RadioCSIRT

🐛 Plex2Shell, quatre failles ajoutées au catalogue KEV de la CISA le 20 octobre : CVE-2026-96652 (SSRF sans authentification, CVSS 5,3), CVE-2026-96654 (neutralisation incorrecte d'URL, récupération du jeton d'administration du propriétaire, CVSS 6,9), CVE-2026-96655 (SSRF authentifiée, CVSS 5,3) et CVE-2026-96656 (contrôle externe d'un nom de fichier, écriture et exécution d'un objet ELF dans le...

🤖 Oguzhan Salman et Kemal Bicakci publient sur arXiv un solveur de CAPTCHA visuels qui associe un détecteur YOLOv8 affiné et un modèle de vision et de langage en poids ouverts, reliés par un aiguillage fondé sur la confiance ; il opère par captures d'écran et événements d'entrée du système, sans automatisation du navigateur ni accès au DOM. Il atteint 85,4 % de réussite globale et 84,2 % en moyen...

🐛 Avant l'attaque : selon Nozomi Networks, Synacktiv documente dès mai 2023 un contournement d'authentification par code du jour sur les gestionnaires Danfoss SM800, SC255 et SC355, sans correctif car en fin de vie ; l'AK-SC 355 est retiré en 2016, l'AK-SM 800 en fin de vie en 2021, et Danfoss annonce l'arrêt complet du service en octobre 2025. Le 9 août 2026, Claroty Team82 publie sur l'AK-SM 80...

🎙️ Épisode spécial, en réponse au message d'un auditeur sur le répondeur de RadioCSIRT : l'usage d'équipements Huawei dans un réseau d'entreprise, entre constats d'audit et cadre réglementaire, sur les segments LAN, WLAN et WAN. 🔎 Le Huawei Cyber Security Evaluation Centre (HCSEC), financé par Huawei et dont les conclusions remontent au NCSC britannique, a relevé pendant plusieurs années des défa...

🚨 Atlassian Data Center : CVE-2026-21589, CVSS de 9,3, accès à des fichiers arbitraires sans authentification , déjà présentée dans l'épisode 773 et désormais exploitée (T1190). La société Previdian a vu quinze tentatives depuis trois adresses IP, deux heures après la publication de détails techniques par watchTowr ; les tentatives restent, selon watchTowr, de la reconnaissance et du balayage de...

🛡️ PAN-OS : CVE-2026-0322, CVSS 4.0 de 8,6, CWE-94 , injection de code dans l'interface d'administration, qui donne l'exécution de code sous root à un attaquant authentifié avec des privilèges élevés et un accès réseau ; exploitation très limitée selon Palo Alto Networks, découverte interne, ajout au catalogue KEV le 14 octobre avec échéance fédérale au 17 octobre. PA-Series, VM-Series et Panorama...

📈 Le 13 octobre 2026, Microsoft publie 1409 CVE dans l'export par produit du Security Update Guide : 672 élévations de privilèges, 315 exécutions de code à distance, 251 divulgations d'informations, 72 dénis de service, 40 contournements de fonction de sécurité, 29 altérations et 27 usurpations. Windows en porte 1114, soit 79 %. Une faille est exploitée, la CVE-2026-96951, et deux sont divulguées...

🛡️ WatchGuard publie Fireware 12.12.3, qui corrige quinze vulnérabilités dans le système d'exploitation de ses pare-feux Firebox. Parmi les corrections figure une exécution de code à distance dans le traitement du fichier de configuration du client BOVPN Over TLS, la CVE-2026-86131. Les autres corrections couvrent une désérialisation de données non fiables dans le démon samld, deux dépassements de...

🎙️ Huawei fait l'objet d'une question d'auditeur, trop large pour un avis donné à la volée. Un épisode dédié est en préparation, construit à partir de sources vérifiables, de façon neutre et factuelle, loin des clichés habituels. 🛡️ Le VOC revient dans un message d'auditeur, qui réclame un épisode spécial sur le sujet. Porté par son intervention à InterVOC, MarcFred envisage une mini-série d'ici l...

🚨 L'agence nationale de police japonaise confirme l'arrestation et l'extradition vers l'Allemagne d'un ressortissant russe de 28 ans, soupçonné d'avoir participé aux activités du ransomware Qilin, interpellé en mai dans un hôtel d'Osaka et remis à l'Allemagne en juin. Qilin opère en ransomware-as-a-service, le noyau prélevant 15 à 20 % des rançons selon CybelAngel, avec un accès initial par ident...

🚨 Le FBI, la CISA et la NSA publient le 8 octobre, avec sept autres organisations, l'avis conjoint AA26-281A sur Integrity Technology Group, société chinoise liée au gouvernement chinois, dont les méthodes recoupent Flax Typhoon, Ethereal Panda et Red Juliett. Les attaquants combinent scan open source, injections de code pour voler des identifiants, password spray contre Microsoft Exchange, répli...

🗂️ GitGuardian détaille GhostAction, une campagne qui détourne GitHub Actions pour voler des secrets dans des dépôts publics. L'enquête recense 772 dépôts compromis chez 373 utilisateurs et organisations entre le 31 août et le 30 septembre, pour 2 577 secrets ciblés et 26 secrets confirmés exfiltrés dans 13 dépôts. Les clés SSH et les identifiants de déploiement forment la catégorie la plus visée,...

💾 Kaseya décrit des groupes de ransomware qui neutralisent les sauvegardes avant de chiffrer : ALPHV/BlackCat chez Change Healthcare en février 2024 (22 millions de dollars de rançon versés par UnitedHealth, environ 1,6 milliard de dollars de coûts de reprise), BlackMatter contre NEW Cooperative et Crystal Valley en 2021, Gunra dans l'avis commun de la CISA et du FBI d'août 2026. Dans le cas Gunr...

🐧 Ubuntu 26.10 réduit le code des composants privilégiés : GRUB signé allégé, chiffrement adossé au TPM étendu aux machines sans racine de confiance matérielle, utilitaires de base entièrement en Rust, OpenSSL 4.0 et OpenSSH 10.5 avec échange de clés post-quantique par défaut, bus de messages remplacé avec médiation AppArmor maintenue. Billet d'éditeur sans mesure. Vérifier toute disposition de p...

🚨 La CISA a ajouté le 4 octobre au catalogue KEV la CVE-2026-88779, un dépassement de mémoire dans Citrix NetScaler ADC et NetScaler Gateway configurés en authentification SAML. Citrix la décrit comme un déni de service exploité lors d'attaques ciblées, avec un score CVSS de 8,7. Les versions corrigées sont 14.1-73.41 et 13.1-64.28 ; pour les variantes FIPS et NDcPP, 14.1-73.41 FIPS et 13.1-37.28...

📈 Aikido relaie le graphique du fonds d'investissement A16Z : plus de 600 CVE critiques ou élevées par mois chez 21 éditeurs depuis le printemps 2026, contre moins de 100 auparavant. Un audit fédéral de mai place l'arriéré du NIST à plus de 27 000 CVE. Verizon, cité par Aikido, relève 26 % des failles du catalogue KEV entièrement corrigées en 2025 contre 38 % un an plus tôt, avec un délai médian...

🚨 Le CERT-Bund allemand publie l'avis WID-SEC-2026-3717 du 2 octobre 2026 sur OpenCTI, plateforme open source de gestion des connaissances en cyber threat intelligence. Un attaquant distant et authentifié peut obtenir les droits d'administrateur dans les versions antérieures à 7.260624.0 sur Linux, avec un score CVSS de 8,8 et un score temporel de 7,7. L'avis indique qu'une mesure d'atténuation e...

🐛 CVE-2025-10502, débordement de tampon dans ANGLE, composant de Google Chrome, avec un score CVSS de 8,8. Corrigée dans Chrome 140.0.7339.185 ; le registre FSTEC cite aussi Microsoft Edge et la note avec un score CVSS de 6,3. Décision SSVC de la CISA du 25 septembre 2025 : exploitation none, automatable no, technical impact total ; EPSS à 0,28 %. AlmaLinux la reprend le 30 septembre 2026 dans AL...

🚔 L'opération KillSwitch contre le ransomware KillSec, menée par l'Allemagne et coordonnée par Europol et Eurojust, a donné lieu à huit perquisitions dans quatre pays et à trois arrestations provisoires. Les enquêteurs contrôlent désormais cinq serveurs, le site de fuite et les domaines du groupe, et la police de Hambourg a sécurisé au moins 110 To de données. La justice américaine inculpe le Née...

🚨 L'agence américaine CISA ajoute le 30 septembre à son catalogue KEV la CVE-2026-76504, un contournement d'authentification de Cisco Catalyst SD-WAN Manager avec un score CVSS de 9,8 : un caractère encodé en hexadécimal dans le chemin de connexion donne l'accès à l'API avec le compte admin, qui porte le rôle netadmin. Cisco a constaté l'exploitation en septembre et ne propose aucun contournement...

🔐 Le CERT-FR signale dans l'avis CERTFR-2026-AVI-1241 14 vulnérabilités d'OpenSSL : CVE-2026-84782, CVE-2026-84783, CVE-2026-35189, CVE-2026-35191, CVE-2026-42772, CVE-2026-54872, CVE-2026-54873, CVE-2026-54875, CVE-2026-72897, CVE-2026-75804, CVE-2026-75805, CVE-2026-75806, CVE-2026-77696 et CVE-2026-84784. Selon OpenSSL, seule la CVE-2026-84782, lecture hors limites dans la retransmission DTLS,...

🪟 L'éditeur Microsoft décrit NeedyMantis , un malware chargé par DLL sideloading via des programmes légitimes comme Poedit ou TightVNC, qu'il observe depuis octobre 2025 dans des intrusions ciblées contre des opérateurs télécoms, des universités, des organismes intergouvernementaux et des sous-traitants gouvernementaux. Microsoft compte parmi ses utilisateurs le groupe Storm-3069, lié à la compro...

🗂️ La société UpGuard relève plus de 16 000 bases Supabase mal configurées, sur environ 300 000 domaines analysés : plus de la moitié exposent des données personnelles, une part plus faible expose des mots de passe et des jetons d'authentification, et une très petite partie contiendrait des données de cartes bancaires. UpGuard attribue ces expositions à des règles d'accès ligne par ligne (row-leve...

🛡️ La CVE-2026-19490, contournement d'authentification sans compte dans Citrix NetScaler ADC et NetScaler Gateway, touche les appliances configurées en Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ou en serveur virtuel AAA ; sur les versions récentes, elle suppose en plus une action d'authentification SAML. Elle est notée 9,3 en CVSS v4.0 et 9,8 en CVSS v3.1, figure au catalogue KEV de la CISA de...

🪟 Microsoft confirme sur Windows 11 un défaut qui laisse un écran noir ou un bureau qui ne se charge pas après l'ouverture de session, surtout sur les hôtes de session Azure Virtual Desktop avec conteneurs de profils FSLogix ; le défaut figure depuis le 24 septembre au tableau de bord de l'état des versions, classé atténué, sans correction du code. Microsoft désigne comme mises à jour d'origine K...