TTP

🗓️ Contexte Publié le 30 avril 2026 par Dan Goodin sur Ars Technica, cet article couvre la divulgation publique d’une vulnérabilité critique dans le noyau Linux, réalisée par la société de sécurité Theori, cinq semaines après sa notification privée à l’équipe de sécurité du noyau Linux. 🔍 Vulnérabilité : CopyFail (CVE-2026-31431) CopyFail est une élévation de privilèges locale (LPE) affectant le sous-système crypto du noyau Linux, plus précisément le template AEAD authencesn utilisé pour les numéros de séquence étendus IPsec. La faille est un défaut logique en ligne droite : le processus ne copie pas correctement les données, utilise le buffer de destination de l’appelant comme zone de travail temporaire, et écrit 4 octets au-delà de la région de sortie légitime sans les restaurer. ...

🔍 Contexte Publié le 3 mai 2026 sur GitHub (dépôt wgnet/wg.copyfail.patch), cet article présente un workaround eBPF pour la vulnérabilité CVE-2026-31431, surnommée Copy.Fail, affectant le noyau Linux. 🐛 Description de la vulnérabilité La CVE-2026-31431 permet à un utilisateur autorisé de modifier le cache d’une copie de tout fichier lisible, ce qui entraîne : Local Privilege Escalation (LPE) — élévation de privilèges locale jusqu’à root Échappement de sandbox/conteneur D’autres impacts liés à l’intégrité du système de fichiers L’exploitation repose sur la création d’une socket AF_ALG, fournie par les modules noyau algif*. ...

🗞️ Contexte Article publié le 1er mai 2026 par The Register (Carly Page). Il rapporte l’exploitation active d’une vulnérabilité critique dans cPanel et WHM, l’un des panneaux de gestion d’hébergement web les plus répandus au monde, ainsi que dans WP Squared, une couche de gestion WordPress construite sur la même plateforme. 🔍 Vulnérabilité CVE-2026-41940 — score CVSS 9.8 (critique) Affecte toutes les versions supportées de cPanel/WHM postérieures à la version 11.40, ainsi que WP Squared Un exploit réussi permet la prise de contrôle totale du serveur Le patch a été publié par cPanel un mardi ; l’exploitation était déjà en cours avant cette date CISA a ajouté la faille à son catalogue Known Exploited Vulnerabilities (KEV) le jeudi suivant 📅 Chronologie de l’exploitation 23 février 2026 : premières tentatives d’exploitation observées par l’hébergeur KnownHost (déclaration du CEO Daniel Pearson sur Reddit) Avant le patch : exploitation confirmée en conditions réelles Post-patch : CISA confirme l’exploitation active ; Namecheap a temporairement bloqué l’accès à cPanel/WHM en attendant les correctifs 💥 Impact observé Un propriétaire de petite entreprise a signalé sur Reddit avoir été victime d’une attaque ransomware suite à l’exploitation de cette vulnérabilité sur une configuration cPanel standard Demande de rançon : 7 000 $ pour déverrouiller les systèmes L’hébergeur de la victime semblait débordé par l’incident Rapid7, via Shodan, a identifié environ 1,5 million d’instances cPanel exposées sur Internet cPanel sous-tend l’hébergement de dizaines de millions de sites web 🎯 Profil des cibles Hébergeurs web et leurs clients Petites structures dépendant de fournisseurs d’hébergement mutualisé Sites WordPress gérés via WP Squared 📄 Nature de l’article Article de presse spécialisée relatant une annonce d’incident en cours, combinant des éléments de rapport d’exploitation active, de réponse des hébergeurs et de témoignages de victimes. But principal : informer sur l’étendue de l’exploitation et l’urgence de la situation. ...

📅 Source et contexte : Article publié le 28 avril 2026 par Brooks Davis (Capabilities Limited) sur le site de la CHERI Alliance. Il s’inscrit dans un contexte de discussions récentes sur l’utilisation des LLMs pour la découverte et l’exploitation de vulnérabilités. 🔍 Vulnérabilité identifiée : La vulnérabilité CVE-2026-4747 affecte le composant RPCSEC_GSS du noyau FreeBSD. Il s’agit d’un stack buffer overflow classique permettant potentiellement une exécution de code à distance (RCE), classée de sévérité Critique. Elle a été découverte à l’aide d’un LLM (modèle de langage de grande taille). ...

🌐 Contexte Source : Europol (communiqué officiel), publié le 29 avril 2026. Cette annonce fait suite à une journée d’action coordonnée le 17 avril 2026, aboutissant au démantèlement d’un réseau criminel opérant des call centres frauduleux à Tirana, Albanie. 🎯 Nature de la menace Le réseau exploitait un schéma de fraude à l’investissement en ligne (investment scam) à grande échelle. Les victimes étaient attirées via de fausses publicités sur les réseaux sociaux et les moteurs de recherche, vers de fausses plateformes d’investissement. Des agents dits « retention agents » se faisaient passer pour des conseillers financiers et utilisaient des logiciels d’accès à distance pour prendre le contrôle total des appareils des victimes. ...

🗓️ Contexte Article publié le 29 avril 2026 par Bloomberg (Patrick Howell O’Neill), basé sur les conclusions de la firme de cybersécurité Gambit Security. L’opération s’inscrit dans un contexte géopolitique tendu : blocus naval américain de Cuba, raid américain au Venezuela, et décision de l’administration Trump de suspendre les livraisons de pétrole à Cuba. 🎯 Cible et impact Les attaquants ont compromis l’ambassade cubaine à Washington, DC, accédant aux boîtes mail de 68 officiels, dont : ...

🌐 Contexte Publié le 1 mai 2026 sur le site de la CISA, ce document est une guidance conjointe co-rédigée par l’ASD/ACSC (Australie), la CISA et la NSA (États-Unis), le Centre canadien pour la cybersécurité, le NCSC-NZ (Nouvelle-Zélande) et le NCSC-UK (Royaume-Uni). Il s’adresse aux gouvernements, opérateurs d’infrastructures critiques et acteurs industriels qui conçoivent, développent, déploient ou opèrent des systèmes d’IA agentique basés sur des LLM. 🤖 Définition et périmètre Les systèmes d’IA agentique se distinguent de l’IA générative classique par leur capacité à agir de manière autonome, à planifier sur le long terme, à atteindre des objectifs sous-spécifiés et à créer des sous-agents. Ils intègrent des LLM, des outils externes, des sources de données, des mémoires et des workflows de planification. ...

📰 Source : TechCrunch, article de Zack Whittaker publié le 27 avril 2026. 🏢 Contexte : Itron est une entreprise américaine basée à Liberty Lake (Washington) spécialisée dans la technologie de gestion de la consommation énergétique (eau, gaz, électricité). Elle fournit des compteurs connectés à plus de 110 millions de foyers et entreprises et opère dans plus de 100 pays. ⚠️ Incident : Itron a confirmé avoir été victime d’une cyberattaque survenue mi-avril 2026. La société a été notifiée de la présence d’un intrus dans ses systèmes (la source de cette notification n’est pas précisée). Les attaquants ont été expulsés et aucune intrusion supplémentaire n’a été détectée depuis. ...

🏛️ Contexte Publié le 1er mai 2026 sur le blog officiel du NCSC (National Cyber Security Centre, Royaume-Uni), ce billet est signé par Ollie Whitehouse, CTO du NCSC. Il s’inscrit dans une série de publications sur les capacités offensives de l’IA et la résilience cyber. ⚠️ Menace identifiée Le NCSC constate que l’intelligence artificielle, utilisée par des individus suffisamment qualifiés, est désormais capable d’exploiter la dette technique à grande échelle et à grande vitesse dans l’ensemble de l’écosystème technologique. Cette dette technique — accumulée dans les logiciels open source, commerciaux, propriétaires et SaaS — constitue une surface d’attaque latente massive. ...

🔍 Contexte Source : dépôt GitHub public Neo23x0/auditd, publié le 3 mai 2026. Il s’agit d’un projet open source sous licence Apache-2.0, activement maintenu, avec 1 800 étoiles et 302 forks. 🛠️ Description du projet Le projet fournit une configuration auditd de référence (best-practice) pour les distributions Linux majeures. L’objectif est de collecter une télémétrie de sécurité large et réutilisable, sans intégrer la logique de détection directement dans les règles auditd. ...