RadioCSIRT

🔑 La CISA publie le retour d'expérience d'un incident interne du 15 mai 2026 : un prestataire avait copié un dépôt de build et de déploiement, avec des identifiants d'administration, vers son GitHub personnel, exposant des clés AWS GovCloud. Dépôt retiré, identifiants réinitialisés, accès révoqués. Les journaux confirment aucune utilisation externe des clés ni compromission de données client ou d...

🛡️ Red Hat et IBM lancent commercialement Lightwell, défense de la chaîne d'approvisionnement open source assistée par IA, élargie à Palo Alto Networks pour le virtual patching, avec Lightwell Network (dépôts signés, backports) et Lightwell Clearinghouse (correctifs sous embargo). 📡 Le CERT-FR publie l'avis CERTFR-2026-AVI-0852 sur de multiples vulnérabilités Juniper Networks (Junos OS, cRPD, CTP...

🚨 La CISA ajoute au catalogue KEV la vulnérabilité CVE-2026-48282, un Path Traversal dans Adobe ColdFusion activement exploité, dans le cadre de la directive BOD 26-04 de priorisation par le risque. 🚨 La CISA ajoute trois vulnérabilités exploitées au catalogue KEV : CVE-2026-48908 dans JoomShaper SP Page Builder (upload de fichier dangereux), CVE-2026-55255 dans Langflow (contournement d'autoris...

🛡️ Une chercheuse a accédé au panneau de gestion du streaming en production de la Coupe du monde 2026 via un simple compte public FIFA. La faille : une autorisation NO_ROLES vérifiée uniquement côté client, tandis que les serveurs répondaient à toutes les requêtes. Étaient exposés les clés de flux RTMP, les contrôles start/stop et le Commentator Information System d'un événement diffusé à trois mi...

🕵️ Check Point Research documente Cavern, framework C2 modulaire opéré par le groupe iranien Cavern Manticore, avec liens vers MuddyWater et Lyceum, contre fournisseurs IT et entités gouvernementales israéliennes. Chaîne via abus de la mise à jour SysAid, DLL side-loading vers uxtheme.dll trojanisée, cinq modules DLL couvrant fichiers, SQL, Active Directory, réseau et tunneling SOCKS5. Trois forma...

🐧 Seconde vague d'attaques contre le dépôt AUR d'Arch Linux, quelques heures après la clôture d'un incident ayant conduit au retrait de plus de 1 500 paquets malveillants. La nouvelle campagne utilise du code obfusqué exécuté après installation, qui télécharge silencieusement du JavaScript depuis Internet. Plus de 50 paquets infectés recensés, créations de comptes AUR temporairement bloquées. 🖥️...

🛡️ Le Centre canadien pour la cybersécurité publie le bulletin AV26-649 relayant les correctifs WatchGuard du 2 juillet. Plusieurs branches de Fireware OS sont concernées, ainsi que le client Mobile VPN with SSL pour Windows. Les avis couvrent une Race Condition avec Use-After-Free dans Mobile VPN with IKEv2 et une élévation de privilèges locale dans le client SSL Windows. 🔓 Cisco Talos dissèque...

🇫🇷 Le CERT-FR publie un avis sur une vulnérabilité dans FreeBSD affectant les séries 14.x et 15.0 avec risque d'atteinte à la confidentialité. La CVE-2026-49424 nécessite application des correctifs depuis le bulletin FreeBSD-SA-26:47. 💰 Un développeur accuse Google Cloud d'avoir facturé onze mille dollars de frais frauduleux liés à Gemini après compromission de Firebase Admin SDK, malgré suspensi...

🐧 Anthropic publie une version bêta officielle de Claude Desktop pour Linux, prenant en charge Ubuntu 22.04 et supérieur et Debian 12 et supérieur, sur x86_64 et arm64. Installation par dépôt apt ou fichier .deb, avec les environnements Chat, Claude Cowork et Claude Code. La fonction Computer Use, la saisie vocale et les raccourcis Wayland restent exclus de cette préversion. 📱 Clubic rapporte un...

🔐 Proton met en avant Lumo AI, son assistant conversationnel positionné sur la confidentialité. Selon Proton, le service n'entraîne pas ses modèles sur les données des utilisateurs, ne journalise pas les conversations et ne les partage pas. Code open source, hébergement européen, mode Ghost, historique chiffré de bout en bout et intégration Proton Drive figurent parmi les fonctions annoncées. 🛠️...

🐧 Kali Linux 2026.2 est disponible. La distribution met à niveau GNOME 50 et KDE Plasma 6.6, retire le firmware graphique des images de machine virtuelle pour des démarrages environ trois fois plus rapides sous QEMU, et passe au format deb822 pour les sources APT. Elle embarque le noyau Linux 6.19 et neuf nouveaux outils orientés pentest et OSINT, dont legba, penelope et tookie-osint. 🪟 La CISA...

🚨 La CISA ajoute deux vulnérabilités activement exploitées à son catalogue KEV : la CVE-2026-12569 dans PTC Windchill et FlexPLM, et la CVE-2026-20230, une faille SSRF dans Cisco Unified Communications Manager. Les agences fédérales doivent prioriser la remédiation selon la BOD 26-04. 🛡️ Le CERT-FR publie l'avis CERTFR-2026-AVI-0814 sur la CVE-2026-55204, une vulnérabilité Null Pointer Dereferenc...

🔍 Cet épisode spécial répond à la question d'un auditeur de RadioCSIRT sur la confiance à accorder à Trivy après les deux compromissions de mars 2026. Rappel factuel des incidents TeamPCP : exploitation d'une misconfiguration GitHub Actions, vol de credentials, tag poisoning de 76 tags trivy-action, publication de binaires malveillants (v0.69.4 à v0.69.6) et déploiement du ver auto-propagatif Can...

🤖 Cisco Talos explore l'apport des modèles de langage pour indexer et exploiter le renseignement sur les menaces au-delà des IOC tactiques. La newsletter met également en lumière l'abus du Component Object Model par des malwares comme Qakbot et WarmCookie pour la persistance et l'évasion sous Windows. 📦 Malwarebytes analyse une campagne d'arnaque au « Parcel Expert » diffusée via WhatsApp. Les v...

🇺🇸 Le secrétaire à la Sécurité intérieure Markwayne Mullin révèle devant le Congrès que le président a rencontré un candidat au poste de directeur de la CISA. L'agence, qui a perdu un tiers de ses effectifs, prévoit le recrutement de six cents personnes. La reconstruction est estimée à un an. 🪟 Microsoft prolonge discrètement d'un an le programme gratuit de mises à jour de sécurité étendues pour...

🛡️ Opération Endgame : Eurojust et Europol coordonnent le démantèlement de SocGholish, StealC et Amadey. 326 serveurs et 142 domaines neutralisés, 27 millions de jeux de données compromis récupérés. 🔗 Cordyceps : Novee Security identifie une classe de failles CI/CD exposant plus de 300 dépôts GitHub de Microsoft, Google, Apache, Cloudflare et Python à des attaques Supply Chain. 🤖 Technique anti-...

🔐 Au sommaire de cette édition : une vulnérabilité de validation cryptographique dans GnuPG, la sortie officielle du noyau Linux 7.1, une déclaration stratégique commune des agences Five Eyes sur le risque cyber lié à l'intelligence artificielle, une faille de contrôle d'accès dans MISP Core et une analyse du SANS ISC sur les configurations SonicWall qui restent exploitables après correctif. Tour...

🪟 Un youtubeur australien détourne une machine à glaçons et un thermostat de réfrigérateur à bière pour refroidir une RTX 3060 à 22 °C sous Cyberpunk 2077, soit une baisse de 62 % par rapport au refroidissement standard. La condensation sur les composants après dix minutes marque la limite physique de l'expérience. (Clubic) 🛡️ Le botnet AryStinger a compromis plus de quatre mille routeurs D-Link...

🔍 Elastic Security Labs publie un guide complet pour ingérer les Azure AD Graph Activity Logs dans Elastic et détecter les énumérations par ROADrecon et AADInternals. Cette catégorie de diagnostic, disponible depuis début 2026, comble un angle mort de près de dix ans sur l'activité de l'API legacy graph.windows.net. Cinq règles de détection prêtes à l'emploi sont fournies. 🎣 Le SANS Internet Sto...

📱 Les chercheurs de Paradigm Shift publient usbliter8, un exploit non corrigeable ciblant le SecureROM des puces Apple A12 et A13. La faille, liée au contrôleur USB Synopsys DWC2, permet une exécution de code en mode privilégié EL1 via un accès physique en mode DFU. Les appareils concernés incluent les iPhone XS, XR, 11, SE deuxième génération et plusieurs iPad et Apple Watch. Aucun CVE attribué....

🚔 L'opération Endgame franchit une nouvelle étape avec le nettoyage de près de 15 000 sites WordPress infectés par SocGholish et la mise hors ligne de 106 serveurs liés à Evil Corp. F5 publie des correctifs hors cycle pour des failles critiques dans NGINX, notamment une use-after-free dans le module HTTP/3. Proofpoint détaille l'expansion mondiale de TA4922, groupe cybercriminel sinophone déploya...

🔓 La fuite FortiBleed expose les identifiants VPN de près de 75 000 équipements Fortinet dans 194 pays. La base contient des noms d'utilisateur et des mots de passe en clair d'organisations majeures. Un groupe russophone multi-opérateurs aurait mené plus d'un milliard de tentatives d'authentification. Kevin Beaumont confirme l'authenticité d'une partie des données et estime que la moitié des pare...

🚨 La CISA ajoute deux vulnérabilités à son catalogue KEV sur preuve d'exploitation active : CVE-2026-20262, une faille de Path Traversal dans Cisco Catalyst SD-WAN Manager, et CVE-2026-54420, un Symlink Following dans le plugin LiteSpeed pour cPanel. L'agence cite la Binding Operational Directive 26-04, qui impose aux agences fédérales civiles de prioriser la remédiation des vulnérabilités KEV à...

🇷🇺 Le russe Kaluga Astral confirme une cyberattaque ayant interrompu ses services environ une semaine, touchant déclaration fiscale, GED et messagerie de clients dont des entreprises d'État ; aucune fuite de données clients constatée, aucune attribution (Recorded Future News). 🇫🇷 Le CERT-FR publie l'avis CERTFR-2026-AVI-0752 sur de multiples vulnérabilités Mattermost Server (10.11.x < 10.11.20,...

🇺🇸 Le gouvernement américain coupe l'accès à Mythos Édition spéciale. Le 12 juin 2026, le gouvernement des États-Unis a ordonné à Anthropic de suspendre immédiatement l'accès à ses modèles Fable 5 et Mythos 5 , pour l'ensemble de ses clients dans le monde, sur le fondement d'un dispositif de contrôle à l'exportation et de ses autorités de sécurité nationale. Dans cet épisode, nous établissons les...