Zero-Day

🗓️ Contexte Publié le 8 mai 2026 par Truesec, cet article de threat intelligence rapporte l’exploitation active d’une vulnérabilité critique dans PAN-OS de Palo Alto Networks, identifiée sous CVE-2026-0300. 🔍 Nature de la vulnérabilité CVE-2026-0300 est un buffer overflow affectant le service User-ID Authentication Portal de PAN-OS. Elle permet à un attaquant non authentifié d’exécuter du code arbitraire avec des privilèges root sur les équipements vulnérables. Selon l’Unit 42 de Palo Alto Networks, l’exploitation implique l’injection de shellcode dans un processus worker nginx tournant sur l’appliance PAN-OS. ...

📰 Contexte Source : BleepingComputer, publié le 7 mai 2026 par Sergiu Gatlan. Ivanti a émis une alerte de sécurité concernant une vulnérabilité zero-day activement exploitée dans son produit Endpoint Manager Mobile (EPMM). 🔍 Vulnérabilité principale CVE-2026-6973 est une faille de type Improper Input Validation permettant à un attaquant distant disposant de privilèges administratifs d’exécuter du code arbitraire sur les systèmes ciblés. Elle affecte EPMM version 12.8.0.0 et antérieures. Type : Remote Code Execution (RCE) Sévérité : Haute Prérequis : authentification admin Exploitation confirmée : oui, dans un nombre très limité de cas Périmètre : uniquement le produit on-premises EPMM (pas Ivanti Neurons for MDM, Ivanti EPM, Ivanti Sentry) 🛡️ Correctifs disponibles Ivanti recommande l’installation des versions suivantes : ...

🔍 Contexte Le 6 mai 2026, Palo Alto Networks a publié un avis de sécurité concernant CVE-2026-0300, une vulnérabilité critique de type buffer overflow (CWE-787) affectant les appliances firewall PA-Series et VM-Series sous PAN-OS. L’information a été relayée et analysée par Rapid7 le même jour. 🎯 Vulnérabilité Type : Buffer overflow non authentifié (CWE-787) Score CVSSv4 : 9.3 (critique) Composant affecté : User-ID™ Authentication Portal (aussi appelé Captive Portal), fonctionnalité non activée par défaut Vecteur d’attaque : Un attaquant distant non authentifié peut envoyer des paquets spécialement forgés vers un dispositif exposant le portail d’authentification, aboutissant à une exécution de code arbitraire avec les privilèges root Prérequis : Aucune authentification ni interaction utilisateur requise Périmètre non affecté : Prisma Access, Cloud NGFW, Panorama 📦 Versions affectées PAN-OS 12.1 : < 12.1.4-h5 / < 12.1.7 PAN-OS 11.2 : < 11.2.4-h17 / < 11.2.7-h13 / < 11.2.10-h6 / < 11.2.12 PAN-OS 11.1 : < 11.1.4-h33 / < 11.1.6-h32 / < 11.1.7-h6 / < 11.1.10-h25 / < 11.1.13-h5 / < 11.1.15 PAN-OS 10.2 : < 10.2.7-h34 / < 10.2.10-h36 / < 10.2.13-h21 / < 10.2.16-h7 / < 10.2.18-h6 ⚠️ Exploitation active Palo Alto Networks a confirmé une exploitation limitée dans la nature, ciblant des portails d’authentification exposés à des adresses IP non fiables ou à l’internet public. Shodan identifie environ 225 000 instances PAN-OS exposées sur internet, représentant une surface d’attaque significative. ...

🗓️ Contexte Publié le 6 mai 2026 par Eduard Kovacs sur SecurityWeek, cet article rapporte la divulgation par Palo Alto Networks d’une vulnérabilité zero-day critique activement exploitée dans son système d’exploitation PAN-OS. 🔍 Vulnérabilité CVE : CVE-2026-0300 Type : Buffer overflow Composant affecté : Service User-ID Authentication Portal (Captive Portal) de PAN-OS Matériels impactés : Firewalls des séries PA et VM configurés avec le portail d’authentification User-ID Matériels non impactés : Prisma Access, Cloud NGFW, Panorama 💥 Impact Un attaquant non authentifié peut exécuter du code malveillant avec des privilèges root via l’envoi de paquets spécialement forgés vers le portail exposé à des adresses IP non fiables ou à l’internet public. ...

📰 Source : The Verge, publié le 28 avril 2026, par Yael Grauer. Article de presse spécialisée analysant l’impact des modèles d’IA sur le paysage des menaces cybersécurité. Contexte En août 2025, le DARPA Artificial Intelligence Cyber Challenge (AIxCC) a réuni les meilleures équipes de cybersécurité à Las Vegas pour tester des systèmes automatisés de détection de bugs sur 54 millions de lignes de code. Ces systèmes ont non seulement identifié les failles artificiellement injectées, mais ont également découvert plus d’une douzaine de bugs non insérés par DARPA. ...

🔍 Contexte Publié le 20 avril 2026 par GreyNoise Intelligence, cet article présente les résultats d’une étude empirique sur la corrélation entre les surges d’activité réseau observées par leurs capteurs et les divulgations ultérieures de vulnérabilités CVE. 📊 Méthodologie et données Sur une période de 103 jours, GreyNoise a analysé 147,8 millions de sessions réparties sur 276 tags spécifiques à des vendeurs, couvrant 18 fabricants d’équipements réseau. Parmi 104 événements de surge détectés, 68 ont précédé une CVE correspondant au vendeur ciblé, couvrant 33 vulnérabilités sur 16 familles de vendeurs. La validation statistique confirme que ce pattern n’est pas le fruit du hasard. ...

📰 Source : BleepingComputer, article de Sergiu Gatlan, publié le 22 avril 2026. Contexte Microsoft a corrigé la vulnérabilité CVE-2026-32201 dans le cadre du Patch Tuesday d’avril 2026 (14 avril 2026), qui adressait au total 167 vulnérabilités dont deux zero-days. Cette faille affecte les versions on-premises de SharePoint : SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. Nature de la vulnérabilité Type : Spoofing réseau par validation d’entrée incorrecte (improper input validation) Complexité : Faible, sans interaction utilisateur requise, sans privilèges nécessaires Impact : Confidentialité : lecture de certaines informations sensibles Intégrité : modification des informations divulguées Disponibilité : non affectée Statut : Exploitée en zero-day avant la publication du patch ; exploitation active toujours en cours Exposition et état du patching Selon Shadowserver, au moment de la publication de l’article : ...

🗓️ Contexte Source : Help Net Security, article de Zeljka Zorz publié le 17 avril 2026. L’article couvre la publication successive de trois exploits zero-day ciblant Microsoft Defender, ainsi que leur exploitation active observée dans la nature. 🔍 Les trois exploits Un chercheur anonyme opérant sous les pseudonymes Chaotic Eclipse et Nightmare Eclipse a publié trois PoC sur GitHub : BlueHammer (publié le 3 avril 2026) : vulnérabilité d’élévation de privilèges dans Microsoft Defender. Associée au CVE-2026-33825, corrigée par Microsoft le 14 avril 2026. Les chercheurs officiellement crédités pour ce CVE sont Zen Dodd et Yuanpei Xu, distincts du chercheur anonyme. RedSun (publié le 16 avril 2026) : second flaw d’élévation de privilèges dans Microsoft Defender. Son efficacité a été confirmée par le vulnerability analyst Will Dormann. UnDefend (publié le 16 avril 2026) : permet à un utilisateur standard de bloquer les mises à jour de signatures de Microsoft Defender ou de le désactiver entièrement lors d’une mise à jour majeure. Le dépôt GitHub reste accessible malgré un avertissement de la plateforme (propriété de Microsoft). ...

📰 Source : BleepingComputer — Date : 13 avril 2026 Adobe a publié une mise à jour de sécurité d’urgence pour Acrobat Reader afin de corriger la vulnérabilité CVE-2026-34621, activement exploitée en conditions réelles depuis au moins décembre 2025. 🔍 Nature de la vulnérabilité La faille permet à des fichiers PDF malveillants de contourner les restrictions du sandbox d’Acrobat Reader et d’invoquer des API JavaScript privilégiées, pouvant mener à une exécution de code arbitraire. Aucune interaction utilisateur n’est requise au-delà de l’ouverture du PDF. ...

🗓️ Contexte Publié le 16 avril 2026 par Picus Security (auteur : Huseyin Can YUCEEL), cet article analyse la vulnérabilité zero-day CVE-2026-33825 dans Microsoft Windows Defender, divulguée publiquement le 7 avril 2026 avec un proof-of-concept fonctionnel. Microsoft a publié un correctif lors du Patch Tuesday d’avril 2026. 🔍 Vulnérabilité CVE-2026-33825 Score CVSS : 7.8 (High) Type : Local Privilege Escalation (LPE) Cause : Race condition de type TOCTOU (Time-of-Check to Time-of-Use) dans le moteur de remédiation de fichiers de Windows Defender Impact : Exécution de code au niveau SYSTEM depuis un compte non privilégié, sans interaction utilisateur Produits affectés : Windows 10 (toutes versions supportées), Windows 11 (toutes versions supportées), Windows Server 2016/2019/2022/2025, Microsoft Defender Antivirus (avant la mise à jour d’avril 2026) ⚙️ Détails techniques — Exploit BlueHammer L’exploit BlueHammer abuse de la logique de remédiation de fichiers de Defender : ...