RadioCSIRT

🎙️ Huawei fait l'objet d'une question d'auditeur, trop large pour un avis donné à la volée. Un épisode dédié est en préparation, construit à partir de sources vérifiables, de façon neutre et factuelle, loin des clichés habituels.🛡️ Le VOC revient dans un message d'auditeur, qui réclame un épisode spécial sur le sujet. Porté par son intervention à InterVOC, MarcFred envisage une mini-série d'ici la fin de l'année.🔬 Un format plus technique est demandé, avec les TTPs et les modes opératoires, en complément du flash court. L'idée est à l'étude : un épisode le samedi, consacré à un groupe, une attaque ou un malware.💬 Un message de remerciement clôt les retours d'auditeurs que je partage avec l'ensemble des auditrices et auditeurs : ce podcast est fait pour eux, à 100 %.🎬 La vidéo de RadioCSIRT, réclamée par plusieurs auditeurs lors des Assises, reste à venir. Le matériel d'enregistrement et de diffusion est prêt, la compétence sur le montage reste à acquérir, pour une diffusion en parallèle du podcast avec des éléments de reportage.⚡️ On ne réfléchit pas, on patch !📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Repondeur #Huawei #InterVOC #Podcast #RadioCSIRT

🚨 L'agence nationale de police japonaise confirme l'arrestation et l'extradition vers l'Allemagne d'un ressortissant russe de 28 ans, soupçonné d'avoir participé aux activités du ransomware Qilin, interpellé en mai dans un hôtel d'Osaka et remis à l'Allemagne en juin. Qilin opère en ransomware-as-a-service, le noyau prélevant 15 à 20 % des rançons selon CybelAngel, avec un accès initial par identifiants valides sur VPN et RDP, par exploitation d'équipements exposés, dont les CVE-2024-21762 et CVE-2024-55591 chez Fortinet, la CVE-2026-50751 chez Check Point et la CVE-2024-27198 sur TeamCity, et par compromission de comptes d'administration d'infogérants. La chaîne d'exécution combine PowerShell, stratégies de groupe, vol d'identifiants dans LSASS et dans Chrome via Mimikatz, arrêt des EDR par pilote vulnérable (BYOVD), redémarrage en mode sans échec, exécution d'ELF sous WSL, exfiltration par Rclone et WinRAR, puis suppression des clichés instantanés et des catalogues Veeam avant chiffrement par un binaire Go puis Rust visant Windows, Linux et ESXi. Deuxième groupe le plus actif en juillet avec 127 attaques signalées, Qilin a revendiqué Die Linke, Asahi et l'agence fédérale américaine ATF.🍏 Le Museo de Historia de la Computación, en Espagne, dévoile une réplique visuelle à l'échelle 1 du Cray-1 de 1976, construite en 18 mois avec 30 Mac mini, dont 5 i7 quadricœur et 25 i5 bicœur, tous de 2012 sauf deux unités de 2014. Les 64 cœurs actifs atteignent 1,3 téraflops, contre 1,5 téraflops relevés auparavant sur 70 cœurs, mesurés par un script Python de multiplication de matrices ; le Cray-1 d'origine plafonnait à 160 mégaflops théoriques. Le cluster tourne sous macOS Mojave 10.14 pour son support natif de MPI, et se refroidit par convection passive, le châssis vertical servant de cheminée thermique, les seuls 30 à 33 décibels venant de deux commutateurs gigabit en pied de tour. Le musée prévoit une campagne de financement participatif pour 70 à 80 Mac mini M4 supplémentaires, avec l'objectif d'un classement au TOP500.🎣 Le FBI a arrêté le 8 octobre en Pennsylvanie Edward Dubrovsky, dirigeant d'une société canadienne spécialisée dans la négociation de rançons, dans le cadre de l'enquête sur ShinyHunters ; les chefs retenus sont l'entente en vue d'extorquer de l'argent en menaçant la confidentialité d'informations et l'entrave au commerce par la menace, la plainte est scellée et le dossier a été transféré le 9 octobre au district Est du Texas. Cypfer précise que l'intéressé y a été directeur général jusqu'à sa démission en novembre 2025, et non fondateur comme l'indique son profil LinkedIn. Selon Huntress, le mode opératoire du groupe repose sur le vishing vers des pages de connexion aux couleurs de la victime, la capture en direct des codes MFA puis l'enrôlement d'un appareil attaquant, la réutilisation de jetons OAuth volés à des intégrations tierces comme Drift, Gainsight et Anodot, la recherche de jetons dans les dépôts de code avec TruffleHog, et l'export en masse via Salesforce Data Loader, SharePoint et OneDrive, avant extorsion par échantillon de preuve, négociation sur Tox et paiement en bitcoin sous 72 heures. Selon le FBI, ShinyHunters a extorqué plus de 70 millions de dollars depuis janvier ; KrebsOnSecurity indique que des poursuites contre des responsables d'autres sociétés de négociation pourraient suivre, à partir des appareils saisis lors de l'arrestation de Pepijn van der Stap aux Pays-Bas.📡 DomainTools publie une enquête sur une vague de VPN-over-DNS rattachée circonstanciellement à l'Iran, dans laquelle le domaine supaghost[.]cc a produit 40 milliards d'observations passives, jusqu'à 500 000 par seconde, soit 50 % de charge supplémentaire sur un réseau qui en traite environ un million par seconde. Le trafic, porté par des enregistrements TXT contenant probablement plusieurs paquets binaires multiplexés et par des sous-domaines générés automatiquement, était partitionné par étiquettes de troisième niveau déléguées à des serveurs de noms distincts, de slsa1 à slsa6, eux-mêmes hébergés sur des VPS bon marché placés derrière Cloudflare. L'activité a démarré le 1er mars vers 07:00 UTC, environ 24 heures après le début d'une campagne de bombardements américano-israélienne, puis s'est étendue à plus de 100 domaines, avec une surreprésentation du TLD .ir et des enregistrements datés de septembre à novembre 2025 restés dormants ; des services de tunneling établis en Eurasie et en Asie du Sud ont aussi vu leur activité croître. Ian Campbell précise qu'il n'a ni décodé le contenu, ni identifié les opérateurs, ni confirmé la finalité, que la concomitance ne vaut pas attribution, et qualifie de spéculation l'implication du régime iranien ou un transfert de données du programme nucléaire.🤖 CrowdStrike attribue les attaques de fin septembre à début octobre contre Shinhan Bank, KB Kookmin Bank et Hana Bank à un attaquant sinophone qui a employé la suite agentique ARTEX AI, développée en Chine, et des agents Claude pilotés par un fichier d'instructions de pentest en chinois ; un service de suivi de dossiers de prêt destiné aux courtiers et un outil mobile de travail pour salariés figurent parmi les accès obtenus. L'instance d'ARTEX utilisait DeepSeek v4.1-flash comme moteur principal, complété par GLM-5.3 de Zhipu AI et Grok 4.6, l'accès à DeepSeek passant probablement par le revendeur xcai[.]pro, sur une infrastructure à deux serveurs dont une machine à Hong Kong. Des répertoires ouverts ont livré historiques de session, fichiers de configuration et fichiers de mémoire, ainsi qu'un curriculum vitae rédigé avec les mêmes outils, qui pointe vers un Chinois de 26 ans établi à Maoming, dans le Guangdong, avec une date de naissance d'abord renseignée en 2007 ; CrowdStrike ne rattache l'activité à aucun groupe connu et retient avec une confiance modérée un opérateur sinophone à motivation financière. Le développeur d'ARTEX a fermé le code source et arrêté les mises à jour en se disant étranger aux attaques, mais des dérivés en anglais et en coréen restent disponibles.🎙️ Jan Kopriva, du SANS Internet Storm Center, explique pourquoi les marquages du Traffic Light Protocol ne remplacent pas une classification interne : le standard du FIRST énonce lui-même que le TLP n'est pas un schéma de classification formel et qu'il ne traite ni les conditions de licence, ni les règles de manipulation, ni les règles de chiffrement. Les niveaux ne se recouvrent pas non plus, TLP:CLEAR n'imposant aucune limite, TLP:GREEN autorisant la diffusion dans la communauté du destinataire hors canaux publics, par défaut la communauté cybersécurité, TLP:AMBER le partage dans l'organisation et avec ses clients sur la base du besoin d'en connaître, TLP:AMBER+STRICT la seule organisation, et TLP:RED aucune rediffusion au-delà des destinataires individuels. Marquer selon la sensibilité plutôt que selon le destinataire conduit soit à bloquer des partages légitimes, soit à faire ignorer le marquage. Kopriva conclut que le TLP doit compléter la classification interne et non la remplacer.Sources :Japan confirms arrest of Russian Qilin operative, extradition to Germany. The Record : https://therecord.media/japan-germany-ransomware-arrestQilin Ransomware: Attack Methods and 2026 Status. CybelAngel : https://cybelangel.com/blog/qilin-ransomware-tactics-attack/A Cray-1 supercomputer replica from 30 "obsolete" Mac Minis. Ars Technica : https://arstechnica.com/gadgets/2026/10/a-cray-1-supercomputer-replica-from-30-obsolete-mac-minis/FBI Arrests Executive at Ransomware Negotiation Firm. KrebsOnSecurity : https://krebsonsecurity.com/2026/10/fbi-arrests-founder-of-ransomware-negotiation-firm/ShinyHunters Threat Actor Profile: TTPs, IoCs & Attacks. Huntress : https://www.huntress.com/threat-library/threat-actors/shinyhuntersIran-Linked DNS Tunneling Activity Generates 40 Billion Records During 2026 Conflict. Cyber Press : https://cyberpress.org/iran-linked-dns-tunneling-activity-generates-40-billion/Iranian VPN-over-DNS Activity Generates 40 Billion DNS Observations During Military Conflict. GBHackers : https://gbhackers.com/iranian-vpn-over-dns-activity-generates-40-billion/ARTEX AI, Claude agents used in cyberattacks on South Korean banks. BleepingComputer : https://www.bleepingcomputer.com/news/security/hacker-used-artex-ai-and-claude-agents-to-target-south-korean-banks/AI-Driven tool ARTEX used in attacks against South Korean Banks. Security Affairs : https://securityaffairs.com/200661/hacking/ai-driven-tool-artex-used-in-attacks-against-south-korean-banks.htmlWhy TLP should not replace your internal information classification. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33414Traffic Light Protocol version 2.0. FIRST : https://www.first.org/tlp/⚡️ On ne réfléchit pas, on patch !📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Qilin #Ransomware #RaaS #BYOVD #ShinyHunters #Vishing #OAuth #FBI #DNSTunneling #Iran #DomainTools #ARTEX #CrowdStrike #CoreeDuSud #TLP #FIRST #CVE-2024-21762 #CVE-2024-55591 #CVE-2026-50751 #CVE-2024-27198 #RadioCSIRT

🚨 Le FBI, la CISA et la NSA publient le 8 octobre, avec sept autres organisations, l'avis conjoint AA26-281A sur Integrity Technology Group, société chinoise liée au gouvernement chinois, dont les méthodes recoupent Flax Typhoon, Ethereal Panda et Red Juliett. Les attaquants combinent scan open source, injections de code pour voler des identifiants, password spray contre Microsoft Exchange, réplication de l'Active Directory et exfiltration de messageries, avec une persistance assurée par le client VPN SoftEther renommé en exécutable Windows. Les failles exploitées relevées dans leurs scripts sont les CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 et CVE-2023-22894. Les organisations signataires recommandent de désactiver les services et ports inutilisés, d'assainir les entrées des applications web et d'imposer la MFA, et précisent que certains indicateurs remontent à 2016 et doivent être vérifiés avant blocage.🐧 Le CERT-FR publie l'avis CERTFR-2026-AVI-1280 sur une vulnérabilité dans Ceph, avec un risque d'exécution de code arbitraire à distance et d'élévation de privilèges. L'avis renvoie au bulletin Ceph GHSA-32wm-mjvr-8w9f du 7 octobre 2026 et à la CVE-2020-27781. Les systèmes affectés qu'il liste portent le nom de Manila : versions 15.x antérieures à 15.2.8, versions 16.x antérieures à 16.2.0 et versions antérieures à 14.2.16. Aucun score CVSS, composant ni état d'exploitation n'est indiqué.☁️ Le CERT-FR publie l'avis CERTFR-2026-AVI-1284 sur la CVE-2026-106126, qui permet une exécution de code arbitraire à distance dans Tenable Identity Exposure en version SaaS. Les versions antérieures à 3.126.0 sont concernées. L'avis reprend le bulletin Tenable tns-2026-27 du 8 octobre 2026. L'éditeur indique qu'une réinstallation d'un composant est nécessaire après la mise à jour.🤖 Ecosia met fin à son partenariat avec Mistral, cinq mois après avoir remplacé OpenAI par l'éditeur français, et se tourne vers la plateforme allemande Melious, qui héberge en Europe une soixantaine de modèles ouverts dont Qwen d'Alibaba, GLM de Z.ai et Kimi de Moonshot AI. Dans un entretien à Politico, le PDG Christian Kroll invoque une qualité décevante et un an de retard sur la concurrence, des serveurs saturés, l'alimentation des serveurs de Mistral par l'électricité nucléaire française, et la dépendance de l'éditeur à des investissements internationaux. Il déclare avoir réduit ses coûts de moitié. Mistral répond par la voix de son directeur scientifique Guillaume Lample, qui invite Ecosia à tester le modèle Large 4 annoncé le même jour.🛡️ Citrix corrige la CVE-2026-107406, un dépassement de mémoire noté avec un score CVSS de 9,5 sur l'échelle 4.0, qui peut conduire à une exécution de code à distance ou à un déni de service dans NetScaler ADC et NetScaler Gateway. L'équipement n'est vulnérable que s'il est configuré comme fournisseur de service ou fournisseur d'identité SAML, selon la version. Les versions correctives sont 14.1-73.46 et ultérieures, 13.1-64.29 et ultérieures de la branche 13.1, 14.1-73.46 FIPS et ultérieures pour 14.1-FIPS, et 13.1-37.283 et ultérieures pour 13.1-FIPS et 13.1-NDcPP. Citrix indique n'avoir connaissance d'aucune exploitation non atténuée à la date de son bulletin, et le CIS ne rapporte aucune exploitation observée.Sources :Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data. CISA : https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281aVulnérabilité dans Ceph. CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1280/Vulnérabilité dans les produits Tenable. CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1284/« Nous sommes déçus de Mistral » : le moteur de recherche Ecosia abandonne l'IA française pour des modèles chinois. 01net : https://www.01net.com/actualites/nous-sommes-decus-mistral-moteur-recherche-ecosia-abandonne-mistral-profit-ia-chinoises.htmlCVE-2026-107406 : Citrix Fixes Critical NetScaler ADC and Gateway Vulnerability. Security Affairs : https://securityaffairs.com/200670/security/cve-2026-107406-citrix-fixes-critical-netscaler-adc-and-gateway-vulnerability.htmlA Vulnerability in Citrix NetScaler ADC and Citrix NetScaler Gateway Could Allow for Remote Code Execution. Center for Internet Security : https://www.cisecurity.org/advisory/a-vulnerability-in-citrix-netscaler-adc-and-citrix-netscaler-gateway-could-allow-for-remote-code-execution_2026-110⚡️ On ne réfléchit pas, on patch !📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Chine #FlaxTyphoon #IntegrityTech #Exchange #ActiveDirectory #Ceph #OpenStack #Tenable #Mistral #Ecosia #Citrix #NetScaler #SAML #CVE-2020-27781 #CVE-2026-106126 #CVE-2026-107406 #RadioCSIRT

🗂️ GitGuardian détaille GhostAction, une campagne qui détourne GitHub Actions pour voler des secrets dans des dépôts publics. L'enquête recense 772 dépôts compromis chez 373 utilisateurs et organisations entre le 31 août et le 30 septembre, pour 2 577 secrets ciblés et 26 secrets confirmés exfiltrés dans 13 dépôts. Les clés SSH et les identifiants de déploiement forment la catégorie la plus visée, devant les identifiants Azure et les clés d'accès AWS. Au 5 octobre, seuls 124 dépôts, soit environ 16 %, montrent une remédiation effective.🪟 Checkmarx détaille MALFEX, une campagne npm qui propage huit paquets malveillants vers des systèmes Windows depuis un compte actif depuis août 2023. Les paquets concernés sont function-flag, function-color, cdn-img-fetch, img-to-native, native-runner, tlxbnhd, tldriver et mxdriver. Ils livrent selon le cas Overlord RAT, un cheval de Troie en Go injecté dans un processus système légitime, ou movinlike, un stealer visant Discord, les navigateurs, Telegram et les portefeuilles de cryptomonnaie. Au 1er octobre, les paquets totalisaient 40 767 téléchargements, et trois d'entre eux restaient installables : function-flag, function-color et cdn-img-fetch.🐧 Black Lotus Labs décrit PoeLLM, une campagne de minage qui a compromis plus de 3 400 serveurs LiteLLM, Ollama, Gotenberg et Gitea depuis avril. Le logiciel malveillant choisit son serveur de commande en décodant un poème hébergé sur GitHub. Un échantillon exploite la CVE-2026-42271 dans LiteLLM : un utilisateur authentifié peut exécuter des commandes sur les versions antérieures à 1.83.7, que corrige l'éditeur. Les serveurs compromis reçoivent ensuite les mineurs XMRig et Iron.🎙️ Le MIT annonce la mort de Margaret Hamilton, survenue le 30 septembre à 90 ans. Elle avait dirigé le développement du logiciel de vol des missions Apollo au laboratoire d'instrumentation du MIT, où plus de 400 personnes travaillaient sous sa direction en 1968. Son logiciel, conçu pour hiérarchiser les tâches, a permis à l'ordinateur de bord d'Apollo 11 de gérer une surcharge sans interrompre l'alunissage. Elle avait reçu la médaille présidentielle de la liberté en 2016.🚨 Le CERT-FR publie le 7 octobre un avis sur de multiples vulnérabilités dans OpenSSH, versions antérieures à 10.6, avec un risque d'exécution de code à distance et d'élévation de privilèges. L'éditeur, par la voix du développeur Damien Miller, indique que cette version corrige onze failles de sécurité. L'un des correctifs interdit le symbole dollar et la barre oblique inversée dans un nom d'utilisateur saisi en ligne de commande. Le CERT-FR ne donne aucun identifiant CVE pour ces onze failles.🔐 Europol publie deux rapports sur la menace que l'informatique quantique fait peser sur la cryptographie, avec l'université Carlos III de Madrid pour le second. Le premier situe le risque dans les clés qui protègent les portefeuilles de cryptomonnaie, qu'un ordinateur quantique suffisamment puissant pourrait recalculer à partir d'une clé publique exposée. Le second porte sur la collecte de communications chiffrées aujourd'hui en vue de leur déchiffrement futur ; Europol n'en constate aucune exploitation systématique avérée à ce jour. L'agence recommande d'identifier où la cryptographie est utilisée et de planifier par phases la transition vers des algorithmes post-quantiques.🐛 Le CERT-Bund signale plusieurs vulnérabilités dans X.Org X11 et Xwayland, notées avec un score CVSS de 7,8. Les versions concernées sont antérieures à 21.1.25 pour X.Org X11 et à 24.1.14 pour Xwayland. Un attaquant local peut en exploiter une ou plusieurs pour exécuter du code arbitraire ou provoquer un déni de service sur Linux et Unix. L'agence allemande ne précise ni le nombre de failles ni leur identifiant CVE.Sources :Hackers Abuse GitHub Actions to Steal SSH Keys, Cloud Credentials and Access Tokens. GBHackers : https://gbhackers.com/github-actions-workflows/MALFEX npm Campaign Uses 8 Malicious Packages to Deploy RATs and Credential Stealers. Cyber Press : https://cyberpress.org/malfex-npm-packages-spread-malware/PoeLLM Malware Hijacks 3,400+ Servers for Crypto Mining and Botnet Expansion. GBHackers : https://gbhackers.com/poellm-malware/Margaret Hamilton, computing pioneer who led software development for the Apollo program, dies at 90. MIT News : https://news.mit.edu/2026/margaret-hamilton-computing-pioneer-dies-1007Multiples vulnérabilités dans OpenSSH. CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1271/OpenSSH 10.6 Released With Security Fixes and a Dozen New Features. FOSS Force : https://fossforce.com/2026/10/openssh-10-6-released-with-security-fixes-and-a-dozen-new-features/Europol urges early action to protect cryptocurrencies and sensitive data from quantum threats. Europol : https://www.europol.europa.eu/media-press/newsroom/news/europol-urges-early-action-to-protect-cryptocurrencies-and-sensitive-data-quantum-threats[WID-SEC-2026-3787] X.Org X11 und Xwayland : Mehrere Schwachstellen. CERT-Bund : https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3787⚡️ On ne réfléchit pas, on patch !📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #GitHubActions #GhostAction #SupplyChain #MALFEX #PoeLLM #CryptoMining #OpenSSH #ANSSI #Europol #PostQuantum #XOrg #Xwayland #CVE-2026-42271 #RadioCSIRT

💾 Kaseya décrit des groupes de ransomware qui neutralisent les sauvegardes avant de chiffrer : ALPHV/BlackCat chez Change Healthcare en février 2024 (22 millions de dollars de rançon versés par UnitedHealth, environ 1,6 milliard de dollars de coûts de reprise), BlackMatter contre NEW Cooperative et Crystal Valley en 2021, Gunra dans l'avis commun de la CISA et du FBI d'août 2026. Dans le cas Gunra, un seul jeu d'identifiants volés a suffi pour effacer les sauvegardes et les archives du centre de données principal et du site de secours. Mesures avancées par la société : stockage immuable avec verrouillage des objets, isolation réseau et identifiants des sauvegardes, MFA et contrôle d'accès par rôle, correctifs des logiciels de sauvegarde au rythme de la production, tests de restauration. Contenu sponsorisé publié sur BleepingComputer, qui renvoie au rapport d'enquête de Kaseya.🔓 Le FBI et le Secret Service américain alertent sur FortiBleed, campagne de credential stuffing et de password spray sans zero-day contre les portails VPN SSL des FortiGate : plus de 86 644 équipements compromis dans 194 pays selon SOCRadar. Les attaquants créent des comptes d'administration et suppriment ou modifient les comptes d'origine, ce qui peut exclure les victimes de leurs équipements, puis revendent les accès à des initial access brokers qui fournissent les groupes de ransomware INC/Lynx et Payload. Mesures publiées par les deux agences : restreindre l'administration externe à des systèmes de confiance ou passer par une local-in policy, fermer les sessions d'administration et VPN, réinitialiser les mots de passe, imposer une MFA résistante au phishing ; Fortinet recommande PBKDF2 au lieu de l'ancien stockage SHA-256 pour les mots de passe d'administrateur à partir de FortiOS 7.2.11. Les agences demandent de vérifier les indicateurs avant tout blocage, parce que l'infrastructure hébergée dans le cloud change souvent de titulaire.🛡️ SonicWall corrige quatre failles dans les SMA1000 6210, 7210 et 8200v, sans exploitation constatée : CVE-2026-102255, SSRF sans authentification dans WorkPlace, CVSS 10,0 ; CVE-2026-102256, injection de commandes système avec compte administrateur, CVSS 7,8 ; CVE-2026-102257, Zip Slip dans l'AMC après connexion, CVSS 7,2 ; CVE-2026-102258, XSS stocké dans l'AMC avec compte administrateur, CVSS 5,5. Versions corrigées : 12.4.3-03670 et 12.5.0-03082 ou ultérieures ; les versions 12.4.3-03526 et 12.5.0-02952, que SonicWall donnait le 1er septembre comme correctifs de deux failles exploitées, restent vulnérables. Correctif sur le portail MySonicWall, redémarrage de la passerelle à l'installation, aucun contournement ; les pare-feu en SSL-VPN et la gamme SMA 100 ne sont pas concernés.🐛 Cisco Talos détaille huit failles corrigées par leurs éditeurs, dont quatre dans des pilotes Windows : élévation de privilèges et confusion de type dans Cloud Files Mini Filter Driver, fuites d'informations dans NETIO.sys et tcpip.sys, déni de service possible dans ce dernier. Foxit Reader 2026.1.1.36485 compte deux exécutions de code par fichier ou PDF piégé, l'installateur de Photoshop une élévation de privilèges, CoreWLAN de macOS 26.3.1 une fuite d'informations sans CVE indiquée. CVE : CVE-2026-58613, CVE-2026-80093, CVE-2026-50475, CVE-2026-49177 (Windows), CVE-2026-57256, CVE-2026-91799 (Foxit), CVE-2026-48388 (Photoshop). Règles Snort disponibles sur Snort.org ; Talos ne publie ni score ni état d'exploitation.Sources :Ransomware has a new target. Is your backup ready? BleepingComputer : https://www.bleepingcomputer.com/news/security/ransomware-has-a-new-target-is-your-backup-ready/FortiBleed hit 86,000 firewalls by exploiting something nobody can patch away. Security Affairs : https://securityaffairs.com/200558/cyber-crime/fortibleed-hit-86000-firewalls-by-exploiting-something-nobody-can-patch-away.htmlSonicWall Patches CVSS 10.0 Pre-Authentication SSRF Flaw in SMA1000 Appliances. The Hacker News : https://thehackernews.com/2026/10/sonicwall-patches-cvss-100-pre.htmlMicrosoft, Adobe, Apple, and Foxit vulnerabilities. Cisco Talos : https://blog.talosintelligence.com/microsoft-adobe-apple-and-foxit-vulnerabilities/⚡️ On ne réfléchit pas, on patch !📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Ransomware #Backup #Kaseya #Gunra #BlackMatter #ALPHV #FBI #SecretService #Fortinet #FortiGate #FortiBleed #SOCRadar #CredentialStuffing #PasswordSpray #SonicWall #SMA1000 #SSRF #CiscoTalos #Microsoft #Windows #Adobe #Photoshop #Apple #macOS #Foxit #Snort #CVE-2026-102255 #CVE-2026-102256 #CVE-2026-102257 #CVE-2026-102258 #CVE-2026-58613 #CVE-2026-80093 #CVE-2026-50475 #CVE-2026-49177 #CVE-2026-57256 #CVE-2026-91799 #CVE-2026-48388 #RadioCSIRT