VPN

🗓️ Contexte Le 2 novembre 2026, Rapid7 publie une analyse d’urgence suite à la mise à jour de l’advisory sécurité d’Ivanti du 29 octobre 2026, concernant Ivanti Connect Secure (ICS), solution VPN d’entreprise déployée en bordure de réseau. 🔍 Vulnérabilités identifiées Trois CVE sont impliquées dans une chaîne d’exploitation active : CVE-2026-104935 (CVSS 8.6, CWE-290) : Contournement d’authentification par spoofing permettant une exécution de commandes à distance non authentifiée CVE-2026-111357 (CVSS 8.8 selon Ivanti, 7.0 selon CVE record, CWE-306/862/345) : Élévation de privilèges locale pour un attaquant authentifié CVE-2026-118527 (CVSS 4.3, CWE-340) : Upload de fichier contrôlé par l’attaquant vers un chemin connu sur le disque, pour un attaquant authentifié à distance Les deux nouvelles CVE ont été ajoutées au catalogue KEV de la CISA le 30 octobre 2026. ...

📰 Source : Cybernews | Date : 26 octobre 2026 Erica Windisch, fondatrice de Cyberdione Labs, a publié dimanche les résultats de tests menés du 22 au 24 octobre 2026, documentant 11 vulnérabilités dans le produit VPN Tailscale et son alternative open-source Headscale, avant que des correctifs soient disponibles. 🔍 Nature des vulnérabilités identifiées : Exploitation de faiblesses dans Tailscale SSH permettant d’obtenir un accès root sur des serveurs Vol de credentials d’enrôlement de dispositifs Mouvement latéral rapide à travers les réseaux d’entreprise Un dispositif compromis peut enrôler une machine contrôlée par un attaquant dans le réseau ⚠️ Conditions d’exploitation : Les attaques SSH les plus sévères nécessitent un point d’ancrage préexistant sur un dispositif autorisé et des permissions d’accès appropriées. Elles ne permettent pas à un attaquant externe non authentifié de prendre le contrôle de machines Tailscale arbitraires. ...

🗓️ Contexte L’article, publié le 14 octobre 2026 sur cryptika.com (source originale : cybersecuritynews.com), rapporte une campagne d’exploitation active de trois vulnérabilités zero-day dans Ivanti Connect Secure VPN, découverte par la société Volexity lors d’une investigation chez un client. L’activité a débuté le 3 octobre 2026 et ciblait une appliance entièrement à jour sous la version 22.8R2.4. 🎯 Acteur et objectifs Volexity attribue l’activité à un acteur jusqu’alors inconnu, désigné UTA0576. L’objectif principal observé est la collecte de données d’authentification sensibles : ...

🔍 Contexte Le 23 septembre 2026, Check Point a publié l’alerte de sécurité sk1000117 concernant la vulnérabilité CVE-2026-85102, affectant les fonctionnalités VPN de ses produits Security Gateway et Spark Firewall. ⚠️ Nature de la vulnérabilité La faille résulte d’une validation incorrecte des données de certificat lors de la négociation VPN, permettant à un attaquant distant non authentifié d’exécuter du code arbitraire sur la Security Gateway. Le score CVSS est de 9.8 (critique). ...

🔍 Contexte Publié le 11 septembre 2026 sur GBHackers, cet article rapporte la divulgation par Check Point de deux vulnérabilités critiques affectant ses technologies VPN Remote Access et VPN Site-to-Site. Ces failles ont été découvertes par l’équipe de recherche interne de Check Point, qui indique n’avoir observé aucune exploitation active à ce jour. 🚨 Vulnérabilités identifiées CVE-2026-85102 : Faille de contournement d’authentification (authentication bypass) pouvant mener à une exécution de code à distance (RCE). Elle permet à un attaquant de contourner les contrôles d’authentification sur des déploiements VPN vulnérables et d’exécuter du code sans disposer d’identifiants valides. CVE-2026-85103 : Débordement de tas (heap overflow) lié au décodage ASN.1. Une donnée ASN.1 malformée peut corrompre la mémoire du dispositif et permettre à un attaquant de prendre le contrôle du processus VPN ou de l’appliance. Les deux vulnérabilités sont classifiées critiques par Check Point. ...

🔍 Contexte Source : BleepingComputer, publié le 10 septembre 2026. Surfshark, fournisseur de services VPN, a publiquement divulgué un incident de sécurité ayant affecté l’un de ses serveurs de test internes. 🛠️ Cause de l’incident Une erreur humaine de configuration a rendu un serveur de test interne utilisé par les équipes d’ingénierie accessible depuis Internet, exposant ainsi l’environnement à des acteurs non autorisés. 📋 Données exposées Les éléments suivants ont été exposés sur le serveur compromis : ...

🔍 Contexte Source : HaveIBeenPwned (https://haveibeenpwned.com/Breach/SplitVPN), publié le 1er août 2026. L’incident concerne SplitVPN, un service VPN russe anciennement connu sous le nom de NotVPN. 📋 Détails de l’incident En juillet 2026, SplitVPN a été victime d’une violation de données ayant exposé des millions d’enregistrements clients. Les données compromises incluent : 865 000 adresses email uniques Adresses IP des utilisateurs Pays de résidence des utilisateurs Données de carte bancaire partielles : 6 premiers chiffres (BIN), 4 derniers chiffres et date d’expiration 🏢 Entité concernée Le service est d’origine russe et opérait précédemment sous le nom NotVPN avant de devenir SplitVPN. ...

🔍 Contexte Le 28 juillet 2026, Huntress publie un advisory de menace documentant une campagne active de credential stuffing ciblant les équipements SonicWall VPN et firewall, détectée par le SOC Huntress à partir du 25 juillet 2026 à 18:02:21 UTC. 🎯 Nature de l’attaque L’attaque est décrite comme large, opportuniste et automatisée. Les acteurs de la menace ne ciblent pas une organisation spécifique mais valident systématiquement des identifiants contre des portails d’accès distant SonicWall pour compromettre un maximum de comptes. Aucune activité post-compromission de type « hands-on-keyboard » n’a été observée. ...

🌐 Contexte Source : cybersecuritynews.com, publié le 27 juillet 2026. L’article analyse quatre campagnes convergentes d’exploitation d’équipements VPN et firewall exposés sur Internet, utilisés comme vecteur d’accès initial privilégié par des opérateurs de ransomware en mid-2026. 🎯 Campagnes identifiées Campagne 1 — Fortibleed (Fortinet FortiGate) Première identification : mi-juin 2026 Extraction massive de fichiers de configuration et crackage de hashes de mots de passe sur des FortiGate exposés Environ 75 000 appareils compromis dans 194 pays et 21 000+ domaines Analysé par Kevin Beaumont, Hudson Rock et SOCRadar Pas d’attribution formelle à un groupe ransomware Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257, CVSS 7.8) ...

🌐 Contexte Source : Cyber Security News (cybersecuritynews.com), publié le 27 juillet 2026. L’article documente une vague coordonnée d’exploitation ciblant les appliances VPN et firewall de Palo Alto Networks, Fortinet, Citrix et Check Point, identifiée comme le vecteur d’accès initial dominant pour les opérateurs de ransomware en mid-2026. 🎯 Campagnes documentées Campagne 1 — Fortibleed (Fortinet FortiGate) Campagne de masse de collecte de credentials identifiée mi-juin 2026 Extraction de fichiers de configuration depuis ~75 000 FortiGate exposés sur internet (194 pays, 21 000+ domaines) Craquage des hashes de mots de passe stockés Analysée par Kevin Beaumont, Hudson Rock et SOCRadar Aucune CVE unique : exploitation cumulative de faiblesses connues de stockage de credentials FortiOS Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257) Bypass d’authentification (CWE-565) via falsification de cookies d’override d’authentification Divulgué le 13 mai 2026, PoC Rapid7 publié le 29 mai 2026 CVSS révisé de 4.7 à 7.8, ajouté au catalogue KEV de la CISA Exploitation confirmée dès le 17 mai 2026 ; affiliés Qilin confirmés en juillet 2026 Post-exploitation : Impacket, attaques NTLM relay, mouvement latéral Campagne 3 — Check Point VPN (CVE-2026-50751) CVSS 9.3 — bypass d’authentification via faille de validation de certificat dans le protocole IKEv1 déprécié Divulgué le 8 juin 2026 ; exploitation confirmée dès le 7 mai 2026 (un mois avant divulgation) Technique : manipulation des flags d’authentification via payload VPNExtFeatures Vendor ID personnalisé Affilié Qilin confirmé dans des activités post-compromission CVE connexe : CVE-2026-50752 (CVSS 7.4) — risque AitM sur VPN site-à-site, non exploité in-the-wild Campagne 4 — Citrix NetScaler (CVE-2026-8451) CVSS 8.8 — lecture hors limites pré-authentification dans le parser XML/SAML, famille CitrixBleed Divulgué le 30 juin 2026 ; tentatives d’exploitation moins de 24h après divulgation Vecteur : payloads <samlp:AuthnRequest> malformés avec espaces padding, cookie NSC_TASS anormal IP source d’une campagne tracée : 146.70.139[.]154 CVE précédent de la même famille : CVE-2026-3055 (CVSS 9.3), patché en mars 2026 🛠️ Outils et techniques observés Impacket — mouvement latéral et abus de protocoles NTLM relay attacks — escalade de privilèges Mimikatz — dump de credentials en mémoire PsExec, RDP, WMI — mouvement latéral living-off-the-land Script Chrome GPO-distribué — vol de credentials navigateur à l’échelle du domaine WSL (Windows Subsystem for Linux) — évasion EDR Cookies d’override forgés, payloads IKEv1 personnalisés, requêtes SAML malformées 🏭 Secteurs ciblés Santé, éducation, industrie manufacturière, gouvernements locaux, médias, services professionnels, infrastructures critiques. ...