Le fil cybersécurité, trié par gravité

Des pirates ont pris le contrôle de plusieurs domaines Google en compromettant des registres de domaines nationaux (ccTLD) du Ghana, des Samoa américaines et de la Sierra Leone. En s'introduisant chez des opérateurs tiers, les attaquants ont pu modifier les enregistrements DNS faisant autorité et obtenir frauduleusement des certificats HTTPS. Cette manipulation a permis de détourner le trafic de certains services Google vers des serveurs malveillants. Aucune action n'est requise de la part des administrateurs système, car l'incident concernait l'infrastructure des registres et non les configurations locales des utilisateurs.

Des attaquants ont compromis les registres de trois extensions nationales (.gh, .sl et .as), leur permettant d'émettre des certificats HTTPS frauduleux pour des domaines appartenant à Google. Bien que les systèmes de Google n'aient pas été touchés, ces certificats permettent d'usurper l'identité de sites officiels via des connexions chiffrées. Aucune action technique n'est requise pour les administrateurs de serveurs tiers, car l'incident concerne spécifiquement la gestion de ces trois domaines de premier niveau (ccTLDs).

Huit paquets npm malveillants, téléchargés plus de 40 000 fois, ont été utilisés pour installer un cheval de Troie (RAT Overlord) et un logiciel voleur de données sur les machines des développeurs. Cette campagne, surnommée MALFEX, utilise des techniques de "typosquatting" pour tromper les utilisateurs lors de l'installation de dépendances. Si vous utilisez npm, vérifiez l'orthographe exacte de vos dépendances et examinez vos fichiers `package-lock.json` pour détecter des bibliothèques suspectes ou inconnues. Aucun identifiant CVE n'est mentionné car il s'agit d'une attaque par ingestion de paquets malveillants et non d'une faille logicielle.

SonicWall a publié des correctifs pour quatre vulnérabilités affectant ses appliances SMA1000, utilisées comme passerelles d'accès distant. La faille la plus critique est une vulnérabilité SSRF (Server-Side Request Forgery) permettant à un attaquant non authentifié d'envoyer des requêtes vers des fonctions internes de l'appareil. Cette faille a reçu un score de criticité maximal de 10.0 sur l'échelle CVSS. Si vous administrez l'un de ces équipements, installez immédiatement les correctifs fournis par l'éditeur.

Un nouveau malware nommé PoeLLM cible les infrastructures d'intelligence artificielle et les modèles de langage (LLM) exposés pour déployer des mineurs de cryptomonnaies. Cette campagne, baptisée Canto Incognito, a déjà infecté plus de 3 400 serveurs pour étendre un botnet à des fins financières. Si vous exposez des API ou des interfaces de modèles d'IA sur Internet, assurez-vous qu'elles sont correctement authentifiées et ne laissent pas d'accès non restreints à vos ressources système.

Le malware PoeLLM cible les serveurs d'IA exposés sur Internet pour les transformer en mineurs de cryptomonnaies et en relais d'attaque vers d'autres machines. Une fois installé, l'attaquant utilise le serveur compromis pour scanner le réseau et tenter d'exploiter d'autres vulnérabilités. Si vous hébergez des services d'IA ou des modèles LLM, assurez-vous qu'ils ne sont pas exposés publiquement sans protection et vérifiez vos journaux de connexions pour détecter des pics de CPU anormaux.

Une campagne de vol d'identifiants nommée « FortiBleed » cible activement les pare-feu FortiGate et les passerelles SSL VPN de Fortinet exposés sur Internet. Les attaquants exploitent des mots de passe fuités ou réutilisés, ainsi que l'ancien stockage des mots de passe en SHA-256 pour compromettre les accès. Plus de 86 000 identifiants ont déjà été collectés. Si vous utilisez ces équipements, assurez-vous que vos systèmes sont à jour et imposez l'authentification multi-facteur (MFA) pour limiter l'impact de credentials compromis.

Une faille critique d'accès arbitraire aux fichiers (CVE-2026-21589), notée 9.3 au score CVSS, affecte plusieurs produits Atlassian en version Data Center, notamment Jira Software, Jira Service Management, Confluence et Bitbucket. Des tentatives d'exploitation ont été détectées seulement deux heures après la publication des détails techniques. Si vous administrez l'une de ces instances, il est impératif de mettre à jour vos logiciels vers les versions corrigées fournies par l'éditeur.

Le "pentesting agentique" désigne l'utilisation d'agents IA autonomes capables de découvrir, valider et exploiter des chemins d'attaque sans intervention humaine constante. Contrairement aux scanners de vulnérabilités classiques, ces outils simulent le raisonnement d'un attaquant pour enchaîner plusieurs failles. L'objectif est d'automatiser la validation des risques réels plutôt que de simplement lister des vulnérabilités théoriques. Aucune action technique immédiate n'est requise, car il s'agit d'une réflexion sur l'évolution des méthodes d'audit de sécurité.

Une faille de type SSRF (Server-Side Request Forgery) d'une sévérité maximale a été découverte dans les passerelles SonicWall de la série SMA1000. Cette vulnérabilité permettrait à un attaquant distant d'induire l'appareil à effectuer des requêtes HTTP non autorisées vers des ressources internes ou externes. Pour corriger cette faille, SonicWall a publié des correctifs d'urgence (hotfixes) que les administrateurs concernés doivent appliquer immédiatement.

Anthropic a élargi son programme permettant à des experts en cybersécurité d'accéder à ses modèles Claude avec des garde-fous réduits pour faciliter la recherche de failles. Cette initiative, baptisée Project Glasswing, a permis d'identifier 129 000 vulnérabilités logicielles vérifiées entre avril et juillet 2024. L'objectif est d'utiliser l'IA pour détecter des bugs complexes plus rapidement que les méthodes traditionnelles. Aucune action n'est requise de votre côté, car il s'agit d'un effort de recherche global sur divers logiciels.

Plus de 100 sites web ont été compromis par l'injection d'un script JavaScript malveillant conçu pour distribuer LunexStealer (également connu sous le nom de Psychedelic Stealer). Pour tromper les utilisateurs et contourner la vigilance, l'attaque utilise de fausses pages de vérification Cloudflare. Ce malware vise principalement le vol d'informations sensibles sur les machines des visiteurs. Si vous administrez un site, vérifiez l'intégrité de vos fichiers sources et surveillez l'apparition de scripts non autorisés dans vos pages HTML.

Plusieurs vulnérabilités critiques ont été identifiées dans le système de gestion de contenu SPIP. Selon la faille exploitée, un attaquant peut exécuter du code arbitraire à distance, augmenter ses privilèges sur le serveur ou accéder à des données confidentielles. Si vous utilisez SPIP, il est impératif de mettre à jour votre installation vers la dernière version disponible pour corriger ces failles.

Plusieurs vulnérabilités ont été identifiées dans les produits Veeam, permettant potentiellement l'exécution de code arbitraire à distance, l'injection de code (XSS) ou l'accès non autorisé à des données confidentielles. Ces failles pourraient permettre à un attaquant de prendre le contrôle d'une instance ou de compromettre la confidentialité des sauvegardes. Il est fortement recommandé de mettre à jour vos installations Veeam vers les dernières versions corrigées pour combler ces brèches.

Plusieurs vulnérabilités critiques touchent les produits HPE Aruba Networking, permettant potentiellement l'exécution de code arbitraire à distance, l'élévation de privilèges ou des dénis de service. Ces failles pourraient permettre à un attaquant de prendre le contrôle d'équipements réseau ou d'interrompre le trafic. Si vous utilisez du matériel Aruba, il est recommandé de consulter les avis de sécurité du constructeur et d'appliquer les mises à jour de firmware disponibles.

Plusieurs vulnérabilités ont été identifiées dans les produits Elastic, permettant potentiellement l'élévation de privilèges, le contournement des politiques de sécurité ou l'accès non autorisé à des données confidentielles. Bien que les CVE spécifiques ne soient pas détaillées dans cet avis, ces failles impactent la gestion des accès et la confidentialité du système. Il est recommandé de mettre à jour vos instances Elastic vers les dernières versions corrigées pour combler ces brèches.