.clubic.com/actualite-623110-grapheneos-un-homme-condamne-pour-avoir-efface-son-smartphone-a-la-frontiere-americaine.html
Over 24,000 exposed server BMCs leak password hash via decades-old flaw. BleepingComputer : https://www.bleepingcomputer.com/news/security/over-24-000-exposed-server-bmcs-leak-password-hash-via-decades-old-flaw/
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : radiocsirt@gmail.com 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #ProgressSoftware #LoadMaster #MOVEit #ApacheThrift #Apache #RPC #Anthropic #Claude #DataExposure #Privacy #GrapheneOS #Android #BorderSearch #BMC #IPMI #Supermicro #HPE #iLO #PasswordCracking #CVE-2026-59686 #CVE-2026-59687 #CVE-2026-59688 #CVE-2026-59689 #CVE-2026-59690 #CVE-2026-48586 #CVE-2026-49158 #CVE-2026-55969 #CVE-2026-58023 #CVE-2013-4786 #RadioCSIRT

🌐 BleepingComputer et les chercheurs de QiAnXin XLab décrivent Dysphoria, un botnet d'environ 200 000 objets connectés dérivé de jackskid et fbot. Sa particularité tient à la résolution de C2 par blockchain, via des domaines Ethereum ENS et Solana SNS, les adresses étant cachées dans de fausses chaînes IPv6. Une variante de fin juin abandonne le DDoS au profit du relais réseau et abuse de l'UPnP pour créer 155 règles de redirection de ports. La propagation exploite des identifiants Telnet et SSH faibles ainsi que des failles connues, dont CVE-2025-55182, CVE-2017-17215 et CVE-2020-8515.
🪟 Le CERT-FR publie l'avis CERTFR-2026-AVI-0937 sur de multiples vulnérabilités dans Microsoft Edge, couvrant sept références issues de bulletins Microsoft des 24 et 25 juillet. Les risques retenus sont une atteinte à la confidentialité des données, un contournement de la politique de sécurité et un problème non spécifié par l'éditeur. Toutes les versions antérieures à la 150.0.4078.99 sont affectées. Les identifiants concernés sont CVE-2026-57978, CVE-2026-57989, CVE-2026-57990, CVE-2026-16804, CVE-2026-16805, CVE-2026-16806 et CVE-2026-16807.
🚨 La CISA ajoute deux vulnérabilités à son catalogue KEV sur preuve d'exploitation active. CVE-2025-68686 affecte Fortinet FortiOS et relève d'une exposition d'informations sensibles à un acteur non autorisé. CVE-2026-16812 concerne Arista VeloCloud Orchestrator On-Prem et correspond à une injection de commandes système. Les deux entrées relèvent de la directive BOD 26-04, qui impose aux agences civiles fédérales une remédiation prioritaire sur les actifs exposés publiquement.
🐛 CVEFeed documente CVE-2026-59551, une injection SQL dans l'extension WordPress rtMedia for WordPress, BuddyPress and bbPress jusqu'à la version 4.7.10 incluse. Remontée par Patchstack, la faille est exploitable à distance avec un simple compte de niveau abonné et ne demande aucune interaction utilisateur. Le score CVSS de base atteint 8,5 avec changement de portée, l'impact portant principalement sur la confidentialité. La version 4.7.11 corrige le défaut, classé CWE-89.
🔓 Recorded Future News rapporte que le sénateur Ron Wyden demande à la CISA, à l'OMB et au NIST de purger les VPN vieillissants et exposés sur Internet des réseaux fédéraux américains. Il cite les campagnes visant des produits Cisco, Fortinet, Ivanti et Check Point, ayant permis à des adversaires étrangers d'obtenir un accès administrateur puis d'exfiltrer des données. Wyden réclame un délai de deux ans pour les agences civiles et une bascule vers une architecture Zero Trust. Il demande à la NSA une opération équivalente sur les passerelles d'accès distant des réseaux militaires et de renseignement.
Sources :
New Dysphoria DDoS botnet spreads to 200k devices worldwide. BleepingComputer : https://www.bleepingcomputer.com/news/security/new-dysphoria-ddos-botnet-spreads-to-200k-devices-worldwide/
Multiples vulnérabilités dans Microsoft Edge. CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0937/
CISA Adds Two Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/07/27/cisa-adds-two-known-exploited-vulnerabilities-catalog
WordPress rtMedia for WordPress, BuddyPress and bbPress plugin <= 4.7.10 SQL Injection vulnerability. CVEFeed : https://cvefeed.io/vuln/detail/CVE-2026-59551
Outdated VPNs should be purged from federal agencies, senator says. The Record from Recorded Future News : https://therecord.media/federal-purge-outdated-vpns-wyden-letter
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09
📩 Email : radiocsirt@gmail.com
🌐 Site : https://www.radiocsirt.org
📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Dysphoria #Botnet #DDoS #IoT #XLab #Blockchain #UPnP #MicrosoftEdge #CERTFR #ANSSI #CISA #KEV #BOD2604 #Fortinet #FortiOS #Arista #VeloCloud #WordPress #rtMedia #Patchstack #SQLInjection #VPN #ZeroTrust #NIST #NSA #CVE-2025-55182 #CVE-2017-17215 #CVE-2020-8515 #CVE-2026-57978 #CVE-2026-57989 #CVE-2026-57990 #CVE-2026-16804 #CVE-2026-16805 #CVE-2026-16806 #CVE-2026-16807 #CVE-2025-68686 #CVE-2026-16812 #CVE-2026-59551 #RadioCSIRT

📦 GitHub et PyPI ajoutent des défenses fondées sur le temps contre les attaques de supply chain. Dependabot applique désormais par défaut un cooldown de 72 heures avant de proposer la mise à jour vers un paquet nouvellement publié, durée configurable. PyPI refuse l'ajout de nouveaux fichiers à une release publiée depuis plus de quatorze jours, afin de bloquer l'empoisonnement de versions anciennes via un token compromis. Les deux plateformes réagissent aux campagnes chalk, debug, s1ngularity, Shai-Hulud et GhostAction.
🏷️ Le Google Threat Intelligence Group unifie sa nomenclature des acteurs de la menace autour de cryptonymes en deux mots. Le premier mot identifie l'acteur, le second indique l'attribution ou la motivation : CASTLE pour la Chine, ION pour l'Iran, NEPTUNE pour la Corée du Nord, RELIC pour la Russie, COMET pour la criminalité financière. APT44, alias Sandworm, devient SANDWORM RELIC. Les anciens identifiants, les alias tiers et les correspondances MITRE ATT&CK restent consultables dans la plateforme GTI.
🔓 ReliaQuest documente la compromission de passerelles Wi-Fi d'hôtels et de centres de conférence pour détourner le DNS vers de fausses pages Microsoft 365, sur les domaines m365-owa.com et ms365-live.com. L'activité court depuis au moins juin 2026, dans plusieurs villes américaines, en Inde et en Arabie saoudite. L'accès initial reposerait sur des interfaces d'administration exposées et des identifiants faibles ou réutilisés. Dans un tiers des cas, abus de WPAD pour élargir l'interception. Techniques rapprochées de la campagne FrostArmada, liée à APT28.
🔐 Kaspersky analyse deux incidents d'extorsion en Colombie et au Mexique, menés sans ransomware, avec BitLocker et des demandes de rançon imprimées sur les imprimantes des victimes. En Colombie, un RDP exposé conduit au chiffrement d'un volume de données financières et à une demande de 3 000 dollars, sur un système dont l'EPP avait été désactivé. Au Mexique, le groupe XEntry Team exploite un MSSQL mal configuré et xp_cmdshell, déploie ManageEngine Endpoint Central, Mesh Agent et Tactical RMM, puis diffuse le chiffrement par GPO sur tout le domaine.
Sources :
GitHub, PyPI add time-based defenses against supply chain attacks. BleepingComputer : https://www.bleepingcomputer.com/news/security/github-pypi-add-time-absed-defenses-against-supply-chain-attacks/
Google Unveils Unified Naming System for Tracking Cyber Threat Actors. Cyber Press : https://cyberpress.org/google-unveils-unified-naming-system/
Hackers Hijack Hotel Wi-Fi to Steal Microsoft 365 Credentials. Security Affairs : https://securityaffairs.com/196017/security/hackers-hijack-hotel-wi-fi-to-steal-microsoft-365-credentials.html
A new extortion cocktail: office printers, small ransoms, and BitLocker. Securelist by Kaspersky : https://securelist.com/new-extortion-scheme-printers-bitlocker/120718/ 
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09
📩 Email : radiocsirt@gmail.com
🌐 Site : https://www.radiocsirt.org
📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #GitHub #PyPI #Dependabot #SupplyChain #npm #ShaiHulud #GTIG #Google #Mandiant #ThreatActorNaming #Sandworm #APT44 #ReliaQuest #APT28 #FrostArmada #DNS #WPAD #Microsoft365 #Phishing #Kaspersky #Securelist #BitLocker #RDP #MSSQL #RMM #XEntryTeam #Extortion #RadioCSIRT

🇫🇷 Selon une étude Surfshark relayée par 01net, 43,4 millions de comptes français ont été compromis entre janvier et juin 2026, contre 26,7 millions au second semestre 2025, soit 62,3 pour cent de hausse. Le record annuel de 2025 est dépassé en six mois. La France concentre plus de la moitié des comptes compromis en Europe et se place au deuxième rang mondial derrière les États-Unis. L'Europe devient pour la première fois le continent le plus touché. Déplacement des attaquants vers les institutions publiques : ANTS, Parcoursup, Service-public.gouv.fr.
🐛 depthfirst publie le 24 juillet un exploit fonctionnel pour une faille GitLab corrigée le 10 juin. Tout utilisateur authentifié avec droit de push peut exécuter des commandes sous l'identité git sur un serveur self-managed 18.11.3 non mis à jour. La chaîne exploite deux corruptions mémoire du parseur Ruby Oj via le rendu de notebooks ipynbdiff : fuite de pointeur de tas, localisation de la libc, détournement de callback vers system(). GitLab n'a pas classé le correctif en correctif de sécurité, sans CVE ni CVSS. Versions corrigées : 18.10.8, 18.11.5, 19.0.2.
🚨 Les affiliés de Cl0p, alias Chubby Scorpius, FIN11, Graceful Spider et Lace Tempest, ciblent les instances PTC Windchill et FlexPLM exposées sur Internet. L'avis coordonné de Ransom-ISAC, eCrime.ch et DEFUSED décrit le chaînage d'une divulgation d'information pré-authentification du WSDL FlexPLM avec un défaut de la servlet de login Windchill, menant à un RCE non authentifié et au dépôt de web shells JSP. CVE-2026-12569, CVSS 9.3, est au catalogue KEV de la CISA. Double extorsion visant la manufacture, l'automobile, l'aérospatial et la distribution. Quatre adresses IP publiées en IOC.
🎣 Seqrite documente une campagne de phishing distribuant Phantom Stealer 3.5.0 via deux leurres : usurpation d'UPS Forwarding Hub visant les achats et fausse notification de l'administration fiscale malaisienne LHDN visant les services financiers. Chaîne en quatre étapes : loader JavaScript obfusqué, PowerShell décodé en Base64, charge AES exécutée en mémoire via Invoke-Expression, injecteur .NET chiffré en XOR chargé réflectivement dans aspnet_compiler.exe. Collecte de mots de passe, cookies, données de paiement et portefeuilles crypto, exfiltrés en SMTP sur le port 587 avec STARTTLS.
☁️ OpenAI confirme une panne mondiale de ChatGPT débutée vers 5 heures du matin heure de l'Est, affectant les utilisateurs aux États-Unis et en Europe. Chargement bloqué de la barre latérale, conversations antérieures inaccessibles et erreurs de requêtes concurrentes lors de l'envoi de messages. L'incident touche également Codex et l'API OpenAI, avec jusqu'à douze points de terminaison en anomalie sur la page de statut. Un correctif a été annoncé mais les tests de BleepingComputer relevaient encore des dysfonctionnements. Aucune cause communiquée.
🇺🇸 Le Département d'État américain impose de nouvelles restrictions de visa aux individus liés aux réseaux de cybercriminalité étrangers et à leur famille proche. L'annonce du secrétaire d'État Marco Rubio cible les responsables ou complices de cyberescroqueries et de sextorsion, dans le prolongement du décret présidentiel de mars. Les groupes criminels transnationaux chinois sont désignés comme opérateurs fréquents des centres d'escroquerie d'Asie du Sud-Est, pour un coût estimé à 10 milliards de dollars pour les Américains en 2024. Un rapport de l'ONUDC décrit des syndicats plus intégrés et interconnectés.
Sources : 
Fuites de données: la France devient la victime numéro un d'Europe, c'est de pire en pire. 01net : https://www.01net.com/actualites/fuites-donnees-france-victime-numero-un-europe.html
Researcher Publishes GitLab RCE PoC Letting Authenticated Users Run Commands as Git. The Hacker News : https://thehackernews.com/2026/07/researcher-publishes-gitlab-rce-poc.html
Cl0p Affiliates Target Internet-Exposed PTC Windchill and FlexPLM with Unauthenticated RCE. The Hacker News : https://thehackernews.com/2026/07/cl0p-affiliates-target-internet-exposed.html
Phantom Stealer Campaign Uses JavaScript and PowerShell to Steal Browser Credentials. GBHackers : https://gbhackers.com/phantom-stealer-campaign-javascript-powershell/
OpenAI confirms ChatGPT is down worldwide. BleepingComputer : https://www.bleepingcomputer.com/news/artificial-intelligence/openai-confirms-chatgpt-is-down-worldwide/
State Department imposes visa restrictions on foreign cyber scammers. The Record : https://therecord.media/visa-restrictions-cyber-scammers 
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : radiocsirt@gmail.com 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #DataBreach #Surfshark #France #GitLab #RCE #PoC #Oj #Ruby #depthfirst #Cl0p #FIN11 #LaceTempest #PTC #Windchill #FlexPLM #WebShell #KEV #CISA #DoubleExtortion #PhantomStealer #InfoStealer #Phishing #PowerShell #ProcessInjection #Seqrite #OpenAI #ChatGPT #Codex #Outage #ScamCenters #ASEAN #UNODC #CVE-2026-12569 #RadioCSIRT

🐛 Zenity Labs divulgue AgentForger, une vulnérabilité critique de type CSRF dans les Workspace Agents de ChatGPT. Le paramètre initial_assistant_prompt de l'Agent Builder était exécuté automatiquement au chargement de la page, permettant à un simple lien de phishing de créer un agent autonome dans le périmètre de confiance de l'organisation. La chaîne attachait tous les connecteurs en mode Never ask, publiait l'agent, le planifiait toutes les heures et le pilotait ensuite par emails dont l'objet commence par TASK. OpenAI a corrigé la faille le 8 juin 2026.
🇹🇭 Hunt.io et Bob Diachenko documentent une intrusion visant le ministère des Finances de Thaïlande, découverte via trois répertoires exposés sur un serveur de Hong Kong contenant près de 600 fichiers. L'opération s'appuyait sur Hermes, agent d'intelligence artificielle autonome en mode YOLO, exécutant reconnaissance, énumération et LinPEAS sans validation humaine. Un implant Go inédit nommé Hades, décliné Windows et Linux, assurait C2 chiffré, persistance, proxy SOCKS et process hollowing. Exploits prépositionnés pour CVE-2021-4034, CVE-2021-3156 et CVE-2017-7269. Attribution sinophone en confiance faible à modérée.
🔓 DarkOwl analyse le rôle des stealer logs dans la chaîne menant au ransomware. Le cookie de session actif, et non le mot de passe, constitue l'élément le plus exploitable : réimporté par l'attaquant, il restitue l'état authentifié sans déclencher de challenge MFA. Le session hijacking figure parmi au moins six techniques de contournement, avec push bombing, adversary-in-the-middle et SIM swapping. Les initial access brokers revendent aux affiliés ransomware les logs contenant VPN, SSO et comptes d'administration de domaine. Une compilation de 124 millions de mots de passe uniques circulait en juin 2026.
🎣 L'Insikt Group de Recorded Future identifie quatre nouvelles familles de malware dans l'écosystème TAG-195, alias Golden Chickens ou Venom Spider. TinyEgg sert de backdoor d'initial access léger, distribué par TAG-127 via des campagnes ClickFix exploitant de fausses pages de vérification et des binaires Windows légitimes. ChonkyChicken assure la seconde étape avec vol d'identifiants navigateur, exécution distante et surveillance durable. Les deux reposent sur un tasking WebSocket bidirectionnel. La variante modularisée charge dynamiquement au moins quatorze modules depuis l'infrastructure attaquante.
🚨 Le ministère américain de la Justice inculpe trois ressortissants russes, Alexander Volosovik, Kirill Zatolokin et Yulia Pankova, ainsi que les sociétés Media Land et ML.Cloud de Saint-Pétersbourg, pour plus de 62 millions de dollars de pertes. Ces entreprises fournissaient du bulletproof hosting à une clientèle criminelle, avec support technique pour le déploiement de malware et ransomware, marketplaces criminelles, enregistrements frauduleux de domaines, phishing et brute force. Victimes dans 21 États américains et plusieurs pays. Rewards for Justice offre jusqu'à 10 millions de dollars.
Sources :
ChatGPT AgentForger Flaw Could Deploy Rogue Workspace Agents via a Phishing Link. The Hacker News : https://thehackernews.com/2026/07/chatgpt-agentforger-flaw-could-deploy.html
Thailand's Ministry of Finance Targeted With Hermes AI Agent Running Unattended, Hades Implant Staged. Security Affairs : https://securityaffairs.com/195941/hacking/thailands-ministry-of-finance-targeted-with-hermes-ai-agent-running-unattended-hades-implant-staged.html
Hackers Use Stealer Logs to Bypass MFA and Launch Ransomware Attacks. GBHackers : https://gbhackers.com/hackers-stealer-logs-launch-ransomware-attacks/
Golden Chickens TAG-195 Launches TinyEgg and ChonkyChicken Modular Malware. Cyberpress : https://cyberpress.org/golden-chickens-unleashes-tinyegg/
Three Russian Nationals Indicted for International Cybercrimes Resulting in More Than $62M in Losses to Victims. FBI : https://www.fbi.gov/contact-us/field-offices/cleveland/news/three-russian-nationals-indicted-for-international-cybercrimes-resulting-in-more-than-62m-in-losses-to-victims
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09
📩 Email : radiocsirt@gmail.com
🌐 Site : https://www.radiocsirt.org
📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #AgentForger #OpenAI #ChatGPT #Zenity #CSRF #AIAgents #Hermes #Hades #HuntIo #Thailand #ShadowPad #LinPEAS #InfoStealer #StealerLogs #SessionHijacking #MFABypass #DarkOwl #Ransomware #InitialAccessBroker #GoldenChickens #TAG195 #VenomSpider #TinyEgg #ChonkyChicken #RecordedFuture #InsiktGroup #ClickFix #MaaS #BulletproofHosting #MediaLand #DOJ #FBI #RewardsForJustice #CVE-2021-4034 #CVE-2021-3156 #CVE-2017-7269 #RadioCSIRT