Authentication Bypass

🔍 Contexte Publié le 11 septembre 2026 sur GBHackers, cet article rapporte la divulgation par Check Point de deux vulnérabilités critiques affectant ses technologies VPN Remote Access et VPN Site-to-Site. Ces failles ont été découvertes par l’équipe de recherche interne de Check Point, qui indique n’avoir observé aucune exploitation active à ce jour. 🚨 Vulnérabilités identifiées CVE-2026-85102 : Faille de contournement d’authentification (authentication bypass) pouvant mener à une exécution de code à distance (RCE). Elle permet à un attaquant de contourner les contrôles d’authentification sur des déploiements VPN vulnérables et d’exécuter du code sans disposer d’identifiants valides. CVE-2026-85103 : Débordement de tas (heap overflow) lié au décodage ASN.1. Une donnée ASN.1 malformée peut corrompre la mémoire du dispositif et permettre à un attaquant de prendre le contrôle du processus VPN ou de l’appliance. Les deux vulnérabilités sont classifiées critiques par Check Point. ...

🔍 Contexte Source : BleepingComputer, publié le 9 septembre 2026. Cisco a officiellement confirmé l’exploitation active de CVE-2026-20079, une vulnérabilité d’authentification bypass de sévérité maximale (CVSS 10.0) affectant son logiciel Cisco Secure Firewall Management Center (FMC). 🚨 Nature de la vulnérabilité Type : Contournement d’authentification (Authentication Bypass) Cause : Processus système impropre créé au démarrage (boot time) Vecteur d’exploitation : Envoi de requêtes HTTP craftées vers l’interface web du dispositif Impact : Exécution de scripts et commandes avec privilèges root par un attaquant non authentifié à distance Produits affectés : Cisco Secure FMC Software et Cisco Security Cloud Control Firewall Management 📅 Chronologie Mars 2026 : Divulgation initiale de CVE-2026-20079 par Cisco, sans preuve d’exploitation 23 juillet 2026 : Entrée de log suspecte identifiée comme IOC potentiel d’exploitation 29 juillet 2026 : Cisco divulgue CVE-2026-20316 (credentials statiques, compte faible privilège), confirme son exploitation active, et met à jour l’advisory CVE-2026-20079 avec les mêmes IOCs Août 2026 : Le Cisco PSIRT prend connaissance de l’exploitation active de CVE-2026-20079 9 septembre 2026 : Cisco confirme officiellement l’exploitation ; la CISA ajoute CVE-2026-20079 au catalogue KEV avec deadline au 12 septembre 2026 pour les agences FCEB 🔗 Lien entre CVE-2026-20079 et CVE-2026-20316 Les deux vulnérabilités partagent : ...

🗓️ Contexte Source : BleepingComputer, publié le 2 septembre 2026. L’article rapporte l’exploitation active d’une vulnérabilité critique dans JFrog Artifactory, un gestionnaire de dépôts logiciels largement utilisé pour stocker, organiser, sécuriser et distribuer des packages. 🔍 Vulnérabilité CVE-2026-82329 : contournement d’authentification critique Présente dans la configuration par défaut des instances auto-hébergées de JFrog Artifactory Exploitable par un attaquant non authentifié disposant d’un accès réseau Permet l’obtention de permissions administratives sans authentification préalable ⚔️ Exploitation observée Les chercheurs de watchTowr (société de sécurité offensive) ont observé des attaquants exploitant activement la faille pour se forger eux-mêmes des tokens administrateurs. Les actions possibles avec ces tokens incluent : ...

🔍 Contexte Publié le 13 août 2026 par Pillar Security sur leur blog, cet article présente la découverte et la divulgation coordonnée d’une vulnérabilité critique d’authentification bypass dans le serveur MCP distant de DoltHub (CVE-2026-73554). 🐛 Description de la vulnérabilité La vulnérabilité affecte Dolt MCP versions 0.3.1 à 0.3.6 sur le transport HTTP distant lorsque l’authentification JWT est activée. Elle repose sur deux défauts combinés : Défaut 1 — Middleware JWT sans return : Un token JWT invalide déclenchait bien une réponse 401 Unauthorized via http.Error, mais en l’absence d’instruction return, l’exécution continuait vers le handler MCP (next.ServeHTTP). En Go, http.Error écrit la réponse sans interrompre le traitement. Défaut 2 — Validation de session par format uniquement : La bibliothèque mark3labs/mcp-go utilisée (via InsecureStatefulSessionIdManager) vérifiait uniquement que l’identifiant de session commençait par mcp-session- et se terminait par un UUID valide, sans vérifier que le serveur avait effectivement créé cette session. 💥 Impact Un attaquant non authentifié pouvait : ...

🔍 Contexte Publié le 10 août 2026 par Criminal IP (AI Spera), cet article analyse CVE-2026-18577, une vulnérabilité de bypass d’authentification affectant la plateforme de Remote Monitoring and Management (RMM) N-able N-central, confirmée comme activement exploitée fin juillet 2026. 🎯 Vulnérabilité CVE : CVE-2026-18577 Type : Authentication bypass et compromission de compte (CWE-288) Produit affecté : N-able N-central (toutes versions antérieures au build 2026.3.1.7) Prérequis : Aucune authentification préalable requise, accessible à distance Impact : Accès complet à la console de gestion et contrôle des systèmes connectés Statut : Exploitation confirmée in the wild ; ajouté au catalogue KEV de la CISA Note : La vulnérabilité persiste après le correctif de CVE-2026-18556 ; seul le build 2026.3.1.7 corrige définitivement le problème ⚔️ Déroulement des attaques observées Reconnaissance : Identification des interfaces N-central exposées sur internet via titres de pages, réponses HTTP, certificats TLS Exploitation : Bypass de l’authentification via CVE-2026-18577, contournant même le MFA Mouvement latéral : Utilisation de la fonctionnalité Take Control pour accéder aux serveurs de sauvegarde, contrôleurs de domaine et serveurs applicatifs Persistance : Déploiement de multiples outils RMM (AnyDesk, TacticalRMM, TeamViewer, RustDesk, SimpleHelp, HopToDesk) et de Cloudflare Tunnel (cloudflared.exe renommé en MicrosoftEdgeUpdate64.exe ou msmp.exe) Actions sur objectifs : Création de comptes domaine, modification de mots de passe administrateurs, tentatives de désactivation des EDR/Microsoft Defender 🌐 Surface d’attaque exposée Via Criminal IP Asset Search (août 2026) : ...

📰 Source : Cyber Security News — Date : 4 août 2026 Check Point a publié des mises à jour de sécurité pour corriger une vulnérabilité de haute sévérité identifiée sous CVE-2026-18574, affectant les environnements Security Management Server et Multi-Domain Security Management Server. 🔍 Nature de la vulnérabilité Un attaquant non authentifié disposant d’un accès réseau au serveur de gestion peut contourner l’authentification et exécuter des commandes arbitraires. Une exploitation réussie permet la compromission totale du système de gestion de sécurité, incluant les politiques de pare-feu, les configurations de passerelle, les accès administrateurs et l’infrastructure de sécurité gérée. ...

📰 Source : BleepingComputer, publié le 29 juillet 2026. Cisco émet une alerte concernant deux vulnérabilités affectant son produit Cisco Secure Firewall Management Center (FMC). 🔴 CVE-2026-20316 — Credentials statiques (CVSS 5.3, sévérité High) Une vulnérabilité causée par des credentials statiques intégrés dans un compte de faible privilège du logiciel Cisco Secure FMC. Un attaquant distant non authentifié peut utiliser ces identifiants pour se connecter à un système affecté et accéder à des données sensibles. Cisco a confirmé une exploitation active en zero-day détectée en juillet 2026. La sévérité est rehaussée au niveau High car l’accès peut être combiné avec d’autres vulnérabilités FMC pour une élévation de privilèges. La faille affecte toutes les configurations du logiciel Secure FMC, mais n’impacte pas Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA Software, Secure Firewall Threat Defense Software, ni Security Cloud Control. ...

📰 Source : CybersecurityNews.com — Date de publication : 16 juin 2026 🔍 Contexte Horizon3.ai a découvert une vulnérabilité critique dans la plateforme SimpleHelp RMM (Remote Monitoring and Management) via son initiative de recherche autonome « Sua Sponte » utilisant l’analyse pilotée par IA. La faille est référencée CVE-2026-48558. ⚠️ Nature de la vulnérabilité La faille résulte d’une validation incorrecte des assertions du fournisseur d’identité lors du processus d’authentification OpenID Connect (OIDC), notamment dans les intégrations avec Azure Active Directory. Elle est exploitable lorsque : ...

🔍 Contexte Le 12 juin 2026, Horizon3.ai publie une divulgation technique concernant CVE-2026-48558, une vulnérabilité de contournement d’authentification affectant l’application de supervision et d’accès à distance SimpleHelp. La découverte a été réalisée par un pipeline de recherche autonome en vulnérabilités basé sur l’IA générative, baptisé “Sua Sponte”, développé en interne par Horizon3.ai. 🐛 Vulnérabilité La faille réside dans la manière dont SimpleHelp valide les assertions de l’Identity Provider (IdP) lors d’une authentification OpenID Connect (OIDC) (générique ou Azure AD). Dans les configurations vulnérables, un attaquant non authentifié peut créer et s’authentifier en tant que nouveau compte Technicien, contournant ainsi le MFA (l’attaquant peut auto-enregistrer sa propre méthode MFA lors de la première connexion). ...

🔍 Contexte Le 12 juin 2026, watchTowr Labs publie une analyse technique approfondie de CVE-2026-50751, une vulnérabilité de bypass d’authentification (CVSS 9.3) affectant les produits Check Point Remote Access VPN, Mobile Access et Spark Firewall. Check Point a publié des hotfixes le 8 juin 2026. La vulnérabilité est inscrite au CISA KEV et a été exploitée in the wild. 🎯 Produits affectés Les versions Gaia suivantes sont concernées : R80.20.X, R80.40, R81, R81.10, R81.10.X, R81.20, R82, R82.00.X, R82.10 Les versions en fin de support ne reçoivent aucun hotfix. ...