IOC

🔍 Contexte Publié le 3 septembre 2026 sur SecurityWeek par Ionut Arghire, cet article rapporte deux alertes distinctes émises par Cisco le même jour : l’une concernant des vulnérabilités non patchées dans son produit Cisco Secure Email, l’autre annonçant des correctifs pour des failles critiques dans IOS XR et les switches Nexus 9000 series. ⚠️ Vulnérabilités non corrigées – Cisco Secure Email (S/MIME) Deux failles de sévérité moyenne ont été publiquement divulguées sans correctif disponible : ...

🔍 Contexte Publié le 2 août 2026 par Resecurity, cet article constitue une analyse technique approfondie de la vulnérabilité CVE-2026-42897 et de la campagne d’exploitation associée menée par le groupe TA488 (également connu sous les noms Void Blizzard et Laundry Bear), acteur étatique russe. 🎯 Vulnérabilité CVE-2026-42897 CVE-2026-42897 est une vulnérabilité de type XSS stockée (Cross-Site Scripting) de sévérité élevée (CVSS 8.1) affectant Microsoft Exchange Server on-premises via Outlook Web Access (OWA). Elle résulte d’une insuffisance de sanitisation HTML dans le pipeline de rendu des emails : le contenu HTML malveillant est inséré directement dans le DOM authentifié sans neutralisation des gestionnaires d’événements JavaScript. ...

📰 Source : LeMagIT — Article publié le 26 août 2026, relatant une vulnérabilité Exchange divulguée lors du Patch Tuesday de Microsoft du 11 août 2026. 🔍 Contexte : Le Patch Tuesday d’août 2026 de Microsoft est décrit comme le plus volumineux à ce jour, couvrant 421 vulnérabilités, dont 7 affectant Microsoft Exchange. ⚠️ Vulnérabilité identifiée : CVE-2026-62911 : vulnérabilité critique d’élévation de privilèges dans Microsoft Exchange Score CVSS : 8.0 Exploitation possible par un attaquant distant authentifié 💥 Impact potentiel : ...

🔍 Contexte Wordfence a publié le 2 septembre 2026 une analyse détaillée d’une vulnérabilité critique activement exploitée dans Elementor Pro, un plugin WordPress comptant plus de 6 millions d’installations actives. La vulnérabilité a été divulguée publiquement le 19 août 2026, date à laquelle le correctif a également été publié. 🐛 Vulnérabilité CVE : CVE-2026-32475 Score CVSS : 9.8 (Critique) Type : Unauthenticated Arbitrary File Upload (Upload de fichier arbitraire non authentifié) Versions affectées : Elementor Pro <= 4.2.1 Version corrigée : 4.2.1 Bounty : 15 600 $ Chercheurs : Tin Pham (TF1T), Austin Ginder ⚙️ Mécanisme technique La faille réside dans la fonction process_field du widget Elementor Pro Form. La boucle de validation dans Upload::validation() utilise return au lieu de continue lorsque le premier élément d’un tableau de fichiers retourne UPLOAD_ERR_NO_FILE. Cela interrompt toutes les vérifications d’extension et de type de fichier pour les éléments suivants du même champ d’upload. ...

🗓️ Contexte Source : BleepingComputer, publié le 2 septembre 2026. L’article rapporte l’exploitation active d’une vulnérabilité critique dans JFrog Artifactory, un gestionnaire de dépôts logiciels largement utilisé pour stocker, organiser, sécuriser et distribuer des packages. 🔍 Vulnérabilité CVE-2026-82329 : contournement d’authentification critique Présente dans la configuration par défaut des instances auto-hébergées de JFrog Artifactory Exploitable par un attaquant non authentifié disposant d’un accès réseau Permet l’obtention de permissions administratives sans authentification préalable ⚔️ Exploitation observée Les chercheurs de watchTowr (société de sécurité offensive) ont observé des attaquants exploitant activement la faille pour se forger eux-mêmes des tokens administrateurs. Les actions possibles avec ces tokens incluent : ...

🔍 Contexte Source : BleepingComputer, publié le 2 septembre 2026. Des chercheurs de Horizon3 ont observé l’exploitation active de CVE-2026-9586, une vulnérabilité critique d’injection SQL non authentifiée affectant la plateforme VoIP d’entreprise Sangoma Switchvox. 🛠️ Détails techniques de la vulnérabilité Endpoint vulnérable : /pa (HTTP), exposé publiquement Mécanisme : Le champ PhoneIP extrait d’un message XML est directement concaténé dans une requête SQL non paramétrée Impact : Injection SQL menant à l’exécution de commandes système (RCE) Exploitation : Via une requête XML craftée envoyée avec curl CVE-2026-9586 est la plus sévère parmi 12 vulnérabilités découvertes par Horizon3 et signalées à Sangoma le 10 avril Patch disponible : Switchvox version 8.4.0.2, publiée le 14 juillet 🚨 Activité d’exploitation observée Première exploitation détectée par les honeypots Horizon3 le 30 août Adresse IP source unique : 176.65.148.184 Tentatives en succession rapide sur plusieurs systèmes Séquence d’attaque : Exécution d’un payload initial Collecte des processus en cours d’exécution Transmission des données encodées en base64 vers un serveur distant Tentative d’établissement d’un reverse shell Environ 4 000 instances Switchvox exposées sur Internet (source : Shodan), majoritairement aux États-Unis 🔎 Indicateurs de compromission Entrées suspectes dans /var/log/switchvox/db-quirks.log Connexions réseau vers 176.65.148.184, notamment sur le port 39323 📋 Type d’article Article d’alerte de sécurité et d’analyse technique, visant à informer les administrateurs systèmes de l’exploitation active en cours et à fournir des indicateurs de compromission exploitables. ...

🔍 Contexte Article publié le 4 avril 2026 par Luke Jennings (VP R&D, Push Security) sur le blog pushsecurity.com. Il s’agit d’une analyse technique approfondie de la montée en puissance du device code phishing, une technique d’usurpation de compte exploitant le flux OAuth 2.0 Device Authorization Grant. ⚡ Technique d’attaque Le device code phishing abuse du flux OAuth 2.0 conçu pour les appareils à entrée limitée. L’attaquant génère un code de périphérique (requête unauthentifiée), le transmet à la victime via phishing, et récupère des tokens d’accès et de rafraîchissement une fois que la victime entre le code sur la page légitime du fournisseur. Cette technique contourne les mots de passe, le MFA et les passkeys. Les cibles principales incluent Microsoft, Google, Salesforce, GitHub et AWS. ...

📰 Contexte Publié le 2 septembre 2026 par Bill Toulas sur BleepingComputer, cet article rapporte la divulgation d’une vulnérabilité critique d’injection SQL affectant le plugin WordPress All-in-One WP Migration and Backup, développé par ServMask. Le plugin compte plus de 5 millions d’installations actives. 🔍 Détails de la vulnérabilité CVE : CVE-2026-19949 Type : Injection SQL de second ordre (second-order SQL injection) Sévérité : Haute Versions affectées : All-in-One WP Migration and Backup jusqu’à la version 7.109 incluse Version corrigée : 7.110 (publiée le 20 août 2026) Découvreur : Jack Taylor, signalé via Wordfence (branche cybersécurité de Defiant) le 15 août 2026 ⚙️ Mécanisme d’exploitation La faille résulte d’un traitement incorrect des barres obliques inversées et des guillemets échappés lors de la réécriture du contenu de la base de données pendant la restauration d’une archive. ...

🔍 Contexte Publié le 8 avril 2026 par Aikido Security, cet article présente une analyse technique d’une nouvelle technique du groupe GlassWorm, suivi depuis mars 2025. Ce groupe est connu pour ses campagnes ciblant les développeurs via des packages npm malveillants, des extensions VS Code et des extensions Chrome. 🎯 Vecteur d’infection initial L’extension code-wakatime-activity-tracker publiée sur OpenVSX imite fidèlement l’extension légitime WakaTime (commandes, icônes, prompts API key). La divergence se situe dans la fonction activate() qui charge un binaire natif compilé en Zig avant toute logique WakaTime : ...

🗓️ Contexte Publié le 4 septembre 2026 par Pierluigi Paganini sur Security Affairs, cet article rapporte la publication d’une mise à jour de sécurité Chrome corrigeant 12 vulnérabilités, dont un zero-day activement exploité. 🔍 Vulnérabilité principale CVE-2026-85046 (CVSS : 8.8) est une faille de type confusion dans le moteur V8 (JavaScript/WebAssembly de Chrome). Elle permet à un attaquant distant d’exécuter du code arbitraire dans le sandbox du navigateur via une page HTML spécialement conçue. ...