Exploitation Active

🔍 Contexte Source : Rescana, publiée le 4 octobre 2026. L’article est une alerte d’exploitation active concernant CVE-2026-104286 (également référencée FG-IR-26-175), une vulnérabilité critique affectant les appliances Fortinet FortiMail. La CISA a ajouté cette CVE à son catalogue KEV le 2026-10-01. 🛡️ Vulnérabilité Type : Path traversal (CWE-22) et injection de NULL byte (CWE-158) Composant affecté : Interface web FortiMail, fonctionnalité Identity-Based Encryption (IBE) Score CVSS v3 : 9.8 (Critique) Vecteur : Requêtes HTTP/HTTPS spécialement forgées, sans authentification requise Impact : Écriture arbitraire de fichiers, exécution de code à distance, compromission totale du système, exfiltration de données, mouvement latéral 📦 Versions affectées FortiMail 8.0.0 à 8.0.1 FortiMail 7.6.0 à 7.6.6 FortiMail 7.4.0 à 7.4.8 FortiMail 7.2.0 à 7.2.9 ⚔️ Exploitation observée Les attaquants exploitent la faille via des séquences de path traversal (../) et des NULL bytes non filtrés dans les requêtes vers la fonctionnalité IBE. Les activités post-exploitation observées incluent : ...

🛡️ Contexte Le 21 septembre 2026, BleepingComputer rapporte que la CISA (Cybersecurity and Infrastructure Security Agency) a émis une alerte concernant l’exploitation active de trois vulnérabilités du noyau Linux, ajoutées séparément à son catalogue KEV (Known Exploited Vulnerabilities) la semaine précédente. Les agences fédérales américaines ont reçu l’ordre d’appliquer les correctifs disponibles avant la fin de la journée même. 🔍 Vulnérabilités concernées CVE-2025-39964 (critique) : Race condition dans l’interface de socket cryptographique AF_ALG du noyau Linux. Permet des écritures concurrentes corrompant l’état par socket, pouvant provoquer des crashs ou altérer des résultats cryptographiques. Cette faille existait dans le noyau depuis 14 ans. Découverte par la société STAR Labs, qui a démontré une élévation de privilèges et une évasion de conteneur dans le programme kernelCTF de Google. ...

🔍 Contexte Source : CrowdSec VulnTracking, publié le 28 septembre 2026. CrowdSec rapporte l’exploitation massive et rapide de CVE-2026-87902, une vulnérabilité critique de type Local File Inclusion (LFI) dans le cœur de WordPress, pouvant mener à une exécution de code à distance (RCE) dans certaines conditions. 🛡️ Détails de la vulnérabilité Produit affecté : WordPress core versions 4.7.0 à 7.1.1 Versions corrigées : 7.1.2, 7.0.6, 6.9.9, 6.8.10, et rétroports jusqu’à 4.7.37 (22 septembre 2026) Classe : Path traversal / PHP file inclusion (CWE-22, CWE-98) CVSS 4.0 : 9.2 Critical (WordPress) ; CVSS 3.1 : 8.1 High (CISA) Authentification requise : Aucune Advisory : GHSA-7hp8-65ch-5whp CISA KEV : Ajouté le 25 septembre 2026, deadline fédérale le 28 septembre 2026 Signalée par : Robert Ressl via HackerOne le 20 juillet 2026 ; route PEAR documentée par Equixly ⚙️ Mécanisme d’exploitation La fonction get_page_template() construit un nom de fichier à partir du paramètre pagename. Des séquences ../ doublement encodées en URL contournent la première sanitisation, puis un urldecode() ultérieur les restaure, permettant une inclusion de fichier arbitraire via include. La vérification validate_file() utilisée ailleurs est absente sur ce chemin de code. ...

📰 Source : BleepingComputer | Date : 27 septembre 2026 | Contexte : Divulgation officielle par Citrix de deux vulnérabilités zero-day activement exploitées sur ses appliances NetScaler. 🔍 Vulnérabilités identifiées Citrix a publié le bulletin de sécurité CTX697096 confirmant deux failles critiques : CVE-2026-88771 (score CVSS 9.5) : Exécution de code à distance via une validation d’entrée incorrecte, exploitable sans authentification, affectant toutes les configurations par défaut de NetScaler ADC et Gateway. CVE-2026-88772 (score CVSS 9.5) : Débordement mémoire pouvant mener à une RCE ou un déni de service, exploitable lorsque DTLS est activé (activé par défaut sur les serveurs virtuels VPN). ⚠️ Versions affectées ...

🔍 Contexte Le 23 septembre 2026, Check Point a publié l’alerte de sécurité sk1000117 concernant la vulnérabilité CVE-2026-85102, affectant les fonctionnalités VPN de ses produits Security Gateway et Spark Firewall. ⚠️ Nature de la vulnérabilité La faille résulte d’une validation incorrecte des données de certificat lors de la négociation VPN, permettant à un attaquant distant non authentifié d’exécuter du code arbitraire sur la Security Gateway. Le score CVSS est de 9.8 (critique). ...

🔍 Contexte : Le 10 septembre 2026, Wiz Research publie une analyse technique détaillant l’exploitation active en conditions réelles de trois vulnérabilités critiques et de haute sévérité affectant JFrog Artifactory. ⚠️ Vulnérabilités impliquées : CVE-2026-42018 (authentification incorrecte) : Artifactory retourne un token interne d’utilisateur anonyme à un requérant non authentifié, même lorsque l’accès anonyme est désactivé. CVE-2026-42016 (élévation de privilèges) : Validation insuffisante du scope des tokens permettant à un token de faible privilège d’obtenir des droits administrateurs. CVE-2026-82329 (contournement d’authentification critique) : Un attaquant non authentifié peut obtenir des privilèges administratifs via la configuration par défaut d’Artifactory. Cette CVE est référencée dans le CISA KEV. 🔗 Chaînage d’exploitation CVE-2026-42018 + CVE-2026-42016 (observé entre le 15 août et le 8 septembre 2026) : ...

🔍 Contexte Le 7 septembre 2026, le CERT Polska publie une analyse détaillée de six vulnérabilités découvertes dans MikroTik RouterOS, coordonnées avec le vendeur. La chaîne d’exploitation principale, baptisée MikroTrick, est activement exploitée dans des attaques réelles observées depuis au moins le 2 septembre 2026. 🚨 Vulnérabilités identifiées Trois vulnérabilités majeures sont décrites : CVE-2026-67276 (CVSS 9.2) : Contournement d’authentification SSH — RouterOS ne comparait pas l’intégralité de la clé publique RSA, permettant à un attaquant connaissant le nom d’utilisateur et le modulus public de se connecter sans la clé privée correspondante. CVE-2026-86060 (CVSS 9.2) : Élévation de privilèges via un nom d’utilisateur SSH forgé — un nom d’utilisateur commençant par un caractère interdit permettait d’obtenir des privilèges administratifs complets. CVE-2026-67277 (CVSS 8.8) : Divulgation mémoire et crash via le service bandwidth-test — une connexion non authentifiée pouvait atteindre un état post-login, entraînant une fuite de mémoire noyau ou un DoS. 🎯 Exploitation active (MikroTrick) La combinaison de CVE-2026-67276 et CVE-2026-86060 constitue la chaîne MikroTrick, permettant une prise de contrôle complète sans authentification sur tout appareil exposant SSH sur des réseaux publics. ...

🔍 Contexte Publié le 31 août 2026 par The Cyber Express, cet article rapporte la publication par PaperCut d’un second patch d’urgence (Emergency Patch Release 2) pour deux vulnérabilités zero-day activement exploitées dans ses produits PaperCut NG et MF (serveurs de gestion d’impression). 🐛 Vulnérabilités identifiées Les deux failles fonctionnent en chaîne : CVE-2026-81578 (CVSS 8.8) : Contrôle d’accès inapproprié dans l’interface web d’administration de PaperCut, permettant à des requêtes distantes non authentifiées d’atteindre des fonctions administratives avant la fin de la validation d’accès. CVE-2026-82078 (CVSS 9.4) : Chargement dynamique de classes non sécurisé dans les utilitaires de base de données, permettant l’exécution de bytecode Java arbitraire dans le processus du serveur applicatif. Combinées, ces deux failles permettent une exécution de code à distance pré-authentification sur un serveur exposé sur Internet. ...

🔍 Contexte Le 27 août 2026, PaperCut Software a publié un bulletin de sécurité urgent concernant l’exploitation active de vulnérabilités affectant PaperCut NG et PaperCut MF (toutes versions). Le bulletin a été mis à jour le 1er septembre 2026 avec la publication de l’Emergency Patch Release 3. 🚨 Vulnérabilités identifiées Deux CVE ont été rendues publiques : CVE-2026-82078 (CVSS 9.4 – CRITIQUE) : Chargement dynamique non sécurisé de classes Java dans les utilitaires de connexion à la base de données. Permet à un attaquant ayant accès à la configuration système d’exécuter du bytecode Java arbitraire dans le contexte du processus PaperCut. Type : CWE-470. CVE-2026-81578 (CVSS 8.8 – HIGH) : Contournement d’authentification dans l’interface de gestion web. Permet à un attaquant non authentifié de modifier certaines configurations système. Type : CWE-306. 🛠️ Patch et correctifs Emergency Patch Release 3 publié le 1er septembre 2026, couvrant PaperCut NG/MF v24, v25 et v26 (Windows, Linux, macOS). Ce patch cumule les correctifs des Release 1 et 2, corrige deux régressions (flux SAML cassés, support du driver legacy Microsoft SQL Server) et ajoute un durcissement supplémentaire contre des chaînes d’attaque observées en production. Développé en collaboration avec Huntress et watchTowr. 🔎 Indicateurs de compromission Entrées dans server.log : ...

🗓️ Contexte Le 20 août 2026, l’équipe de maintenance de SPIP (système de publication pour l’internet) publie un billet d’alerte sur le blog officiel annonçant la sortie de la version 4.4.21, qualifiée de mise à jour critique de sécurité. 🔴 Vulnérabilité corrigée La version 4.4.21 corrige une vulnérabilité de type RCE (Remote Code Execution) présentant les caractéristiques suivantes : Pré-authentification : aucune authentification requise pour l’exploiter Universelle (sans conditions) : aucune configuration particulière n’est nécessaire côté victime Non couverte par l’écran de sécurité de SPIP Affecte la version SPIP 4.4.20 Signalée anonymement via le dispositif de déclaration de vulnérabilités de l’ANSSI ⚠️ Exploitation active L’équipe SPIP indique explicitement que des tentatives d’exploitation ont déjà été constatées dans la nature, rendant la mise à jour urgente. Un administrateur du site Automag.be (Bob) confirme en commentaire avoir subi une attaque malveillante entre une mise à jour effectuée en avril et la découverte de la faille en août. ...