Episodi

  • Ep.798 - OpenSSH, FreeSWITCH, ANSSI - Flash info du jeudi 12 novembre 2026

    Ep.798 - OpenSSH, FreeSWITCH, ANSSI - Flash info du jeudi 12 novembre 2026
    Nov 12 2026
    🐧 OpenSSH, CVE-2026-123158 (SSHole), CVSS 8,1, inscrite au KEV le 9 novembre : contournement de l'authentification par mot de passe sur sshd lié à musl libc, sans PAM. Un mot de passe de plus de 256 octets fait renvoyer « * » par crypt(), valeur qui correspond aux comptes marqués « * » dans /etc/shadow ; la condition exige aussi l'authentification par mot de passe active. Exposition concentrée sur Alpine, OpenWrt, Buildroot et Yocto ; Debian, Ubuntu, PAM, PasswordAuthentication no, Dropbear et OpenSSH d'OpenBSD non concernés. GreyNoise relève 16 chaînes réussies depuis six IP (acteur GT10) avec interrogation des métadonnées cloud (T1552.005) et réécriture d'authorized_keys (T1098.004) ; PoC public selon le HKCERT ; correctif OpenSSH 10.6p2 du 5 novembre, rétroporté par Alpine jusqu'à la 3.16, redémarrage de sshd et reconstruction des images requis.📡 FreeSWITCH, CVE-2026-116779, CVSS 9,8, CWE-77, command injection, inscrite au KEV le 9 novembre : une partie du destinataire d'un SIP MESSAGE est lue comme nom de protocole de chat, et le handler « api » transmet l'entrée à l'API FreeSWITCH, exécutée avec les privilèges du serveur (T1190). Chat actif par défaut sur les profils internal et external ; mod_lua offre une seconde voie d'exécution. Versions 1.11.2 et antérieures touchées, correctif 1.11.3 ; contournements de SignalWire : laisser enable-chat-api-proto désactivé, enable-chat=false sur les profils sans besoin de chat, suppression des utilisateurs d'annuaire sans mot de passe.🐛 IBM Aspera Faspex, CVE-2026-123218, CVSS 9,8 (source IBM), CWE-863, incorrect authorization, inscrite au KEV le 9 novembre : un utilisateur autorisé forge un message qui contourne l'autorisation et obtient les privilèges complets d'administrateur. Versions 5.0.0 à 5.0.19 touchées, correctif 5.0.19 PL1 (image faspex-core 5.0.19, 1ce4b13, Fix Pack 1), aucun contournement selon IBM. Le vecteur publié (AV:N/AC:L/PR:N/UI:N) n'exige aucun privilège.🤖 GPUStack, CVE-2026-102895, CVSS 9,8, CWE-287, improper authentication (CWE-290 et CWE-346 également listées), inscrite au KEV le 9 novembre : avant la 2.2.0, une requête sans identifiant venue de la boucle locale reçoit les droits admin (force_auth_localhost à false par défaut), contournable par un reverse proxy sur le même hôte ou l'en-tête X-GPUStack-Real-IP. Exploitation signalée par Javier Sixto (ulex.fr) contre une instance 2.1.1, avec enregistrement de backends d'inférence et reverse shells sur les workers (T1190) ; PoC public contesté. Correctif 2.2.0, version 2.2.2 recommandée par la Cloud Security Alliance (corrige aussi la CVE-2026-102894, contournement SAML) ; force_auth_localhost=true, filtrage de l'en-tête par le proxy et rotation des secrets workers et fournisseurs cloud.🐛 Apache HTTP Server, CVE-2026-119618, CVSS 9,8 selon Red Hat, CWE-362, race condition : course critique dans assign_headers() de mod_http2, corruption du tas et exécution de code à distance sans authentification (T1190). Versions 2.4.55 à 2.4.70 et mod_h2 GitHub 2.0.8 à 2.0.42 touchées ; correctif 2.4.71 du 11 novembre, qui corrige aussi des failles de mod_md et mod_vhost_alias. Recherche publique démontrant un exploit fiable selon Red Hat ; désactivation de HTTP/2 possible en mesure temporaire.🇫🇷 CERT-FR, CERTFR-2026-CTI-010, point de situation REACTIV d'octobre : 64 nouvelles violations de données depuis le 30 septembre, dont cinq visant des ministères ou organismes sous tutelle ; technique récurrente de réutilisation de secrets volés (T1078). Nouveaux cas : VACAF des CAF (environ 1,2 million de dossiers, identifiants de partenaires issus d'infostealers sans MFA et IDOR), France Travail (plus de 60 000 agents et professionnels), OFB permis de chasser (IDOR sur l'API de paiement, plus de mille personnes), ASP portail DEFI (30 500 usagers), portail des bibliothèques du MEAE (une centaine d'utilisateurs). Feuille de route 2026-2027 à 70 % d'avancement ; retour d'expérience CERTFR-2026-CTI-008 publié le 20 octobre.🗂️ Maersk confirme un accès à un système hérité d'une acquisition, isolé selon l'entreprise, sans impact constaté sur les autres systèmes ni sur les intégrations API et EDI. Le groupe de ransomware WhiteArmor revendique contre LF Logistics, filiale rachetée en 2022, le vol de 100 Go de données et réclame 5 millions de dollars sous 30 jours. Maersk n'anticipe pas de perturbation pour ses clients.📈 Bellingcat relève sur Google Maps des dizaines de libellés internes (quartier général, gymnase, hébergements, réfectoires, point de carburant) sur Camp Buehring, Camp Arifjan, Muwaffaq Salti et Al Udeid. À Camp Arifjan, l'imagerie floutée par Google reste nette sur Bing Maps à partir des coordonnées des fiches Google. Microsoft indique traiter les demandes de retrait des entités concernées.Sources :CISA Adds Four Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/...
    Mostra di più Mostra meno
    12 min
  • Ep.797 - Barracuda ESG, N-able N-central - Flash info du mercredi 11 novembre 2026

    Ep.797 - Barracuda ESG, N-able N-central - Flash info du mercredi 11 novembre 2026
    Nov 11 2026
    🚨 L'agence américaine CISA inscrit six CVE au catalogue KEV le 10 novembre. Sur Barracuda ESG, la CVE-2026-116606 (CWE-288, authentication bypass using an alternate path or channel, CVSS 4.0 de 9,3) et la CVE-2026-111560 (CWE-78, OS command injection, CVSS 4.0 de 8,6) s'enchaînent en accès root sans authentification par l'import de configuration (T1190, Exploit Public-Facing Application) ; exploitation confirmée par Barracuda le 9 novembre, PoC de watchTowr Labs depuis le 5 novembre, correctifs BNSF-40425 (9.4.017 et suivantes) et BNSF-40430 (antérieures à 9.4.017), échéance au 13 novembre avec triage forensique, la CVE-2026-111560 touchant aussi cinq autres produits Barracuda. Autres ajouts, échéance au 24 novembre : CVE-2026-125350 (Chromium, composant XML, CWE-416, use after free, corrigée en 157.0.8103.50 et 157.0.8103.51, Edge sans correctif au 11 novembre), CVE-2026-124194 (Outlook, fuite du hash NTLMv2), CVE-2026-20320 (Cisco BroadWorks, XXE, corrigée en RI.2026.07) et CVE-2026-111793 (Openwave Webtop Media Transcoder, corrigée en 1.1.22.0).🐛 N-able publie N-central 2026.4 HF2, qui corrige notamment CVE-2026-125883 (XXE multiples), CVE-2026-125878 (injections OGNL multiples), CVE-2026-125879 (élévation de privilèges locale vers root par la configuration syslog-ng), CVE-2026-125880 (XSS stockée), CVE-2026-125881 (SSRF), CVE-2026-125882 (exécution de code par traversée de répertoire) et CVE-2026-91000 (canaux IPC non sécurisés). Sean Bales a publié le 8 novembre le dépôt Able2Shell avec ses exploits, dont une chaîne XXE vers exécution de code sans authentification (T1190, Exploit Public-Facing Application) ; il cite la préversion 2026.4.0.31 et probablement les versions antérieures. Tous les serveurs hébergés sont mis à jour ; N-able demande aux clients sur site de mettre à jour au plus vite et de suivre son guide avant de rétablir l'accès. Defused observe des sondages depuis le 10 novembre et Shadowserver compte un peu plus de 148 serveurs exposés, contre 1 338 le 9 novembre.🪟 Zoom Workplace pour Windows : CVE-2026-108186 (CVSS 9,6) et CVE-2026-108187 (CVSS 8,1), deux élévations de privilèges sans authentification, corrigées à partir de la version 7.1.8, sans exploitation signalée. Asus corrige quatre failles de gravité élevée et moyenne dans le firmware de certains routeurs, avec exécution de commandes en root ou écrasement mémoire. Cisco et SonicWall annoncent le retrait de certificats racine touchés par les intermédiaires eMudhra compromis.🔓 Fortinet FortiClient Mac, Windows et Windows PAM : CVE-2026-121529 (FG-IR-26-194), CWE-346, origin validation error, CVSS v3 de 9,1, mauvaise configuration CORS d'une API locale exploitable par la visite d'une page piégée (T1189, Drive-by Compromise). Versions touchées 7.4.0 à 7.4.7 et 7.2.0 à 7.2.14, corrigées en 7.4.8 et 7.2.15, sans patch virtuel ; la version 8.0 et FortiClient Mac 7.2 ne sont pas touchés, aucune exploitation connue selon Fortinet. Indices d'une installation vulnérable sur Windows selon Kevin Joensen : service en écoute sur le port TCP 9191 et processus FortiVRS.exe.☁️ Du 14 au 26 octobre, deux utilisateurs IAM compromis du compte AWS de Qubole servent à endosser les rôles inter-comptes de dizaines de clients (T1078.004, Valid Accounts: Cloud Accounts), à collecter des secrets dans Secrets Manager, SSM Parameter Store et les variables Lambda, puis à télécharger les buckets S3 accessibles (T1530, Data from Cloud Storage). Enquête de Wiz, Sentra et Mandiant ; Sentra relève 100 secrets collectés en sept minutes et des millions de fichiers volés chez un seul client. BleepingComputer conseille de revoir CloudTrail depuis le 1er octobre, de renouveler les identifiants exposés, de révoquer les sessions de rôle actives et de retirer les intégrations inutilisées.📡 Layer3 Intel relève 236 sorties de proxies résidentiels par l'AS2650 du Bureau exécutif du président américain, du 5 octobre au 3 novembre, depuis six adresses IP, sur 26 jours sur 30, surtout entre 17 h et minuit, à travers 28 services de proxy. Synthient rattache une partie de l'activité à des installations Windows 11 d'Infatica. Spur avait relevé en janvier 2026 des proxies résidentiels dans près de 300 réseaux gouvernementaux.🤖 Claroc recense 37 571 applications Grok publiées sous grok.me, dont 35 578 accessibles sans connexion ; 24 viennent de salariés de X et de SpaceXSI, ex-xAI, et d'autres exposent les données de 30 organisations, dont 6 du Fortune 500, parmi lesquelles un annuaire de plus de 3 500 salariés d'un groupe hospitalier et des mots de passe en clair. Le réglage « Anyone with the link » est présélectionné à la publication ; Claroc demande « Only you » par défaut et une restriction au domaine de messagerie de l'entreprise. Claroc conseille d'inventorier les générateurs d'applications IA utilisés, de chercher leurs domaines en DNS passif et de ...
    Mostra di più Mostra meno
    11 min
  • Ep.796 - Outlook, Patch Tuesday de novembre - Flash info du mardi 10 novembre 2026

    Ep.796 - Outlook, Patch Tuesday de novembre - Flash info du mardi 10 novembre 2026
    Nov 10 2026
    🐛 Microsoft corrige la CVE-2026-124194 (CVSS 6,5, gravité modérée), une faille de spoofing d'Outlook exploitée, qui relève de la CWE-356, product UI does not warn user of unsafe actions. Un fichier de message piégé (T1566.001), une fois ouvert, fait connecter Outlook à un emplacement réseau de l'attaquant sans avertissement et livre le hash NTLMv2 de l'utilisateur (T1187). Le volet de lecture n'est pas un vecteur. Inscrite au catalogue KEV de la CISA le 10 novembre 2026 ; aucun PoC public signalé. Versions corrigées : Office LTSC 2024 en 16.0.17932.21140, Office LTSC 2021 en 16.0.14334.21048, Microsoft 365 Apps for Enterprise via https://aka.ms/OfficeSecurityReleases.📈 L'export du Security Update Guide recense 1 093 CVE publiées le 10 novembre : 63 critiques, 1 029 importantes, une modérée. Par impact : 535 élévations de privilèges, 296 exécutions de code à distance, 156 fuites d'informations, 46 dénis de service, 27 contournements de fonction de sécurité, 22 spoofing, 11 altérations. Windows totalise 756 CVE (36 critiques), Office 174 (22 critiques), SQL Server 53 et SharePoint 27 (aucune critique). Le Crabe Info annonce 1 235 failles, l'écart tenant au périmètre du décompte.🪟 Exécutions de code critiques dans Windows : SMB Server, pilote de transport réseau srvnet.sys (CVE-2026-113825), TCP/IP sur Windows 11 24H2 et suivants et Windows Server 2025 (CVE-2026-113859), LDAP (CVE-2026-119958, CVSS 9,8, réseau, sans privilège ni interaction), Windows Search (CVE-2026-116928, CVSS 9,8), Xbox Live Networking Service sur Windows 11 (CVE-2026-112967, CVSS 9,8), Function Discovery Resource Publication (CVE-2026-125134), Network Connected Devices Auto-Setup Service (CVE-2026-125136), plus cinq failles dans Message Queuing. Cyber Security News cite aussi Schannel, CredSSP, IIS, Print Spooler, Active Directory Domain Services et RPC Runtime. Builds corrigés dans l'export, par exemple 10.0.26100.33730 pour Windows Server 2025 et 10.0.20348.5870 pour Windows Server 2022.🔓 Failles classées importantes avec un score CVSS de 9,8 ou plus, exploitables par le réseau : Windows Kerberos, élévation de privilèges sans privilège ni interaction (CVE-2026-85844, 9,8) ; Windows DHCP Server (CVE-2026-88243, 9,8, Windows Server 2016 à 2025) ; Windows DNS (CVE-2026-88218, 9,8) ; Windows iSCSI (CVE-2026-88234), Media Foundation (CVE-2026-96157), Color Management (CVE-2026-96078, CVE-2026-96067) et DirectMusic (CVE-2026-95901, CVE-2026-95882), toutes à 9,8. Hors Windows : SharePoint Server Subscription Edition, élévation de privilèges (CVE-2026-120002, 9,9, compte de faible privilège requis), Azure DevOps Server 2025 (CVE-2026-109467, 9,9) et SQL Server 2017 à 2025 (CVE-2026-116945, 9,8). DNS Server reçoit par ailleurs sept correctifs d'exécution de code classés importants. Exploitation jugée moins probable par Microsoft, aucune exploitation ni divulgation publique.📄 22 failles critiques dans Office, dont 12 dans Excel, quatre dans Word et une dans PowerPoint, parmi lesquelles CVE-2026-124185 (Word), CVE-2026-124170 (Excel) et CVE-2026-120789 (Excel, CVSS 8,8, action de l'utilisateur requise, Office Online Server également concerné). Outlook : CVE-2026-111309, CVE-2026-110068 et CVE-2026-110043 critiques, CVE-2026-124227 et CVE-2026-124228 importantes, aucune exploitée. CVE-2026-110068 touche aussi Office 365 for Mac et Office LTSC for Mac 2021 et 2024.🖥️ Hyper-V : huit élévations de privilèges critiques, CVE-2026-113753 (Windows 11 26H1 seulement), CVE-2026-113856, CVE-2026-113860, CVE-2026-113861, CVE-2026-113864, CVE-2026-113865, CVE-2026-119947 et CVE-2026-119960. Le noyau graphique de Windows corrige une élévation de privilèges critique, CVE-2026-125137. Aucune exploitation ni PoC public signalés.📧 Exchange Server Subscription Edition RTM : CVE-2026-118207, exécution de code critique avec un score CVSS de 8,8, exploitable par le réseau avec un compte de faible privilège et sans interaction, exploitation jugée plus probable par Microsoft, et huit failles importantes (CVE-2026-118149 en exécution de code ; CVE-2026-118150, -118151, -118154 et -118157 en élévation de privilèges ; CVE-2026-118152 et -118208 en spoofing ; CVE-2026-118153 en déni de service). Build corrigé : 15.02.2562.057.☁️ Microsoft Malware Protection Engine : CVE-2026-122194, exécution de code critique, corrigée en version 1.1.26100.4. Azure OpenAI (CVE-2026-119990, CVSS 9,8, réseau, sans privilège) et Azure Managed Grafana (CVE-2026-114160) : élévations de privilèges critiques. Raw Image Extension : CVE-2026-114169, exécution de code critique, corrigée en 2.5.42.0 et 2.4.43.0 selon la branche.Sources :Security Updates, export du 10 novembre 2026. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guideMicrosoft Windows Kerberos Elevation of Privilege Vulnerability, CVE-2026-85844. Microsoft Security Update Guide : https://msrc.microsoft.com/...
    Mostra di più Mostra meno
    13 min
  • Ep.795 - Iran, Shahid Kaveh, C4 et CERT-FR - Épisode spécial du lundi 9 novembre 2026

    Ep.795 - Iran, Shahid Kaveh, C4 et CERT-FR - Épisode spécial du lundi 9 novembre 2026
    Nov 9 2026
    🇫🇷 Le ministère de l'Europe et des Affaires étrangères attribue à la République islamique d'Iran des cyberattaques de sabotage et de déstabilisation visant la France. Le rapport conjoint du C4 (ANSSI, COMCYBER, DGA, DGSE, DGSI), publié par le CERT-FR sous la référence CERTFR-2026-CTI-009 (TLP:CLEAR), impute ces attaques aux unités Shahid Shoostari et Shahid Kaveh du CGRI-CEC. L'épisode retrace la chronologie de 2020 à aujourd'hui.🗂️ 2020 à 2023 : Shahid Shoostari, connue en source ouverte sous les noms Iliyanet et Emennet Pasargad, cible Charlie Hebdo dès 2020, plan révélé en 2021 par Lab Dookhtegan. Le 4 janvier 2023, défiguration de la boutique en ligne et exfiltration de sa base de données, la technique T1491.002, External Defacement. Microsoft avait attribué l'attaque en février 2023 à Neptunium (Emennet Pasargad), sous l'avatar Holy Souls.🏭 2023 à 2024 : Shahid Kaveh revendique en novembre 2023, sous l'avatar CyberAveng3rs (graphie du rapport ; CyberAv3ngers dans les sources américaines), une campagne contre Unitronics. Autres avatars cités : Soldiers of Solomon, Mr. Soul, Cyber Isnaad Front, avec l'organe CyberbanNews. Sanctions du Trésor américain du 2 février 2024 contre six responsables du CGRI-CEC ; scripts visant Schneider Electric, Siemens et Rockwell depuis juin 2024 au moins.📺 Juillet 2024 : compromission à partir du 20 juillet d'une société française de gestion de bornes d'affichage vidéo pour diffuser des photos-montages contre la participation des athlètes israéliens aux JOP 2024, découverte avant affichage. Diffusion initiale le 24 juillet sur un compte Instagram en persan, relais par deux comptes X et jahannews[.]com, deux adresses IP de FAI iraniens observées. Avis FBI, Trésor américain et INCD d'octobre 2024 attribuant l'opération à Emennet Pasargad, alias Aria Sepehr Ayandehsazan.🇪🇺 Mars et avril 2026 : inscription d'Emennet Pasargad sur la liste des sanctions cyber de l'UE le 16 mars 2026 (décision PESC 2026/588, règlement d'exécution 2026/589). Campagne revendiquée par Shahid Kaveh contre des intérêts israéliens et américains, dont des équipements frigorifiques. Avis conjoint AA26-097A du 7 avril 2026 (mis à jour le 22 juillet 2026) ; reconnaissance massive en Modbus sur le port 502 contre des systèmes Schneider Electric, notamment en France.🚨 11 et 12 octobre 2026 : les paramètres de dégivrage des contrôleurs de froid d'environ 700 sites de la grande distribution (plus de 700 selon le ministère) sont fixés à de hautes températures, la technique T0836, Modify Parameter (ATT&CK for ICS). Pertes en denrées estimées à plusieurs dizaines de millions d'euros, au moins 15 départs de feu, victimes dans l'agroalimentaire, ciblage concomitant d'installations hydroélectriques équipées en Schneider Electric. L'alerte CERTFR-2026-ALE-012 (12, 13 et 16 octobre) liste Danfoss séries AK-SM et AK-SC, Copeland xweb et Dixell xweb ; le vecteur d'intrusion n'est pas publié.🔍 Novembre 2026 : une seconde vague touche des supermarchés de huit pays européens, revendiquée par NoName057(16) et Z-Pentest Alliance sans confirmation indépendante ; le rapport du C4 ne la couvre pas. Éléments d'imputation de l'attaque d'octobre : infrastructure réutilisée pour la reconnaissance Modbus d'équipements Schneider Electric, outil de scan FOFA, relais par CyberbanNews dès le 13 octobre, traces de farsi ; adresses IP liées à l'Iran selon le parquet, cité par l'Associated Press. Dirigeants nommés : Reza Salarvand et Mahdi Lashgarian (Shahid Kaveh), Hamid Reza Lashgarian (CGRI-CEC).⚖️ Mesures annoncées : convocation de l'ambassadeur d'Iran, proposition de nouvelles sanctions européennes, réserve de mesures publiques et non publiques. Le parquet de Paris ouvre une information judiciaire et requiert des mandats d'arrêt internationaux contre des membres de Shahid Kaveh.Sources :Déclaration d'attribution à l'Iran de cyberattaques visant la France. Ministère de l'Europe et des Affaires étrangères : https://www.diplomatie.gouv.fr/fr/presse-et-ressources/decouvrir-et-informer/actualites/declaration-d-attribution-a-l-iran-de-cyberattaques-visant-la-franceActivités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI. CERT-FR : https://cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-009/Activités cyber offensives menées par des acteurs iraniens liés au CGRI, rapport PDF. CERT-FR : https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-009.pdfCampagnes de déstabilisation et sabotage menées à l'encontre des intérêts français par la République islamique d'Iran. ANSSI : https://cyber.gouv.fr/actualites/campagnes-de-déstabilisation-et-sabotage-menées-à-lencontre-des-intérêts-français-par-la-république-islamique-diran/Iran responsible for Charlie Hebdo attacks. Microsoft : https://blogs.microsoft.com/on-the-issues/2023/02/03/dtac-charlie-hebdo-hack-iran-neptunium/US sanctions ...
    Mostra di più Mostra meno
    11 min
  • Ep.794 - ARTEX, Storm-0940, Vapor Panda - Épisode spécial du 7 novembre 2026

    Ep.794 - ARTEX, Storm-0940, Vapor Panda - Épisode spécial du 7 novembre 2026
    Nov 8 2026
    Récit chronologique d'ARTEX, framework de pentest multi-agents publié en open source le 26 juillet 2026 et retrouvé en trois mois dans des intrusions en Corée du Sud, aux Pays-Bas, aux États-Unis, en Belgique, en Grèce, au Moyen-Orient et en Amérique latine.🤖 Juillet et août : ARTEX publié par Autumn-27 sous licence AGPL-3.0 (backend Go, console Next.js, base PostgreSQL, SDK norma), compatible avec n'importe quel modèle de langage. Outils par défaut selon Microsoft : Nmap, curl, wget, clients HTTP Python, WebFetch du SDK Norma, Chromium sans interface via Playwright. Google GTIG et Mandiant observent ARTEX, CAIRN et PentAGI en réponse à incident depuis fin août 2026.🐛 21 septembre : DIVD compromis via deux zero-day de Zammad, CVE-2026-102489 (détournement de session menant à l'exécution de code avec l'utilisateur zammad, T1190, Exploit Public-Facing Application) et CVE-2026-102490 (élévation de privilèges jusqu'à root, T1068, Exploitation for Privilege Escalation). Plus de 450 000 requêtes et 2 500 scripts ; 12 minutes de l'accès initial à root selon le DIVD. Zammad recommande la version 7 ou la mise hors ligne ; CVSS non communiqué, aucun PoC public signalé.🗂️ Fin septembre à début octobre : intrusions contre la finance sud-coréenne, 7 établissements, 66 000 à 67 000 personnes et environ 2 200 entreprises touchés selon Hunt.io. CrowdStrike (7 octobre) : DeepSeek v4.1 Flash, GLM 5.3 et Grok 4.6 via le revendeur xcai[.]pro, tests d'insecure direct object reference, mapping T1588.007, Obtain Capabilities: Artificial Intelligence, et T1090, Proxy. Dépôt ARTEX passé en privé le 8 octobre selon plusieurs sources, le 11 octobre selon Genians ; forks et copies toujours en circulation.☁️ 10 au 21 octobre : Microsoft attribue la compromission de ConnectWise Cloud Backup (ex-SkyKick) à Storm-0940. Password spray du 10 au 14 octobre depuis 144.172.64[.]99 contre 327 comptes de 8 organisations, plus de 151 000 échecs, aucun succès (T1110.003, Brute Force: Password Spraying). À partir du 15 octobre, abus des applications ConnectWise déjà consenties contre plus de 2 250 tenants (T1078.004, Valid Accounts: Cloud Accounts), puis ajout d'identifiants d'applications, persistants après la coupure de ConnectWise.☁️ Huntress : ajout d'identifiants à d'autres applications (T1098.001, Account Manipulation: Additional Cloud Credentials), dépôt de certificat refusé à 03:48:24 UTC, boucle de réessai apparue 55 secondes plus tard. Implication d'un LLM jugée de confiance faible à moyenne sur sa télémétrie, moyenne à élevée avec l'attribution de Microsoft. Adresses citées : 144.172.64[.]128 et 144.172.64[.]99.📡 À partir du 17 octobre : Vapor Panda vise plus de 200 organisations dans 14 pays avec ARTEX, DeepSeek et un second LLM commercial. Jeton administrateur forgé et boîtes aux lettres lues dans une entité gouvernementale grecque (T1114.002, Email Collection: Remote Email Collection) ; consigne d'écarter les postes protégés par Falcon ; backdoor BLOODALCHEMY. Compromissions : au moins 9 selon BleepingComputer, environ 140 selon CyberScoop.🗂️ 26 octobre : la police métropolitaine de Séoul arrête 7 suspects ; plus de 90 organisations compromises, environ 8,2 millions d'enregistrements, extorsion dans 38 incidents pour 360 millions de wons (environ 270 000 dollars). Chef présumé de 32 ans, ancien pentester, arrêté le 15 octobre et déféré le 23 octobre.🗂️ 25 octobre au 6 novembre : WorkOS, accès à une application interne de vente. User agents relevés : artex-enrich/1.0 et norma/0.4. Mise à jour du 6 novembre : un chercheur dont l'agent ARTEX est sorti de son environnement de test revendique l'accès. Causes listées : API exposées, identifiant de développement prévisible accepté en production, absence de limitation de débit, surveillance insuffisante.📱 5 novembre : Check Point Research analyse dix consoles ARTEX. Plus de 300 certificats de signature iOS récupérés, 3 utilisables, environ 36 milliards de tokens ; 292 domaines de paiement en cryptomonnaies visés, 0 dollar détourné, identifiants AWS S3 exposés exploités (T1552.001, Unsecured Credentials: Credentials In Files) ; plus de 190 000 identifiants Honor of Kings, 3,3 % valides.🔓 5 novembre : Microsoft Threat Intelligence décrit la recherche de secrets sur GitHub (T1593.003, Search Open Websites/Domains: Code Repositories) et la connexion comme principal de service (T1078.004) ; exfiltration d'un Azure Key Vault cinq minutes après le scan dans un cas. Microsoft recommande de considérer tout secret exposé et son application comme compromis et d'adopter les identités managées. GitGuardian : 28,65 millions de nouveaux secrets sur GitHub public en 2025.🤖 7 novembre : Hunt.io analyse la console 38.244.50[.]120 et le rebond 23.248.226[.]250 (Hong Kong, AS138415). Claude Code 2.1.221 routé vers DeepSeek via ds-models-shim.py, xcai-effort-shim.py et...
    Mostra di più Mostra meno
    21 min
  • Ep.793 - RadioCSIRT Flash Info du samedi 7 novembre 2026

    Ep.793 - RadioCSIRT Flash Info du samedi 7 novembre 2026
    Nov 7 2026
    🔴 Apple : la CVE-2024-27834 (CVSS 5.5), contournement de Pointer Authentication dans WebKit, entre au KEV de la CISA le 4 novembre. Elle complète une chaîne zero-click attribuée à APT29 qui dépose un infostealer. Correctifs Apple disponibles depuis mai 2024.🔴 SonicWall : la CVE-2026-19868 (CVSS 7.1) permet de contourner l'authentification SAML et la MFA du SSL VPN de SonicOS avec des identifiants valides. Inscrite au KEV le 6 novembre. Correctifs en 7.3.4-7013 et 8.2.3-8015, sans contournement.🟠 Microsoft Paint : la CVE-2026-83844 (CVSS 8.1), out-of-bounds read classé exécution de code à distance. Aucune exploitation ni PoC public signalés. Version corrigée 11.2609.401.0, distribuée par le Microsoft Store et non par Windows Update.🟡 Claude Code : Apiiro recense 2 539 secrets exposés dans 1 994 dépôts GitHub publics, enregistrés en clair par l'option « Yes, and don't ask again » dans .claude/settings.local.json. 63 organisations touchées.🤖 NCSC : l'évaluation britannique sur l'IA et l'intrusion cyber projette la menace à 2028, avec trois scénarios et un usage routinier de l'IA offensive jugé hautement probable chez plusieurs États.🤖 OpenAI : GPT-6 Cyber, classé Critical en cybersécurité, annonce 948 exploits Linux, 81 failles Firefox et une faille Brotli notée 9.2. Accès réservé aux clients Daybreak Red.🛠️ SANS ISC : des scans de Rootevidence visent la CVE-2023-20198 de Cisco IOS XE, avec des en-têtes Opt-Out inhabituels.🛠️ Anton Chuvakin : un modèle local sous Ollama ne remplace pas un SIEM. Le modèle écrit le parser, il ne joue pas le rôle du parser.Techniques MITRE ATT&CK : T1189, T1195.002, T1203, T1082, T1539, T1133, T1078, T1552.001, T1595.002, T1190CWE : CWE-287, CWE-308, CWE-125SourcesCISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/04/cisa-adds-one-known-exploited-vulnerability-catalogHackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says. The Hacker News : https://thehackernews.com/2026/11/hackers-exploit-patched-apple-flaw-to.htmlApple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV, What to Check. Rescana : https://www.rescana.com/post/apple-webkit-cve-2024-27834-pointer-auth-bypass-prepare-nowCISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/06/cisa-adds-one-known-exploited-vulnerability-catalogSonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins. SecurityWeek : https://www.securityweek.com/sonicwall-patches-exploited-sonicos-bug-that-weakens-vpn-logins/SonicWall SSLVPN SAML Bypass, Exploited in the Wild (CVE-2026-19868). Ostorlab : https://blog.ostorlab.co/sonicwall-sslvpn-saml-bypass-cve-2026-19868.htmlMicrosoft Paint RCE Vulnerability: CVE-2026-83844. The Cyber Throne : https://thecyberthrone.in/2026/11/07/microsoft-paint-rce-vulnerability-cve-2026-83844/Microsoft Paint: Sicherheitslücke mit CVSS 8,1, Version 11.2609.401.0 schützt. BornCity : https://borncity.com/news/microsoft-paint-sicherheitsluecke-mit-cvss-81-version-11-2609-401-0-schuetzt/Claude Code’s “Don’t Ask Again” Feature Exposes 2,539 Secrets Across 1,994 GitHub Repositories. GBHackers : https://gbhackers.com/claude-codes-dont-ask-again-feature-exposed/Claude Code’s “Yes, and Don’t Ask Again” Option Can Leak Passwords and API Keys to GitHub. Cyber Security News : https://cybersecuritynews.com/claude-codes-yes-and-dont-ask-again/Artificial intelligence and cyber intrusion. NCSC : https://www.ncsc.gov.uk/report/artificial-intelligence-and-cyber-intrusionOpenAI Launches GPT-6 Cyber After AI Helps Find 81 Firefox Flaws, 948 Linux Exploits. The Hacker News : https://thehackernews.com/2026/11/openai-launches-gpt-6-cyber-after-ai.htmlVulnerability Scans for Older Cisco IOS Vulnerability / Opt-Out Headers. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33492CVE-2023-20198. Arctic Wolf : https://arcticwolf.com/resources/blog/cve-2023-20198/“I Don’t Need a SIEM, I Have Ollama!” (Yes, You Do!). Anton on Security : https://medium.com/anton-on-security/i-dont-need-a-siem-i-have-ollama-yes-you-do-fd29174c44b5“I Don’t Need a SIEM, I Have Ollama!” (Yes, You Do!). Security Boulevard : https://securityboulevard.com/2026/11/i-dont-need-a-siem-i-have-ollama-yes-you-do-2/⚡️ On ne réfléchit pas, on patch ! (tm)🎧 Écoutez et abonnez-vous sur radiocsirt.org et sur toutes les plateformes de podcast.📩 Newsletter : radiocsirt.substack.com - ✉️ contact@radiocsirt.org -📞 Répondeur : 07 68 72 20 09#cybersécurité #CERT #CSIRT #SOC #VOC #CISO #threatintel #vulnérabilités #Apple #SonicWall #Microsoft #ClaudeCode #NCSC #OpenAI #Cisco #SIEM #APT29 #CVE-2024-27834 #CVE-2026-19868 #CVE-2026-83844 #CVE-2023-20198 #RadioCSIRT
    Mostra di più Mostra meno
    13 min
  • Ep.792 - Spécial OpenSSH, la faille sshole sur Alpine Linux - vendredi 6 novembre 2026

    Ep.792 - Spécial OpenSSH, la faille sshole sur Alpine Linux - vendredi 6 novembre 2026
    Nov 6 2026

    🐛 OpenSSH 10.6p2, publiée le 5 novembre 2026, corrige la CVE-2026-123158, contournement de l'authentification par mot de passe de sshd sur Linux avec musl libc sans PAM. Fiche CVE : score CVSS de 8,1 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H), CWE-394, valeur de retour ou code d'état inattendu ; OpenSSH la qualifie de critique, absente du catalogue KEV de la CISA. Un mot de passe de 257 à 1 024 octets ouvre tout compte à * ; Previdian confirme un accès root sur un honeypot, puis une reconnaissance T1033 et T1082. Paquets Alpine corrigés : edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1 ; Alpine demande ensuite rc-service sshd restart, ou à défaut PasswordAuthentication no.

    Sources :

    • La faille OpenSSH permet aux attaquants de se connecter à des comptes Linux où l'authentification par mot de passe est désactivée. Reddit, r/cybersecurity : https://www.reddit.com/r/cybersecurity/comments/1xpg7ot/openssh_flaw_lets_attackers_log_into/
    • OpenSSH flaw exploited in the wild just hours after disclosure (CVE-2026-123158). Help Net Security : https://www.helpnetsecurity.com/2026/11/06/openssh-sshole-cve-2026-123158-exploitation/
    • *sshole. Özgün Kültekin, Wakefield : https://sshhole.com
    • Critical OpenSSH Authentication Bypass Lets Hackers Log In Without Knowing Passwords. Cyber Security News : https://cyberpress.org/critical-openssh-authentication/
    • OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux. The Hacker News : https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html
    • Security advisory: openssh-server password authentication bypass. Alpine Linux : https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/
    • OpenSSH 10.6p2 Release Notes. OpenSSH : https://www.openssh.org/releasenotes.html#10.6p2
    • SSHole: OpenSSH Authentication Bypass, CVE-2026-123158. TheCyberThrone : https://thecyberthrone.in/2026/11/06/sshole-openssh-authentication-bypass-cve-2026-123158/
    • CVE-2026-123158. CVE Program : https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2026/123xxx/CVE-2026-123158.json

    ⚡️ On ne réfléchit pas, on patch !

    📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

    #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #OpenSSH #sshole #AlpineLinux #musl #Linux #SSH #AuthenticationBypass #Previdian #SOCRadar #Wakefield #CVE-2026-123158 #RadioCSIRT
    Mostra di più Mostra meno
    7 min
  • Ep.791 - Zyxel GS1900, noyau Linux - Flash info du mercredi 4 novembre 2026

    Ep.791 - Zyxel GS1900, noyau Linux - Flash info du mercredi 4 novembre 2026
    Nov 4 2026
    🐛 Zyxel corrige la CVE-2026-107441, écriture hors limites dans l'interface web d'administration de dix modèles de commutateurs GS1900, exploitable sans authentification par requête HTTP forgée, qui contourne le correctif du 16 juin de la CVE-2026-7273 par corruption du compteur de paramètres avant sa validation. GreyNoise a observé l'exploitation dès le 17 août environ par Kapibala, threat actor sinophone présumé lié à la campagne Red Heron : 996 commutateurs compromis dans 48 pays, avec collecte des configurations, des hashs des identifiants root et des informations réseau ; exploitation d'une application exposée, technique T1190. Binarly a retrouvé l'exploit sur l'infrastructure Red Heron, liée à la backdoor JITTERLY et au rootkit SIXZUT, l'a signalé le 29 septembre, et Zyxel a confirmé la faille le 11 octobre. Firmwares corrigés publiés le 22 octobre et avis du 3 novembre 2026 ; BleepingComputer ne donne pas les numéros de version corrigés et conseille d'installer les derniers firmwares.📈 Linus Torvalds a publié la version 7.4-rc1 du noyau Linux : 19 671 commits dans la fenêtre de fusion selon le décompte de Phoronix, contre 7 620 pour la version 3.1, et près de 42 millions de lignes. Il attribue ce volume au flot de travaux déclenchés par l'IA, qu'il préfère voir arriver à ce stade plutôt qu'en correctifs pendant les versions candidates, et à l'attente d'une 7.4 en version à support long terme. Selon Neowin, un tiers des modifications porte sur des décalages de registres et des masques de bits des processeurs graphiques AMD, et la 7.4-rc1 est la première de sept ou huit versions candidates. La version finale est attendue en décembre 2026.🐧 Canonical corrige la CVE-2026-109518 d'APT, découverte par Max Justicz, avec un score CVSS 4.0 de 7,7 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) : un attaquant en position d'homme du milieu sur le trafic HTTP d'APT, technique T1557, fait installer un paquet .deb qui échoue à la vérification de signature et obtient les privilèges root par ses scripts d'installation ; un miroir malveillant peut faire de même. Ubuntu 22.04 et les versions suivantes sont exposées par défaut, les versions antérieures seulement si Acquire::Retries est différent de 0 ; le HTTPS protège et les paquets snap ne sont pas concernés. Versions corrigées (USN-8996-1) : 1.0.1ubuntu2.24+esm4 pour la 14.04, 1.2.36+esm1 pour la 16.04, 1.6.19+esm1 pour la 18.04, 2.0.12+esm1 pour la 20.04, 2.4.15ubuntu0.1 pour la 22.04, 2.8.4ubuntu0.1 pour la 24.04, 3.2.1ubuntu0.1 pour la 26.04, et 3.3.3ubuntu0.1 en cours de publication pour la 26.10. Canonical recommande d'installer la mise à jour avec Acquire::Retries=0 et de passer les sources APT en HTTPS quand le chemin réseau n'est pas sûr.🪟 ESET attribue à SlippyNunchucks, groupe aligné sur la Chine et actif depuis septembre 2023, une campagne de surveillance lancée le 1er juillet 2026 contre des organisations et des sinophones à Hong Kong, en Thaïlande, au Japon, au Vietnam, à Oman et au Sri Lanka. Le groupe falsifie la résolution DNS du serveur de configuration que Sogou Input Method pour Windows interroge en HTTP, livre une configuration piégée, puis charge DarkVigil (alias FDMTP) par DLL sideloading derrière un exécutable légitime d'Adobe ; détournement du flux d'exécution, technique T1574, et C2 sur le protocole DMTP. Tencent corrige la CVE-2026-120422 dans la version 16.10 du 29 octobre 2026, qui passe ces requêtes en HTTPS. ESET ne relève aucun recoupement tactique avec Mustang Panda, et Gen Digital a signalé en septembre l'exploitation par UNC3569 d'une autre faille de Sogou, la CVE-2026-51990, pour livrer la backdoor GRAYRABBIT.🚨 L'agence américaine CISA a inscrit le 3 novembre 2026 au catalogue KEV la CVE-2026-119977 du cœur de WordPress : lors d'une mise à jour complète, les fichiers et l'installateur sont décompressés dans un répertoire prévisible sous wp-content/upgrade/, qu'un attaquant non authentifié peut atteindre pour aller jusqu'à l'exécution de code PHP. Wordfence, qui a attribué la CVE, la note avec un score CVSS de 8,1 à complexité élevée et la classe en CWE-367, race condition entre le contrôle et l'utilisation ; WordPress la classe en gravité faible, et Wordfence a bloqué 62 969 tentatives en 24 heures sans signaler de compromission réussie. WordPress corrige la faille en 7.1.4 le 28 octobre 2026 et sur toutes les branches jusqu'à la 4.7.39 ; les versions 4.6 et antérieures ne reçoivent aucun correctif. Wordfence recommande de vérifier que la mise à jour s'est faite et de chercher des requêtes vers des fichiers PHP sous wp-content/upgrade/, ainsi que des comptes administrateur, des extensions ou des fichiers PHP inconnus.📡 Johannes Ullrich, du SANS Internet Storm Center, relève sur les honeypots une reprise des scans vers des scripts d'envoi de courriel, sur sept chemins dont le nom évoque un test ...
    Mostra di più Mostra meno
    14 min