IOC

📰 Source : CybersecurityNews.com — Date de publication : 16 juin 2026 🔍 Contexte Horizon3.ai a découvert une vulnérabilité critique dans la plateforme SimpleHelp RMM (Remote Monitoring and Management) via son initiative de recherche autonome « Sua Sponte » utilisant l’analyse pilotée par IA. La faille est référencée CVE-2026-48558. ⚠️ Nature de la vulnérabilité La faille résulte d’une validation incorrecte des assertions du fournisseur d’identité lors du processus d’authentification OpenID Connect (OIDC), notamment dans les intégrations avec Azure Active Directory. Elle est exploitable lorsque : ...

🔍 Contexte Cet article est un post-mortem publié le 18 juin 2026 par l’équipe Huntress sur leur blog officiel. Il détaille une attaque de type supply chain ayant compromis Klue, une plateforme d’intelligence marché, et impacté plusieurs de ses clients dont Huntress. 🗓️ Chronologie de l’incident 11 juin 2026 : Début de la compromission de Klue via un comportement anomal sur un système d’intégration 12 juin : Klue détecte des connexions réseau inhabituelles vers des IPs malveillantes 13 juin : Klue désactive les accès distants, supprime le code de vol de tokens et émet une alerte générale aux clients 16 juin : Des emails d’extorsion avec l’objet “top secret email” arrivent dans les boîtes de certains employés Huntress 17 juin : Huntress confirme la compromission de ses données Salesforce et Gong ⚙️ Vecteur et mécanisme d’attaque Le threat actor a exploité un credential longtemps inutilisé mais toujours actif, créé à l’origine par Klue pour prototyper une intégration tierce abandonnée. À partir de ce point d’entrée, l’acteur a : ...

🔍 Contexte Publié le 17 juin 2026 par Zscaler ThreatLabz (chercheurs Shruti Dixit et Manisha Ramcharan Prajapati), cet article documente une campagne ClickFix observée en mars 2026 utilisant des sites web générés par IA pour distribuer un nouveau RAT bancaire nommé SmartRAT. Trend Micro a également analysé ce malware sous le nom Banana RAT avec un vecteur d’attaque différent. 🎯 Vecteur d’infection Les acteurs malveillants ont enregistré le domaine typosquatté cartaobb[.]com imitant le domaine légitime cartaobrb[.]com[.]br d’une banque brésilienne populaire. La page frauduleuse, vraisemblablement générée par un outil de création de sites web IA, présente : ...

🔍 Contexte Le 12 juin 2026, watchTowr Labs (Piotr Bazydlo et Yordan Ganchev) publie une analyse technique approfondie de CVE-2026-20253, une vulnérabilité critique (CVSS 9.8) affectant Splunk Enterprise et permettant une exécution de code à distance sans authentification préalable. 🎯 Vulnérabilité La faille réside dans le PostgreSQL Sidecar Service de Splunk Enterprise, un composant installé et activé par défaut sur les déploiements Splunk Enterprise sur AWS (versions 10 et supérieures). Ce service expose une API HTTP interne (127.0.0.1:5435) accessible via proxy depuis l’interface web principale de Splunk (port 8000), sans aucun contrôle d’authentification. ...

🔍 Contexte Source : SOCRadar, publié le 17 juin 2026. Fortinet a divulgué plusieurs vulnérabilités critiques affectant FortiSandbox, son appliance d’analyse de fichiers suspects et de sandboxing. Deux failles ont été publiées en avril 2026 et une troisième en juin 2026. 🚨 Vulnérabilités identifiées Trois CVE sont concernés, tous avec un score CVSS de 9.8 : CVE-2026-39813 : Vulnérabilité de path traversal dans l’API JRPC de FortiSandbox. Permet à un attaquant non authentifié d’envoyer des requêtes HTTP forgées pour contourner l’authentification et escalader ses privilèges. Affecte FortiSandbox 5.0.0–5.0.5 et 4.4.0–4.4.8. Correctif : 5.0.6 ou 4.4.9. ...

🔍 Contexte Publié le 18 juin 2026 par Group-IB, cet article présente les résultats d’une investigation sur une campagne de phishing baptisée GitBait, ciblant au moins 12 institutions financières opérant au Mexique, active depuis environ trois ans. 🎯 Description de la campagne La campagne repose sur une architecture entièrement serverless combinant : GitHub Pages comme plateforme d’hébergement des pages de phishing L’API SheetBest pour l’exfiltration des credentials vers des Google Sheets contrôlées par les attaquants Un bot Telegram comme méthode d’exfiltration alternative pour certaines cibles Les pages de phishing imitent visuellement les portails de banque en ligne légitimes et collectent : noms d’utilisateur, identifiants clients, mots de passe et données de cartes de paiement via un flux multi-étapes. ...

🔍 Contexte : Le 16 juin 2026, Cato CTRL (Vitaly Simonovich) publie une analyse post-incident détaillée de l’opération « Poisson », couvrant la période du 30 mars au 1er mai 2026. L’analyse repose sur l’historique complet des commandes et la télémétrie capturée en temps réel. 🎯 Cibles : Une petite entreprise française du secteur automobile et quatre individus français. Les victimes sont localisées en Alsace (département 68) et en Val-d’Oise (département 95). ...

🔍 Contexte Publié le 18 juin 2026 par Calif.io, cet article présente la découverte de Squidbleed (CVE-2026-47729), une vulnérabilité de type heap buffer overread dans Squid Proxy, présente depuis un commit daté du 18 janvier 1997. La découverte a été réalisée à l’aide du modèle d’IA Claude Mythos Preview (Anthropic), dans le cadre d’une collaboration entre Calif.io et Anthropic. 🐛 Nature de la vulnérabilité La faille réside dans le parseur de listing FTP de Squid (Ftp::Gateway::htmlifyListEntry), plus précisément dans la gestion du pointeur copyFrom après le timestamp de modification d’un fichier. ...

📰 Source : SecurityWeek — Date : 17 juin 2026 Microsoft a publié un avis de sécurité reconnaissant l’existence de CVE-2026-50656 (score CVSS 7.8), une vulnérabilité d’élévation de privilèges dans le Microsoft Malware Protection Engine de Microsoft Defender, publiquement désignée sous le nom RoguePlanet. 🔍 Détails techniques La vulnérabilité exploite une race condition dans Microsoft Defender et permet à un attaquant d’obtenir des privilèges SYSTEM. Un proof-of-concept (PoC) a été publié par le chercheur Nightmare Eclipse (alias Chaotic Eclipse), démontrant une élévation de privilèges locale (LPE) sur Windows 10 et Windows 11 avec les correctifs de juin 2026 installés. ...

🔍 Contexte Le 12 juin 2026, Horizon3.ai publie une divulgation technique concernant CVE-2026-48558, une vulnérabilité de contournement d’authentification affectant l’application de supervision et d’accès à distance SimpleHelp. La découverte a été réalisée par un pipeline de recherche autonome en vulnérabilités basé sur l’IA générative, baptisé “Sua Sponte”, développé en interne par Horizon3.ai. 🐛 Vulnérabilité La faille réside dans la manière dont SimpleHelp valide les assertions de l’Identity Provider (IdP) lors d’une authentification OpenID Connect (OIDC) (générique ou Azure AD). Dans les configurations vulnérables, un attaquant non authentifié peut créer et s’authentifier en tant que nouveau compte Technicien, contournant ainsi le MFA (l’attaquant peut auto-enregistrer sa propre méthode MFA lors de la première connexion). ...