Posts

🔍 Contexte Le 19 juin 2026, Fortinet publie sur son blog PSIRT une analyse officielle d’une campagne malveillante baptisée FortiBleed, ciblant des équipements FortiGate dans le cadre d’une opération de credential harvesting. 🎯 Nature de l’activité Selon Fortinet, cette campagne repose sur deux vecteurs principaux : Réutilisation de credentials issus d’incidents antérieurs référencés FG-IR-26-060 et FG-IR-25-647 Attaques par force brute contre des appareils présentant une politique de mots de passe faible et sans authentification multi-facteurs (MFA) Fortinet précise explicitement qu’il ne s’agit pas d’une nouvelle vulnérabilité et que cette activité n’est pas liée à un incident ou advisory récent. ...

🗓️ Contexte Article publié le 23 juin 2026 par TechCrunch (auteur : Zack Whittaker). Il couvre la confirmation par Klue, société de market intelligence basée à Vancouver, d’une violation de données détectée le 12 juin 2026 et divulguée publiquement le 20 juin 2026. 🔓 Nature de l’attaque Les attaquants ont exploité une credential legacy qualifiée de « legacy credential associated with an integration service », originellement fournie à un tiers non identifié en 2022 dans le cadre d’un pilote limité. Cette credential n’a jamais été révoquée à l’issue du pilote. ...

📰 Source : infostealers.com (Hudson Rock) — Date : 1er juillet 2024 L’article analyse une évolution structurelle dans l’écosystème des infostealers : le passage du modèle traditionnel de location (Malware-as-a-Service) vers des variantes open source librement accessibles. 🔄 Modèle traditionnel vs open source Historiquement, les infostealers comme Redline, Lumma, Raccoon ou Poseidon (macOS) sont développés par des équipes criminelles organisées et loués à d’autres acteurs malveillants pour plusieurs centaines à plusieurs milliers de dollars par mois (ex : Poseidon à 3 000 $/mois). Ce modèle maintient une barrière financière limitant l’accès. ...

🛡️ Contexte Publié le 22 juin 2026 sur le blog officiel d’OpenAI, cet article annonce l’expansion du programme Daybreak, une initiative de cybersécurité défensive visant à démocratiser la découverte et la correction automatisée de vulnérabilités logicielles à l’échelle mondiale. 🔧 Nouveaux outils et capacités Codex Security (mise à jour) : plugin intégré à Codex permettant des workflows défensifs automatisés — scans profonds, génération de rapports avec sévérité, traçage de chemins d’attaque, modélisation des menaces, génération de patches ciblés. Depuis mars 2026 : plus de 30 millions de commits scannés sur 30 000 codebases, 70 000+ findings corrigés manuellement, 500 000+ findings résolus automatiquement. GPT-5.5-Cyber (version complète) : modèle spécialisé cybersécurité, plus permissif et plus capable pour les défenseurs autorisés. Scores de référence : CyberGym : 85,6% (vs 81,8% pour GPT-5.5) ExploitGym : 39,5% (vs 25,95% pour GPT-5.5) SEC-bench Pro : 69,8% (vs 63,1% pour GPT-5.5) Daybreak Cyber Partner Program : programme partenaires permettant aux éditeurs de sécurité d’intégrer GPT-5.5 avec Trusted Access for Cyber dans leurs produits. 🌍 Initiative Patch the Planet Fondée avec Trail of Bits, en collaboration avec HackerOne et Calif, cette initiative finance des chercheurs en sécurité pour travailler directement avec les mainteneurs de projets open source. Plus de 30 projets engagés, dont cURL, Go, Python, Sigstore, pyca/cryptography. Les chercheurs valident et dédupliquent les vulnérabilités avant transmission aux mainteneurs. ...

🔍 Contexte Publié le 23 juin 2026 par l’équipe technique de SSD Secure Disclosure, cet article présente une analyse technique complète d’une vulnérabilité critique affectant Cisco Unified Communications Manager (CUCM) version 15.0.1.13901-2, découverte par un chercheur indépendant. 🎯 Nature de la vulnérabilité La vulnérabilité CVE-2026-20230 est une chaîne d’exploitation combinant plusieurs failles : Un endpoint non authentifié /installClusterStatusExecute exposé via le servlet ClusterInstallStatusServlet dans web.xml Une SSRF (Server-Side Request Forgery) exploitable via des requêtes HTTPS, contournant la validation d’hôte grâce à l’obtention du vrai hostname via /webdialer/Version.jws?wsdl Une écriture de fichier arbitraire inspirée de la vulnérabilité historique CVE-2019-0227 (Axis 1.4), permettant de déposer un fichier WSDD malveillant ⚙️ Chaîne d’exploitation Reconnaissance : récupération du hostname réel via https://<cible>/webdialer/Version.jws?wsdl SSRF + écriture de fichier : envoi d’une requête GET vers /cmplatform/installClusterStatusExecute avec un payload encodé créant un nouveau service Axis (randomR11) via un descripteur WSDD Déploiement d’un premier webshell (aaa.jsp) via le service randomR11 pour écrire des fichiers arbitraires Déploiement d’un webshell final (c.jsp) permettant l’exécution de commandes système arbitraires Exécution de commandes via https://<cible>/platform-services/axis2-web/c.jsp?pwd=123&i=id 🛠️ Composants techniques impliqués Fichier de configuration : \jakarta-tomcat\webapps\cmplatform\WEB-INF\web.xml Classe vulnérable : com.cisco.ccm.cmplatform.servlets.ClusterInstallStatusServlet Filtre de sécurité contourné : com.cisco.ccm.common.security.InjectionFilter Mécanisme d’exploitation : Apache Axis LogHandler pour écriture de fichiers Webshells déposés : aaa.jsp, c.jsp 🩹 Correctif Cisco a publié un correctif disponible via l’advisory officiel cisco-sa-cucm-ssrf-cXPnHcW. ...

🔍 Contexte Le 23 juin 2026, SOCRadar Threat Research Unit (STRU) publie un rapport technique détaillé sur la campagne FortiBleed, une opération de collecte massive de credentials ciblant les pare-feux FortiGate à l’échelle mondiale. L’investigation a débuté suite à un post LinkedIn du chercheur Volodymyr « Bob » Diachenko signalant un répertoire exposé à l’adresse http://85.11.187.8:9999. 🎯 Acteur et motivation L’acteur est évalué comme un Initial Access Broker (IAB) à motivation financière, avec une origine russe probable (commentaires en cyrillique dans les outils). La compromission d’un contractant de défense aligné OTAN soulève également l’hypothèse d’une collaboration avec des groupes étatiques russes. La campagne est active depuis au moins février 2026. ...

🗓️ Contexte Article publié par Reuters le 22 juin 2026, basé sur des informations de chercheurs en cybersécurité et une déclaration officielle de Tata Electronics. L’incident a été rendu public après la découverte de données volées sur le dark web. 🎯 Incident Tata Electronics, l’un des principaux partenaires de fabrication d’Apple en Inde, a confirmé avoir détecté un incident de cybersécurité sur certains de ses systèmes il y a plusieurs semaines. La société a indiqué que ses opérations restent non affectées. ...

🔍 Contexte Publié le 18 juin 2026 par Vojtěch Krejsa, chercheur chez Gen Digital, cet article constitue une analyse technique approfondie du mécanisme de contournement de l’Application-Bound Encryption (ABE) implémenté dans le stealer Vidar, version 2.1. 🧩 Technique de bypass ABE Vidar adopte une approche similaire à Remus/Lumma en extrayant la v20_master_key directement depuis la mémoire du navigateur, mais avec une méthode distincte en deux phases : Phase 1 – Localisation de la clé en mémoire Si le navigateur est déjà en cours d’exécution, Vidar crée un fork du processus via NtCreateProcessEx avec SectionHandle = NULL, produisant un snapshot mémoire statique (copy-on-write, sans threads). Si aucun navigateur n’est actif, Vidar crée un bureau isolé (CreateDesktopA) nommé v20_%d et lance le navigateur avec --no-first-run --disable-gpu about:blank. Jusqu’à 64 processus navigateur sont énumérés et traités indépendamment. La mémoire est scannée via NtQueryVirtualMemory et NtReadVirtualMemory, ciblant les régions MEM_COMMIT, MEM_PRIVATE, PAGE_READONLY ou PAGE_READWRITE (jusqu’à 4096 régions). Le scan parallèle (64 threads) recherche un pattern de 32 octets : 76 32 30 00 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 03 00 00 00 00 01 ?? ?? correspondant à un nœud de Chromium::Encryptor::KeyRing. Un système de vote majoritaire filtre les candidats. Phase 2 – Déchiffrement via injection APC La clé est protégée par CryptProtectMemory avec le flag CRYPTPROTECTMEMORY_SAME_PROCESS, nécessitant une exécution depuis le processus navigateur. Vidar sélectionne l’une de deux méthodes d’injection APC selon la présence d’ESET ou Bitdefender : Méthode « classic » (si ESET/Bitdefender détecté) : création d’un thread suspendu via CreateRemoteThread (start address NtTestAlert), queue APC via NtQueueApcThread, reprise du thread. Méthode « special » (sinon) : énumération des threads existants via CreateToolhelp32Snapshot/Thread32First/Thread32Next, ouverture via NtOpenThread, injection via NtQueueApcThreadEx2 avec QUEUE_USER_APC_FLAGS_SPECIAL_USER_APC (exécution immédiate, sans état alertable requis). La routine APC injectée est CryptUnprotectMemory appelée avec l’adresse candidate, taille 32 octets, et CRYPTPROTECTMEMORY_SAME_PROCESS. Vidar crée un second fork pour lire la clé déchiffrée et vérifie via déchiffrement AES-256-GCM (BCryptDecrypt). Après lecture, Vidar réinjecte CryptProtectMemory pour restaurer l’état du navigateur. En cas d’échec total, Vidar termine tous les processus navigateur, les redémarre et répète le cycle. 📌 IoC SHA1 Vidar 2.1 : 459daa809751e73f60fbbe4384a7d1653c36bb06945e4eb363527092424110a 📄 Nature de l’article Il s’agit d’une publication de recherche technique à visée CTI, documentant précisément les mécanismes internes d’un stealer actif pour permettre la détection et la compréhension de ses techniques d’évasion. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-06-14 → 2026-06-21. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-20253 CVSS: 9.8 EPSS: 10.04% VLAI: Critical (confidence: 0.8499) CISA: KEV ProduitSplunk — Splunk Enterprise Publié2026-06-10T17:16:21.242Z In Splunk Enterprise 10.2 versions below 10.2.4 and 10 versions below 10.0.7, an unauthenticated user could create or truncate arbitrary files through a PostgreSQL sidecar service endpoint. The vulnerability exists because the PostgreSQL sidecar service endpoint lacks authentication controls, allowing any network-reachable user to invoke file operations without credentials. Splunk Enterprise versions 9.4 and earlier are not affected. If you cannot immediately upgrade to a fixed version, you can mitigate this vulnerability by disabling the PostgreSQL sidecar service. ...

📉 208 revendications cette semaine (-45, -17.8% par rapport à S24) Période : 15.06.2026 au 21.06.2026 Analyse Ransomware — Semaine 25 / 2026 (15 – 21 juin 2026) Source : eCrime.ch — Données de revendications publiques Vue d’ensemble La semaine 25 enregistre 208 revendications de rançongiciels, soit une baisse de 45 cas par rapport à la semaine précédente (S24 : 253 revendications), représentant un recul de 17,8 %. Cette diminution fait suite à une semaine S24 marquée par un volume inhabituellement élevé, en grande partie attribuable à l’activité massive du groupe DeadLock (74 revendications à lui seul). Le niveau actuel s’inscrit dans une fourchette plus conforme aux volumes observés sur les semaines antérieures. ...