Posts

🏫 Contexte Le 31 octobre 2026, la Direction générale de l’enseignement postobligatoire du canton de Vaud (Suisse) a publié un communiqué officiel relatant un accès non autorisé à sa plateforme de support informatique, détecté le 26 octobre 2026. 🎯 Nature de l’incident Une personne non autorisée a accédé à la plateforme de ticketing utilisée par les gymnases et écoles professionnelles vaudoises pour soumettre des demandes d’assistance informatique. Les données copiées comprennent : ...

🗓️ Contexte Publié le 28 octobre 2026 par Kim Zetter sur Zero Day (zetter-zeroday.com), cet article s’appuie sur un rapport public de Black Lotus Labs (Lumen Technologies) et une présentation non publique donnée à la conférence LabsCon de SentinelOne en Arizona. Il documente pour la première fois les mécanismes techniques détaillés de l’infrastructure d’attaque de Volt Typhoon, groupe étatique chinois actif depuis au moins 2023. 🎯 Acteur et objectifs Volt Typhoon est un groupe de cyberespionnage étatique chinois ciblant méthodiquement les infrastructures critiques américaines, dans un contexte géopolitique lié à une éventuelle invasion de Taïwan. Ses objectifs combinent pré-positionnement stratégique et espionnage actif : exfiltration de documents militaires, collecte de credentials pour un accès long terme, et cartographie des réseaux. ...

🔍 Contexte Publié le 31 octobre 2026 par Ryan Fetterman sur le blog Talos Intelligence (Cisco), cet article présente une analyse technique approfondie du malware VOLTA-AUTODOXER, découvert dans le cadre de l’effort de recherche CAIRN. Il s’agit d’un infostealer Windows mature intégrant une couche d’intelligence artificielle pour automatiser la priorisation des victimes. 🧬 Description du malware VOLTA-AUTODOXER est un infostealer PE32+ x86-64 auto-supprimant ciblant Windows, sans infrastructure propre à l’attaquant. Il opère selon un modèle de builder : l’auteur vend l’accès, le client fournit ses paramètres (clés API, canal Telegram), et un binaire personnalisé est compilé pour chaque commande. ...

🔍 Contexte Publié le 30 octobre 2026 par Penligent AI sur sa plateforme Hacking Labs, cet article constitue une analyse technique approfondie de la vulnérabilité CVE-2026-98432, affectant le noyau Linux dans son chemin de traitement TCP IPv4. 🐛 Nature de la vulnérabilité CVE-2026-98432 est un use-after-free dans le chemin de handshake TCP IPv4 du noyau Linux. Le défaut survient lorsque deux processeurs opèrent simultanément sur des sockets de requête et enfant partageant le même objet d’options IP (ireq_opt / inet_opt). Un chemin libère l’objet immédiatement via kfree() tandis qu’un autre CPU, protégé uniquement en tant que lecteur RCU, continue de l’utiliser, créant un pointeur noyau obsolète accessible via le trafic réseau. ...

🗓️ Contexte Source : OpenSourceMalware.com, publié le 30 octobre 2026. L’article rapporte la compromission de l’extension officielle Claude Code (identifiant anthropic.claude-code) sur le Cursor Marketplace, dans sa version 2.1.313, publiée le 29 octobre 2026. Cursor a confirmé l’incident. Les versions disponibles sur NPM, OpenVSX et le Microsoft VSCode Marketplace ne sont pas affectées. 🎯 Nature de la menace Un loader malveillant de 66 lignes a été prépendu au fichier extension.js légitime de l’extension. Ce code s’exécute dès le chargement du module par VS Code, sans nécessiter d’interaction utilisateur. Il exploite les modules Node.js natifs (process, fs, os, http, crypto) et ne repose sur aucun script de cycle de vie npm. ...

📰 Source : dcod.ch — Date de publication : 26 octobre 2026 — Contexte : Suisse, secteur public fédéral 🎯 Le groupe cybercriminel Akira revendique une intrusion dans les systèmes de PK Softech AG, une entreprise suisse dont les données concernent des employés de l’administration fédérale helvétique. 💾 Les attaquants affirment avoir exfiltré des données relatives à environ 100 000 employés fédéraux suisses et menacent de les publier sur le darknet en l’absence du paiement d’une rançon financière. ...

📰 Source : Cybernews | Date : 26 octobre 2026 Erica Windisch, fondatrice de Cyberdione Labs, a publié dimanche les résultats de tests menés du 22 au 24 octobre 2026, documentant 11 vulnérabilités dans le produit VPN Tailscale et son alternative open-source Headscale, avant que des correctifs soient disponibles. 🔍 Nature des vulnérabilités identifiées : Exploitation de faiblesses dans Tailscale SSH permettant d’obtenir un accès root sur des serveurs Vol de credentials d’enrôlement de dispositifs Mouvement latéral rapide à travers les réseaux d’entreprise Un dispositif compromis peut enrôler une machine contrôlée par un attaquant dans le réseau ⚠️ Conditions d’exploitation : Les attaques SSH les plus sévères nécessitent un point d’ancrage préexistant sur un dispositif autorisé et des permissions d’accès appropriées. Elles ne permettent pas à un attaquant externe non authentifié de prendre le contrôle de machines Tailscale arbitraires. ...

🔍 Contexte Publié le 26 octobre 2026 par Dream Research (source : dreamgroup.com), cet article détaille la découverte d’une campagne d’attaque sophistiquée identifiée le 25 octobre 2026 via l’outil de threat hunting autonome Hero. La campagne a compromis 25 serveurs dans plusieurs pays, dont des systèmes affiliés au gouvernement américain. 🎯 Vecteur d’attaque et vulnérabilités L’attaquant a développé une chaîne d’exploitation combinant deux vulnérabilités : CVE-2026-109618 / CVE-2026-109619 (PHP2Shell) : exploitation du mécanisme session.upload_progress de PHP 8.0.30 sur le serveur de gestion appweb d’un pare-feu (vendeur non divulgué). L’attaque se déroule en 4 étapes orchestrées (épuisement mémoire ~383 Mo, fuite d’information via OOM, référence stale ~500 Mo, exécution de code via HashTable forgé) aboutissant à une RCE en tant qu’utilisateur nobody. CVE-2026-46300 (Fragnesia) : LPE kernel via le sous-système XFRM ESP-in-TCP, permettant d’écraser /etc/pam.d/su avec pam_permit.so via des écritures page-cache, contournant SELinux pour obtenir un accès root complet. La chaîne complète s’exécute en moins de 15 minutes via une seule requête HTTPS non authentifiée. ...

🔍 Contexte Publié le 27 octobre 2026 par l’équipe Threat Research de Socket (source : socket.dev), cet article documente la découverte d’un cluster de trois extensions Firefox malveillantes actives sur Firefox Add-ons (AMO) au moment de l’analyse, depuis retirées. 🎭 Usurpation d’identité Les extensions imitent trois wallets crypto majeurs via des homoglyphes Unicode qui rendent visuellement identiques aux noms légitimes : Phantom (add-on ID 3092199, slug ha-օ) : affiche « 𝐏ha𝐧† օ𝗺 », réutilise l’icône fantôme officielle et le texte marketing Jupiter (add-on ID 3092666, slug j-ρi) : se présente comme « Built by Jupiter Exchange » Bitget (add-on ID 3092059, slug ві-е) : manifest nommé « TabFlow Pro » mais branding Bitget en façade Chaque listing est publié depuis un compte développeur AMO jetable distinct. ...

🔍 Contexte Le 28 octobre 2026, l’équipe Alpine Linux a publié un post-mortem détaillé sur son site officiel (alpinelinux.org) concernant une tentative d’exploitation de leur instance GitLab entre le 20 et le 21 octobre 2026. 🛡️ La vulnérabilité CVE-2026-97229 est une vulnérabilité critique (CVSS 10.0) affectant la manière dont GitLab évalue les expressions régulières dans les configurations CI. Le bug sous-jacent réside dans Onigmo, le moteur d’expressions régulières intégré à Ruby. GitLab a publié des correctifs le 12 octobre 2026, mais le fix nécessite un patch spécifique à Ruby, non inclus dans les builds Ruby standards. Ruby upstream a publié le correctif le 23 octobre dans les versions 3.3.13, 3.4.12 et 4.0.9. ...