Nous ouvrons cet épisode avec Under Armour, qui confirme une compromission majeure impliquant 72 millions de clients. Le groupe Everest ransomware publie un dataset de 343 gigaoctets contenant noms, emails, téléphones, localisations et historiques d'achat après l'échec des négociations. L'ensemble des données a été dupliqué sur les forums underground, représentant un risque élevé de phishing ciblé et d'attaques par ingénierie sociale.

Unit 42 de Palo Alto Networks documente une technique d'attaque exploitant les Large Language Models pour générer du JavaScript malveillant directement dans le navigateur. Le proof of concept utilise des API publiques comme DeepSeek et Gemini pour assembler dynamiquement des payloads de phishing via prompt engineering, contournant les guardrails LLM et l'analyse réseau. Le polymorphisme élevé et l'exécution runtime compliquent significativement la détection.

Le SANS ISC publie une analyse de sécurité sur du code Python généré à 99 pourcent par intelligence artificielle. Le scan Bandit révèle 14 vulnérabilités incluant parsing XML non sécurisé, appels subprocess sans validation, et générateurs pseudo-aléatoires inadaptés. L'étude souligne l'importance d'inclure des exigences de sécurité explicites dans les prompts IA pour éviter eval, exec, command injection et path traversal.

Le National Cyber Security Centre britannique émet une alerte ciblant les autorités locales et infrastructures critiques face aux hacktivistes pro-russes. Le groupe NoName057(16) se distingue par sa persistance, ciblant les mêmes organisations pendant plusieurs jours avec des attaques DDoS techniquement simples mais financièrement coûteuses. Le NCSC recommande l'adoption de services tiers de mitigation DDoS et l'utilisation de Content Delivery Networks.

Nous terminons avec le Centre canadien pour la cybersécurité, qui publie son guide ITSAP.00.009 détaillant les mesures critiques suivant la détection d'une compromission. Le document insiste sur le maintien des systèmes en marche pour préserver les preuves forensics éphémères résidant en mémoire vive, l'isolation réseau immédiate, et le respect du cadre légal canadien imposant notification au commissaire à la protection de la vie privée.

Sources

• Malwarebytes – Under Armour / Everest / 72M : https://www.malwarebytes.com/blog/news/2026/01/under-armour-ransomware-breach-data-of-72-million-customers-appears-on-the-dark-web
• Have I Been Pwned – Under Armour breach : https://haveibeenpwned.com/Breach/UnderArmour
• Unit 42 – Runtime assembly + LLM phishing JS (22 Jan 2026) : https://unit42.paloaltonetworks.com/real-time-malicious-javascript-through-llms/
• SANS ISC – Diary 32648 : https://isc.sans.edu/diary/rss/32648
• NCSC UK – Pro-Russia hacktivist activity : https://www.ncsc.gov.uk/news/pro-russia-hacktivist-activity-continues-to-target-uk-organisations
• Cyber.gc.ca – ITSAP.00.009 : https://www.cyber.gc.ca/fr/orientation/que-faire-cas-compromission-cyberattaque-itsap00009

On ne réfléchit pas, on patch !

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec la CISA, qui annonce l’ajout de quatre vulnérabilités activement exploitées à son catalogue Known Exploited Vulnerabilities (KEV). Les failles concernent Vite.js, Versa Concerto, Prettier (eslint-config-prettier) et Zimbra Collaboration Suite. Ces vulnérabilités couvrent des scénarios de contrôle d’accès défaillant, d’authentification incorrecte, de code malveillant embarqué et d’inclusion de fichiers distants en PHP. Leur exploitation active représente un risque élevé pour les organisations n’ayant pas encore appliqué les correctifs disponibles.

La CISA a également ajouté une vulnérabilité supplémentaire au catalogue KEV, identifiée comme CVE-2026-20045, affectant les produits Cisco Unified Communications. Cette faille permet une injection de code, et s’inscrit dans une catégorie de vulnérabilités fréquemment exploitées par des acteurs malveillants pour compromettre des infrastructures critiques. La directive BOD 22-01 impose aux agences fédérales américaines une remédiation rapide, mais la CISA recommande à l’ensemble des organisations de prioriser également ces corrections.

Troisième sujet, le CERT-FR publie un bulletin d’actualité alertant sur une vulnérabilité critique dans telnetd, référencée CVE-2026-24061. Cette faille permet à un attaquant distant de contourner l’authentification et d’obtenir un accès root sur les systèmes vulnérables. Elle affecte GNU InetUtils versions 1.9.3 à 2.7, est triviale à exploiter, et dispose déjà d’un code d’exploitation public. Aucun correctif officiel n’est disponible à ce stade. Le CERT-FR recommande le décommissionnement immédiat des services telnet, ou à défaut leur isolement strict et leur retrait de toute exposition Internet.

Nous poursuivons avec un avis du CERT-FR concernant une vulnérabilité dans Python, identifiée sous le CVE-2025-12781. La faille affecte les versions de CPython antérieures à 3.15 et permet un contournement de la politique de sécurité. Bien que les détails techniques restent limités, le risque est jugé significatif. Les administrateurs et développeurs sont invités à se référer au bulletin de sécurité officiel de Python pour appliquer les correctifs fournis par l’éditeur.

Sources :

• CISA – Four KEV : https://www.cisa.gov/news-events/alerts/2026/01/22/cisa-adds-four-known-exploited-vulnerabilities-catalog
• CISA – One KEV : https://www.cisa.gov/news-events/alerts/2026/01/21/cisa-adds-one-known-exploited-vulnerability-catalog
• CERT-FR – Telnetd : https://www.cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-003/
• CERT-FR – Python : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-0079/

On ne réfléchit pas, on patch !

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cet épisode avec Microsoft qui publie un workaround officiel suite à des freezes critiques d’Outlook Classic observés après l’installation de la mise à jour Windows KB5074109. Le dysfonctionnement impacte les comptes POP, provoque des blocages applicatifs, des redémarrages forcés et des anomalies sur les messages envoyés. Les environnements concernés incluent Windows 10, Windows 11 24H2/25H2 et plusieurs versions de Windows Server.

GitLab alerte ensuite sur plusieurs vulnérabilités de haute sévérité affectant ses éditions Community et Enterprise. La faille la plus critique permet un 2FA bypass via une mauvaise gestion de la valeur de retour du service d’authentification. D’autres vulnérabilités permettent des attaques Denial of Service à distance via des requêtes API et SSH malformées. Des correctifs sont disponibles dans les versions 18.8.2, 18.7.2 et 18.6.4.

Troisième sujet, une vulnérabilité critique touche le plugin WordPress ACF Extended, largement utilisé pour la gestion avancée de formulaires. La faille permet une privilege escalation en administrateur via l’injection d’un champ role non filtré dans les formulaires Insert/Update User. En présence d’un formulaire exposé, un attaquant non authentifié peut obtenir un contrôle total du site.

Nous poursuivons avec PixelCode, une nouvelle technique d’attaque démontrant la capacité à dissimuler un malware payload directement dans les pixels d’images ou de vidéos. Le binaire est encodé visuellement, hébergé sur une plateforme légitime comme YouTube, puis reconstruit en mémoire sur la machine victime. Cette approche permet de contourner de nombreux mécanismes de détection EDR et de filtrage réseau traditionnels.

Enfin, LastPass confirme une campagne active de phishing dans laquelle des attaquants usurpent l’identité de l’éditeur pour voler les master passwords des utilisateurs. Les e-mails frauduleux exploitent un faux scénario de maintenance et redirigent vers des pages d’authentification hébergées sur des infrastructures cloud légitimes. Cette campagne s’inscrit dans un contexte de menace persistante autour des coffres-forts LastPass précédemment compromis.

Sources :

• Microsoft Outlook : https://www.bleepingcomputer.com/news/microsoft/microsoft-shares-workaround-for-outlook-freezes-after-windows-update/
• GitLab 2FA & DoS : https://www.bleepingcomputer.com/news/security/gitlab-warns-of-high-severity-2fa-bypass-denial-of-service-flaws/
• WordPress ACF Extended : https://thecyberexpress.com/acf-add-on-vulnerability-wordpress/
• PixelCode : https://cyberpress.org/new-pixelcode-attack-smuggles-malware-using-image-pixel-encoding-technique/
• LastPass Phishing : https://securityaffairs.com/187145/cyber-crime/crooks-impersonate-lastpass-in-campaign-to-harvest-master-passwords.html

On ne réfléchit pas, on patch !

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com