Bienvenue sur Cyberveille

Veille semi-automatisée en cybersécurité : articles synthétisés et traduits automatiquement à partir de sources fiables, triés par catégorie.

🔗 La section CTI explore les connexions entre acteurs de menace, malwares, TTPs MITRE ATT&CK et vulnérabilités — graphe interactif construit sur l’ensemble des articles publiés.

🌍 La carte Pew Pew visualise en temps réel les attaques détectées par CrowdSec sur mon honeypot hebergé par Infomaniak (SSH, HTTP, Nextcloud).

💬 Discussions et publications sur notre communauté Lemmy.

En savoir plus →ℹ️

Adobe corrige en urgence une zero-day dans Acrobat Reader exploitée depuis décembre

📰 Source : BleepingComputer — Date : 13 avril 2026 Adobe a publié une mise à jour de sécurité d’urgence pour Acrobat Reader afin de corriger la vulnérabilité CVE-2026-34621, activement exploitée en conditions réelles depuis au moins décembre 2025. 🔍 Nature de la vulnérabilité La faille permet à des fichiers PDF malveillants de contourner les restrictions du sandbox d’Acrobat Reader et d’invoquer des API JavaScript privilégiées, pouvant mener à une exécution de code arbitraire. Aucune interaction utilisateur n’est requise au-delà de l’ouverture du PDF. ...

AgingFly : nouveau malware C# ciblant gouvernements et hôpitaux ukrainiens via phishing

🗓️ Contexte Source : BleepingComputer, publié le 15 avril 2026. Le CERT-UA a publié un rapport détaillant une campagne d’attaques ciblant des gouvernements locaux, des hôpitaux et potentiellement des représentants des Forces de Défense ukrainiennes. La campagne est attribuée au cluster de menace UAC-0247. 🎯 Vecteur d’infection et chaîne d’attaque L’attaque débute par un email de phishing se faisant passer pour une offre d’aide humanitaire, contenant un lien malveillant. Ce lien redirige vers : ...

Attaque ransomware présumée contre les écoles de Spring Lake Park, Minnesota

📰 Source : Hoodline — Article de presse généraliste publié le 13 avril 2026, relatant un incident de cybersécurité affectant le district scolaire de Spring Lake Park, dans la banlieue nord de Minneapolis (Minnesota, États-Unis). 🔓 Nature de l’incident Le dimanche précédant la publication, l’équipe technologique du district a confirmé qu’une tierce partie avait obtenu un accès non autorisé à certains systèmes du district. L’incident est officiellement traité comme un suspected ransomware attack. En réponse, le personnel a procédé à l’arrêt complet de tous les systèmes pour empêcher toute propagation, y compris les systèmes nécessaires au fonctionnement scolaire. ...

Autovista victime d'un incident ransomware affectant ses systèmes en Europe et Australie

🗓️ Contexte Le 16 avril 2026, Autovista a publié une mise à jour officielle sur son site (autovista.com) concernant un incident de type ransomware affectant certains de ses systèmes. La publication fait suite à une perturbation initialement signalée le 15 avril 2026. 🎯 Nature de l’incident L’incident est explicitement qualifié de ransomware par l’organisation. Les systèmes impactés sont localisés en Europe et en Australie. Des applications Autovista ont été perturbées, et certains employés ont perdu temporairement l’accès à leur messagerie électronique. ...

Backdoor PHP obfusqué injecte du spam SEO sur des sites Joomla via des C2 distants

🔍 Contexte Article publié le 16 avril 2026 par Puja Srivastava sur le blog Sucuri. Il s’agit d’une analyse technique issue d’une investigation de nettoyage de malware sur un site Joomla compromis, dont le propriétaire signalait l’apparition de liens produits suspects sans rapport avec son activité. 🧩 Mécanisme d’infection Les attaquants ont injecté un bloc de code PHP fortement obfusqué en tête du fichier index.php du site Joomla. Le code est structuré en quatre fonctions PHP : ...

Campagne de phishing ClickFix utilisant un faux installateur Claude (AI) pour déployer un infostealer

🔍 Contexte Rapid7 a publié le 16 avril 2026 une analyse technique d’une campagne de phishing de type ClickFix détectée le 9 avril 2026 auprès de clients situés dans l’Union Européenne et aux États-Unis. La campagne présentait peu de visibilité sur VirusTotal au moment de sa découverte. 🎯 Vecteur d’attaque La campagne se distingue par l’usurpation de l’identité de Claude, l’assistant IA d’Anthropic. Un faux installateur MSIX (claude.msixbundle) était servi depuis le domaine download-version[.]1-5-8[.]com. L’exécution initiale passait par mshta lancé via l’utilitaire Windows Run, enregistré dans la clé de registre RunMRU. ...

CitrixBleed 3 : CVE-2026-3055 et CVE-2026-4368 — Fuite mémoire critique sur NetScaler

🔍 Contexte Article publié le 16 avril 2026 par Picus Security, analysant en détail deux nouvelles vulnérabilités affectant Citrix NetScaler ADC et NetScaler Gateway, surnommées collectivement « CitrixBleed 3 » par la communauté sécurité. 🚨 Vulnérabilités identifiées CVE-2026-3055 (CVSS v4.0 : 9.3 — Critique) est une lecture hors limites (CWE-125) non authentifiée affectant les appliances configurées en tant que SAML Identity Provider. Elle expose via le cookie NSC_TASS des données mémoire encodées en base64 incluant tokens de session, assertions SAML et credentials LDAP. ...

Compromission de la suite WordPress EssentialPlugin : backdoor dans 30+ plugins via supply chain

🗓️ Contexte Source : BleepingComputer — publié le 15 avril 2026. L’article rapporte une attaque de type supply chain ciblant la suite de plugins WordPress EssentialPlugin, anciennement connue sous le nom WP Online Support (fondée en 2015, rebaptisée en 2021). 🔍 Déroulement de l’incident Après le rachat du projet EssentialPlugin pour un montant à six chiffres par un nouveau propriétaire, un backdoor a été introduit dans l’ensemble des plugins de la suite dès août 2025. Ce code malveillant est resté inactif pendant plusieurs mois avant d’être activé récemment via des mises à jour poussées aux utilisateurs. ...

Conflit entre groupes ransomware : Krybit et 0APT s'exposent mutuellement

🗓️ Contexte Source : Barricade Cyber (https://barricadecyber.com), publiée le 16 avril 2026. L’article documente un conflit inédit entre deux groupes cybercriminels — Krybit (groupe ransomware) et 0APT (acteur menaçant se présentant comme un groupe APT) — ayant conduit à l’exposition mutuelle et simultanée de leurs infrastructures respectives. 📤 Action initiale de 0APT (13 avril 2026) Le 13 avril 2026, 0APT publie la base de données complète de l’opération ransomware Krybit, comprenant : ...

CVE-2026-33032 : Authentification manquante dans Nginx UI exploitée in the wild

🔍 Contexte Rapid7 a publié le 16 avril 2026 une alerte de sécurité concernant CVE-2026-33032, une vulnérabilité critique affectant Nginx UI, une interface web open-source de gestion centralisée des configurations Nginx et des certificats SSL. 🐛 Description de la vulnérabilité Type : Authentification manquante (Missing Authentication) Score CVSS : 9.8 (critique) Composant exposé : Serveur Model Context Protocol (MCP) intégré à Nginx UI Condition d’exploitation : La configuration par défaut de la liste blanche IP autorise tout accès distant au serveur MCP Impact : Un attaquant non authentifié peut exécuter des opérations privilégiées sur les serveurs Nginx gérés, aboutissant à un contrôle total du service Nginx 📅 Chronologie Début mars 2026 : Découverte par Yotam Perkal (chercheur chez Pluto Security) 15 mars 2026 : Patch publié + blog technique de Pluto Security 30 mars 2026 : Advisory de sécurité officiel publié 13 avril 2026 : Recorded Future signale une exploitation active in the wild 16 avril 2026 : Publication de l’alerte Rapid7 🎯 Versions affectées Selon le chercheur : versions 2.3.3 et antérieures (correctif en 2.3.4) Selon l’enregistrement CVE officiel : versions 2.3.5 et antérieures Version recommandée pour remédiation : 2.3.6 (dernière version disponible) 📌 Type d’article Alerte de sécurité publiée par Rapid7, visant à informer les utilisateurs de Nginx UI de l’existence d’une exploitation active et à orienter vers la mise à jour corrective. ...