RCE

Selon Koi Security (blog), une enquête attribue à l’acteur « ShadyPanda » une campagne d’extensions de navigateur étalée sur sept ans, visant Chrome et Edge, ayant infecté 4,3 millions d’utilisateurs avec des modules de surveillance et un backdoor à exécution de code à distance (RCE). • Phases de la campagne (2018–2025) : Phase 1 (2023) – « Wallpaper Hustle » (145 extensions, éditeurs nuggetsno15 et rocket Zhang) : fraude à l’affiliation (injection de codes affiliés eBay/Amazon/Booking), tracking via Google Analytics (visites, recherches, clics). Phase 2 (début 2024) – Détournement de recherche (ex. Infinity V+) : redirections via trovi.com, exfiltration de cookies (nossl.dergoodting.com), collecte des frappes de recherche vers s-85283.gotocdn[.]com et s-82923.gotocdn[.]com (HTTP non chiffré). Phase 3 (milieu 2024) – La « longue traque » : extensions légitimes depuis 2018–2019 (dont Clean Master, 200k+) weaponisées via mise à jour silencieuse après accumulation d’utilisateurs et badges « Featured/Verified ». Environ 300 000 utilisateurs touchés par un backdoor RCE commun à 5 extensions. Phase 4 (≈2023–2025) – « Spyware Empire » sur Microsoft Edge par Starlab Technology : 5 extensions totalisant 4 M+ d’installations (dont WeTab 新标签页 à 3 M) ; opération toujours active au moment du rapport. • Capacités et impacts clés : ...

Selon Oligo Security (billet de blog, 25/11/2025), une chaîne de cinq vulnérabilités critiques affecte Fluent Bit, l’agent de télémétrie massivement déployé, avec divulgation coordonnée avec AWS. Les failles permettent de contourner l’authentification, manipuler les tags, écrire des fichiers arbitraires (traversée de répertoires), provoquer des crashs et exécuter du code à distance. Fluent Bit est omniprésent (plus de 15 milliards de déploiements, plus de 4 millions de pulls sur la dernière semaine) dans des environnements variés (AI, banques, constructeurs automobiles, AWS/GCP/Azure). Sa position au cœur des pipelines d’observabilité rend toute faille de parsing, templating ou gestion de fichiers particulièrement impactante pour les infrastructures cloud et Kubernetes. ...

Selon The Cyber Express, la CISA a ajouté CVE-2025-61757 à sa base Known Exploited Vulnerabilities (KEV) après que le SANS Internet Storm Center a observé des tentatives d’exploitation, tandis que des recherches de Searchlight Cyber détaillent le mécanisme et la facilité d’exploitation de la faille. • La vulnérabilité CVE-2025-61757 (score 9,8, « Missing Authentication for Critical Function ») affecte le composant REST WebServices d’Oracle Identity Manager au sein d’Oracle Fusion Middleware versions 12.2.1.4.0 et 14.1.2.1.0. Elle permet une exécution de code à distance pré-authentification (RCE) via HTTP, pouvant mener à la prise de contrôle d’Identity Manager. Oracle a corrigé la faille dans sa mise à jour CPU d’octobre. ⚠️ ...

Selon BleepingComputer, une faille critique affecte la bibliothèque JavaScript populaire expr-eval distribuée sur NPM, ouvrant la voie à une exécution de code à distance (RCE). Contexte Une vulnérabilité critique (CVE-2025-12735, score CVSS 9.8) a été découverte dans la bibliothèque JavaScript expr-eval, téléchargée plus de 800 000 fois par semaine sur NPM et largement utilisée pour parser et évaluer des expressions mathématiques fournies par l’utilisateur. Elle est intégrée dans des centaines de projets, dont des outils éducatifs, financiers, scientifiques et des systèmes IA/NLP. ...

Selon gbhackers.com (Divya, 3 novembre 2025), des chercheurs ont découvert une vulnérabilité critique d’exécution de code à distance non authentifiée dans UniFi OS d’Ubiquiti, récompensée 25 000 $, qui permet la prise de contrôle complète des équipements, dont les routeurs UniFi Dream Machine et les systèmes d’accès. 🚨 Vulnérabilité: CVE-2025-52665 — une RCE non authentifiée via un endpoint de sauvegarde exposé. Un endpoint prévu pour l’interface loopback, /api/ucore/backup/export, était en réalité accessible depuis l’extérieur sur le port 9780, créant une surface d’attaque critique. ...

Selon BleepingComputer, une faille critique affecte la bibliothèque JavaScript expr-eval, découverte par le chercheur Jangwoo Choe et suivie sous l’identifiant CVE-2025-12735, avec une sévérité notée 9,8 par la CISA. Le CERT-CC de l’institut SEI de Carnegie Mellon a publié un avertissement soulignant le risque de prise de contrôle total du comportement logiciel et de divulgation complète des informations. ⚠️ Nature de la vulnérabilité: la validation insuffisante de l’objet variables/contexte passé à la fonction Parser.evaluate() permet à un attaquant de fournir des objets fonction malveillants que le parseur invoque lors de l’évaluation, aboutissant à une exécution de code à distance (RCE) via des entrées spécialement conçues. ...

Source: Cisco Security Advisory (sec.cloudapps.cisco.com). Cisco publie un avis sur une vulnérabilité d’exécution de code à distance (RCE) via des services web/SSL impactant plusieurs familles de produits lorsque certaines fonctionnalités sont activées, et fournit des commandes pour déterminer si un équipement est exposé. Produits affectés (selon configuration) et identifiants internes: Secure Firewall ASA/FTD (CSCwo18850), IOS avec Remote Access SSL VPN activé (CSCwo35704), IOS XE avec Remote Access SSL VPN activé (CSCwo35704, CSCwo35779), et IOS XR 32-bit sur routeurs ASR 9001 avec HTTP server activé (CSCwo49562). Cisco NX-OS n’est pas affecté. ...

Selon BleepingComputer, la CISA (agence américaine de cybersécurité) avertit que des acteurs menaçants exploitent une vulnérabilité d’exécution de commandes à distance critique affectant CentOS Web Panel (CWP). ⚠️ Points clés mis en avant par l’article: Type de vulnérabilité: exécution de commandes à distance (RCE) critique Produit affecté: CentOS Web Panel (CWP) Statut: exploitation active par des acteurs malveillants L’article signale une alerte de la CISA mettant l’accent sur l’exploitation en cours de cette faille, sans autres détails techniques fournis dans l’extrait. ...

Selon Picus Security, Microsoft a publié un correctif hors bande pour CVE-2025-59287, une vulnérabilité critique d’exécution de code à distance affectant Windows Server Update Services (WSUS), déjà exploitée dans la nature. Nature de la faille: désérialisation .NET non sécurisée dans la méthode Microsoft.UpdateServices.Internal.Authorization.EncryptionHelper.DecryptData() qui appelle BinaryFormatter.Deserialize() sur des données d’AuthorizationCookie contrôlables par l’utilisateur, sans validation de type. Impact: RCE avec privilèges SYSTEM de manière non authentifiée via des requêtes SOAP malveillantes envoyées aux services web de reporting WSUS. Produits/Composants concernés: WSUS (ports par défaut 8530/8531), endpoint /ClientWebService/Client.asmx (méthode GetCookie). Technique d’exploitation (résumé) 🚨: ...

Source: Huntress — Le billet détaille l’exploitation active de la vulnérabilité CVE-2025-59287 dans Windows Server Update Services (WSUS), une exécution de code à distance (RCE) via désérialisation de l’AuthorizationCookie, observée dès 2025-10-23 23:34 UTC. Microsoft a publié un correctif hors cycle le 23 octobre, et Huntress a constaté des attaques chez quatre clients. Produits/portée: WSUS exposé publiquement sur les ports par défaut 8530/TCP (HTTP) et 8531/TCP (HTTPS). Vulnérabilité: Désérialisation sur l’AuthorizationCookie menant à RCE (CVE-2025-59287). Un billet de Hawktrace fournit un PoC. Impact observé: Environ 25 hôtes susceptibles dans la base de partenaires de Huntress; exploitation attendue comme limitée car WSUS est rarement exposé. 🛠️ Comportements et chaîne d’exécution observés: ...