Pare-Feu

🔍 Contexte Publié le 26 octobre 2026 par Dream Research (source : dreamgroup.com), cet article détaille la découverte d’une campagne d’attaque sophistiquée identifiée le 25 octobre 2026 via l’outil de threat hunting autonome Hero. La campagne a compromis 25 serveurs dans plusieurs pays, dont des systèmes affiliés au gouvernement américain. 🎯 Vecteur d’attaque et vulnérabilités L’attaquant a développé une chaîne d’exploitation combinant deux vulnérabilités : CVE-2026-109618 / CVE-2026-109619 (PHP2Shell) : exploitation du mécanisme session.upload_progress de PHP 8.0.30 sur le serveur de gestion appweb d’un pare-feu (vendeur non divulgué). L’attaque se déroule en 4 étapes orchestrées (épuisement mémoire ~383 Mo, fuite d’information via OOM, référence stale ~500 Mo, exécution de code via HashTable forgé) aboutissant à une RCE en tant qu’utilisateur nobody. CVE-2026-46300 (Fragnesia) : LPE kernel via le sous-système XFRM ESP-in-TCP, permettant d’écraser /etc/pam.d/su avec pam_permit.so via des écritures page-cache, contournant SELinux pour obtenir un accès root complet. La chaîne complète s’exécute en moins de 15 minutes via une seule requête HTTPS non authentifiée. ...

Source : SonicWall (Support). ⚠️ SonicWall indique avoir détecté puis confirmé un incident visant le service de sauvegarde cloud de ses pare-feux : des attaques par force brute ont permis à des acteurs malveillants d’accéder à des fichiers de préférences de pare-feu stockés dans le cloud. Selon l’éditeur, l’accès concerne moins de 5 % de la base installée. Les identifiants présents dans ces fichiers sont chiffrés, mais les fichiers contiennent également des informations pouvant faciliter une exploitation des pare-feux concernés. SonicWall précise n’avoir aucune preuve de fuite publique à ce stade et qu’il ne s’agit pas d’un ransomware, mais d’une série d’attaques par force brute. ...

SonicWall, un fournisseur majeur de solutions de sécurité réseau, a émis une alerte urgente concernant une vulnérabilité de haute gravité dans son interface SSLVPN Virtual Office. Cette vulnérabilité, suivie sous le nom de CVE-2025-32818, permet aux attaquants non authentifiés de faire planter les pare-feu à distance, causant des perturbations de réseau généralisées. Avec un score CVSS v3 de 7.5, cette faille affecte des dizaines de modèles de pare-feu à travers les gammes de produits Gen7 et TZ80 de SonicWall. Les entreprises utilisant ces produits sont fortement encouragées à appliquer les correctifs nécessaires pour éviter toute exploitation potentielle de cette faille. ...

Un acteur de la menace prétend offrir un exploit zero-day pour une vulnérabilité d’exécution de code à distance non authentifiée dans les pare-feu Fortinet.