Bienvenue sur Cyberveille

Veille semi-automatisée en cybersécurité : articles synthétisés et traduits automatiquement à partir de sources fiables, triés par catégorie.

🔗 La section CTI explore les connexions entre acteurs de menace, malwares, TTPs MITRE ATT&CK et vulnérabilités — graphe interactif construit sur l’ensemble des articles publiés.

🌍 La carte Pew Pew visualise en temps réel les attaques détectées par CrowdSec sur mon honeypot hebergé par Infomaniak (SSH, HTTP, Nextcloud).

💬 Discussions et publications sur notre communauté Lemmy.

En savoir plus →ℹ️

🪲 Semaine 37 — CVE les plus discutées

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-06 → 2026-09-13. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2021-44228 CVSS: N/A EPSS: 100.00% VLAI: Critical (confidence: 0.9556) CISA: KEV ProduitApache Software Foundation — Apache Log4j2 Publié2021-12-10T00:00:00.000Z Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects. ...

Campagne de phishing via faux stores Shopify liée au kit Outsider/JWR

🔍 Contexte Rapport publié le 14 septembre 2026 par BforeAI (chercheur Hans Dekker). Il documente une campagne active de fraude e-commerce exploitant la plateforme Shopify pour déployer des kits de phishing liés à l’opération Outsider, une infrastructure de phishing-as-a-service (PhaaS) poursuivie en justice par Google en juin 2026 et ciblée par le FBI dans l’Opération Ghost Hook. 🎯 Mécanisme d’attaque Les attaquants créent de véritables stores Shopify impersonnant des marques connues, puis les promeuvent via Google Shopping Ads. Le flux d’attaque est le suivant : ...

ConnectWise corrige une faille critique dans ScreenConnect exploitée dans des attaques de type ver

🔍 Contexte Source : SecurityWeek, publié le 14 septembre 2026 par Ionut Arghire. ConnectWise a publié des correctifs d’urgence pour une vulnérabilité critique affectant son logiciel d’accès et de support à distance ScreenConnect. 🐛 Vulnérabilité CVE-2026-84869 — Score CVSS : 9.9/10 Catégorie : autorisation manquante et mauvaise gestion des privilèges La faille permet à un attaquant de transférer et exécuter des fichiers via une session distante active sans autorisation ni confirmation de l’hôte, dans certaines circonstances. ⚔️ Exploitation observée La firme de cybersécurité Huntress a alerté début septembre que la vulnérabilité était exploitée dans la nature depuis le 20 août 2026. ...

Elastic publie un framework de détection des élévations de privilèges Linux couvrant 13 CVE 2026

📅 Source et contexte : Publié le 11 septembre 2026 par Ruben Groenewoud sur Elastic Security Labs, cet article s’inscrit dans la série « Linux Detection Engineering » et présente un framework de détection des élévations de privilèges locales (LPE) sous Linux, validé contre des preuves de concept (PoC) publiques. 🔍 Contexte de la menace : En 2026, le rythme des LPE Linux divulguées publiquement s’est accéléré. Sur 13 CVE suivis, 7 partagent la même classe de bug : un chemin zero-copy ou copy-on-write qui écrit dans des données censées être copiées au préalable (corruption de page-cache). Des outils d’IA (Claude Mythos Preview d’Anthropic, LLM non nommé) ont été utilisés par des chercheurs (Qualys notamment) pour identifier de nouvelles instances de bugs connus, accélérant la découverte de variantes. ...

Exploitation active de trois vulnérabilités critiques dans JFrog Artifactory

🔍 Contexte : Le 10 septembre 2026, Wiz Research publie une analyse technique détaillant l’exploitation active en conditions réelles de trois vulnérabilités critiques et de haute sévérité affectant JFrog Artifactory. ⚠️ Vulnérabilités impliquées : CVE-2026-42018 (authentification incorrecte) : Artifactory retourne un token interne d’utilisateur anonyme à un requérant non authentifié, même lorsque l’accès anonyme est désactivé. CVE-2026-42016 (élévation de privilèges) : Validation insuffisante du scope des tokens permettant à un token de faible privilège d’obtenir des droits administrateurs. CVE-2026-82329 (contournement d’authentification critique) : Un attaquant non authentifié peut obtenir des privilèges administratifs via la configuration par défaut d’Artifactory. Cette CVE est référencée dans le CISA KEV. 🔗 Chaînage d’exploitation CVE-2026-42018 + CVE-2026-42016 (observé entre le 15 août et le 8 septembre 2026) : ...

Faux travailleurs nord-coréens : Famous Chollima infiltre des entreprises via l'emploi frauduleux

🌐 Contexte Publié le 14 septembre 2026 sur le blog de Barracuda Networks par Christine Barry, cet article analyse en profondeur la menace des faux travailleurs nord-coréens, opération attribuée au groupe Famous Chollima (également suivi sous les noms UNC5267 par Mandiant/Google, Jasper Sleet par Microsoft, et associé à Wagemole). 🎭 Mécanisme d’attaque Contrairement aux cyberattaques classiques, Famous Chollima ne compromet pas de systèmes via des vulnérabilités ou des credentials volés. Le groupe obtient un accès légitime en se faisant embaucher sous de fausses identités dans des entreprises cibles : ...

Revolut divulgue des données clients à des fraudeurs via de fausses demandes gouvernementales

🗓️ Contexte Publié le 14 septembre 2026 par The Record / Recorded Future News, cet article rapporte la confirmation par la fintech britannique Revolut d’une violation de données résultant d’une usurpation d’identité gouvernementale via des demandes de données d’urgence frauduleuses. 🎯 Nature de l’attaque Des acteurs non identifiés ont utilisé un compte email d’un domaine gouvernemental légitime pour soumettre des demandes frauduleuses d’informations d’urgence (Emergency Data Requests - EDR) à Revolut. Le domaine gouvernemental utilisé n’a pas été officiellement identifié par Revolut, mais des images circulant sur Telegram suggèrent qu’il s’agissait d’un domaine italien. ...

ShinyHunters : kit de vishing AiTM contournant le MFA Okta via clones de pages et bypass passkey

🔍 Contexte Publié le 10 septembre 2026 par Mirage Security (blog.miragesecurity.ai), cet article présente une analyse technique approfondie d’une campagne de vishing active attribuée à un groupe opérant sous le label ShinyHunters. Deux déploiements live du kit ont été capturés et analysés. 🎯 Campagne et ciblage La campagne est active depuis fin 2025, avec une accélération notable en juillet 2026 via une nouvelle vague d’infrastructure. Les opérateurs ont enregistré 29 domaines .claims imitant des marques spécifiques, hébergés derrière Cloudflare. Le ciblage initial portait sur la crypto/DeFi (à partir du 29 juillet), avant de pivoter vers les entreprises (SSO Okta) dès le 1er août. ...

SonicWall SMA1000 : module Metasploit pour chaîne RCE non authentifiée (CVE-2026-83548 + CVE-2026-83549)

🔍 Contexte Publié le 14 septembre 2026, ce pull request Metasploit (PR #21883) documente l’intégration d’un module d’exploitation complet pour une chaîne de vulnérabilités zero-day affectant les appliances SonicWall Secure Mobile Access 1000 (SMA1000), divulguée début septembre 2026 comme étant activement exploitée in-the-wild. 🐛 Chaîne de vulnérabilités (3 bugs) Bien que divulguée comme une chaîne à 2 bugs, l’analyse des patches révèle une chaîne à 3 vulnérabilités : CVE-2026-83548 : SSRF (Server-Side Request Forgery) permettant de contourner l’authentification via le composant WorkPlace qui proxifie des requêtes OPTIONS non authentifiées vers le CouchDB interne en loopback. SMA1000-9427 : RCE avec faibles privilèges via des primitives de lecture/écriture sur CouchDB (accès pré-authentification au CouchDB interne via HTTP OPTIONS). Cette vulnérabilité n’a pas reçu de CVE mais est corrigée dans le firmware. CVE-2026-83549 : Injection de commande dans le script cmsSnmpTrap.sh permettant un RCE avec les privilèges root. ⚙️ Fonctionnement du module Le module (exploit/linux/http/sonicwall_sma1000_couchdb_rce) : ...

Anthropic : rapport de menaces sur l'abus de Claude par des acteurs étatiques et criminels (sept. 2026)

🌐 Contexte Anthropique a publié le 10 septembre 2026 son rapport semestriel de threat intelligence couvrant la période décembre 2025 – août 2026. Ce rapport documente les abus détectés et neutralisés sur ses modèles Claude (Haiku, Sonnet, Opus), impliquant des acteurs étatiques, des cybercriminels financièrement motivés, des hacktivistes, des vendeurs de spyware commercial et des institutions de propagande. 🎯 Cyberopérations majeures GTG-20006 (Midnight Blizzard / Russie) a automatisé l’intégralité de sa chaîne d’attaque via des workflows IA : reconnaissance, phishing, persistance, exfiltration, et régénération automatique de malwares détectés. Plus de 20 organisations ciblées (Ukraine, Europe, Moyen-Orient, Asie). Malwares identifiés : PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc, GiftDrop, DarkSword. ...