TTP

🔍 Contexte Publié le 18 octobre 2026 par PWNAI Research (Paulos Yibelo) sur pwn.ai, cet article détaille la découverte de CVE-2026-99999, une vulnérabilité critique dans la pile réseau du noyau Linux permettant une évasion complète guest-to-host depuis un environnement KVM. La recherche a été initiée dans le cadre du challenge sandbox à 1 million de dollars lancé par Vercel le 18 août 2026. 🧠 Mécanisme de la vulnérabilité La vulnérabilité repose sur un pattern appelé “deferred-metadata trust inversion” combinant trois transitions de confiance : ...

🗓️ Contexte Source : 20min.ch, publié le 18 octobre 2026. L’article rapporte les suites d’une cyberattaque survenue fin septembre 2026 contre PK Softech, fournisseur de logiciels de la Caisse fédérale de pensions Publica (Suisse). 🎯 Nature de l’incident Une violation de données (data breach) a été perpétrée contre PK Softech, un prestataire tiers de Publica. L’attaque n’a pas visé directement l’administration fédérale, mais son fournisseur externe, reproduisant le schéma d’une attaque de type supply chain. ...

📰 Source : Bristol Post | Date : 15 octobre 2026 | Lieu : Bristol, Royaume-Uni La Southville Primary School de Bristol a été victime d’une seconde cyberattaque, distincte d’une première survenue le mois précédent. Cette seconde attaque a conduit à une exportation de données depuis le système d’information de gestion de l’école, qualifiée de violation de données « préoccupante ». 🗓️ Chronologie des événements : 21 septembre : détection d’une activité suspecte lors de la première attaque 25 septembre : déconnexion du réseau partagé des écoles (4 jours après la détection initiale) 88 écoles affectées par la première attaque, avec installation de logiciels malveillants sur certains appareils 14 octobre : 84 des 88 écoles reconnectées à Internet avec un accès limité 🎯 Impact de la première attaque : perturbation des activités scolaires (planification, enseignement, inscription des élèves, impression, communication avec les parents). Aucune preuve d’exportation massive de données lors de cette première attaque. ...

📅 Source : dfir.ch, publié le 14 octobre 2026 — Field Note d’investigation DFIR portant sur une infection par EtherRAT détectée via Microsoft Defender for Endpoint. 🔍 Contexte de découverte L’investigation a débuté suite à une alerte Microsoft Defender for Endpoint signalant une activité suspecte de capture d’écran via PowerShell. L’analyse de la chaîne d’exécution a révélé un binaire renommé FbtRYX8x.exe (runtime Node.js) communiquant avec plusieurs fournisseurs publics d’Ethereum RPC, comportement caractéristique d’EtherRAT, un backdoor Node.js documenté par Atos Threat Research Center, The DFIR Report et Malwarebytes. ...

🔍 Contexte Source : BleepingComputer, publié le 18 octobre 2026. L’article rapporte l’exploitation active d’une vulnérabilité critique dans SiteGuard Server Edition, un pare-feu applicatif web (WAF) japonais largement déployé, protégeant selon le vendeur plus de 1,5 million de sites web. 🚨 Vulnérabilité CVE-2026-106931 : injection de commandes OS dans la fonctionnalité de statistiques de SiteGuard Server Edition Sévérité : critique La fonctionnalité de statistiques est activée par défaut L’exploitation réussie permet l’exécution de commandes avec des privilèges root ou SYSTEM 🎯 Versions affectées SiteGuard Server Edition pour Apache httpd, Nginx et IIS (hors FreeBSD) : versions 2.20 et ultérieures, antérieures à 8.00 Update 5 SiteGuard Server Edition pour Apache httpd et Nginx sur FreeBSD : versions 2.20 et ultérieures, antérieures à 7.00 Update 6 Exclusion : éditions IIS versions 3.10 à 4.00 Update 4 incluses (non affectées selon JPCERT/CC) ⚠️ Exploitation L’exploitation active a été confirmée par le vendeur et signalée par le CERT japonais (JPCERT/CC). L’identité des attaquants, les victimes, l’échelle des attaques et les méthodes utilisées ne sont pas précisées dans les avis de sécurité disponibles. ...

🔍 Contexte Article publié le 18 octobre 2026 sur le blog BoredHackerBlog, rédigé par un chercheur en sécurité et utilisateur Plex ayant mis en place un honeypot pour observer l’exploitation in-the-wild de vulnérabilités annoncées par Plex le 1er septembre 2026. 🛡️ Vulnérabilités exploitées Le chercheur zmain a découvert et chaîné plusieurs vulnérabilités dans Plex Media Server v1.43.2 et antérieures pour obtenir une exécution de code à distance (RCE). Les CVE associées sont : ...

📰 Source : BleepingComputer — Date : 12 octobre 2026 GitLab a publié un avis de sécurité urgent concernant CVE-2026-97229, une vulnérabilité de sévérité maximale (CVSS non précisé mais qualifié de critique) affectant le compilateur d’expressions régulières CI/CD de sa plateforme DevSecOps. 🔍 Nature de la vulnérabilité La faille est causée par un débordement d’entier (integer overflow) dans le moteur qui analyse, compile et évalue les expressions régulières dans les fichiers de configuration de pipelines CI/CD. Elle permet à un attaquant non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement forgée dans une configuration CI/CD, en raison d’une validation insuffisante. ...

🗓️ Contexte Source : BleepingComputer, publié le 14 octobre 2026. L’article rapporte une opération conjointe du FBI et du Département de Justice américain (DoJ) visant le groupe de menace nord-coréen Famous Chollima (alias WageMole), spécialisé dans les schémas frauduleux de travailleurs IT à distance au profit du régime DPRK. 🎯 Opération « Lonestar Roundup » Entre le 21 et 25 septembre, le FBI a perquisitionné 40 résidences au Texas suspectées d’héberger des laptop farms — des sites où des facilitateurs hébergent des ordinateurs fournis par des employeurs, accessibles à distance par des opérateurs nord-coréens pour simuler une présence aux États-Unis. ...

📅 Source : SOCRadar, publié le 13 octobre 2026. Cet article analyse une vague d’extorsion massive ciblant le secteur maritime mondial, orchestrée par le groupe n0n, apparu en septembre 2026. 🎯 Contexte de l’attaque Le 12 octobre 2026, n0n a ajouté 38 organisations en une seule publication sur son site de fuite Dark Web, doublant ainsi son nombre total de victimes publiques. Les cibles couvrent l’ensemble de la chaîne logistique maritime : terminaux à conteneurs, compagnies maritimes, fournisseurs IT portuaires et agences logistiques, répartis dans 18 pays. ...

🔍 Contexte Publié le 16 octobre 2026 par la société de recherche offensive Calif, cet article détaille l’exploitation d’une vulnérabilité dans le noyau OpenBSD, dont l’origine remonte à environ 37 ans dans les sources BSD originales. Les correctifs ont été publiés via les errata 026 et 018 d’OpenBSD. 🐛 Vulnérabilité La faille principale réside dans un compteur d’attachement de mémoire partagée (shm_nattch) défini comme un entier signé 16 bits (short), avec une valeur maximale de 32 767. En forçant un dépassement de ce compteur via des forks répétés, il bascule vers une valeur négative (integer overflow), ouvrant la voie à : ...