Global

Exploitation massive de PolyShell : 56% des boutiques Magento vulnérables ciblées Source : BleepingComputer / Sansec — Date : Mars 2026 Type : annonce d’incident Pays/Zone : Global Tags : Magento Adobe Commerce PolyShell skimmer WebRTC RCE XSS eCommerce 🧩 Contexte Une vulnérabilité critique baptisée PolyShell affecte Magento Open Source v2 et Adobe Commerce. Deux jours après sa divulgation publique, une exploitation de masse a débuté le 19 mars 2026. La société Sansec rapporte que 56,7% de l’ensemble des boutiques vulnérables ont déjà été ciblées. ...

🔍 Contexte Publié le 17 mars 2026 par Sansec (sansec.io), cet article présente une analyse technique détaillée d’une vulnérabilité critique baptisée PolyShell, affectant Magento Open Source et Adobe Commerce dans toutes leurs versions de production actuelles. 🚨 Vulnérabilité La faille réside dans l’API REST de Magento, au niveau du traitement des options de panier (cart item custom options). Trois contrôles critiques sont absents : Aucune validation de l’ID d’option soumis Aucune vérification du type d’option (file) Aucune restriction sur les extensions de fichier (.php, .phtml, .phar autorisées) La seule validation présente (getimagesizefromstring) est trivialement contournable via des fichiers polyglots (images GIF/PNG contenant du code PHP exécutable). ...

🎯 Contexte Source : Wiz Research, publié le 20 mars 2026. Le 19 mars 2026, des acteurs malveillants se désignant sous le nom TeamPCP ont mené une attaque de supply chain ciblant Aqua Security’s Trivy, un scanner de vulnérabilités open source largement utilisé dans les environnements DevSecOps et CI/CD. 🔍 Déroulement de l’attaque L’attaque s’est déroulée en plusieurs étapes : Commits impersonateurs : TeamPCP a poussé des commits malveillants en usurpant l’identité des utilisateurs rauchg (sur actions/checkout) et DmitriyLewen (sur aquasecurity/trivy). Tag v0.69.4 malveillant : À 17:43:37 UTC, le tag v0.69.4 a été poussé, déclenchant la publication de binaires backdoorés sur GitHub Releases, Docker Hub, GHCR et ECR. Domaine typosquatté : Le code malveillant contactait scan.aquasecurtiy[.]org (résolvant vers 45.148.10.212) pour l’exfiltration. Compromission du compte aqua-bot : L’attaquant a abusé de ce compte pour pousser des workflows malveillants vers tfsec, traceeshark et trivy-action, volant des clés GPG, credentials Docker Hub, Twitter et Slack. Force-push de tags : 75 sur 76 tags de trivy-action et 7 tags de setup-trivy ont été écrasés par des versions malveillantes. Expansion vers npm : Le 22 mars, TeamPCP a étendu ses opérations à l’écosystème npm via un worm nommé CanisterWorm exploitant des tokens de publication volés. Images Docker malveillantes : Les versions 0.69.5 et 0.69.6 de Trivy ont été publiées sur Docker Hub le 22 mars vers 16:00 UTC. 🦠 Comportement du malware Dans les GitHub Actions (trivy-action / setup-trivy) Payload en 3 étapes : ...

🔍 Contexte Analyse publiée le 20 mars 2026 par Xavier Mertens (ISC SANS Handler) suite à la découverte d’un script Bash malveillant installant un backdoor basé sur GSocket/gs-netcat. Le vecteur de livraison initial est inconnu. Le sample a été identifié sur VirusTotal avec seulement 17 détections antivirus. 🛠️ Fonctionnement du malware GSocket est un outil réseau légitime permettant des communications pair-à-pair via un réseau de relais global, en utilisant un secret partagé plutôt que des adresses IP. L’outil gs-netcat est détourné ici pour fournir un shell distant et un canal C2. ...

🔔 Contexte Oracle a publié le 19 mars 2026 (révisé le 20 mars 2026) une alerte de sécurité officielle sur son portail Security Alerts, adressant la vulnérabilité CVE-2026-21992 affectant des composants de la suite Oracle Fusion Middleware. 🎯 Vulnérabilité concernée CVE : CVE-2026-21992 Score CVSS v3.1 : 9.8 (Critique) Vecteur d’attaque : Réseau, sans authentification requise Complexité : Faible Impact : Confidentialité, Intégrité et Disponibilité — tous High Protocole : HTTP (et HTTPS par extension) Scope : Unchanged 🛠️ Produits affectés Oracle Identity Manager — Composant : REST Web Services Oracle Web Services Manager — Composant : Web Services Security Les deux produits sont couverts par la même CVE et présentent le même score de risque. ...

📊 Contexte Publié le 24 mars 2026 par GitGuardian, le rapport annuel State of Secrets Sprawl 2026 (5ème édition) analyse la prolifération des secrets (credentials, API keys, tokens) dans les dépôts publics et privés, les outils collaboratifs et les environnements locaux. Il s’appuie sur l’analyse de commits GitHub publics, de datasets de machines compromises et de configurations d’infrastructure IA. 🔑 Chiffres clés sur GitHub public 28,65 millions de nouveaux secrets hardcodés ajoutés aux commits GitHub publics en 2025 (+34% YoY, plus forte hausse jamais enregistrée) 1,94 milliard de commits publics en 2025 (+43% YoY) Base de développeurs actifs en hausse de 33% 🤖 Explosion des fuites liées à l’IA 1 275 105 secrets de services IA détectés en 2025, soit +81% YoY 113 000 clés API DeepSeek exposées citées comme exemple 8 des 10 détecteurs à la croissance la plus rapide sont liés à des services IA L’infrastructure LLM (orchestration, RAG, vector storage) fuite 5× plus vite que les fournisseurs de modèles core Les commits assistés par Claude Code affichent un taux de fuite de 3,2% vs 1,5% en baseline ⚙️ Fuites dans les configurations MCP 24 008 secrets uniques exposés dans des fichiers de configuration MCP sur GitHub public 2 117 credentials valides uniques identifiés (8,8% des findings MCP) Les guides de documentation officiels encouragent souvent des patterns non sécurisés (API keys en dur dans les fichiers de config) 🏢 Dépôts internes et outils collaboratifs Les dépôts internes sont 6× plus susceptibles de contenir des secrets hardcodés que les dépôts publics 28% des incidents proviennent entièrement hors des dépôts (Slack, Jira, Confluence) Les fuites hors code sont 13 points de pourcentage plus susceptibles d’être classées critiques 💻 Machines développeurs et CI/CD Analyse du dataset Shai-Hulud 2 : 6 943 machines compromises, 294 842 occurrences de secrets, 33 185 secrets uniques 59% des machines compromises étaient des runners CI/CD (pas des postes personnels) Les agents IA avec accès local (terminaux, variables d’environnement, credential stores) élargissent la surface d’attaque ⏳ Lacunes de remédiation 64% des secrets valides de 2022 sont encore actifs et exploitables en janvier 2026 46% des secrets critiques sont manqués par une priorisation basée uniquement sur la validation automatique 📌 Type d’article Rapport de recherche annuel à visée CTI et sensibilisation, publié par GitGuardian pour quantifier l’ampleur de la prolifération des secrets dans les environnements de développement modernes, avec focus sur l’impact de l’IA générative. ...

🔍 Contexte Publié le 24 mars 2026 par Acronis Threat Research Unit (TRU), cet article présente une analyse technique approfondie de campagnes de distribution du malware Vidar Stealer 2.0 via de faux outils de triche pour jeux vidéo, hébergés principalement sur GitHub et promus sur Reddit. 🎯 Vecteur d’infection et ciblage Les attaquants exploitent les communautés de joueurs cherchant des cheats gratuits (aimbots, wallhacks, etc.) sur Discord, Reddit et GitHub. Les victimes sont incitées à : ...

🔍 Contexte Publié le 24 mars 2026 par Gen Threat Labs (GenDigital), cet article présente une analyse technique approfondie de VoidStealer, un infostealer de type MaaS (Malware-as-a-Service) commercialisé depuis mi-décembre 2025 sur des forums darkweb, notamment HackForums. 🦠 Présentation de VoidStealer VoidStealer est un infostealer MaaS dont le développement actif a produit 12 versions entre le 12 décembre 2025 et le 18 mars 2026. La version v2.0 (13 mars 2026) a introduit la technique novatrice de bypass ABE analysée dans cet article. Il cible Chrome et Edge (navigateurs basés sur Chromium). ...

🔍 Contexte Publié le 23 mars 2026 par CrowdSec, cet article rapporte la confirmation par la plateforme de l’exploitation active de CVE-2026-1207, une vulnérabilité d’injection SQL affectant le framework web Python Django, spécifiquement dans les configurations utilisant GeoDjango avec le backend PostGIS. La vulnérabilité a été publiée le 3 février 2026 et n’est pas encore référencée dans le catalogue KEV de la CISA. 🐛 Détails techniques de la vulnérabilité Composant affecté : Module GIS de Django — RasterField lookups avec le backend PostGIS Mécanisme : Mauvaise gestion du paramètre band index, permettant l’injection de commandes SQL malveillantes Endpoints ciblés : /?band= et /api/raster/search/?band= Impact potentiel : Contournement d’authentification, accès à des données sensibles, modification du contenu de la base de données Découverte originale : Créditée à Tarek Nakkouch 📅 Chronologie 3 février 2026 : Publication de CVE-2026-1207 18 février 2026 : CrowdSec publie une règle de détection 26 février 2026 : Premières attaques observées par CrowdSec 23 mars 2026 : Confirmation publique de l’exploitation active 📊 Analyse du paysage de menace Les attaques observées présentent un volume stable semaine après semaine, sans pics volumétriques massifs. Le pattern indique une reconnaissance ciblée visant à identifier les configurations Django/PostGIS vulnérables, plutôt qu’un spray indiscriminé. Ce type de comportement est souvent un précurseur de campagnes plus dommageables et ciblées. ...

📅 Source : Blog de Maor Sabag (maorsabag.github.io), publié le 14 mars 2026. Article de recherche offensive détaillant l’amélioration de l’agent Adaptix C2 par encapsulation dans un Reflective DLL Loader (RDLL) Crystal Palace. 🔧 Contexte technique : L’agent Adaptix par défaut est chargé en mémoire avec des permissions RWX sur toutes les sections, sans hooking IAT ni obfuscation du sommeil, ce qui le rend facilement détectable par les solutions EDR/SOC. ...