RadioCSIRT

🇫🇷 Le ministère de l'Europe et des Affaires étrangères attribue à la République islamique d'Iran des cyberattaques de sabotage et de déstabilisation visant la France. Le rapport conjoint du C4 (ANSSI, COMCYBER, DGA, DGSE, DGSI), publié par le CERT-FR sous la référence CERTFR-2026-CTI-009 (TLP:CLEAR), impute ces attaques aux unités Shahid Shoostari et Shahid Kaveh du CGRI-CEC. L'épisode retrace la chronologie de 2020 à aujourd'hui.
🗂️ 2020 à 2023 : Shahid Shoostari, connue en source ouverte sous les noms Iliyanet et Emennet Pasargad, cible Charlie Hebdo dès 2020, plan révélé en 2021 par Lab Dookhtegan. Le 4 janvier 2023, défiguration de la boutique en ligne et exfiltration de sa base de données, la technique T1491.002, External Defacement. Microsoft avait attribué l'attaque en février 2023 à Neptunium (Emennet Pasargad), sous l'avatar Holy Souls.
🏭 2023 à 2024 : Shahid Kaveh revendique en novembre 2023, sous l'avatar CyberAveng3rs (graphie du rapport ; CyberAv3ngers dans les sources américaines), une campagne contre Unitronics. Autres avatars cités : Soldiers of Solomon, Mr. Soul, Cyber Isnaad Front, avec l'organe CyberbanNews. Sanctions du Trésor américain du 2 février 2024 contre six responsables du CGRI-CEC ; scripts visant Schneider Electric, Siemens et Rockwell depuis juin 2024 au moins.
📺 Juillet 2024 : compromission à partir du 20 juillet d'une société française de gestion de bornes d'affichage vidéo pour diffuser des photos-montages contre la participation des athlètes israéliens aux JOP 2024, découverte avant affichage. Diffusion initiale le 24 juillet sur un compte Instagram en persan, relais par deux comptes X et jahannews[.]com, deux adresses IP de FAI iraniens observées. Avis FBI, Trésor américain et INCD d'octobre 2024 attribuant l'opération à Emennet Pasargad, alias Aria Sepehr Ayandehsazan.
🇪🇺 Mars et avril 2026 : inscription d'Emennet Pasargad sur la liste des sanctions cyber de l'UE le 16 mars 2026 (décision PESC 2026/588, règlement d'exécution 2026/589). Campagne revendiquée par Shahid Kaveh contre des intérêts israéliens et américains, dont des équipements frigorifiques. Avis conjoint AA26-097A du 7 avril 2026 (mis à jour le 22 juillet 2026) ; reconnaissance massive en Modbus sur le port 502 contre des systèmes Schneider Electric, notamment en France.
🚨 11 et 12 octobre 2026 : les paramètres de dégivrage des contrôleurs de froid d'environ 700 sites de la grande distribution (plus de 700 selon le ministère) sont fixés à de hautes températures, la technique T0836, Modify Parameter (ATT&CK for ICS). Pertes en denrées estimées à plusieurs dizaines de millions d'euros, au moins 15 départs de feu, victimes dans l'agroalimentaire, ciblage concomitant d'installations hydroélectriques équipées en Schneider Electric. L'alerte CERTFR-2026-ALE-012 (12, 13 et 16 octobre) liste Danfoss séries AK-SM et AK-SC, Copeland xweb et Dixell xweb ; le vecteur d'intrusion n'est pas publié.
🔍 Novembre 2026 : une seconde vague touche des supermarchés de huit pays européens, revendiquée par NoName057(16) et Z-Pentest Alliance sans confirmation indépendante ; le rapport du C4 ne la couvre pas. Éléments d'imputation de l'attaque d'octobre : infrastructure réutilisée pour la reconnaissance Modbus d'équipements Schneider Electric, outil de scan FOFA, relais par CyberbanNews dès le 13 octobre, traces de farsi ; adresses IP liées à l'Iran selon le parquet, cité par l'Associated Press. Dirigeants nommés : Reza Salarvand et Mahdi Lashgarian (Shahid Kaveh), Hamid Reza Lashgarian (CGRI-CEC).
⚖️ Mesures annoncées : convocation de l'ambassadeur d'Iran, proposition de nouvelles sanctions européennes, réserve de mesures publiques et non publiques. Le parquet de Paris ouvre une information judiciaire et requiert des mandats d'arrêt internationaux contre des membres de Shahid Kaveh.
Sources :
Déclaration d'attribution à l'Iran de cyberattaques visant la France. Ministère de l'Europe et des Affaires étrangères : https://www.diplomatie.gouv.fr/fr/presse-et-ressources/decouvrir-et-informer/actualites/declaration-d-attribution-a-l-iran-de-cyberattaques-visant-la-france
Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI. CERT-FR : https://cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-009/
Activités cyber offensives menées par des acteurs iraniens liés au CGRI, rapport PDF. CERT-FR : https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-009.pdf
Campagnes de déstabilisation et sabotage menées à l'encontre des intérêts français par la République islamique d'Iran. ANSSI : https://cyber.gouv.fr/actualites/campagnes-de-déstabilisation-et-sabotage-menées-à-lencontre-des-intérêts-français-par-la-république-islamique-diran/
Iran responsible for Charlie Hebdo attacks. Microsoft : https://blogs.microsoft.com/on-the-issues/2023/02/03/dtac-charlie-hebdo-hack-iran-neptunium/
US sanctions Iranian military hackers for attacks on water facilities. The Record : https://therecord.media/sanctions-iran-hackers-us-water-utilities-attacks
FBI: Iranian cyber group targeted Summer Olympics with attack on French display provider. The Record : https://therecord.media/iran-cyber-group-targeted-paris-olympics-israel
Cybersecurity, The EU sanctions several private cyber offensive ecosystem actors. Ministère de l'Europe et des Affaires étrangères : https://www.diplomatie.gouv.fr/en/presse-et-ressources/decouvrir-et-informer/actualites/cybersecurite-l-union-europeenne-sanctionne-plusieurs-acteurs-de-l-ecosysteme-cyber-offensif-prive
Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure, AA26-097A. American Hospital Association, reprise de l'avis conjoint : https://www.aha.org/cybersecurity-government-intelligence-reports/2026-07-23-joint-cybersecurity-advisory-tlp-clear-iranian-affiliated-cyber-actors
France blames Iran for last month's cyberattack on supermarket fridges. Associated Press, PBS NewsHour : https://www.pbs.org/newshour/world/france-blames-iran-for-last-months-cyberattack-on-supermarket-fridges
Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération. CERT-FR : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/
How did supermarket fridges become a target for hackers? RTÉ : https://www.rte.ie/news/primetime/2026/1105/1598007-clarity-supermarket-cyberattack/
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Iran #CGRI #ShahidKaveh #EmennetPasargad #CyberAv3ngers #ICS #OT #ANSSI #CERTFR #RadioCSIRT

Récit chronologique d'ARTEX, framework de pentest multi-agents publié en open source le 26 juillet 2026 et retrouvé en trois mois dans des intrusions en Corée du Sud, aux Pays-Bas, aux États-Unis, en Belgique, en Grèce, au Moyen-Orient et en Amérique latine.
🤖 Juillet et août : ARTEX publié par Autumn-27 sous licence AGPL-3.0 (backend Go, console Next.js, base PostgreSQL, SDK norma), compatible avec n'importe quel modèle de langage. Outils par défaut selon Microsoft : Nmap, curl, wget, clients HTTP Python, WebFetch du SDK Norma, Chromium sans interface via Playwright. Google GTIG et Mandiant observent ARTEX, CAIRN et PentAGI en réponse à incident depuis fin août 2026.
🐛 21 septembre : DIVD compromis via deux zero-day de Zammad, CVE-2026-102489 (détournement de session menant à l'exécution de code avec l'utilisateur zammad, T1190, Exploit Public-Facing Application) et CVE-2026-102490 (élévation de privilèges jusqu'à root, T1068, Exploitation for Privilege Escalation). Plus de 450 000 requêtes et 2 500 scripts ; 12 minutes de l'accès initial à root selon le DIVD. Zammad recommande la version 7 ou la mise hors ligne ; CVSS non communiqué, aucun PoC public signalé.
🗂️ Fin septembre à début octobre : intrusions contre la finance sud-coréenne, 7 établissements, 66 000 à 67 000 personnes et environ 2 200 entreprises touchés selon Hunt.io. CrowdStrike (7 octobre) : DeepSeek v4.1 Flash, GLM 5.3 et Grok 4.6 via le revendeur xcai[.]pro, tests d'insecure direct object reference, mapping T1588.007, Obtain Capabilities: Artificial Intelligence, et T1090, Proxy. Dépôt ARTEX passé en privé le 8 octobre selon plusieurs sources, le 11 octobre selon Genians ; forks et copies toujours en circulation.
☁️ 10 au 21 octobre : Microsoft attribue la compromission de ConnectWise Cloud Backup (ex-SkyKick) à Storm-0940. Password spray du 10 au 14 octobre depuis 144.172.64[.]99 contre 327 comptes de 8 organisations, plus de 151 000 échecs, aucun succès (T1110.003, Brute Force: Password Spraying). À partir du 15 octobre, abus des applications ConnectWise déjà consenties contre plus de 2 250 tenants (T1078.004, Valid Accounts: Cloud Accounts), puis ajout d'identifiants d'applications, persistants après la coupure de ConnectWise.
☁️ Huntress : ajout d'identifiants à d'autres applications (T1098.001, Account Manipulation: Additional Cloud Credentials), dépôt de certificat refusé à 03:48:24 UTC, boucle de réessai apparue 55 secondes plus tard. Implication d'un LLM jugée de confiance faible à moyenne sur sa télémétrie, moyenne à élevée avec l'attribution de Microsoft. Adresses citées : 144.172.64[.]128 et 144.172.64[.]99.
📡 À partir du 17 octobre : Vapor Panda vise plus de 200 organisations dans 14 pays avec ARTEX, DeepSeek et un second LLM commercial. Jeton administrateur forgé et boîtes aux lettres lues dans une entité gouvernementale grecque (T1114.002, Email Collection: Remote Email Collection) ; consigne d'écarter les postes protégés par Falcon ; backdoor BLOODALCHEMY. Compromissions : au moins 9 selon BleepingComputer, environ 140 selon CyberScoop.
🗂️ 26 octobre : la police métropolitaine de Séoul arrête 7 suspects ; plus de 90 organisations compromises, environ 8,2 millions d'enregistrements, extorsion dans 38 incidents pour 360 millions de wons (environ 270 000 dollars). Chef présumé de 32 ans, ancien pentester, arrêté le 15 octobre et déféré le 23 octobre.
🗂️ 25 octobre au 6 novembre : WorkOS, accès à une application interne de vente. User agents relevés : artex-enrich/1.0 et norma/0.4. Mise à jour du 6 novembre : un chercheur dont l'agent ARTEX est sorti de son environnement de test revendique l'accès. Causes listées : API exposées, identifiant de développement prévisible accepté en production, absence de limitation de débit, surveillance insuffisante.
📱 5 novembre : Check Point Research analyse dix consoles ARTEX. Plus de 300 certificats de signature iOS récupérés, 3 utilisables, environ 36 milliards de tokens ; 292 domaines de paiement en cryptomonnaies visés, 0 dollar détourné, identifiants AWS S3 exposés exploités (T1552.001, Unsecured Credentials: Credentials In Files) ; plus de 190 000 identifiants Honor of Kings, 3,3 % valides.
🔓 5 novembre : Microsoft Threat Intelligence décrit la recherche de secrets sur GitHub (T1593.003, Search Open Websites/Domains: Code Repositories) et la connexion comme principal de service (T1078.004) ; exfiltration d'un Azure Key Vault cinq minutes après le scan dans un cas. Microsoft recommande de considérer tout secret exposé et son application comme compromis et d'adopter les identités managées. GitGuardian : 28,65 millions de nouveaux secrets sur GitHub public en 2025.
🤖 7 novembre : Hunt.io analyse la console 38.244.50[.]120 et le rebond 23.248.226[.]250 (Hong Kong, AS138415). Claude Code 2.1.221 routé vers DeepSeek via ds-models-shim.py, xcai-effort-shim.py et Claude Code Router ; 19 skills, 147 utilisations ; tunnels SSH inversés (T1572, Protocol Tunneling) ; kit JNDI et LDAP ; proxy tournant 154.201.79[.]246:443.
📈 Consoles exposées : environ 600 IP selon AhnLab (6 octobre), 1 465 hôtes selon Censys (4 novembre), 2 557 systèmes dont 1 608 actifs selon Check Point. Hunt.io : 19 IP par le certificat (empreinte SHA-256 C7A884AFCD7F91408921890D9617BEF6BFAC3DAE992BC25BB9C48C0395A60842), environ 1 300 par titre de page, 280 répertoires ouverts. Marqueurs publiés par CrowdStrike : « artx » ou « artex » en ligne de commande, rôles cloud préfixés « artx », commentaires « art18- », dossier C:\ProgramData\artx5v.
Sources :
ARTEX AI Hacking Framework Found on 1,465 Public Servers, Some Hosting Cyberattack Tools. Cyber Security News : https://cybersecuritynews.com/artex-ai-hacking-framework/
ARTEX AI Pentest Tool, What Security Teams Need to Know. SOCRadar : https://socradar.io/blog/artex-ai-pentest-tool-what-security-teams-need-to-know/
Google says threat actors abuse ARTEX agentic pentesting frameworks in intrusions. Let's Data Science : https://letsdatascience.com/news/google-says-threat-actors-abuse-artex-agentic-pentesting-fra-871f1f6e
DIVD says Zammad zero-days enabled AI-driven network breach. BleepingComputer : https://www.bleepingcomputer.com/news/security/divd-says-zammad-zero-days-enabled-ai-driven-network-breach/
AI agent exploits Zammad zero-days in DIVD breach, What we know and how to detect it. Sysdig : https://www.sysdig.com/blog/ai-agent-exploits-zammad-zero-days-in-divd-breach-what-we-know-and-how-to-detect-it
AI Agent Chains Zammad Zero-Days To Take Over DIVD Systems in Seconds. Security Affairs : https://securityaffairs.com/?p=200126
Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance. CrowdStrike : https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/
ARTEX, Open-Source Agentic Pentesting Tool Linked to South Korean Bank Intrusions. Cloud Security Alliance : https://labs.cloudsecurityalliance.org/research/csa-research-note-artex-agentic-pentest-bank-breaches-202610/
AhnLab finds ARTEX on 600 IPs as police probe South Korean bank breaches. Runtime Wire : https://runtimewire.com/article/south-korea-bank-breaches-artex-ai-probe
Storm-0940 uses ARTEX agentic AI in ConnectWise supply chain compromise. Microsoft : https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
Microsoft Links ConnectWise Breach to China-Linked Group Using AI Pentesting Tool ARTEX. Security Affairs : https://securityaffairs.com/201501/apt/microsoft-links-connectwise-breach-to-china-linked-group-using-ai-pentesting-tool-artex.html
Microsoft Links Storm-0940 to ConnectWise Supply Chain Attack. Dark Reading : https://darkreading.com/cyberattacks-data-breaches/microsoft-storm-0940-connectwise-supply-chain-attack
AI Agents Adapt Hacking Tools in Just 55 Seconds During ConnectWise Attack. Cyber Press : https://cyberpress.org/ai-adapts-hacking-tools/
AI, Scripts, Operator, Inside the ConnectWise Attack. Huntress : https://www.huntress.com/blog/connectwise-attack-ai
Chinese hackers use ARTEX AI in automated attacks against 200 orgs. BleepingComputer : https://www.bleepingcomputer.com/news/security/chinese-hackers-use-artex-ai-in-automated-attacks-against-200-orgs/
CrowdStrike uncovers China-linked AI cyber campaign. IT Brief UK : https://itbrief.co.uk/story/crowdstrike-uncovers-china-linked-ai-cyber-campaign
China-Linked Group Ran AI Agents Against 200+ Targets. FourWeekMBA : https://fourweekmba.com/ai-china-linked-group-ran-ai-agents-against-200-targets/
Former pentester used ARTEX AI to steal 8.2 million data records. BleepingComputer : https://www.bleepingcomputer.com/news/security/former-pentester-used-artex-ai-to-steal-82-million-data-records/
Self-taught hacker used AI to breach 60 firms. The Outpost : https://theoutpost.ai/news-story/self-taught-hacker-used-ai-to-breach-60-firms-but-received-only-210-in-ransom-32649/
WorkOS says attacker used ARTEX AI to breach internal sales app. BleepingComputer : https://www.bleepingcomputer.com/news/security/workos-says-attacker-used-artex-ai-to-breach-internal-sales-app/
WorkOS Confirms Data Breach After ARTEX AI Agent Escapes Security Researcher's Sandbox. GBHackers : https://gbhackers.com/workos-data-breach-artex-ai/
WorkOS says a researcher's escaped AI agent accessed its internal sales tool. Runtime Wire : https://runtimewire.com/article/workos-escaped-ai-agent-internal-tool
ARTEX AI Hacking Framework Turns Vulnerable Websites Into Targets for Automated Cybercrime. Cyber Press : https://cyberpress.org/artex-automates-website-hacking/
ARTEX AI Agents Steal App-Signing Certificates. GridinSoft : https://blog.gridinsoft.com/artex-ai-agents-app-signing-certificate-theft/
Threat actors use agentic AI tooling to find and abuse exposed secrets. Microsoft : https://www.microsoft.com/en-us/security/blog/2026/11/05/threat-actors-use-agentic-ai-tooling-to-find-and-abuse-exposed-secrets/
The Agents Have Now Found Your Secrets On GitHub, ARTEX Is Abusing Public Secrets Right Now. GitGuardian : https://blog.gitguardian.com/the-agents-have-now-found-your-secrets-on-github-artex-is-abusing-public-secrets-right-now/
Hackers enlist Artex to scan GitHub repositories for exposed secrets. Cybersecurity Dive : https://www.cybersecuritydive.com/news/hackers-artex-github-repositories-exposed-secrets/874007/
ARTEX GitHub attack. Reddit r/cybersecurity : https://www.reddit.com/r/cybersecurity/comments/1xqmfsz/artex_github_attack/
Inside ARTEX, AI Hacking Tools, Exposed Servers and South Korean Bank Breaches. Security Affairs : https://securityaffairs.com/202607/ai/inside-artex-ai-hacking-tools-exposed-servers-and-south-korean-bank-breaches.html
ARTEX hackers. Cyber Security News : https://cybersecuritynews.com/artex-hackers/amp/
ARTEX, The Open-Source AI Pentest Framework Attackers Use. Brandefense : https://brandefense.io/knowledge-hub/malware/artex/
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #ARTEX #AgenticAI #AISecurity #Storm0940 #VaporPanda #ConnectWise #WorkOS #DIVD #Zammad #GitHubSecrets #CrowdStrike #Microsoft #CheckPoint #HuntIO #CVE-2026-102489 #CVE-2026-102490 #RadioCSIRT

🔴 Apple : la CVE-2024-27834 (CVSS 5.5), contournement de Pointer Authentication dans WebKit, entre au KEV de la CISA le 4 novembre. Elle complète une chaîne zero-click attribuée à APT29 qui dépose un infostealer. Correctifs Apple disponibles depuis mai 2024.
🔴 SonicWall : la CVE-2026-19868 (CVSS 7.1) permet de contourner l'authentification SAML et la MFA du SSL VPN de SonicOS avec des identifiants valides. Inscrite au KEV le 6 novembre. Correctifs en 7.3.4-7013 et 8.2.3-8015, sans contournement.
🟠 Microsoft Paint : la CVE-2026-83844 (CVSS 8.1), out-of-bounds read classé exécution de code à distance. Aucune exploitation ni PoC public signalés. Version corrigée 11.2609.401.0, distribuée par le Microsoft Store et non par Windows Update.
🟡 Claude Code : Apiiro recense 2 539 secrets exposés dans 1 994 dépôts GitHub publics, enregistrés en clair par l'option « Yes, and don't ask again » dans .claude/settings.local.json. 63 organisations touchées.
🤖 NCSC : l'évaluation britannique sur l'IA et l'intrusion cyber projette la menace à 2028, avec trois scénarios et un usage routinier de l'IA offensive jugé hautement probable chez plusieurs États.
🤖 OpenAI : GPT-6 Cyber, classé Critical en cybersécurité, annonce 948 exploits Linux, 81 failles Firefox et une faille Brotli notée 9.2. Accès réservé aux clients Daybreak Red.
🛠️ SANS ISC : des scans de Rootevidence visent la CVE-2023-20198 de Cisco IOS XE, avec des en-têtes Opt-Out inhabituels.
🛠️ Anton Chuvakin : un modèle local sous Ollama ne remplace pas un SIEM. Le modèle écrit le parser, il ne joue pas le rôle du parser.
Techniques MITRE ATT&CK : T1189, T1195.002, T1203, T1082, T1539, T1133, T1078, T1552.001, T1595.002, T1190
CWE : CWE-287, CWE-308, CWE-125
Sources
CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/04/cisa-adds-one-known-exploited-vulnerability-catalog
Hackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says. The Hacker News : https://thehackernews.com/2026/11/hackers-exploit-patched-apple-flaw-to.html
Apple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV, What to Check. Rescana : https://www.rescana.com/post/apple-webkit-cve-2024-27834-pointer-auth-bypass-prepare-now
CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/06/cisa-adds-one-known-exploited-vulnerability-catalog
SonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins. SecurityWeek : https://www.securityweek.com/sonicwall-patches-exploited-sonicos-bug-that-weakens-vpn-logins/
SonicWall SSLVPN SAML Bypass, Exploited in the Wild (CVE-2026-19868). Ostorlab : https://blog.ostorlab.co/sonicwall-sslvpn-saml-bypass-cve-2026-19868.html
Microsoft Paint RCE Vulnerability: CVE-2026-83844. The Cyber Throne : https://thecyberthrone.in/2026/11/07/microsoft-paint-rce-vulnerability-cve-2026-83844/
Microsoft Paint: Sicherheitslücke mit CVSS 8,1, Version 11.2609.401.0 schützt. BornCity : https://borncity.com/news/microsoft-paint-sicherheitsluecke-mit-cvss-81-version-11-2609-401-0-schuetzt/
Claude Code’s “Don’t Ask Again” Feature Exposes 2,539 Secrets Across 1,994 GitHub Repositories. GBHackers : https://gbhackers.com/claude-codes-dont-ask-again-feature-exposed/
Claude Code’s “Yes, and Don’t Ask Again” Option Can Leak Passwords and API Keys to GitHub. Cyber Security News : https://cybersecuritynews.com/claude-codes-yes-and-dont-ask-again/
Artificial intelligence and cyber intrusion. NCSC : https://www.ncsc.gov.uk/report/artificial-intelligence-and-cyber-intrusion
OpenAI Launches GPT-6 Cyber After AI Helps Find 81 Firefox Flaws, 948 Linux Exploits. The Hacker News : https://thehackernews.com/2026/11/openai-launches-gpt-6-cyber-after-ai.html
Vulnerability Scans for Older Cisco IOS Vulnerability / Opt-Out Headers. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33492
CVE-2023-20198. Arctic Wolf : https://arcticwolf.com/resources/blog/cve-2023-20198/
“I Don’t Need a SIEM, I Have Ollama!” (Yes, You Do!). Anton on Security : https://medium.com/anton-on-security/i-dont-need-a-siem-i-have-ollama-yes-you-do-fd29174c44b5
“I Don’t Need a SIEM, I Have Ollama!” (Yes, You Do!). Security Boulevard : https://securityboulevard.com/2026/11/i-dont-need-a-siem-i-have-ollama-yes-you-do-2/
⚡️ On ne réfléchit pas, on patch ! (tm)
🎧 Écoutez et abonnez-vous sur radiocsirt.org et sur toutes les plateformes de podcast.
📩 Newsletter : radiocsirt.substack.com - ✉️ contact@radiocsirt.org -📞 Répondeur : 07 68 72 20 09
#cybersécurité #CERT #CSIRT #SOC #VOC #CISO #threatintel #vulnérabilités #Apple #SonicWall #Microsoft #ClaudeCode #NCSC #OpenAI #Cisco #SIEM #APT29 #CVE-2024-27834 #CVE-2026-19868 #CVE-2026-83844 #CVE-2023-20198 #RadioCSIRT

🐛 OpenSSH 10.6p2, publiée le 5 novembre 2026, corrige la CVE-2026-123158, contournement de l'authentification par mot de passe de sshd sur Linux avec musl libc sans PAM. Fiche CVE : score CVSS de 8,1 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H), CWE-394, valeur de retour ou code d'état inattendu ; OpenSSH la qualifie de critique, absente du catalogue KEV de la CISA. Un mot de passe de 257 à 1 024 octets ouvre tout compte à * ; Previdian confirme un accès root sur un honeypot, puis une reconnaissance T1033 et T1082. Paquets Alpine corrigés : edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1 ; Alpine demande ensuite rc-service sshd restart, ou à défaut PasswordAuthentication no.
Sources :
La faille OpenSSH permet aux attaquants de se connecter à des comptes Linux où l'authentification par mot de passe est désactivée. Reddit, r/cybersecurity : https://www.reddit.com/r/cybersecurity/comments/1xpg7ot/openssh_flaw_lets_attackers_log_into/
OpenSSH flaw exploited in the wild just hours after disclosure (CVE-2026-123158). Help Net Security : https://www.helpnetsecurity.com/2026/11/06/openssh-sshole-cve-2026-123158-exploitation/
*sshole. Özgün Kültekin, Wakefield : https://sshhole.com
Critical OpenSSH Authentication Bypass Lets Hackers Log In Without Knowing Passwords. Cyber Security News : https://cyberpress.org/critical-openssh-authentication/
OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux. The Hacker News : https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html
Security advisory: openssh-server password authentication bypass. Alpine Linux : https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/
OpenSSH 10.6p2 Release Notes. OpenSSH : https://www.openssh.org/releasenotes.html#10.6p2
SSHole: OpenSSH Authentication Bypass, CVE-2026-123158. TheCyberThrone : https://thecyberthrone.in/2026/11/06/sshole-openssh-authentication-bypass-cve-2026-123158/
CVE-2026-123158. CVE Program : https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2026/123xxx/CVE-2026-123158.json
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #OpenSSH #sshole #AlpineLinux #musl #Linux #SSH #AuthenticationBypass #Previdian #SOCRadar #Wakefield #CVE-2026-123158 #RadioCSIRT

🐛 Zyxel corrige la CVE-2026-107441, écriture hors limites dans l'interface web d'administration de dix modèles de commutateurs GS1900, exploitable sans authentification par requête HTTP forgée, qui contourne le correctif du 16 juin de la CVE-2026-7273 par corruption du compteur de paramètres avant sa validation. GreyNoise a observé l'exploitation dès le 17 août environ par Kapibala, threat actor sinophone présumé lié à la campagne Red Heron : 996 commutateurs compromis dans 48 pays, avec collecte des configurations, des hashs des identifiants root et des informations réseau ; exploitation d'une application exposée, technique T1190. Binarly a retrouvé l'exploit sur l'infrastructure Red Heron, liée à la backdoor JITTERLY et au rootkit SIXZUT, l'a signalé le 29 septembre, et Zyxel a confirmé la faille le 11 octobre. Firmwares corrigés publiés le 22 octobre et avis du 3 novembre 2026 ; BleepingComputer ne donne pas les numéros de version corrigés et conseille d'installer les derniers firmwares.
📈 Linus Torvalds a publié la version 7.4-rc1 du noyau Linux : 19 671 commits dans la fenêtre de fusion selon le décompte de Phoronix, contre 7 620 pour la version 3.1, et près de 42 millions de lignes. Il attribue ce volume au flot de travaux déclenchés par l'IA, qu'il préfère voir arriver à ce stade plutôt qu'en correctifs pendant les versions candidates, et à l'attente d'une 7.4 en version à support long terme. Selon Neowin, un tiers des modifications porte sur des décalages de registres et des masques de bits des processeurs graphiques AMD, et la 7.4-rc1 est la première de sept ou huit versions candidates. La version finale est attendue en décembre 2026.
🐧 Canonical corrige la CVE-2026-109518 d'APT, découverte par Max Justicz, avec un score CVSS 4.0 de 7,7 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) : un attaquant en position d'homme du milieu sur le trafic HTTP d'APT, technique T1557, fait installer un paquet .deb qui échoue à la vérification de signature et obtient les privilèges root par ses scripts d'installation ; un miroir malveillant peut faire de même. Ubuntu 22.04 et les versions suivantes sont exposées par défaut, les versions antérieures seulement si Acquire::Retries est différent de 0 ; le HTTPS protège et les paquets snap ne sont pas concernés. Versions corrigées (USN-8996-1) : 1.0.1ubuntu2.24+esm4 pour la 14.04, 1.2.36+esm1 pour la 16.04, 1.6.19+esm1 pour la 18.04, 2.0.12+esm1 pour la 20.04, 2.4.15ubuntu0.1 pour la 22.04, 2.8.4ubuntu0.1 pour la 24.04, 3.2.1ubuntu0.1 pour la 26.04, et 3.3.3ubuntu0.1 en cours de publication pour la 26.10. Canonical recommande d'installer la mise à jour avec Acquire::Retries=0 et de passer les sources APT en HTTPS quand le chemin réseau n'est pas sûr.
🪟 ESET attribue à SlippyNunchucks, groupe aligné sur la Chine et actif depuis septembre 2023, une campagne de surveillance lancée le 1er juillet 2026 contre des organisations et des sinophones à Hong Kong, en Thaïlande, au Japon, au Vietnam, à Oman et au Sri Lanka. Le groupe falsifie la résolution DNS du serveur de configuration que Sogou Input Method pour Windows interroge en HTTP, livre une configuration piégée, puis charge DarkVigil (alias FDMTP) par DLL sideloading derrière un exécutable légitime d'Adobe ; détournement du flux d'exécution, technique T1574, et C2 sur le protocole DMTP. Tencent corrige la CVE-2026-120422 dans la version 16.10 du 29 octobre 2026, qui passe ces requêtes en HTTPS. ESET ne relève aucun recoupement tactique avec Mustang Panda, et Gen Digital a signalé en septembre l'exploitation par UNC3569 d'une autre faille de Sogou, la CVE-2026-51990, pour livrer la backdoor GRAYRABBIT.
🚨 L'agence américaine CISA a inscrit le 3 novembre 2026 au catalogue KEV la CVE-2026-119977 du cœur de WordPress : lors d'une mise à jour complète, les fichiers et l'installateur sont décompressés dans un répertoire prévisible sous wp-content/upgrade/, qu'un attaquant non authentifié peut atteindre pour aller jusqu'à l'exécution de code PHP. Wordfence, qui a attribué la CVE, la note avec un score CVSS de 8,1 à complexité élevée et la classe en CWE-367, race condition entre le contrôle et l'utilisation ; WordPress la classe en gravité faible, et Wordfence a bloqué 62 969 tentatives en 24 heures sans signaler de compromission réussie. WordPress corrige la faille en 7.1.4 le 28 octobre 2026 et sur toutes les branches jusqu'à la 4.7.39 ; les versions 4.6 et antérieures ne reçoivent aucun correctif. Wordfence recommande de vérifier que la mise à jour s'est faite et de chercher des requêtes vers des fichiers PHP sous wp-content/upgrade/, ainsi que des comptes administrateur, des extensions ou des fichiers PHP inconnus.
📡 Johannes Ullrich, du SANS Internet Storm Center, relève sur les honeypots une reprise des scans vers des scripts d'envoi de courriel, sur sept chemins dont le nom évoque un test d'envoi ou une configuration de messagerie ; scan actif, technique T1595. Les noms en « test » visent des scripts de développement laissés en ligne, comme un script qui prend le destinataire dans un paramètre d'URL et lui envoie des variables du serveur. Il rapproche ces scans de la CVE-2000-0411, un ancien script CGI d'envoi de courriel, et recommande d'attraper ces fichiers au déploiement ; le scan de ses propres serveurs reste un contrôle d'appoint.
🤖 Anton Chuvakin applique la défense en profondeur à l'IA à partir de trois principes de Phil Venables : duplication sans cause commune de défaillance, contrôle de détection pour chaque contrôle préventif, suivi de la couche où les attaques sont arrêtées. Selon lui, des garde-fous LLM empilés échouent ensemble, d'où la diversité de la question plutôt que du modèle, des contrôles déterministes hors de la fenêtre de contexte et des barrières synchrones sur les actions irréversibles des agents, avec une supervision par IA asynchrone pour le reste. Face aux attaquants dotés d'IA, il recommande d'investir dans le confinement derrière la bordure : segmentation, contrôle des flux sortants, détection et reprise rapide. L'auteur, employé de Cisco, invite lui-même à minorer de 20 % son plaidoyer pour la segmentation.
Sources :
Zyxel fixes zero-day exploited to hack nearly 1,000 network switches. BleepingComputer : https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/
Linux 7.4 is "Much Healthier" Thanks to AI. Linux Magazine : https://www.linux-magazine.com/Online/News/Linux-7.4-is-Much-Healthier-Thanks-to-AI
Linux 7.4-rc1 rolling out with a massive merge window driven heavily by AI. Neowin : https://www.neowin.net/news/linux-74-rc1-rolling-out-with-a-massive-merge-window-driven-heavily-by-ai/
CVE-2026-109518 APT vulnerability fixes available. Canonical Ubuntu : https://ubuntu.com/blog/apt-vulnerability-fixes-available
China-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor. The Hacker News : https://thehackernews.com/2026/11/china-aligned-hackers-hijack-sogou.html
CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog
A race condition during core updates that could lead to remote code execution. WordPress : https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg
WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours. The Hacker News : https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
WordPress Core 7.1.4 Fixes an Unauthenticated Upgrade-Window Race RCE (CVE-2026-119977). Rescana : https://www.rescana.com/post/wordpress-core-7-1-4-upgrade-staging-race-rce
The Classics Return: Vulnerable E-Mail Scripts. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33488
How to Solve the Mystery of AI Defense in Depth? Anton on Security : https://medium.com/anton-on-security/how-to-solve-the-mystery-of-ai-defense-in-depth-e8bbc48024eb
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Zyxel #GS1900 #ZeroDay #GreyNoise #Binarly #Kapibala #Linux #Kernel #LinusTorvalds #AI #Ubuntu #Debian #Canonical #DebianAPT #SupplyChain #ESET #SlippyNunchucks #DarkVigil #Sogou #Tencent #DLLSideloading #CISA #KEV #WordPress #Wordfence #RaceCondition #SANS #InternetStormCenter #Honeypot #DefenseInDepth #AISecurity #MITREATTACK #CVE-2026-107441 #CVE-2026-7273 #CVE-2026-109518 #CVE-2026-120422 #CVE-2026-119977 #RadioCSIRT