https://cyberveille.ch/tags/palo-alto/ Recent content in Palo Alto on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 27 Jul 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-07-27-vague-d-exploitation-coordonnee-des-vpn-palo-alto-fortinet-citrix-et-check-point-par-des-ransomwares/ Mon, 27 Jul 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-07-27-vague-d-exploitation-coordonnee-des-vpn-palo-alto-fortinet-citrix-et-check-point-par-des-ransomwares/ <h2 id="-contexte">🌐 Contexte</h2> <p>Source : Cyber Security News (cybersecuritynews.com), publié le 27 juillet 2026. L&rsquo;article documente une vague coordonnée d&rsquo;exploitation ciblant les appliances VPN et firewall de <strong>Palo Alto Networks</strong>, <strong>Fortinet</strong>, <strong>Citrix</strong> et <strong>Check Point</strong>, identifiée comme le vecteur d&rsquo;accès initial dominant pour les opérateurs de ransomware en mid-2026.</p> <h2 id="-campagnes-documentées">🎯 Campagnes documentées</h2> <h3 id="campagne-1--fortibleed-fortinet-fortigate">Campagne 1 — Fortibleed (Fortinet FortiGate)</h3> <ul> <li><strong>Campagne de masse</strong> de collecte de credentials identifiée mi-juin 2026</li> <li>Extraction de fichiers de configuration depuis ~<strong>75 000 FortiGate</strong> exposés sur internet (194 pays, 21 000+ domaines)</li> <li>Craquage des hashes de mots de passe stockés</li> <li>Analysée par Kevin Beaumont, Hudson Rock et SOCRadar</li> <li>Aucune CVE unique : exploitation cumulative de faiblesses connues de stockage de credentials FortiOS</li> </ul> <h3 id="campagne-2--palo-alto-globalprotect-cve-2026-0257">Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257)</h3> <ul> <li><strong>Bypass d&rsquo;authentification</strong> (CWE-565) via falsification de cookies d&rsquo;override d&rsquo;authentification</li> <li>Divulgué le 13 mai 2026, PoC Rapid7 publié le 29 mai 2026</li> <li>CVSS révisé de 4.7 à <strong>7.8</strong>, ajouté au catalogue KEV de la CISA</li> <li>Exploitation confirmée dès le 17 mai 2026 ; affiliés <strong>Qilin</strong> confirmés en juillet 2026</li> <li>Post-exploitation : <strong>Impacket</strong>, attaques NTLM relay, mouvement latéral</li> </ul> <h3 id="campagne-3--check-point-vpn-cve-2026-50751">Campagne 3 — Check Point VPN (CVE-2026-50751)</h3> <ul> <li><strong>CVSS 9.3</strong> — bypass d&rsquo;authentification via faille de validation de certificat dans le protocole <strong>IKEv1 déprécié</strong></li> <li>Divulgué le 8 juin 2026 ; exploitation confirmée dès le 7 mai 2026 (un mois avant divulgation)</li> <li>Technique : manipulation des flags d&rsquo;authentification via payload <strong>VPNExtFeatures Vendor ID</strong> personnalisé</li> <li>Affilié <strong>Qilin</strong> confirmé dans des activités post-compromission</li> <li>CVE connexe : <strong>CVE-2026-50752</strong> (CVSS 7.4) — risque AitM sur VPN site-à-site, non exploité in-the-wild</li> </ul> <h3 id="campagne-4--citrix-netscaler-cve-2026-8451">Campagne 4 — Citrix NetScaler (CVE-2026-8451)</h3> <ul> <li><strong>CVSS 8.8</strong> — lecture hors limites pré-authentification dans le parser XML/SAML, famille <strong>CitrixBleed</strong></li> <li>Divulgué le 30 juin 2026 ; tentatives d&rsquo;exploitation moins de <strong>24h après divulgation</strong></li> <li>Vecteur : payloads <code>&lt;samlp:AuthnRequest&gt;</code> malformés avec espaces padding, cookie <strong>NSC_TASS</strong> anormal</li> <li>IP source d&rsquo;une campagne tracée : <strong>146.70.139[.]154</strong></li> <li>CVE précédent de la même famille : <strong>CVE-2026-3055</strong> (CVSS 9.3), patché en mars 2026</li> </ul> <h2 id="-outils-et-techniques-observés">🛠️ Outils et techniques observés</h2> <ul> <li><strong>Impacket</strong> — mouvement latéral et abus de protocoles</li> <li><strong>NTLM relay attacks</strong> — escalade de privilèges</li> <li><strong>Mimikatz</strong> — dump de credentials en mémoire</li> <li><strong>PsExec, RDP, WMI</strong> — mouvement latéral living-off-the-land</li> <li><strong>Script Chrome GPO-distribué</strong> — vol de credentials navigateur à l&rsquo;échelle du domaine</li> <li><strong>WSL (Windows Subsystem for Linux)</strong> — évasion EDR</li> <li>Cookies d&rsquo;override forgés, payloads IKEv1 personnalisés, requêtes SAML malformées</li> </ul> <h2 id="-secteurs-ciblés">🏭 Secteurs ciblés</h2> <p>Santé, éducation, industrie manufacturière, gouvernements locaux, médias, services professionnels, infrastructures critiques.</p>