Advertise on podcast: RadioCSIRT - Edition Française

🐛 Microsoft corrige la CVE-2026-124194 (CVSS 6,5, gravité modérée), une faille de spoofing d'Outlook exploitée, qui relève de la CWE-356, product UI does not warn user of unsafe actions. Un fichier de message piégé (T1566.001), une fois ouvert, fait connecter Outlook à un emplacement réseau de l'attaquant sans avertissement et livre le hash NTLMv2 de l'utilisateur (T1187). Le volet de lecture n'est pas un vecteur. Inscrite au catalogue KEV de la CISA le 10 novembre 2026 ; aucun PoC public signalé. Versions corrigées : Office LTSC 2024 en 16.0.17932.21140, Office LTSC 2021 en 16.0.14334.21048, Microsoft 365 Apps for Enterprise via https://aka.ms/OfficeSecurityReleases. 📈 L'export du Security Update Guide recense 1 093 CVE publiées le 10 novembre : 63 critiques, 1 029 importantes, une modérée. Par impact : 535 élévations de privilèges, 296 exécutions de code à distance, 156 fuites d'informations, 46 dénis de service, 27 contournements de fonction de sécurité, 22 spoofing, 11 altérations. Windows totalise 756 CVE (36 critiques), Office 174 (22 critiques), SQL Server 53 et SharePoint 27 (aucune critique). Le Crabe Info annonce 1 235 failles, l'écart tenant au périmètre du décompte. 🪟 Exécutions de code critiques dans Windows : SMB Server, pilote de transport réseau srvnet.sys (CVE-2026-113825), TCP/IP sur Windows 11 24H2 et suivants et Windows Server 2025 (CVE-2026-113859), LDAP (CVE-2026-119958, CVSS 9,8, réseau, sans privilège ni interaction), Windows Search (CVE-2026-116928, CVSS 9,8), Xbox Live Networking Service sur Windows 11 (CVE-2026-112967, CVSS 9,8), Function Discovery Resource Publication (CVE-2026-125134), Network Connected Devices Auto-Setup Service (CVE-2026-125136), plus cinq failles dans Message Queuing. Cyber Security News cite aussi Schannel, CredSSP, IIS, Print Spooler, Active Directory Domain Services et RPC Runtime. Builds corrigés dans l'export, par exemple 10.0.26100.33730 pour Windows Server 2025 et 10.0.20348.5870 pour Windows Server 2022. 🔓 Failles classées importantes avec un score CVSS de 9,8 ou plus, exploitables par le réseau : Windows Kerberos, élévation de privilèges sans privilège ni interaction (CVE-2026-85844, 9,8) ; Windows DHCP Server (CVE-2026-88243, 9,8, Windows Server 2016 à 2025) ; Windows DNS (CVE-2026-88218, 9,8) ; Windows iSCSI (CVE-2026-88234), Media Foundation (CVE-2026-96157), Color Management (CVE-2026-96078, CVE-2026-96067) et DirectMusic (CVE-2026-95901, CVE-2026-95882), toutes à 9,8. Hors Windows : SharePoint Server Subscription Edition, élévation de privilèges (CVE-2026-120002, 9,9, compte de faible privilège requis), Azure DevOps Server 2025 (CVE-2026-109467, 9,9) et SQL Server 2017 à 2025 (CVE-2026-116945, 9,8). DNS Server reçoit par ailleurs sept correctifs d'exécution de code classés importants. Exploitation jugée moins probable par Microsoft, aucune exploitation ni divulgation publique. 📄 22 failles critiques dans Office, dont 12 dans Excel, quatre dans Word et une dans PowerPoint, parmi lesquelles CVE-2026-124185 (Word), CVE-2026-124170 (Excel) et CVE-2026-120789 (Excel, CVSS 8,8, action de l'utilisateur requise, Office Online Server également concerné). Outlook : CVE-2026-111309, CVE-2026-110068 et CVE-2026-110043 critiques, CVE-2026-124227 et CVE-2026-124228 importantes, aucune exploitée. CVE-2026-110068 touche aussi Office 365 for Mac et Office LTSC for Mac 2021 et 2024. 🖥️ Hyper-V : huit élévations de privilèges critiques, CVE-2026-113753 (Windows 11 26H1 seulement), CVE-2026-113856, CVE-2026-113860, CVE-2026-113861, CVE-2026-113864, CVE-2026-113865, CVE-2026-119947 et CVE-2026-119960. Le noyau graphique de Windows corrige une élévation de privilèges critique, CVE-2026-125137. Aucune exploitation ni PoC public signalés. 📧 Exchange Server Subscription Edition RTM : CVE-2026-118207, exécution de code critique avec un score CVSS de 8,8, exploitable par le réseau avec un compte de faible privilège et sans interaction, exploitation jugée plus probable par Microsoft, et huit failles importantes (CVE-2026-118149 en exécution de code ; CVE-2026-118150, -118151, -118154 et -118157 en élévation de privilèges ; CVE-2026-118152 et -118208 en spoofing ; CVE-2026-118153 en déni de service). Build corrigé : 15.02.2562.057. ☁️ Microsoft Malware Protection Engine : CVE-2026-122194, exécution de code critique, corrigée en version 1.1.26100.4. Azure OpenAI (CVE-2026-119990, CVSS 9,8, réseau, sans privilège) et Azure Managed Grafana (CVE-2026-114160) : élévations de privilèges critiques. Raw Image Extension : CVE-2026-114169, exécution de code critique, corrigée en 2.5.42.0 et 2.4.43.0 selon la branche. Sources : Security Updates, export du 10 novembre 2026. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guideMicrosoft Windows Kerberos Elevation of Privilege Vulnerability, CVE-2026-85844. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85844Windows DHCP Server Remote Code Execution Vulnerability, CVE-2026-88243. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-88243Windows LDAP Remote Code Execution Vulnerability, CVE-2026-119958. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119958Microsoft SharePoint Server Elevation of Privilege Vulnerability, CVE-2026-120002. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-120002Microsoft Office Excel Remote Code Execution Vulnerability, CVE-2026-120789. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-120789Microsoft Exchange Server Remote Code Execution Vulnerability, CVE-2026-118207. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118207Microsoft November 2026 Patch Tuesday Fixes 1,093 Vulnerabilities, Including Outlook Zero-Day. Cyber Security News : https://cybersecuritynews.com/microsoft-november-2026-patch-tuesday/CISA Adds Six Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/10/cisa-adds-six-known-exploited-vulnerabilities-catalogWindows 11 : la mise à jour obligatoire de novembre 2026 est là, voici tout ce qui change sur votre PC !. Le Crabe Info : https://lecrabeinfo.net/mises-a-jour-windows/windows-11-kb5132061-novembre-2026/⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #PatchTuesday #Microsoft #Outlook #NTLM #ZeroDay #KEV #Windows #Office #Kerberos #DHCP #HyperV #Exchange #Defender #CVE-2026-124194 #CVE-2026-113825 #CVE-2026-85844 #CVE-2026-120789 #CVE-2026-125137 #CVE-2026-118207 #CVE-2026-122194 #RadioCSIRT

🇫🇷 Le ministère de l'Europe et des Affaires étrangères attribue à la République islamique d'Iran des cyberattaques de sabotage et de déstabilisation visant la France. Le rapport conjoint du C4 (ANSSI, COMCYBER, DGA, DGSE, DGSI), publié par le CERT-FR sous la référence CERTFR-2026-CTI-009 (TLP:CLEAR), impute ces attaques aux unités Shahid Shoostari et Shahid Kaveh du CGRI-CEC. L'épisode retrace la chronologie de 2020 à aujourd'hui. 🗂️ 2020 à 2023 : Shahid Shoostari, connue en source ouverte sous les noms Iliyanet et Emennet Pasargad, cible Charlie Hebdo dès 2020, plan révélé en 2021 par Lab Dookhtegan. Le 4 janvier 2023, défiguration de la boutique en ligne et exfiltration de sa base de données, la technique T1491.002, External Defacement. Microsoft avait attribué l'attaque en février 2023 à Neptunium (Emennet Pasargad), sous l'avatar Holy Souls. 🏭 2023 à 2024 : Shahid Kaveh revendique en novembre 2023, sous l'avatar CyberAveng3rs (graphie du rapport ; CyberAv3ngers dans les sources américaines), une campagne contre Unitronics. Autres avatars cités : Soldiers of Solomon, Mr. Soul, Cyber Isnaad Front, avec l'organe CyberbanNews. Sanctions du Trésor américain du 2 février 2024 contre six responsables du CGRI-CEC ; scripts visant Schneider Electric, Siemens et Rockwell depuis juin 2024 au moins. 📺 Juillet 2024 : compromission à partir du 20 juillet d'une société française de gestion de bornes d'affichage vidéo pour diffuser des photos-montages contre la participation des athlètes israéliens aux JOP 2024, découverte avant affichage. Diffusion initiale le 24 juillet sur un compte Instagram en persan, relais par deux comptes X et jahannews[.]com, deux adresses IP de FAI iraniens observées. Avis FBI, Trésor américain et INCD d'octobre 2024 attribuant l'opération à Emennet Pasargad, alias Aria Sepehr Ayandehsazan. 🇪🇺 Mars et avril 2026 : inscription d'Emennet Pasargad sur la liste des sanctions cyber de l'UE le 16 mars 2026 (décision PESC 2026/588, règlement d'exécution 2026/589). Campagne revendiquée par Shahid Kaveh contre des intérêts israéliens et américains, dont des équipements frigorifiques. Avis conjoint AA26-097A du 7 avril 2026 (mis à jour le 22 juillet 2026) ; reconnaissance massive en Modbus sur le port 502 contre des systèmes Schneider Electric, notamment en France. 🚨 11 et 12 octobre 2026 : les paramètres de dégivrage des contrôleurs de froid d'environ 700 sites de la grande distribution (plus de 700 selon le ministère) sont fixés à de hautes températures, la technique T0836, Modify Parameter (ATT&CK for ICS). Pertes en denrées estimées à plusieurs dizaines de millions d'euros, au moins 15 départs de feu, victimes dans l'agroalimentaire, ciblage concomitant d'installations hydroélectriques équipées en Schneider Electric. L'alerte CERTFR-2026-ALE-012 (12, 13 et 16 octobre) liste Danfoss séries AK-SM et AK-SC, Copeland xweb et Dixell xweb ; le vecteur d'intrusion n'est pas publié. 🔍 Novembre 2026 : une seconde vague touche des supermarchés de huit pays européens, revendiquée par NoName057(16) et Z-Pentest Alliance sans confirmation indépendante ; le rapport du C4 ne la couvre pas. Éléments d'imputation de l'attaque d'octobre : infrastructure réutilisée pour la reconnaissance Modbus d'équipements Schneider Electric, outil de scan FOFA, relais par CyberbanNews dès le 13 octobre, traces de farsi ; adresses IP liées à l'Iran selon le parquet, cité par l'Associated Press. Dirigeants nommés : Reza Salarvand et Mahdi Lashgarian (Shahid Kaveh), Hamid Reza Lashgarian (CGRI-CEC). ⚖️ Mesures annoncées : convocation de l'ambassadeur d'Iran, proposition de nouvelles sanctions européennes, réserve de mesures publiques et non publiques. Le parquet de Paris ouvre une information judiciaire et requiert des mandats d'arrêt internationaux contre des membres de Shahid Kaveh. Sources : Déclaration d'attribution à l'Iran de cyberattaques visant la France. Ministère de l'Europe et des Affaires étrangères : https://www.diplomatie.gouv.fr/fr/presse-et-ressources/decouvrir-et-informer/actualites/declaration-d-attribution-a-l-iran-de-cyberattaques-visant-la-franceActivités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI. CERT-FR : https://cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-009/Activités cyber offensives menées par des acteurs iraniens liés au CGRI, rapport PDF. CERT-FR : https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-009.pdfCampagnes de déstabilisation et sabotage menées à l'encontre des intérêts français par la République islamique d'Iran. ANSSI : https://cyber.gouv.fr/actualites/campagnes-de-déstabilisation-et-sabotage-menées-à-lencontre-des-intérêts-français-par-la-république-islamique-diran/Iran responsible for Charlie Hebdo attacks. Microsoft : https://blogs.microsoft.com/on-the-issues/2023/02/03/dtac-charlie-hebdo-hack-iran-neptunium/US sanctions Iranian military hackers for attacks on water facilities. The Record : https://therecord.media/sanctions-iran-hackers-us-water-utilities-attacksFBI: Iranian cyber group targeted Summer Olympics with attack on French display provider. The Record : https://therecord.media/iran-cyber-group-targeted-paris-olympics-israelCybersecurity, The EU sanctions several private cyber offensive ecosystem actors. Ministère de l'Europe et des Affaires étrangères : https://www.diplomatie.gouv.fr/en/presse-et-ressources/decouvrir-et-informer/actualites/cybersecurite-l-union-europeenne-sanctionne-plusieurs-acteurs-de-l-ecosysteme-cyber-offensif-priveIranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure, AA26-097A. American Hospital Association, reprise de l'avis conjoint : https://www.aha.org/cybersecurity-government-intelligence-reports/2026-07-23-joint-cybersecurity-advisory-tlp-clear-iranian-affiliated-cyber-actorsFrance blames Iran for last month's cyberattack on supermarket fridges. Associated Press, PBS NewsHour : https://www.pbs.org/newshour/world/france-blames-iran-for-last-months-cyberattack-on-supermarket-fridgesIncident de sécurité ciblant les contrôleurs à distance des installations de réfrigération. CERT-FR : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/How did supermarket fridges become a target for hackers? RTÉ : https://www.rte.ie/news/primetime/2026/1105/1598007-clarity-supermarket-cyberattack/⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Iran #CGRI #ShahidKaveh #EmennetPasargad #CyberAv3ngers #ICS #OT #ANSSI #CERTFR #RadioCSIRT

Récit chronologique d'ARTEX, framework de pentest multi-agents publié en open source le 26 juillet 2026 et retrouvé en trois mois dans des intrusions en Corée du Sud, aux Pays-Bas, aux États-Unis, en Belgique, en Grèce, au Moyen-Orient et en Amérique latine. 🤖 Juillet et août : ARTEX publié par Autumn-27 sous licence AGPL-3.0 (backend Go, console Next.js, base PostgreSQL, SDK norma), compatible avec n'importe quel modèle de langage. Outils par défaut selon Microsoft : Nmap, curl, wget, clients HTTP Python, WebFetch du SDK Norma, Chromium sans interface via Playwright. Google GTIG et Mandiant observent ARTEX, CAIRN et PentAGI en réponse à incident depuis fin août 2026. 🐛 21 septembre : DIVD compromis via deux zero-day de Zammad, CVE-2026-102489 (détournement de session menant à l'exécution de code avec l'utilisateur zammad, T1190, Exploit Public-Facing Application) et CVE-2026-102490 (élévation de privilèges jusqu'à root, T1068, Exploitation for Privilege Escalation). Plus de 450 000 requêtes et 2 500 scripts ; 12 minutes de l'accès initial à root selon le DIVD. Zammad recommande la version 7 ou la mise hors ligne ; CVSS non communiqué, aucun PoC public signalé. 🗂️ Fin septembre à début octobre : intrusions contre la finance sud-coréenne, 7 établissements, 66 000 à 67 000 personnes et environ 2 200 entreprises touchés selon Hunt.io. CrowdStrike (7 octobre) : DeepSeek v4.1 Flash, GLM 5.3 et Grok 4.6 via le revendeur xcai[.]pro, tests d'insecure direct object reference, mapping T1588.007, Obtain Capabilities: Artificial Intelligence, et T1090, Proxy. Dépôt ARTEX passé en privé le 8 octobre selon plusieurs sources, le 11 octobre selon Genians ; forks et copies toujours en circulation. ☁️ 10 au 21 octobre : Microsoft attribue la compromission de ConnectWise Cloud Backup (ex-SkyKick) à Storm-0940. Password spray du 10 au 14 octobre depuis 144.172.64[.]99 contre 327 comptes de 8 organisations, plus de 151 000 échecs, aucun succès (T1110.003, Brute Force: Password Spraying). À partir du 15 octobre, abus des applications ConnectWise déjà consenties contre plus de 2 250 tenants (T1078.004, Valid Accounts: Cloud Accounts), puis ajout d'identifiants d'applications, persistants après la coupure de ConnectWise. ☁️ Huntress : ajout d'identifiants à d'autres applications (T1098.001, Account Manipulation: Additional Cloud Credentials), dépôt de certificat refusé à 03:48:24 UTC, boucle de réessai apparue 55 secondes plus tard. Implication d'un LLM jugée de confiance faible à moyenne sur sa télémétrie, moyenne à élevée avec l'attribution de Microsoft. Adresses citées : 144.172.64[.]128 et 144.172.64[.]99. 📡 À partir du 17 octobre : Vapor Panda vise plus de 200 organisations dans 14 pays avec ARTEX, DeepSeek et un second LLM commercial. Jeton administrateur forgé et boîtes aux lettres lues dans une entité gouvernementale grecque (T1114.002, Email Collection: Remote Email Collection) ; consigne d'écarter les postes protégés par Falcon ; backdoor BLOODALCHEMY. Compromissions : au moins 9 selon BleepingComputer, environ 140 selon CyberScoop. 🗂️ 26 octobre : la police métropolitaine de Séoul arrête 7 suspects ; plus de 90 organisations compromises, environ 8,2 millions d'enregistrements, extorsion dans 38 incidents pour 360 millions de wons (environ 270 000 dollars). Chef présumé de 32 ans, ancien pentester, arrêté le 15 octobre et déféré le 23 octobre. 🗂️ 25 octobre au 6 novembre : WorkOS, accès à une application interne de vente. User agents relevés : artex-enrich/1.0 et norma/0.4. Mise à jour du 6 novembre : un chercheur dont l'agent ARTEX est sorti de son environnement de test revendique l'accès. Causes listées : API exposées, identifiant de développement prévisible accepté en production, absence de limitation de débit, surveillance insuffisante. 📱 5 novembre : Check Point Research analyse dix consoles ARTEX. Plus de 300 certificats de signature iOS récupérés, 3 utilisables, environ 36 milliards de tokens ; 292 domaines de paiement en cryptomonnaies visés, 0 dollar détourné, identifiants AWS S3 exposés exploités (T1552.001, Unsecured Credentials: Credentials In Files) ; plus de 190 000 identifiants Honor of Kings, 3,3 % valides. 🔓 5 novembre : Microsoft Threat Intelligence décrit la recherche de secrets sur GitHub (T1593.003, Search Open Websites/Domains: Code Repositories) et la connexion comme principal de service (T1078.004) ; exfiltration d'un Azure Key Vault cinq minutes après le scan dans un cas. Microsoft recommande de considérer tout secret exposé et son application comme compromis et d'adopter les identités managées. GitGuardian : 28,65 millions de nouveaux secrets sur GitHub public en 2025. 🤖 7 novembre : Hunt.io analyse la console 38.244.50[.]120 et le rebond 23.248.226[.]250 (Hong Kong, AS138415). Claude Code 2.1.221 routé vers DeepSeek via ds-models-shim.py, xcai-effort-shim.py et Claude Code Router ; 19 skills, 147 utilisations ; tunnels SSH inversés (T1572, Protocol Tunneling) ; kit JNDI et LDAP ; proxy tournant 154.201.79[.]246:443. 📈 Consoles exposées : environ 600 IP selon AhnLab (6 octobre), 1 465 hôtes selon Censys (4 novembre), 2 557 systèmes dont 1 608 actifs selon Check Point. Hunt.io : 19 IP par le certificat (empreinte SHA-256 C7A884AFCD7F91408921890D9617BEF6BFAC3DAE992BC25BB9C48C0395A60842), environ 1 300 par titre de page, 280 répertoires ouverts. Marqueurs publiés par CrowdStrike : « artx » ou « artex » en ligne de commande, rôles cloud préfixés « artx », commentaires « art18- », dossier C:\ProgramData\artx5v. Sources : ARTEX AI Hacking Framework Found on 1,465 Public Servers, Some Hosting Cyberattack Tools. Cyber Security News : https://cybersecuritynews.com/artex-ai-hacking-framework/ARTEX AI Pentest Tool, What Security Teams Need to Know. SOCRadar : https://socradar.io/blog/artex-ai-pentest-tool-what-security-teams-need-to-know/Google says threat actors abuse ARTEX agentic pentesting frameworks in intrusions. Let's Data Science : https://letsdatascience.com/news/google-says-threat-actors-abuse-artex-agentic-pentesting-fra-871f1f6eDIVD says Zammad zero-days enabled AI-driven network breach. BleepingComputer : https://www.bleepingcomputer.com/news/security/divd-says-zammad-zero-days-enabled-ai-driven-network-breach/AI agent exploits Zammad zero-days in DIVD breach, What we know and how to detect it. Sysdig : https://www.sysdig.com/blog/ai-agent-exploits-zammad-zero-days-in-divd-breach-what-we-know-and-how-to-detect-itAI Agent Chains Zammad Zero-Days To Take Over DIVD Systems in Seconds. Security Affairs : https://securityaffairs.com/?p=200126Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance. CrowdStrike : https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/ARTEX, Open-Source Agentic Pentesting Tool Linked to South Korean Bank Intrusions. Cloud Security Alliance : https://labs.cloudsecurityalliance.org/research/csa-research-note-artex-agentic-pentest-bank-breaches-202610/AhnLab finds ARTEX on 600 IPs as police probe South Korean bank breaches. Runtime Wire : https://runtimewire.com/article/south-korea-bank-breaches-artex-ai-probeStorm-0940 uses ARTEX agentic AI in ConnectWise supply chain compromise. Microsoft : https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/Microsoft Links ConnectWise Breach to China-Linked Group Using AI Pentesting Tool ARTEX. Security Affairs : https://securityaffairs.com/201501/apt/microsoft-links-connectwise-breach-to-china-linked-group-using-ai-pentesting-tool-artex.htmlMicrosoft Links Storm-0940 to ConnectWise Supply Chain Attack. Dark Reading : https://darkreading.com/cyberattacks-data-breaches/microsoft-storm-0940-connectwise-supply-chain-attackAI Agents Adapt Hacking Tools in Just 55 Seconds During ConnectWise Attack. Cyber Press : https://cyberpress.org/ai-adapts-hacking-tools/AI, Scripts, Operator, Inside the ConnectWise Attack. Huntress : https://www.huntress.com/blog/connectwise-attack-aiChinese hackers use ARTEX AI in automated attacks against 200 orgs. BleepingComputer : https://www.bleepingcomputer.com/news/security/chinese-hackers-use-artex-ai-in-automated-attacks-against-200-orgs/CrowdStrike uncovers China-linked AI cyber campaign. IT Brief UK : https://itbrief.co.uk/story/crowdstrike-uncovers-china-linked-ai-cyber-campaignChina-Linked Group Ran AI Agents Against 200+ Targets. FourWeekMBA : https://fourweekmba.com/ai-china-linked-group-ran-ai-agents-against-200-targets/Former pentester used ARTEX AI to steal 8.2 million data records. BleepingComputer : https://www.bleepingcomputer.com/news/security/former-pentester-used-artex-ai-to-steal-82-million-data-records/Self-taught hacker used AI to breach 60 firms. The Outpost : https://theoutpost.ai/news-story/self-taught-hacker-used-ai-to-breach-60-firms-but-received-only-210-in-ransom-32649/WorkOS says attacker used ARTEX AI to breach internal sales app. BleepingComputer : https://www.bleepingcomputer.com/news/security/workos-says-attacker-used-artex-ai-to-breach-internal-sales-app/WorkOS Confirms Data Breach After ARTEX AI Agent Escapes Security Researcher's Sandbox. GBHackers : https://gbhackers.com/workos-data-breach-artex-ai/WorkOS says a researcher's escaped AI agent accessed its internal sales tool. Runtime Wire : https://runtimewire.com/article/workos-escaped-ai-agent-internal-toolARTEX AI Hacking Framework Turns Vulnerable Websites Into Targets for Automated Cybercrime. Cyber Press : https://cyberpress.org/artex-automates-website-hacking/ARTEX AI Agents Steal App-Signing Certificates. GridinSoft : https://blog.gridinsoft.com/artex-ai-agents-app-signing-certificate-theft/Threat actors use agentic AI tooling to find and abuse exposed secrets. Microsoft : https://www.microsoft.com/en-u

🔴 Apple : la CVE-2024-27834 (CVSS 5.5), contournement de Pointer Authentication dans WebKit, entre au KEV de la CISA le 4 novembre. Elle complète une chaîne zero-click attribuée à APT29 qui dépose un infostealer. Correctifs Apple disponibles depuis mai 2024. 🔴 SonicWall : la CVE-2026-19868 (CVSS 7.1) permet de contourner l'authentification SAML et la MFA du SSL VPN de SonicOS avec des identifiants valides. Inscrite au KEV le 6 novembre. Correctifs en 7.3.4-7013 et 8.2.3-8015, sans contournement. 🟠 Microsoft Paint : la CVE-2026-83844 (CVSS 8.1), out-of-bounds read classé exécution de code à distance. Aucune exploitation ni PoC public signalés. Version corrigée 11.2609.401.0, distribuée par le Microsoft Store et non par Windows Update. 🟡 Claude Code : Apiiro recense 2 539 secrets exposés dans 1 994 dépôts GitHub publics, enregistrés en clair par l'option « Yes, and don't ask again » dans .claude/settings.local.json. 63 organisations touchées. 🤖 NCSC : l'évaluation britannique sur l'IA et l'intrusion cyber projette la menace à 2028, avec trois scénarios et un usage routinier de l'IA offensive jugé hautement probable chez plusieurs États. 🤖 OpenAI : GPT-6 Cyber, classé Critical en cybersécurité, annonce 948 exploits Linux, 81 failles Firefox et une faille Brotli notée 9.2. Accès réservé aux clients Daybreak Red. 🛠️ SANS ISC : des scans de Rootevidence visent la CVE-2023-20198 de Cisco IOS XE, avec des en-têtes Opt-Out inhabituels. 🛠️ Anton Chuvakin : un modèle local sous Ollama ne remplace pas un SIEM. Le modèle écrit le parser, il ne joue pas le rôle du parser. Techniques MITRE ATT&CK : T1189, T1195.002, T1203, T1082, T1539, T1133, T1078, T1552.001, T1595.002, T1190 CWE : CWE-287, CWE-308, CWE-125 Sources CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/04/cisa-adds-one-known-exploited-vulnerability-catalogHackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says. The Hacker News : https://thehackernews.com/2026/11/hackers-exploit-patched-apple-flaw-to.htmlApple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV, What to Check. Rescana : https://www.rescana.com/post/apple-webkit-cve-2024-27834-pointer-auth-bypass-prepare-nowCISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/06/cisa-adds-one-known-exploited-vulnerability-catalogSonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins. SecurityWeek : https://www.securityweek.com/sonicwall-patches-exploited-sonicos-bug-that-weakens-vpn-logins/SonicWall SSLVPN SAML Bypass, Exploited in the Wild (CVE-2026-19868). Ostorlab : https://blog.ostorlab.co/sonicwall-sslvpn-saml-bypass-cve-2026-19868.htmlMicrosoft Paint RCE Vulnerability: CVE-2026-83844. The Cyber Throne : https://thecyberthrone.in/2026/11/07/microsoft-paint-rce-vulnerability-cve-2026-83844/Microsoft Paint: Sicherheitslücke mit CVSS 8,1, Version 11.2609.401.0 schützt. BornCity : https://borncity.com/news/microsoft-paint-sicherheitsluecke-mit-cvss-81-version-11-2609-401-0-schuetzt/Claude Code’s “Don’t Ask Again” Feature Exposes 2,539 Secrets Across 1,994 GitHub Repositories. GBHackers : https://gbhackers.com/claude-codes-dont-ask-again-feature-exposed/Claude Code’s “Yes, and Don’t Ask Again” Option Can Leak Passwords and API Keys to GitHub. Cyber Security News : https://cybersecuritynews.com/claude-codes-yes-and-dont-ask-again/Artificial intelligence and cyber intrusion. NCSC : https://www.ncsc.gov.uk/report/artificial-intelligence-and-cyber-intrusionOpenAI Launches GPT-6 Cyber After AI Helps Find 81 Firefox Flaws, 948 Linux Exploits. The Hacker News : https://thehackernews.com/2026/11/openai-launches-gpt-6-cyber-after-ai.htmlVulnerability Scans for Older Cisco IOS Vulnerability / Opt-Out Headers. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33492CVE-2023-20198. Arctic Wolf : https://arcticwolf.com/resources/blog/cve-2023-20198/“I Don’t Need a SIEM, I Have Ollama!” (Yes, You Do!). Anton on Security : https://medium.com/anton-on-security/i-dont-need-a-siem-i-have-ollama-yes-you-do-fd29174c44b5“I Don’t Need a SIEM, I Have Ollama!” (Yes, You Do!). Security Boulevard : https://securityboulevard.com/2026/11/i-dont-need-a-siem-i-have-ollama-yes-you-do-2/⚡️ On ne réfléchit pas, on patch ! (tm) 🎧 Écoutez et abonnez-vous sur radiocsirt.org et sur toutes les plateformes de podcast. 📩 Newsletter : radiocsirt.substack.com - ✉️ [email protected] -📞 Répondeur : 07 68 72 20 09 #cybersécurité #CERT #CSIRT #SOC #VOC #CISO #threatintel #vulnérabilités #Apple #SonicWall #Microsoft #ClaudeCode #NCSC #OpenAI #Cisco #SIEM #APT29 #CVE-2024-27834 #CVE-2026-19868 #CVE-2026-83844 #CVE-2023-20198 #RadioCSIRT

🐛 OpenSSH 10.6p2, publiée le 5 novembre 2026, corrige la CVE-2026-123158, contournement de l'authentification par mot de passe de sshd sur Linux avec musl libc sans PAM. Fiche CVE : score CVSS de 8,1 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H), CWE-394, valeur de retour ou code d'état inattendu ; OpenSSH la qualifie de critique, absente du catalogue KEV de la CISA. Un mot de passe de 257 à 1 024 octets ouvre tout compte à * ; Previdian confirme un accès root sur un honeypot, puis une reconnaissance T1033 et T1082. Paquets Alpine corrigés : edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1 ; Alpine demande ensuite rc-service sshd restart, ou à défaut PasswordAuthentication no. Sources : La faille OpenSSH permet aux attaquants de se connecter à des comptes Linux où l'authentification par mot de passe est désactivée. Reddit, r/cybersecurity : https://www.reddit.com/r/cybersecurity/comments/1xpg7ot/openssh_flaw_lets_attackers_log_into/OpenSSH flaw exploited in the wild just hours after disclosure (CVE-2026-123158). Help Net Security : https://www.helpnetsecurity.com/2026/11/06/openssh-sshole-cve-2026-123158-exploitation/*sshole. Özgün Kültekin, Wakefield : https://sshhole.comCritical OpenSSH Authentication Bypass Lets Hackers Log In Without Knowing Passwords. Cyber Security News : https://cyberpress.org/critical-openssh-authentication/OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux. The Hacker News : https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.htmlSecurity advisory: openssh-server password authentication bypass. Alpine Linux : https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/OpenSSH 10.6p2 Release Notes. OpenSSH : https://www.openssh.org/releasenotes.html#10.6p2SSHole: OpenSSH Authentication Bypass, CVE-2026-123158. TheCyberThrone : https://thecyberthrone.in/2026/11/06/sshole-openssh-authentication-bypass-cve-2026-123158/CVE-2026-123158. CVE Program : https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2026/123xxx/CVE-2026-123158.json⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #OpenSSH #sshole #AlpineLinux #musl #Linux #SSH #AuthenticationBypass #Previdian #SOCRadar #Wakefield #CVE-2026-123158 #RadioCSIRT

🐛 Zyxel corrige la CVE-2026-107441, écriture hors limites dans l'interface web d'administration de dix modèles de commutateurs GS1900, exploitable sans authentification par requête HTTP forgée, qui contourne le correctif du 16 juin de la CVE-2026-7273 par corruption du compteur de paramètres avant sa validation. GreyNoise a observé l'exploitation dès le 17 août environ par Kapibala, threat actor sinophone présumé lié à la campagne Red Heron : 996 commutateurs compromis dans 48 pays, avec collecte des configurations, des hashs des identifiants root et des informations réseau ; exploitation d'une application exposée, technique T1190. Binarly a retrouvé l'exploit sur l'infrastructure Red Heron, liée à la backdoor JITTERLY et au rootkit SIXZUT, l'a signalé le 29 septembre, et Zyxel a confirmé la faille le 11 octobre. Firmwares corrigés publiés le 22 octobre et avis du 3 novembre 2026 ; BleepingComputer ne donne pas les numéros de version corrigés et conseille d'installer les derniers firmwares. 📈 Linus Torvalds a publié la version 7.4-rc1 du noyau Linux : 19 671 commits dans la fenêtre de fusion selon le décompte de Phoronix, contre 7 620 pour la version 3.1, et près de 42 millions de lignes. Il attribue ce volume au flot de travaux déclenchés par l'IA, qu'il préfère voir arriver à ce stade plutôt qu'en correctifs pendant les versions candidates, et à l'attente d'une 7.4 en version à support long terme. Selon Neowin, un tiers des modifications porte sur des décalages de registres et des masques de bits des processeurs graphiques AMD, et la 7.4-rc1 est la première de sept ou huit versions candidates. La version finale est attendue en décembre 2026. 🐧 Canonical corrige la CVE-2026-109518 d'APT, découverte par Max Justicz, avec un score CVSS 4.0 de 7,7 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) : un attaquant en position d'homme du milieu sur le trafic HTTP d'APT, technique T1557, fait installer un paquet .deb qui échoue à la vérification de signature et obtient les privilèges root par ses scripts d'installation ; un miroir malveillant peut faire de même. Ubuntu 22.04 et les versions suivantes sont exposées par défaut, les versions antérieures seulement si Acquire::Retries est différent de 0 ; le HTTPS protège et les paquets snap ne sont pas concernés. Versions corrigées (USN-8996-1) : 1.0.1ubuntu2.24+esm4 pour la 14.04, 1.2.36+esm1 pour la 16.04, 1.6.19+esm1 pour la 18.04, 2.0.12+esm1 pour la 20.04, 2.4.15ubuntu0.1 pour la 22.04, 2.8.4ubuntu0.1 pour la 24.04, 3.2.1ubuntu0.1 pour la 26.04, et 3.3.3ubuntu0.1 en cours de publication pour la 26.10. Canonical recommande d'installer la mise à jour avec Acquire::Retries=0 et de passer les sources APT en HTTPS quand le chemin réseau n'est pas sûr. 🪟 ESET attribue à SlippyNunchucks, groupe aligné sur la Chine et actif depuis septembre 2023, une campagne de surveillance lancée le 1er juillet 2026 contre des organisations et des sinophones à Hong Kong, en Thaïlande, au Japon, au Vietnam, à Oman et au Sri Lanka. Le groupe falsifie la résolution DNS du serveur de configuration que Sogou Input Method pour Windows interroge en HTTP, livre une configuration piégée, puis charge DarkVigil (alias FDMTP) par DLL sideloading derrière un exécutable légitime d'Adobe ; détournement du flux d'exécution, technique T1574, et C2 sur le protocole DMTP. Tencent corrige la CVE-2026-120422 dans la version 16.10 du 29 octobre 2026, qui passe ces requêtes en HTTPS. ESET ne relève aucun recoupement tactique avec Mustang Panda, et Gen Digital a signalé en septembre l'exploitation par UNC3569 d'une autre faille de Sogou, la CVE-2026-51990, pour livrer la backdoor GRAYRABBIT. 🚨 L'agence américaine CISA a inscrit le 3 novembre 2026 au catalogue KEV la CVE-2026-119977 du cœur de WordPress : lors d'une mise à jour complète, les fichiers et l'installateur sont décompressés dans un répertoire prévisible sous wp-content/upgrade/, qu'un attaquant non authentifié peut atteindre pour aller jusqu'à l'exécution de code PHP. Wordfence, qui a attribué la CVE, la note avec un score CVSS de 8,1 à complexité élevée et la classe en CWE-367, race condition entre le contrôle et l'utilisation ; WordPress la classe en gravité faible, et Wordfence a bloqué 62 969 tentatives en 24 heures sans signaler de compromission réussie. WordPress corrige la faille en 7.1.4 le 28 octobre 2026 et sur toutes les branches jusqu'à la 4.7.39 ; les versions 4.6 et antérieures ne reçoivent aucun correctif. Wordfence recommande de vérifier que la mise à jour s'est faite et de chercher des requêtes vers des fichiers PHP sous wp-content/upgrade/, ainsi que des comptes administrateur, des extensions ou des fichiers PHP inconnus. 📡 Johannes Ullrich, du SANS Internet Storm Center, relève sur les honeypots une reprise des scans vers des scripts d'envoi de courriel, sur sept chemins dont le nom évoque un test d'envoi ou une configuration de messagerie ; scan actif, technique T1595. Les noms en « test » visent des scripts de développement laissés en ligne, comme un script qui prend le destinataire dans un paramètre d'URL et lui envoie des variables du serveur. Il rapproche ces scans de la CVE-2000-0411, un ancien script CGI d'envoi de courriel, et recommande d'attraper ces fichiers au déploiement ; le scan de ses propres serveurs reste un contrôle d'appoint. 🤖 Anton Chuvakin applique la défense en profondeur à l'IA à partir de trois principes de Phil Venables : duplication sans cause commune de défaillance, contrôle de détection pour chaque contrôle préventif, suivi de la couche où les attaques sont arrêtées. Selon lui, des garde-fous LLM empilés échouent ensemble, d'où la diversité de la question plutôt que du modèle, des contrôles déterministes hors de la fenêtre de contexte et des barrières synchrones sur les actions irréversibles des agents, avec une supervision par IA asynchrone pour le reste. Face aux attaquants dotés d'IA, il recommande d'investir dans le confinement derrière la bordure : segmentation, contrôle des flux sortants, détection et reprise rapide. L'auteur, employé de Cisco, invite lui-même à minorer de 20 % son plaidoyer pour la segmentation. Sources : Zyxel fixes zero-day exploited to hack nearly 1,000 network switches. BleepingComputer : https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/Linux 7.4 is "Much Healthier" Thanks to AI. Linux Magazine : https://www.linux-magazine.com/Online/News/Linux-7.4-is-Much-Healthier-Thanks-to-AILinux 7.4-rc1 rolling out with a massive merge window driven heavily by AI. Neowin : https://www.neowin.net/news/linux-74-rc1-rolling-out-with-a-massive-merge-window-driven-heavily-by-ai/CVE-2026-109518 APT vulnerability fixes available. Canonical Ubuntu : https://ubuntu.com/blog/apt-vulnerability-fixes-availableChina-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor. The Hacker News : https://thehackernews.com/2026/11/china-aligned-hackers-hijack-sogou.htmlCISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalogA race condition during core updates that could lead to remote code execution. WordPress : https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mgWordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours. The Hacker News : https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.htmlWordPress Core 7.1.4 Fixes an Unauthenticated Upgrade-Window Race RCE (CVE-2026-119977). Rescana : https://www.rescana.com/post/wordpress-core-7-1-4-upgrade-staging-race-rceThe Classics Return: Vulnerable E-Mail Scripts. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33488How to Solve the Mystery of AI Defense in Depth? Anton on Security : https://medium.com/anton-on-security/how-to-solve-the-mystery-of-ai-defense-in-depth-e8bbc48024eb⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Zyxel #GS1900 #ZeroDay #GreyNoise #Binarly #Kapibala #Linux #Kernel #LinusTorvalds #AI #Ubuntu #Debian #Canonical #DebianAPT #SupplyChain #ESET #SlippyNunchucks #DarkVigil #Sogou #Tencent #DLLSideloading #CISA #KEV #WordPress #Wordfence #RaceCondition #SANS #InternetStormCenter #Honeypot #DefenseInDepth #AISecurity #MITREATTACK #CVE-2026-107441 #CVE-2026-7273 #CVE-2026-109518 #CVE-2026-120422 #CVE-2026-119977 #RadioCSIRT

🔐 mSeven Software, éditeur du gestionnaire de mots de passe mSecure, a écrit le 3 novembre à ses clients actuels et anciens après une activité suspecte, et leur suggère de changer leurs mots de passe, de réinitialiser leur authentification à deux facteurs et de retirer leurs passkeys. Le courriel ne nomme ni les systèmes touchés, ni la période, ni l'arrêt éventuel de l'activité, ni une atteinte aux coffres ou à leurs clés, et ne précise pas si ses conseils visent les éléments stockés ou la connexion au compte. mSecure 7 peut stocker passkeys et codes d'authentification à deux facteurs dans le coffre à partir de l'offre Essentials ; le BSI avait relevé en décembre 2025 que mSeven pouvait en théorie accéder aux données stockées dans mSecure 6.1.5 pour Android, seule version testée. La version iPhone la plus récente sur l'App Store est la 7.1.0 du 23 octobre. 🚨 Le CERT-FR publie les avis CERTFR-2026-AVI-1434 sur Redmine et CERTFR-2026-AVI-1436 sur Tenable Identity Exposure. Redmine corrige dans les versions 7.0.3, 6.1.6 et 6.0.12 la portée des jetons OAuth ignorée dans le calcul des droits sur les projets et son contournement à la création de projets (versions depuis 6.1.0), un déni de service par expression régulière dans les macros du wiki (versions depuis 6.0.0), et une injection XSS réfléchie qui touche toutes les versions depuis 3.0.0, sans version corrective citée pour la branche 5.1. Tenable corrige dans Identity Exposure 3.93.6 et 3.77.18 la CVE-2026-119314, avec un score CVSS de 9,9, CWE-78, injection de commandes du système d'exploitation : un attaquant authentifié peu privilégié exécute des commandes avec le compte SYSTEM sur l'émulateur PDC, via le composant d'écoute des événements Active Directory. Les mêmes versions corrigent la CVE-2026-119315, déni de service par l'API GraphQL, et la CVE-2026-119316, clé de liaison Secure Relay écrite dans un journal d'erreurs ; aucune exploitation n'est mentionnée. 🛡️ Barracuda corrige la CVE-2026-116606, faille critique d'authentification de l'Email Security Gateway qui permet de modifier la configuration globale de l'équipement, et la CVE-2026-111560, injection de commandes système exécutées sous root par un attaquant doté des droits d'administration ; combinées, elles contournent les contrôles d'autorisation et donnent un accès root, à condition d'atteindre l'interface d'administration. La CVE-2026-111560 touche aussi Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway. Pour l'Email Security Gateway, les correctifs sont BNSF-40425 pour les versions 9.4.017 et ultérieures, et BNSF-40430 pour les versions antérieures. L'éditeur recommande de restreindre l'accès aux interfaces d'administration à des réseaux internes de confiance et d'appliquer le dernier firmware. 🎣 Le ministère russe de l'Intérieur a démantelé l'infrastructure de VasyGrek, alias Fluffy Wolf, actif depuis 2016 : chef présumé assigné à résidence, deux complices présumés sous interdiction de voyager, enquête menée avec l'aide de Kaspersky. Le groupe procède par spear phishing avec pièce jointe, la technique T1566.001, avec un fichier déguisé en document financier, puis prend la main à distance avec des outils d'administration achetés sur le dark web ; en septembre 2025, une entreprise s'est fait virer plus de 660 000 roubles depuis sa banque en ligne. Kaspersky a détecté plus de 100 tentatives d'attaque entre janvier et septembre 2026 en Russie, en Biélorussie et au Kazakhstan, surtout contre la métallurgie, le commerce de gros industriel et les administrations. Les suspects encourent jusqu'à 10 ans de prison pour vol et 5 ans pour création ou diffusion de malware. 🐛 Le groupe Leakers$ revendique la diffusion d'images pornographiques sur des panneaux publicitaires numériques en Égypte le 29 octobre, en Malaisie et au Brésil, par l'accès au logiciel qui transmet les contenus aux écrans à LED et non aux écrans eux-mêmes ; ses revendications en Irak et en Chine sont moins corroborées. Un représentant affirme à The Cairo Report avoir trouvé des milliers de systèmes exposés en deux heures environ de balayage automatisé, tandis que les autorités égyptiennes évoquent la compromission du site web de l'exploitant. Aucun logiciel ni éditeur n'est nommé. Malwarebytes reprend les consignes de l'OAAA : pas de mots de passe par défaut ni réutilisés, accès restreint aux services de gestion, authentification multifacteur et VPN pour les connexions à distance. 🗂️ Le hacker Department of Peace a publié les données de plus de 40 000 employés du DHS américain, dont environ 21 000 de la CBP, 10 000 de l'ICE et de HSI et près de 1 000 de la CISA : noms, fonctions, coordonnées professionnelles, données de connexion et appartenance aux groupes Active Directory. Il affirme les avoir tirées du système d'authentification unique Okta du ministère ; les horodatages situent l'exfiltration vers la mi-août, et les données ont été transmises à maia arson crimew puis partagées avec DDoSecrets. TechCrunch en a authentifié une partie ; le DHS a connaissance d'une possible fuite, et Okta dit n'avoir aucune preuve d'une compromission de ses systèmes. Les groupes Active Directory renvoient notamment à Penlink, à Mobile Fortify et aux enquêtes sur Salt Typhoon et Volt Typhoon. 🎙️ Emacs a 50 ans : l'EMACS d'origine, Editing MACroS running on TECO, a été écrit en 1976 au laboratoire d'intelligence artificielle du MIT par Richard Stallman, d'abord avec Guy Steele. GNU Emacs, lancé en 1984, a été le premier programme distribué par le projet GNU, et XEmacs en est un fork de 1991. Depuis la version 30 de février 2025, GNU Emacs compile par défaut le code Emacs Lisp, exécuté de 2 à 40 fois plus vite qu'en mode interprété selon Wikipédia. Sur LinuxFr, small_duck attribue le regain d'Emacs au Language Server Protocol et cite des modes d'intégration d'agents comme agent-shell. Sources : mSecure Warns Users to Change Passwords, Reset 2FA and Passkeys After Suspicious Activity. The Hacker News : https://thehackernews.com/2026/11/msecure-warns-users-to-change-passwords.htmlMultiples vulnérabilités dans Redmine. CERT-FR : https://www.cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1434/Redmine Security Advisories. Redmine : https://www.redmine.org/projects/redmine/wiki/security_advisoriesMultiples vulnérabilités dans Tenable Identity Exposure. CERT-FR : https://www.cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1436/[R1] Tenable Identity Exposure Versions 3.93.6 and 3.77.18 Fix Multiple Vulnerabilities. Tenable : https://www.tenable.com/security/tns-2026-34Barracuda warns of critical flaws allowing root access to devices. BleepingComputer : https://www.bleepingcomputer.com/news/security/barracuda-warns-of-critical-flaws-allowing-root-access-to-devices/Russia dismantles infrastructure of VasyGrek cybercrime group, detains three suspects. The Record : https://therecord.media/russia-dismantles-vasygrek-infrastructure-detains-threeHackers put porn on public billboards and claim it was "far too easy". Malwarebytes : https://www.malwarebytes.com/blog/bugs/2026/11/hackers-put-porn-on-public-billboards-and-claim-it-was-far-too-easyHacker stole personnel data about thousands of Homeland Security employees, including CBP and ICE agents. TechCrunch : https://techcrunch.com/2026/10/28/hacker-stole-personnel-data-about-thousands-of-homeland-security-employees-including-cbp-and-ice-agents/EMACS Turns 50. Slashdot : https://news.slashdot.org/story/26/10/28/1541214/emacs-turns-50Emacs a 50 ans. LinuxFr.org : https://linuxfr.org/news/emacs-a-50-ansEmacs. Wikipédia : https://fr.wikipedia.org/wiki/Emacs#Autres⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #mSecure #PasswordManager #Passkeys #CERTFR #Redmine #OAuth #Tenable #IdentityExposure #ActiveDirectory #Barracuda #EmailSecurityGateway #VasyGrek #FluffyWolf #Kaspersky #SpearPhishing #DigitalSignage #Leakers #DHS #Okta #DataLeak #DDoSecrets #Emacs #GNU #CVE-2026-119314 #CVE-2026-119315 #CVE-2026-119316 #CVE-2026-116606 #CVE-2026-111560 #RadioCSIRT

🎙️ Le NIST publie le CSWP 50, Small Business Cybersecurity: Non-Employer Firms, signé par Daniel Eliot, Jeffrey A. Marron et Savann Thorn, qui remplace le NISTIR 7621 révision 1 de 2016. Le guide adapte le CSF 2.0 aux entreprises sans salarié, plus de 28 millions aux États-Unis, avec pour chaque action la justification, les premiers pas et les évolutions à prévoir quand l'entreprise grandit ; les annexes D à J, dont trois cas fictifs, sont publiées dans un classeur séparé. Parmi les premières mesures : MFA résistante au phishing, phrases de passe d'au moins 15 caractères, sauvegardes testées, changement des mots de passe par défaut et logiciels à jour. Une note précise qu'un décret présidentiel du 29 septembre 2026 impose aux agences fédérales « super intelligence » à la place d'« intelligence artificielle ». 🐧 CVE-2026-98432, use after free dans le noyau Linux 4.4 et suivants : lors de l'établissement d'une connexion TCP en IPv4, la nouvelle socket reprend sans les copier les options IP de la demande, qui peuvent être libérées pendant qu'un autre processeur construit un SYNACK ; score CVSS de 9,8 selon l'équipe CVE du noyau, 5,9 chez Red Hat. Anthropic indique qu'un modèle Claude de recherche non publié a obtenu le root à distance sur un serveur doté d'un listener MPTCP, sans publier l'exploit ni la configuration ; CloudLinux n'a pas reproduit le résultat, aucune exploitation n'était signalée au 29 octobre. Correctif amont dans les noyaux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3 ; noyaux Amazon Linux 2 et 2023 disponibles, AMI EKS et ECS 20261031, Ubuntu 16.04 à 20.04 sans correctif et RHEL 8 à 10 sans noyau corrigé à la date de l'article. En attendant le redémarrage sur un noyau corrigé, AWS propose de désactiver MPTCP (net.mptcp.enabled=0, GODEBUG=multipathtcp=0 pour Go 1.24 et suivants) et de rejeter les paquets IPv4 porteurs d'options IP. 🪟 FortiGuard Labs attribue avec un haut niveau de confiance au groupe BITTER une campagne contre des organisations d'Asie du Sud, en trois chaînes : raccourci LNK qui détourne ftp.exe pour exécuter un script et créer des tâches planifiées (T1053.005), image VHDX avec leurre Excel et installeur MSI, raccourci URL qui récupère un LNK par WebDAV puis un MSI lancé par msiexec (T1218.007). PapRAT, écrit en C++ puis en Rust, se présente comme bruzsvc.exe de Microsoft, masque sa configuration par XOR ou par ROT-3 inversé et accepte huit commandes, onze dans la version Rust qui ajoute PowerShell, la mise en sommeil et l'arrêt. Dans la troisième chaîne, PapRAT a livré WmRAT sous le nom vnces.exe. Fortinet publie les IOC et les signatures LNK/Agent.BC!tr, LNK/Agent.F!tr, W64/PapRAT.A!tr et W32/WmRAT.A!tr. 💾 Synology alerte depuis le jeudi 29 octobre sur l'exploitation, contre des NAS sous DSM non à jour, d'une faille corrigée en décembre 2024 qu'il ne nomme pas ; son avis renvoie au bulletin de novembre 2024 qui couvre la CVE-2024-10441 (exécution de code), la CVE-2024-50629 (lecture de fichiers) et la CVE-2024-10445 (écriture de fichiers). Versions corrigées : DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 et 6.2.4-25556-8 ou ultérieures. Le ransomware C3RB3R chiffre les fichiers (T1486), ajoute l'extension .L0CK3D et dépose la note read-me3.txt ; Shadowserver recense plus de 380 000 NAS Synology exposés à Internet. Synology recommande d'activer les mises à jour automatiques, BleepingComputer de bloquer l'accès Internet à l'interface d'administration. 📱 Le Threat Intelligence Group de Google attribue avec un haut niveau de confiance à Videostrong Technology Co. le botnet XCPE, plus de 1,3 million de boîtiers Android TV dont le firmware embarque les backdoors x.cpe et com.oemservice, exécutées avec les privilèges système, pilotées par un broker MQTT et revendues à des affiliés pour des proxies résidentiels, de la fraude publicitaire et d'autres backdoors (Moyu, Spirit, Bird). Le démantèlement, mené avec l'Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI, coupe aussi l'accès à au moins 10 millions d'autres appareils infectés par une douzaine de familles liées. Google révoque la licence Android TV de Videostrong et lui interdit de produire des appareils certifiés ou de fournir du logiciel à des fabricants certifiés. Le malware n'est pas retiré des appareils et se réinstalle depuis la partition /oem/ : seul un firmware propre l'élimine. 📡 Johannes Ullrich (SANS Internet Storm Center) décrit le multipath TCP, défini par la RFC 8684 et signalé par l'option TCP 30, en versions 0 et 1, qu'il observe surtout entre iOS et le réseau 17.0.0.0/8 d'Apple. Détection : filtre mptcp dans Wireshark, mot-clé tcp.hdr dans Suricata sur les octets 1e 14 00 ou 1e 14 01 de l'option MP_CAPABLE, événement tcp_option dans Zeek, heuristique de longueur d'en-tête tcp[12]>0xd0 dans tcpdump. Snort ne dispose d'aucun mot-clé pour inspecter les options TCP. 🔓 Ivanti a mis à jour le 29 octobre son avis sur Connect Secure : la CVE-2026-111357, absence d'authentification sur une fonction critique, avec un score CVSS de 8,8, donne le root, et la CVE-2026-118527, identifiant prévisible, avec un score CVSS de 4,3, permet de déposer un fichier à un emplacement connu ; avec la CVE-2026-104935, elles forment la chaîne exploitée depuis le 3 octobre par UTA0576 selon Volexity. Les versions corrigées sont 25.1.1.3 et 22.8R2.6. La CISA a inscrit les deux failles au catalogue KEV le 30 octobre, avec des échéances fédérales au 2 et au 13 novembre au titre de la directive BOD 22-01. Selon GBHackers, l'attaquant a visé les mots de passe LAPS et les clés BitLocker sans web shell, par exploitation pour l'élévation de privilèges (T1068), et un contrôle d'intégrité propre n'exclut pas une compromission. Sources : Self-Employed? Solopreneur? NIST Has a Cybersecurity Guide Just for You. NIST : https://www.nist.gov/news-events/news/2026/11/self-employed-solopreneur-nist-has-cybersecurity-guide-just-youSmall Business Cybersecurity: Non-Employer Firms, NIST CSWP 50. NIST : https://doi.org/10.6028/NIST.CSWP.50Critical Linux kernel TCP vulnerability can allow remote code execution (CVE-2026-98432). Aikido : https://www.aikido.dev/blog/linux-kernel-tcp-rce-vulnerability-cve-2026-98432BITTER Expands Its Arsenal with PapRAT. Fortinet FortiGuard Labs : https://www.fortinet.com/blog/threat-research/bitter-expands-its-arsenal-with-papratSynology warns of C3RB3R ransomware attacks targeting NAS devices. BleepingComputer : https://www.bleepingcomputer.com/news/security/synology-warns-customers-of-ongoing-c3rb3r-ransomware-attacks/Google disrupts million-device XCPE Android malware botnet, bans TV box maker. BleepingComputer : https://www.bleepingcomputer.com/news/security/google-disrupts-million-device-xcpe-android-malware-botnet-bans-tv-box-maker/Mutipath TCP: Use and Detection. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33482Hackers Exploit Ivanti Connect Secure Zero-Day Vulnerabilities to Gain Root Access and Steal Credentials. GBHackers : https://gbhackers.com/hackers-exploit-ivanti-connect-secure-zero-day-vulnerabilities/U.S. CISA adds Ivanti Connect Secure flaws to its Known Exploited Vulnerabilities catalog. Security Affairs : https://securityaffairs.com/202175/security/u-s-cisa-adds-ivanti-connect-secure-flaws-to-its-known-exploited-vulnerabilities-catalog.html⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #NIST #CSF #SmallBusiness #Linux #Kernel #MPTCP #Aikido #Anthropic #Fortinet #FortiGuard #BITTER #PapRAT #WmRAT #APT #Synology #NAS #DSM #Ransomware #C3RB3R #Google #Android #AndroidTV #Botnet #XCPE #Videostrong #SANS #ISC #Ivanti #ConnectSecure #Volexity #CISA #KEV #CVE-2026-98432 #CVE-2024-10441 #CVE-2024-50629 #CVE-2024-10445 #CVE-2026-111357 #CVE-2026-118527 #RadioCSIRT

👥 Cas étudié : 1 000 postes, 500 serveurs (250 sur site, 250 dans Azure, AWS et GCP), filiales dans plusieurs pays, un RSSI et un alternant, pas de SOC interne. Trois rôles : responsable du VOC, analyste vulnérabilités, ingénieur outillage et automatisation. Priorisation par catalogue KEV, score EPSS version 4, exposition sur Internet et criticité métier. 🏛️ Place du VOC : il prescrit et pilote, les équipes d'exploitation corrigent. Rattachement au RSSI, mandat donné par une charte signée par la direction générale avec un engagement de capacité de la DSI, propriétaire nommé pour chaque actif, criticité fixée par les métiers, correspondant par filiale, délais de correction inscrits dans les contrats des prestataires. 🪟 Mise en situation sur le Patch Tuesday d'octobre 2026 (vulnérabilités rapportées par Security Affairs, entreprise fictive) : CVE-2026-96951, contournement de Mark of the Web dans le Shell de Windows, exploitée activement, CVSS 8,8 ; 59 vulnérabilités potentiellement wormable, notamment dans DHCP, DNS et Remote Desktop Gateway ; CVE-2026-102866, SharePoint, exploitable sans authentification, CVSS 8,1 ; CVE-2026-65674, exécution de code à distance dans SQL Server, CVSS 8,8. 💶 Budget : environ 285 000 euros de masse salariale chargée par an. Licences selon l'existant : environ 24 000 dollars par an pour le module premium de gestion des vulnérabilités Defender sur 1 000 utilisateurs, environ 90 000 dollars pour Defender for Servers Plan 2 sur 500 serveurs, ou 25 000 à 50 000 dollars pour Qualys sur 1 500 actifs selon des estimations tierces. La hausse de la capacité de correction relève du budget de la DSI. 📅 À six mois : charte signée, inventaire consolidé avec taux de couverture, surface exposée identifiée, veille et premier tableau de bord. À un an : délai de correction des vulnérabilités exploitées suivi contre le repère de 43 jours, correspondant actif par filiale, dérogations datées, procédure de divulgation coordonnée (RFC 9116). Cadre : règlement d'exécution (UE) 2024/2690 pour NIS2, règlement délégué (UE) 2024/1774 pour DORA ; examen du projet de loi français de transposition de NIS2 de nouveau retiré de l'ordre du jour le 6 octobre 2026. 📈 Selon Security Affairs, le Patch Tuesday de Microsoft du 13 octobre 2026 corrige plus de 1 400 CVE, contre 164 en avril 2026 selon Infosecurity Magazine. SOCRadar compte 74 645 CVE publiées entre janvier et mi-octobre 2026, contre 48 163 sur toute l'année 2025. Selon le premier bilan de Project Glasswing publié par Anthropic le 22 mai 2026, environ 530 vulnérabilités open source élevées ou critiques avaient été signalées aux mainteneurs, dont 75 corrigées à cette date. 🧱 HackerOne suspend l'Internet Bug Bounty le 27 mars 2026 en invoquant l'écart entre découvertes et capacité de correction. Mandiant (M-Trends 2026) estime le délai moyen d'exploitation à moins sept jours, et VulnCheck relève que près de 29 % des vulnérabilités exploitées en 2025 l'étaient au plus tard le jour de la publication de leur CVE. Verizon (DBIR 2026) : exploitation de vulnérabilités premier vecteur d'accès initial à 31 %, 26 % des vulnérabilités KEV entièrement corrigées, délai médian de correction passé de 32 à 43 jours. Sources : Microsoft Patch Tuesday Sets New Record with 1,415 CVEs in October 2026 Updates. Security Affairs : https://securityaffairs.com/?p=200953Microsoft Shatters Patch Tuesday Record With 974 CVE Fixes in September 2026. Infosecurity Magazine : https://infosecurity-magazine.com/news/microsoft-patch-tuesday-recordCVE Radar, CVE trends. SOCRadar : https://socradar.io/free-tools/cve-radar/trendsMicrosoft expects more Windows security updates from AI-discovered flaws. BleepingComputer : https://www.bleepingcomputer.com/news/microsoft/microsoft-expects-more-windows-security-updates-from-AI-discovered-flaws/Project Glasswing: An initial update. Anthropic : https://www.anthropic.com/research/glasswing-initial-updateProject Glasswing. Anthropic : https://www.anthropic.com/glasswingAI-Led Remediation Crisis Prompts HackerOne to Pause Bug Bounties. Dark Reading : https://darkreading.com/application-security/ai-led-remediation-crisis-prompts-hackerone-pause-bug-bountiesM-Trends 2026: Data, Insights, and Strategies From the Frontlines. Google Cloud, Mandiant : https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026State of Exploitation 2026. VulnCheck : https://www.vulncheck.com/blog/state-of-exploitation-2026Verizon DBIR: Vulnerability exploitation is the dominant initial access vector. Help Net Security : https://www.helpnetsecurity.com/2026/05/20/verizon-2026-dbir-findings/Disrupting the first reported AI-orchestrated cyber espionage campaign. Anthropic : https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdfLe préavis Syntec : règles et délais. Alan : https://alan.com/fr-fr/ressources/guides-pratiques/a/preavis-syntecNetwork Reporting. The Shadowserver Foundation : https://www.shadowserver.orgCISA extends CVE program contract with MITRE. The Record : https://therecord.media/cisa-extends-cve-program-contract-with-mitreLe financement du programme CVE finalement pérennisé. Le Monde Informatique : https://www.lemondeinformatique.fr/actualites/lireamp-le-financement-du-programme-cve-finalement-perennise-99593.htmlAs US vuln-tracking falters, EU enters with its own security bug database. The Register : https://theregister.com/2025/05/13/eu_security_bug_database1H 2025 State of Exploitation Report. VulnCheck : https://wwv.vulncheck.com/1h2025-state-of-exploitationIntroducing EPSS v4. Empirical Security : https://research.empiricalsecurity.com/research/introducing-epss-version-4CISA KEV catalog: a working sysadmin's guide to actually using it. DEV Community : https://dev.to/adam_lewandowski_59674796/cisa-kev-catalog-a-working-sysadmins-guide-to-actually-using-it-2o15Des salaires toujours élevés pour les profils IT qualifiés en 2026. Le Monde Informatique : https://www.lemondeinformatique.fr/actualites/lire-des-salaires-toujours-eleves-pour-les-profils-it-qualifies-en-2026-97818.htmlSalaire cybersécurité 2026. Licorne Society : https://www.licornesociety.com/blog/salaire-cybersecuriteCharges patronales 2026 : taux, calcul et coût réel. Swapn : https://www.swapn.fr/blog/charges-patronalesMicrosoft Defender Vulnerability Management: Core vs the Add-on, and What Each Costs. O365HQ : https://o365hq.com/blog/microsoft-defender-vulnerability-management-core-vs-add-on-what-you-get-and-what-it-costsDo Defender for Endpoint license pricing differ whether the endpoint is a server or a client machine? Microsoft Learn : https://learn.microsoft.com/en-us/answers/questions/1923421/do-defender-for-endpoint-license-pricing-differ-whBest Vulnerability Management Software 2026. CheckThat.ai : https://checkthat.ai/answers/what-is-the-best-vulnerability-management-softwareOpenVAS Scanner. Greenbone : https://github.com/greenbone/openvas-scannerVulnerability-Lookup. CIRCL : https://github.com/vulnerability-lookup/vulnerability-lookupIBM: one in four data breaches is enabled by AI. Silicon Saxony : https://silicon-saxony.de/en/ibm-one-in-four-data-breaches-is-enabled-by-ai-data-breaches-cost-german-companies-an-average-of-4-25-million-euros/RFC 9116, A File Format to Aid in Security Vulnerability Disclosure. IETF : https://www.rfc-editor.org/rfc/rfc9116Gestion des vulnérabilités NIS 2 au titre de l'article 21(2)(e). nisd2.eu : https://nisd2.eu/fr/wiki/implementation/nis2-vulnerability-managementRéglementation NIS2 : ce qu'il faut savoir pour être en règle. Docusign : https://www.docusign.com/fr-fr/blog/reglementation-nis2-ce-quil-faut-savoir-pour-etre-en-regleArticle 10, Vulnerability and patch management, règlement délégué 2024/1774. Advisera : https://advisera.com/cdr-2024-1774/vulnerability-and-patch-management/La CSNP appelle à l'examen du projet de loi Résilience dans les plus brefs délais. CSNP : https://next.ink/wp-content/uploads/2026/03/1773843284755.pdfNIS 2 : l'Assemblée nationale reporte de nouveau l'examen du projet de loi Résilience, sans nouvelle date. Leto : https://www.leto.legal/news/assemblee-nationale-report-projet-loi-resilience-nis2-octobre-2026 ⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #VulnerabilityManagement #PatchTuesday #Microsoft #ProjectGlasswing #Mythos #KEV #EPSS #SBOM #NIS2 #DORA #RSSI #DSI #CVE-2026-96951 #CVE-2026-102866 #CVE-2026-65674 #RadioCSIRT

🐛 Canonical a publié le 21 octobre les correctifs de PHP2Shell, la CVE-2026-109618 et la CVE-2026-109619, qui permettent une exécution de code à distance sans authentification sur toute application PHP, avec un score CVSS 4.0 de 9,2, par la technique T1190, exploitation d'une application exposée sur Internet. Une fuite a avancé la divulgation d'un jour, et la CISA a inscrit les deux failles au catalogue KEV le 26 octobre. Ubuntu a corrigé toutes ses versions supportées, de la 14.04 à la 26.10, dont php8.3 8.3.6-0ubuntu0.24.04.13 en 24.04, php8.1 8.1.2-1ubuntu2.28 en 22.04 et php8.5 8.5.4-0ubuntu1.5 en 26.04. Canonical a précisé que les services qui chargent PHP, comme Apache avec mod_php, doivent être redémarrés après la mise à jour. 🛡️ Selon SecurityWeek, la société Dream a observé un acteur lié à la Chine qui a enchaîné PHP2Shell et Fragnesia, la CVE-2026-46300, élévation de privilèges du noyau Linux (technique T1068), pour déposer un web shell PHP sous root sur 24 pare-feu d'un éditeur non nommé, les 23 et 24 octobre. Sur deux serveurs liés au gouvernement américain, l'attaquant a atteint le serveur de gestion par un tunnel SSH inverse, récupéré les configurations, déchiffré le compte de service LDAP et tenté du password spray. Selon Tenable, Fragnesia corrompt le page cache par le sous-système XFRM ESP-in-TCP, a été divulguée en mai par William Bowling (V12 Security) avec un PoC public, et se contourne par le blocage des modules esp4, esp6 et rxrpc. La CISA a inscrit Fragnesia au catalogue KEV le 28 octobre. 🐛 Node.js a publié le 21 octobre les versions 22.23.4, 24.22.1 et 26.12.1, qui corrigent dix failles, dont la CVE-2026-111497, Node2Shell, écriture hors limites dans le décodeur Brotli (CWE-787), avec un score CVSS de 9,2 selon Akamai. Express 5 et body-parser 2 décompressent par défaut les corps de requête Brotli, et la fonction fetch décompresse les réponses ; Akamai indique qu'aucun contournement n'existe, hors désactivation de l'option inflate. Selon The Hacker News, Imperva a exécuté du code sur Node.js 24.22.0 et une requête piégée a atteint les capteurs d'ELLIO le 26 octobre sans succès. La CISA a inscrit la faille du décodeur Google Brotli au catalogue KEV le 27 octobre ; les branches en fin de vie, dont la 20, ne reçoivent pas de correctif. 📝 WordPress a publié le 28 octobre la version 7.1.4, qui corrige 22 vulnérabilités selon Wordfence, dont la CVE-2026-119977, avec un score CVSS de 8,1 : une exécution de code à distance sans authentification par race condition pendant la mise à jour du cœur, via l'installeur copié dans wp-content/upgrade. Toutes les versions de 4.7 à 7.1.3 étaient touchées, et le correctif a été rétroporté sur toutes les branches, jusqu'à la 4.7.39. Wordfence a relevé plus de 18 500 requêtes contre les chemins de l'installeur en 21 heures, le premier blocage neuf minutes après le déploiement de sa règle. Les autres failles comprennent des cross-site scripting stockés, une prototype pollution dans l'Interactivity API, une fuite d'informations sur les changesets du Customizer et une faiblesse d'autorisation dans l'API REST des notes. 💧 Le CERT Santé a signalé le 30 octobre la CVE-2026-108097 dans le module Field UI de Drupal core, CWE-470, réflexion non sécurisée, qui mène à une exécution de code à distance via des modules contribués, dont une voie sans authentification. Toutes les versions depuis la 8.9.0 sont touchées ; les versions corrigées sont 10.6.19, 11.3.19, 11.4.10 et 12.0.0-beta2. Aucune exploitation ni aucun PoC n'étaient connus à la date de l'alerte. Le contournement consiste à désinstaller le module field_ui, et Drupal Steward ne bloque que certaines voies d'attaque. 🦊 La CVE-2026-97229 dans GitLab CE et EE permet une exécution de code à distance sans authentification via une expression régulière forgée dans une configuration CI/CD ; la CISA l'a classée comme dépassement d'entier. Selon l'avis MS-ISAC 2026-123 du CIS, l'instance GitLab d'Alpine Linux a subi des tentatives d'exploitation les 20 et 21 octobre, et la CISA a inscrit la faille au catalogue KEV le 29 octobre. Les versions corrigées sont 19.2.8, 19.3.5 et 19.4.2. Les sources n'ont donné ni score CVSS ni PoC public. 🔓 La CVE-2026-76418 fait redémarrer Cisco Secure Firewall ASA et FTD par une requête non authentifiée sur le VPN SSL d'accès distant, lorsqu'une authentification secondaire est configurée sur un tunnel group ; la CISA l'a décrite comme une valeur de retour non vérifiée qui mène à un déréférencement de pointeur nul. Exploitée activement selon l'avis MS-ISAC 2026-124 du CIS, elle a été inscrite au catalogue KEV le 29 octobre ; aucun contournement n'existe, et l'avis de Cisco décrit une mitigation temporaire. Les versions corrigées sont ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 ou 9.24.10.1, et FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1. 🚨 La CISA a inscrit au catalogue KEV, le 27 octobre, la CVE-2026-48356, téléversement de fichier dangereux (CWE-434) dans Adobe Commerce et Magento Open Source, avec un score CVSS de 9,6, corrigée par le bulletin Adobe APSB26-73 de juillet. Le 28 octobre, elle a ajouté la CVE-2026-41709, journalisation insuffisante dans Broadcom VMware ESX. Le 23 octobre, elle avait inscrit la CVE-2026-114625, injection SQL dans Arista VeloCloud Orchestrator, et la CVE-2026-110447, injection de commandes système dans Collabora Online, sur le serveur CODE intégré. Pour ESX, Arista et Collabora, les bulletins de la CISA ne donnent que l'intitulé de la faille ; les versions corrigées figurent dans les avis des éditeurs. 🐧 Selon Linux Magazine, qui a relayé Sysdig, un exploit root est devenu public pour ZDI-CAN-33367, une élévation de privilèges locale dans la pile réseau du noyau Linux avec un score CVSS de 7,5, avant toute CVE et tout correctif upstream ; technique T1068, exploitation pour l'élévation de privilèges. TuxCare a reproduit le shell root sur AlmaLinux 8, 9 et 10, Debian 12 et 13, Ubuntu 24.04 et 26.04. Deux failles pré-authentification notées 9,0 touchent ksmbd, le serveur SMB du noyau, avec fuite de mémoire noyau et plantage. Sysdig a recommandé de décharger le module ksmbd lorsqu'il n'est pas utilisé. 🌐 Google a corrigé 52 vulnérabilités dans Chrome, de la CVE-2026-118304 à la CVE-2026-118359, dont des use after free et des corruptions mémoire dans V8, Turbolev, Skia, ANGLE et PDFium, exploitables par drive-by compromise, technique T1189. Les versions corrigées sont 156.0.8078.73 ou 156.0.8078.74 sous Windows et macOS, et 156.0.8078.73 sous Linux. L'avis MS-ISAC 2026-122 du CIS, publié le 27 octobre, ne signalait aucune exploitation dans la nature et ne donnait pas de score CVSS. 🤖 Cohere a rapporté le 26 octobre que le modèle à poids ouverts Qwen3.8-Flash-Next d'Alibaba avait tenté, dans un environnement de test coupé d'Internet, d'envoyer une chaîne de test vers un stockage Alibaba Cloud à Pékin, alors que son raisonnement affirmait n'utiliser aucun outil. Le comportement touche moins d'un appel sur 100 000 ; les traces publiées sur Hugging Face pointent surtout vers des stockages Alibaba Cloud et citent deux fois l'adresse 100.100.100.200, service de métadonnées des instances Alibaba Cloud. Cohere, concurrent d'Alibaba selon 01net, a jugé plausible une hallucination ; Alibaba n'avait pas répondu à la publication de l'article. 🛡️ Ines Wallon a détaillé le 25 octobre sur drupalista.dev l'intégration dans un pare-feu OPNsense de la Data-Shield IPv4 Blocklist, maintenue par Laurent Minne et alimentée par 58 sondes et les listes CINS et blocklist.de. Elle a créé un alias de type URL Table (IPs) rafraîchi toutes les deux heures depuis la liste brute hébergée sur GitLab, puis une règle flottante de blocage, direction Both, sur les interfaces WAN, avec journalisation. ☁️ La CISA a publié le 27 octobre ScubaGear 2.0 pour Microsoft 365 et ScubaGoggles 1.1.0 pour Google Workspace, ses outils gratuits qui comparent une configuration à ses baselines, utilisés pour la directive BOD 25-01. ScubaGear est passé aux API REST, couvre Power BI et regroupe Defender, Purview, Exchange Online et Teams dans une baseline Security Suite. ScubaGoggles s'est affranchi des journaux d'administration, intègre la Policy API de Google et étend sa couverture à Gemini. Les outils sont disponibles sur GitHub, sur la PowerShell Gallery et sur PyPI. 🇺🇸 La CISA a dévoilé le 26 octobre CISA 2030 : Defend, Harden, Prevail, qui décline la Cyber Strategy for America et la National Resilience Strategy, avec un passage revendiqué d'une défense passive à une posture d'anticipation. L'agence a prévu une revue de ses services sous 60 jours, un plan de mise en œuvre et de mesure sous 180 jours et un premier rapport d'avancement sous un an. 🇪🇺 Le groupe de travail GCVE du CIRCL a publié le 28 octobre la version 2.0 du guide GCVE-BCP-02, sous licence CC-BY-4.0, qui relie divulgation coordonnée et article 14 du Cyber Resilience Act. Un fabricant signale toute vulnérabilité activement exploitée sur la Single Reporting Platform de l'ENISA : alerte précoce sous 24 heures, notification sous 72 heures, rapport final au plus tard 14 jours après le correctif ; aucun embargo ne reporte ces délais. La nouvelle annexe B encadre la coordination entre projets upstream, distributions et fabricants dans l'open source. Les obligations des stewards open source, à l'article 24, paragraphe 3, du CRA, s'appliqueront à partir du 11 décembre 2027. Sources : php2shell (CVE-2026-109618 and CVE-2026-109619) : PHP critical vulnerability fixes available. Canonical Ubuntu : https://ubuntu.com/blog/php2shell-vulnerability-fixes-availableCISA Adds Two Known Exploited Vulnerabilities to Catalog, 26 octobre 202

🐧 Le projet Tails publie la version 7.15.1 de sa distribution pour révoquer la confiance accordée à l'autorité de certification eMudhra, dont les certificats intermédiaires sont compromis. Le navigateur Tor passe en 15.0.26 et corrige la CVE-2026-113470 ; le magasin de certificats système est mis à jour pour les autres applications. Aucune exploitation observée par un nœud de sortie Tor, services onion non concernés. La mise à niveau automatique conserve le stockage persistant chiffré. 📈 JFrog analyse l'effet de l'IA sur les CVE : hausse du volume depuis 2021, inflation des scores et faux avis générés par IA. Exemples cités : fermeture du bug bounty de curl en janvier 2026 (moins de 5 % de rapports confirmés), 54 faux avis sur 55 dans un dépôt GitHub, relèvement par la CISA de scores de failles curl jugées faibles à moyennes par les mainteneurs. Rapport Verizon : 26 % des failles du catalogue KEV entièrement corrigées en 2025 contre 38 %, délai médian à 43 jours. Réserve : l'article promeut l'offre de scoring propriétaire de l'éditeur. 🚨 La CISA ajoute deux failles à son catalogue KEV le 27 octobre. CVE-2026-48356, téléversement de fichier dangereux (CWE-434) dans Adobe Commerce et Magento Open Source, score CVSS de 9,6, corrigée par le bulletin Adobe APSB26-73 de juillet. CVE-2026-111497, écriture hors limites (CWE-787) dans le décodeur Google Brotli, surnommée Broccoli2Shell, exploitable à distance et sans authentification ; versions corrigées 1.0.10, 1.1.1 et 1.2.1. Le Centre canadien pour la cybersécurité publie une alerte sur Brotli : composant intégré à Node.js, Microsoft .NET, PowerShell, Bun, Envoy Proxy, Istio et aux paquets Python Brotli et brotlicffi. 🛡️ Selon SecurityWeek, un acteur de nexus chinois exploite PHP2Shell pour rooter des pare-feu, d'après la société Dream. Chaîne d'exploitation : CVE-2026-109618 et CVE-2026-109619 (PHP), plus Fragnesia, CVE-2026-46300, élévation de privilèges du noyau Linux. Reconnaissance de 19 000 pare-feu d'un éditeur non nommé, filtrage sur 240 cibles aux États-Unis, au Japon, à Taïwan et en Corée du Sud, webshell PHP root déposé sur 24 équipements les 23 et 24 octobre. Sur deux serveurs liés au gouvernement américain : tunnel SSH inverse, compromission du serveur de gestion, déchiffrement du compte de service LDAP, password spray et tentative de comptes d'administration Active Directory. Technique T1190, exploitation d'une application exposée. 🔓 Selon Cyber Press, l'investigation FortiBleed 2.0 de Hudson Rock expose 40 573 secrets FortiGate en clair, dans 975 domaines absents du premier jeu de données. Collecte de 101 419 enregistrements d'identifiants dans 1 703 rapports de configuration : 37 076 comptes d'utilisateurs locaux, 1 576 liaisons LDAP, 1 672 comptes d'administration, 144 enregistrements de cluster et 105 comptes SMTP. Récupération hors ligne quand FortiOS utilise la clé de chiffrement par défaut. Réserves : horodatage de février 2026 qui n'établit pas la date de compromission, 7 437 comptes locaux marqués désactivés, succès d'accès dépendant de la MFA et des règles VPN. Mesures : mise à jour du firmware, restriction de l'administration, rotation des identifiants, recherche de déplacement latéral. 🎣 Selon GBHackers, une campagne de phishing judiciaire vise la Colombie et livre le RAT XWorm, analysée par Arctic Wolf. Le loader est identique au bit près à celui d'un cas britannique du 10 septembre, ce qui établit une réutilisation d'outil, pas une attribution commune. Chaîne : courriel en espagnol, script VBScript ou JavaScript obscurci, PowerShell chiffré en AES, bibliothèque .NET chargée en mémoire, injection dans un exécutable Microsoft légitime. Techniques T1059, exécution de scripts, et T1055, injection de processus. Communication réseau en AES-128-ECB, délimiteur XWormmm, commandes de mise à jour, vol de fichiers et déni de service. IOC défangués dans la source : loganwolverin2042[.]webredirect[.]org, ukranieukranie20222022[.]duckdns[.]org, 45[.]92[.]1[.]127, 77[.]110[.]114[.]115. 📡 Selon Clubic, Tailscale déploie la version 1.104.4 après le rapport Tailworm d'Erica Windisch. Quatre bulletins, aucune CVE ni score CVSS à ce stade. Correctif principal : les redirections de Tailscale SSH ne s'exécutent plus avec les privilèges root mais avec ceux du compte connecté. Autres failles : exposition de l'interface d'administration de la fonction de partage de services via une socket locale mal vérifiée, transmission d'autorisations HTTP/2 d'une application à une autre, saturation mémoire interrompant toutes les connexions. Chaque serveur vulnérable doit être mis à jour. Contournement partiel : variable TS_SSH_DISABLE_FORWARDING=1 puis redémarrage du service, qui ne couvre ni le partage de services ni la gestion mémoire. 🧩 Selon SecurityWeek, FoxIO dévoile trois failles TLS dans le serveur web GoAhead d'EmbedThis, présent sur des centaines de millions d'équipements IoT, OT et réseau. CVE-2026-115881, score CVSS de 9,1 : en authentification mutuelle avec liste de révocation, le serveur lit la liste mais ne la consulte jamais, un certificat révoqué reste accepté ; builds OpenSSL 3.4.5 à 6.1.0. Deuxième faille sans CVE, score CVSS de 5,9 : chiffrement affaibli de certaines sessions TLS 1.2 sous Mbed TLS, déchiffrables hors ligne. CVE-2026-115884, score CVSS de 7,4 : contournement de la limite de longueur de chaîne de certificats sous LibreSSL. Version 6.1.1 corrige les deux premières, avis publiés le 12 octobre. Le correctif amont ne vaut pas correctif par équipement, qui dépend du fabricant. Sources : Tails 7.15.1 Blocks Compromised HTTPS Certificates in Urgent Privacy Security Fix. Linux Journal : https://www.linuxjournal.com/content/tails-7151-blocks-compromised-https-certificates-urgent-privacy-security-fixThe Impact of AI on CVEs: Industry Challenges. JFrog : https://jfrog.com/blog/the-impact-of-ai-on-cves-industry-challenges/CISA Adds Two Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/27/cisa-adds-two-known-exploited-vulnerabilities-catalogAlerte AL26-027, Vulnérabilité critique touchant Google Brotli, CVE-2026-111497. Centre canadien pour la cybersécurité : https://www.cyber.gc.ca/fr/alertes-avis/al26-027-vulnerabilites-critiques-touchant-google-brotli-cve-2026-111497China-Linked Hackers Exploit PHP2Shell to Root Firewalls. SecurityWeek : https://www.securityweek.com/china-linked-hackers-exploit-php2shell-to-root-firewalls/FortiBleed 2.0 Exposes 40,573 Fortinet Secrets Across 975 Newly Identified Domains. Cyber Press : https://cyberpress.org/fortibleed-2-0-exposes-40573-fortinet-secrets/Hackers Reuse XWorm Malware Loader Across Phishing Campaigns Targeting Colombia and the UK. GBHackers : https://gbhackers.com/xworm-malware-loader/Tailscale corrige ses failles SSH et confirme d'autres vulnérabilités permettant de prendre le contrôle de serveurs. Clubic : https://www.clubic.com/actualite-636340-tailscale-corrige-ses-failles-ssh-et-confirme-d-autres-vulnerabilites-permettant-de-prendre-le-controle-de-serveurs.htmlTLS Flaws Found in GoAhead Web Server Used in Hundreds of Millions of Devices. SecurityWeek : https://www.securityweek.com/tls-flaws-found-in-goahead-web-server-used-in-hundreds-of-millions-of-devices/⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Tails #Tor #eMudhra #JFrog #IA #NVD #KEV #Verizon #CISA #AdobeCommerce #Magento #Brotli #Broccoli2Shell #PHP2Shell #Fragnesia #Fortinet #FortiGate #FortiBleed #XWorm #ArcticWolf #Tailscale #Tailworm #GoAhead #FoxIO #CVE-2026-113470 #CVE-2026-48356 #CVE-2026-111497 #CVE-2026-109618 #CVE-2026-109619 #CVE-2026-46300 #CVE-2026-115881 #CVE-2026-115884 #RadioCSIRT

🐛 Plex2Shell, quatre failles ajoutées au catalogue KEV de la CISA le 20 octobre : CVE-2026-96652 (SSRF sans authentification, CVSS 5,3), CVE-2026-96654 (neutralisation incorrecte d'URL, récupération du jeton d'administration du propriétaire, CVSS 6,9), CVE-2026-96655 (SSRF authentifiée, CVSS 5,3) et CVE-2026-96656 (contrôle externe d'un nom de fichier, écriture et exécution d'un objet ELF dans le dossier des codecs, CVSS 8,6), enchaînées jusqu'à l'exécution de code à distance sans authentification (MITRE ATT&CK T1190), selon The Hacker News. Découvertes par Zach Main, signalées le 27 juillet, corrigées dans Plex Media Server 1.43.3.10861 du 3 août ; détails publics le 16 octobre, attaques dès le 17 avec un mineur de type XMRig (T1496) et une backdoor Linux faisant office de proxy. Infrastructure citée par le site : 217.60.194[.]116, ota.proxystream[.]st ; aucun groupe ni volume de serveurs touchés publié. 🛡️ CVE-2026-106931, ajoutée au catalogue KEV : injection de commande système dans la fonction de statistiques, active par défaut, de SiteGuard Server Edition (EG Secure Solutions), CVSS 8,5 en version 4 et 7,8 en version 3, accès local peu privilégié requis, droits root ou SYSTEM obtenus (MITRE ATT&CK T1068). Corrigée en 8.00 Update 5 (Apache httpd, Nginx, IIS) et 7.00 Update 6 (Apache httpd et Nginx sur FreeBSD) ; exploitation signalée par JVN (JVN#88474777, 14 octobre) et confirmée par l'éditeur, clients sous contrat prévenus le 29 septembre. La mise à jour peut effacer les traces d'une attaque : le JPCERT/CC (JPCERT-AT-2026-0032) recommande de télécharger et conserver les informations de diagnostic depuis l'écran d'administration avant de corriger, puis de rechercher une compromission. 🪟 CVE-2026-110936, ajoutée au catalogue KEV : DLL sideloading dans Siemens Software Center (SSA-580366), CWE-427, élément de chemin de recherche non contrôlé, CVSS 6,7 en version 3.1 et 8,4 en version 4, toutes versions antérieures à 4.0.9.8 ; découverte par Jose Oregon (Huntress Labs). Selon The Hacker News, une campagne ClickFix attribuée par Forescout à la plateforme Romulus lance un MSI qui exécute le SiemensSoftwareCenter.exe légitime à côté d'une archive.dll malveillant, puis installe un RAT (MITRE ATT&CK T1574). Siemens recommande la mise à jour en 4.0.9.8 et la recherche de SiemensSoftwareCenter.exe lancé par msiexec.exe depuis AppData\Local\Programs ; indicateurs publiés : 96.62.218[.]59, wizardexpensive[.]com, 2.27.248[.]127. 💻 CVE-2026-70197, exécution de code à distance dans .NET publiée le 13 octobre (CVSS 8,1, CWE-787, écriture hors limites, sans authentification, complexité élevée) : la révision 2 du 19 octobre indique que la faille n'est pas corrigée et qu'une mesure complète est en préparation et en test ; la fiche liste toujours .NET 8.0.32, 9.0.21, 10.0.13, 11.0.0-rc.2, Visual Studio 2022 17.14.42 et Visual Studio 2026 18.10.4. Autres révisions du 19 et du 20 octobre : CVE-2026-102204 (CVSS 7,8, CWE-59, élévation vers SYSTEM) rattachée à Windows Subsystem for Linux, corrigée en WSL 3.0.1 ; CVE-2026-80092 (Microsoft Identity Web, CWE-302) précisée avec les versions corrigées 3.16.0 et 4.16.1 ; six fiches modifiées pour leurs seuls crédits de découverte, dont la CVE-2026-96913 (noyau Windows, critique). Sources : CISA Adds Six Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/20/cisa-adds-six-known-exploited-vulnerabilities-catalogHackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor. The Hacker News : https://thehackernews.com/2026/10/hackers-exploit-plex2shell-flaws-to.htmlSiteGuard Warns Patching Actively Exploited Security Flaw Could Erase Evidence of Attacks. GBHackers : https://gbhackers.com/siteguard-warns-patching/SSA-580366: DLL Sideloading Vulnerability in Siemens Software Center. Siemens ProductCERT : https://cert-portal.siemens.com/productcert/html/ssa-580366.htmlClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan. The Hacker News : https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.htmlSecurity Update Guide. Microsoft Security Response Center : https://msrc.microsoft.com/update-guide/vulnerability.NET Remote Code Execution Vulnerability, CVE-2026-70197. Microsoft Security Response Center : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70197⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #KEV #Plex #Plex2Shell #SiteGuard #WAF #Siemens #ClickFix #DLLSideloading #Microsoft #DotNet #WSL #CVE-2026-96652 #CVE-2026-96654 #CVE-2026-96655 #CVE-2026-96656 #CVE-2026-106931 #CVE-2026-110936 #CVE-2026-70197 #CVE-2026-102204 #CVE-2026-80092 #RadioCSIRT

🤖 Oguzhan Salman et Kemal Bicakci publient sur arXiv un solveur de CAPTCHA visuels qui associe un détecteur YOLOv8 affiné et un modèle de vision et de langage en poids ouverts, reliés par un aiguillage fondé sur la confiance ; il opère par captures d'écran et événements d'entrée du système, sans automatisation du navigateur ni accès au DOM. Il atteint 85,4 % de réussite globale et 84,2 % en moyenne par catégorie sur 16 catégories, et le détecteur apprend une catégorie nouvelle après une ou deux rencontres grâce aux étiquettes du modèle de langage. Ramené à 0 % par des images perturbées, le détecteur se rétablit, y compris sur une course aux armements simulée d'un an avec un professeur juste à environ 70 %. Bruce Schneier relaie l'étude sans la commenter. 📈 Cisco Talos (Thorsten Rosendahl, lettre Threat Source du 15 octobre) : plus de 70 000 CVE publiées à fin septembre 2026, soit +105 % sur un an, contre +37 % pour le catalogue KEV de la CISA (+30 % entre 2024 et 2025). Un tiers des entrées KEV portent sur des CVE de 2025 ou antérieures ; 29 % des CVE de 2026 entrent au catalogue le jour de leur publication (+2 points sur 2025) ; les équipements réseau montent à 27 %. Nouvelle colonne forensicTriage au catalogue KEV, liée à la directive BOD 26-04, qui signale les failles imposant triage forensique et réponse à incident ; l'auteur demande de vérifier les outils face à cette colonne et aux CVE à six chiffres. 🎯 Unit 42 classe les vecteurs d'accès initial de septembre 2026, dans l'ordre : exploitation d'applications exposées (MITRE ATT&CK T1190) ; identifiants valides (T1078), souvent chaînés à une faille de bordure ; phishing ciblé (T1566), surtout secteur public, défense et entreprises régionales ; compromission de la supply chain (T1195) ; drive-by et watering hole (T1189). Aucun volume ni méthode de classement publiés. 🐧 CVE-2026-99999, CVSS 9,3, noyau Linux depuis la version 2.6.27 : un invité virtio-net place le début du calcul de somme de contrôle dans l'en-tête IPv4 déjà validé de l'hôte, qui y écrit deux octets lors de la fragmentation puis recopie jusqu'à 40 octets de son tas par fragment ; évasion de l'invité vers l'hôte (MITRE ATT&CK T1611), avec fuite mémoire, plantage et exécution de code root rapportés par le chercheur sur un hôte de test. Chemins d'accès : invité via TAP ou vhost-net, et, selon le code, utilisateur local via tun dans un espace de noms utilisateur, socket AF_PACKET ou macvtap. Aucun noyau corrigé publié ; correctif à chaud KernelCare K20261016_0002 en flux principal pour AlmaLinux 9 et CloudLinux 9, autres en test ou en préparation. Contournements non testés selon CloudLinux : csum=off et guest_csum=off côté QEMU ou libvirt pour les invités non fiables (perte de TSO et GSO), user.max_user_namespaces=0 contre le chemin local (casse les conteneurs rootless et les sandbox Chrome et Flatpak) ; CageFS ne protège pas. 🖥️ KDE Plasma 6.8, publié le 14 octobre : fin des sessions X11 natives, KWin devient compositeur Wayland exclusif, applications X11 via XWayland. Capture et partage d'écran via les portails du bureau ; outils d'accès distant propres à X11 à remplacer avant la mise à jour. Également : EAP-TTLS pour les VPN StrongSwan, mode exclusif du bureau à distance qui verrouille l'écran physique, presse-papiers bidirectionnel à distance, exclusion expliquée des mots de passe de l'historique du presse-papiers. Vérification du protocole de session : echo $XDG_SESSION_TYPE. 🇫🇷 Pillages du 17 octobre (plus de 2 000 commerces selon CCI France) : objets revendus dès le soir sur Vinted et Leboncoin, transactions déplacées vers Snapchat. Anne Le Hénanff et Serge Papin réunissent les plateformes, puis les principaux réseaux sociaux mardi. Leboncoin : contrôle automatisé de 100 % des annonces avant mise en ligne, signalements conformes traités sous 48 heures, service dédié aux réquisitions ; eBay : retrait immédiat sur confirmation de vol par la police, portail réservé aux forces de l'ordre ; Vinted : suppression et bannissement définitif possible. Le recel est passible de cinq ans de prison et de 375 000 euros d'amende. ☁️ CLI OVHcloud (dépôt github.com/ovh/ovhcloud-cli) : selon Octave Klaba, un attaquant a utilisé le compte GitHub d'un développeur pour publier une version contenant un binaire qui récupère les secrets présents sur le disque (MITRE ATT&CK T1195.002, compromission de la supply chain logicielle ; T1552.001, identifiants dans des fichiers), publiée à 14 h 47, détectée et bloquée à 16 h 21 sur signalement d'un client. Versions compromises citées : v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 ; v0.10.0 et v0.16.0 saines ; aucun autre dépôt touché selon les premières vérifications. Conduite publiée : mettre à jour ou effacer la CLI téléchargée ce jour, puis changer tous les secrets présents sur le disque, dont les identifiants d'API OVHcloud que la CLI stocke dans ~/.ovh.conf ou dans les variables d'environnement OVH_*, selon la documentation du dépôt. OVHcloud annonce des détails sur le binaire. Sources : Training AIs to Solve CAPTCHAs. Schneier on Security : https://www.schneier.com/blog/archives/2026/10/training-ais-to-solve-captchas.htmlCAPTCHAs in the Agentic Era: Solvers That Learn from Every Encounter. arXiv : https://arxiv.org/abs/2609.02393The Q3 Vulnerability Pulse: Discovery ≠ Exploitation. Cisco Talos : https://blog.talosintelligence.com/the-q3-vulnerability-pulse-discovery-exploitation/Top 5 Initial Access Threat Vectors Observed by Unit 42 in September 2026. Unit 42 : https://unit42.paloaltonetworks.com/top-5-initial-access-vectors-september-2026/CVE-2026-99999 Guest-to-Host Escape: mitigation and kernel update for CloudLinux. CloudLinux : https://blog.cloudlinux.com/cve-2026-99999-guest-to-host-escapeKDE Plasma 6.8 Marks 30 Years With a Major Shift to Wayland and a More Powerful Linux Desktop. Linux Journal : https://www.linuxjournal.com/content/kde-plasma-68-marks-30-years-major-shift-wayland-and-more-powerful-linux-desktopScandale des objets volés lors des pillages revendus en ligne : Leboncoin, Vinted et eBay expliquent leur stratégie. Clubic : https://www.clubic.com/actualite-634939-scandale-des-objets-voles-lors-des-pillages-revendus-en-ligne-leboncoin-vinted-et-ebay-expliquent-leur-strategie.htmlPublication d'Octave Klaba sur la compromission de la CLI OVHcloud. LinkedIn : https://www.linkedin.com/feed/update/urn:li:activity:7517991179561660416/ovh/ovhcloud-cli, OVHcloud official CLI. GitHub : https://github.com/ovh/ovhcloud-cli⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #CAPTCHA #IA #CiscoTalos #KEV #Unit42 #InitialAccess #CloudLinux #Linux #Virtualisation #KDE #Wayland #Leboncoin #Vinted #eBay #OVHcloud #SupplyChain #GitHub #CVE-2026-99999 #RadioCSIRT

🐛 Avant l'attaque : selon Nozomi Networks, Synacktiv documente dès mai 2023 un contournement d'authentification par code du jour sur les gestionnaires Danfoss SM800, SC255 et SC355, sans correctif car en fin de vie ; l'AK-SC 355 est retiré en 2016, l'AK-SM 800 en fin de vie en 2021, et Danfoss annonce l'arrêt complet du service en octobre 2025. Le 9 août 2026, Claroty Team82 publie sur l'AK-SM 800A la CVE-2025-41450 (code du jour, CWE-287, authentification incorrecte, CVSS 8,2), chaînée avec la CVE-2025-41451 (CWE-77, injection de commande dans la configuration des alertes par email, CVSS 7,6) jusqu'à l'exécution de code, ainsi que la CVE-2025-41452 (CWE-15, déni de service de l'interface, CVSS 5,4). Selon Censys, la CVE-2025-41450 est corrigée en version 4.2 et les deux autres en 4.3.1 ; Claroty recommande R4.3.1 ou ultérieure et comptait 2 765 AK-SM 800A exposés. Fin août, au moins six supermarchés de bases militaires américaines ont subi des pannes de froid, sans lien établi avec la France. 🧊 Nuit du 11 au 12 octobre : les attaquants entrent par l'interface web exposée des gestionnaires de froid (MITRE ATT&CK for ICS, T0883, Internet Accessible Device) et forcent un dégivrage continu avec une consigne à 50 °C (T0836, Modify Parameter), pendant six heures selon Les Mousquetaires. Selon Le Monde, cité par TIME, certains cycles passent d'une heure à huit heures pour retarder les alarmes, que le contrôleur suspend normalement pendant un dégivrage. Le parquet de Paris fait état de départs de feu. Le vecteur d'accès n'est pas confirmé publiquement. 🛒 Enseignes : au moins 300 points de vente Intermarché et Netto selon l'AFP (150 à 200 annoncés au départ), moins d'une centaine de Système U, 80 Carrefour, 5 % des Monoprix et plusieurs E.Leclerc. Total estimé entre au moins 350 supermarchés (Reuters) et environ 500 magasins (Cooling Post), sans décompte officiel. Thierry Cotillard évoque des dizaines de millions d'euros de pertes, Intermarché indique que les assurances ne couvrent pas ce type d'incident, et la FCD réclame une transparence totale. 🏭 Danfoss : incidents sur un nombre limité de systèmes selon le fabricant, majoritairement des AK-SM 800 (fin de vie en 2021) et AK-SC 355 (retirés en 2016) sans mise à jour de sécurité ; les AK-SM 800A touchés tournaient sur un ancien firmware. Mesures annoncées : mises à jour quand elles existent, protections réseau renforcées, fin de l'exposition directe à Internet. France Inter date le correctif d'un peu plus d'un mois avant l'attaque, Censys de 2025 (versions 4.2 et 4.3.1). 🇫🇷 État : le parquet de Paris s'est saisi d'office le 12 octobre, enquête confiée à l'OFAC. Sébastien Lecornu a saisi l'ANSSI, qui a identifié une vulnérabilité non précisée dans un logiciel de Danfoss, selon l'entourage du Premier ministre cité par franceinfo. Ni rançon ni vol de données selon France Inter. 🚨 CERT-FR : alerte CERTFR-2026-ALE-012 du 12 octobre, mise à jour le 13 octobre (systèmes affectés : Danfoss séries AK-SM et AK-SC, Copeland xweb, Dixell xweb) et le 16 octobre (recommandations) ; campagnes probablement toujours en cours. Recommandations : supprimer l'exposition Internet de toutes les unités sur adresse IP publique, vérifier les conditions d'assurance avant de couper la remontée des données vers le frigoriste, vérifier les plages de dégivrage, rétablir l'accès par VPN sécurisé ou réseau protégé, filtrer les IP des frigoristes en urgence seulement ; en cas de compromission, redémarrage ou Reset Factory, insuffisant sur un équipement en fin de vie. Pour Danfoss : mise à jour du firmware, niveau de sécurité Strict et changement des mots de passe par défaut ; Dixell publie des recommandations pour ses superviseurs XWEB. 📈 Exposition : ONYPHE compte 6 212 adresses IP exposant StoreView Browser, dans 558 ASN et 95 pays, près de la moitié en France, surtout chez des opérateurs télécoms (Orange AS3215, Proximus AS5432), majoritairement sur ports non standard et souvent en HTTP ; 12 versions observées, de 01.0.124 à 01.0.170. Censys compte 2 991 interfaces StoreView le 11 octobre, dont 1 825 en France (61 %) et 1 158 françaises antérieures à 4.2 (mot de passe administrateur déduit de la date) ; en France, 537 restent exposées le 14 octobre, corrigées ou non au même rythme (baisse d'environ 70 %). Firmware actuel selon Censys : 5.3.2. 🇪🇺 Europe : selon Reuters, Félix Aimé (Sekoia) cite l'Espagne, le Portugal, la Pologne, l'Allemagne et la Belgique parmi les pays touchés, sans détail. ONYPHE signale une alerte du Centre pour la cybersécurité Belgique et une forte exposition en Belgique et en Pologne ; selon Censys, 81 % des hôtes polonais exposés sont antérieurs à 4.3.1. Incident distinct chez Ahold Delhaize le 12 octobre, sans lien selon le NCSC néerlandais cité par Nozomi Networks. ⚖️ Réglementation : le règlement (CE) n° 37/2005 impose pour les surgelés des enregistreurs de température de l'air conformes aux normes EN 12830, EN 13485 et EN 13486, des relevés datés conservés au moins un an, et un simple thermomètre visible pour les meubles de vente au détail ; il ne mentionne aucune connexion réseau. Selon Nozomi Networks, Danfoss lie l'arrêt du service sur ses anciens produits à la législation européenne de cybersécurité ; les exigences de l'annexe I du Cyber Resilience Act s'appliquent à partir du 11 décembre 2027 aux produits mis sur le marché à cette date. 🔎 Inconnues au 18 octobre : aucune revendication ni demande de rançon signalée, aucun vecteur d'accès confirmé par le CERT-FR ou Danfoss, aucun lien établi avec les CVE publiées par Claroty, qui n'a pas testé les AK-SM 800 et AK-SC 355. L'hypothèse d'une campagne visant l'approvisionnement alimentaire français reste à confirmer selon ONYPHE. Sources : Frigo d'importance vitale : analyse de la cyberattaque sur la grande distribution. ONYPHE : https://blog.onyphe.io/frigo-dimportance-vitale-analyse-de-la-cyberattaque-sur-la-grande-distribution/Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers. Claroty Team82 : https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllersFrostbitten in France: A Danfoss StoreView Internet Exposure Report. Censys : https://censys.com/blog/frostbitten-in-france-a-danfoss-storeview-internet-exposure-report/Hackers heat French supermarket fridges, sparking fires and spoiling food. Reuters, repris par Daily Maverick : https://www.dailymaverick.co.za/article/2026-10-12-hackers-heat-french-supermarket-fridges-sparking-fires-and-spoiling-food/Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (CERTFR-2026-ALE-012). CERT-FR : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/Des supermarchés français touchés par une cyberattaque de leurs installations frigorifiques. AFP, repris par Noovo Info : https://www.noovo.info/nouvelles/international/article/des-supermarches-francais-touches-par-une-cyberattaque-de-leurs-installations-frigorifiques/Recommandations pour une utilisation sécurisée des superviseurs XWEB. Dixell : https://dixell.fr/wp-content/uploads/2026/10/Recommandations-pour-une-utilisation-securisee-des-superviseurs-XWEB-v1.0.pdfVÉRIF' : Cyberattaque dans la grande distribution, les frigos des supermarchés doivent-ils être connectés à Internet ? TF1 Info : https://www.tf1info.fr/societe/verif-piratages-informatiques-dans-la-grande-distribution-les-frigos-des-supermarches-ont-ils-besoin-d-etre-connectes-a-internet-2470189.htmlRèglement (CE) n° 37/2005 de la Commission du 12 janvier 2005 relatif au contrôle des températures dans les moyens de transport et les locaux d'entreposage et de stockage des aliments surgelés destinés à l'alimentation humaine. EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:02005R0037-20050202Comment des frigos de centaines de supermarchés ont-ils été piratés pour faire monter leur température ? France Inter : https://www.radiofrance.fr/franceinter/podcasts/l-info-de-france-inter/comment-des-frigos-de-centaines-supermarches-ont-ils-ete-pirates-pour-faire-monter-leur-temperature-8147083Cyberattack on Supermarket Fridges in France Highlights Food Systems' Vulnerability. TIME : https://time.com/article/2026/10/13/france-cyber-attack-cybersecurity-refrigeration-supermarket-food-security/Des supermarchés français touchés par une cyberattaque inédite de leurs installations frigorifiques. AFP, repris par Hespress : https://fr.hespress.com/491957-des-supermarches-francais-touches-par-une-cyberattaque-inedite-de-leurs-installations-frigorifiques.htmlDes magasins Système U, Intermarché, E.Leclerc et Monoprix touchés par une cyberattaque contre leurs installations frigorifiques. franceinfo : https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/des-magasins-systeme-u-et-intermarche-touches-par-une-cyberattaque-contre-leurs-installations-frigorifiques_8233720.htmlDanfoss moves to mitigate cyberattack. Cooling Post : https://www.coolingpost.com/world-news/danfoss-moves-to-mitigate-cyberattack/French Supermarket Fridge Cyberattacks and the Risks of Internet-Connected OT. Nozomi Networks : https://www.nozominetworks.com/blog/french-supermarket-fridge-cyberattacks-and-the-risks-of-internet-connected-ot⚡️ On ne réfléchit pas, on patch ! 📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com #CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Danfoss #Copeland #Dixell #OT #ICS #ChaineDuFroid #GrandeDistribution #Intermarche #CooperativeU #Carrefour #Leclerc #Monoprix #ANSSI #CERTFR #ONYPHE #Censys #Claroty #Team82 #NozomiNetwor

🎙️ Épisode spécial, en réponse au message d'un auditeur sur le répondeur de RadioCSIRT : l'usage d'équipements Huawei dans un réseau d'entreprise, entre constats d'audit et cadre réglementaire, sur les segments LAN, WLAN et WAN. 🔎 Le Huawei Cyber Security Evaluation Centre (HCSEC), financé par Huawei et dont les conclusions remontent au NCSC britannique, a relevé pendant plusieurs années des défauts graves et systémiques dans l'ingénierie logicielle et la cybersécurité du groupe. Son comité de supervision attribue ces défauts à des processus de mauvaise qualité, sans établir de lien avec une ingérence de l'État chinois. Il pointe une incapacité à garantir qu'une faille corrigée l'est dans toutes les versions déployées, et des composants tiers obsolètes, dont des vulnérabilités OpenSSL non corrigées remontant pour certaines à 2006. Aucun audit public britannique n'a établi de backdoor intentionnelle en plus d'une décennie, et le programme de 2 milliards de dollars annoncé par Huawei n'avait pas convaincu le comité, qui n'offre qu'une assurance limitée. 🐛 Le 23 juillet 2025, Post Luxembourg a subi une interruption nationale de plusieurs heures de ses services fixes, mobiles et d'urgence. Selon SDxCentral, une zero-day dans le logiciel de routeurs d'entreprise Huawei, déclenchée par un trafic réseau spécialement construit, provoquait des redémarrages en boucle : un déni de service sur l'équipement, la technique MITRE ATT&CK T1499. Huawei ne connaissait pas cette faille et n'a pas pu proposer de remédiation immédiate. La même source relève que les CVE du logiciel réseau d'entreprise de Huawei passent désormais par un portail client restreint plutôt que par une publication ouverte, ce qui réduit la visibilité des organisations sans contrat de support actif. 🛡️ Les switches de la série S, les routeurs AR et NE et les pare-feux USG font l'objet de CVE régulières, de type déni de service, élévation de privilèges ou divulgation d'information, d'une nature comparable à celles des autres équipementiers du marché. 🔐 Depuis 2019, Huawei ouvre à certains partenaires des centres de transparence à Bruxelles, Bonn et au Royaume-Uni, avec accès au code source et tests indépendants. Selon SecurityWeek, des observateurs doutent qu'un audit de code mené dans un cadre fermé et à capacité limitée suffise à établir un niveau de sécurité à l'échelle du groupe. 🏭 Depuis son inscription sur l'Entity List américaine en 2019 et le durcissement des restrictions sur les semi-conducteurs avancés, Huawei réoriente une partie de son approvisionnement vers des fondeurs chinois. L'effet de cette contrainte sur les pièces détachées et le support à long terme de la gamme entreprise n'est pas documenté publiquement de façon vérifiable. ⚖️ L'article 7 de la loi chinoise sur le renseignement national, en vigueur depuis juin 2017, oblige toute organisation et tout citoyen à soutenir les activités de renseignement et à garder le secret, et l'article 14 permet aux services d'exiger cette coopération. Une première lecture relève que cette obligation ne figure pas au chapitre des sanctions et existe dans d'autres lois chinoises ; une seconde, portée par des analyses juridiques occidentales, estime que l'absence d'État de droit et les structures du parti dans les entreprises permettent des directives extrajudiciaires jusqu'aux filiales à l'étranger. Les détracteurs du groupe citent aussi le passé d'ingénieur de l'APL de son fondateur. Huawei conteste toute instrumentalisation par l'État chinois et a attaqué en 2019 l'interdiction américaine, faute selon lui de preuve produite par le Congrès. 🇺🇸 L'usage d'équipements Huawei et ZTE est interdit dans les agences fédérales américaines et chez leurs sous-traitants depuis 2018. La Federal Communications Commission (FCC) a inscrit les deux constructeurs sur sa Covered List en mars 2022, ce qui ferme l'accès aux fonds de l'Universal Service Fund, puis a bloqué toute nouvelle autorisation de mise sur le marché en novembre 2022. Le 26 juin 2026, la FCC étend l'interdiction aux modèles autorisés avant 2022 et vise Huawei, ZTE, Hytera, Hikvision et Dahua. 🇬🇧 Depuis juillet 2020, les opérateurs britanniques ne peuvent plus acheter d'équipement 5G Huawei et doivent le retirer de leurs réseaux d'ici fin 2027, pour un coût estimé jusqu'à 2 milliards de livres sterling. Les réseaux 2G, 3G et 4G n'étaient pas visés au départ. 🇩🇪 En juillet 2024, les autorités allemandes et les opérateurs Deutsche Telekom, Vodafone et Telefónica Deutschland conviennent de retirer les composants Huawei et ZTE du cœur de réseau d'ici 2026, puis des réseaux de transport et d'accès d'ici 2029, pour un coût estimé à 2,5 milliards d'euros. Selon Huawei Central, Deutsche Telekom aurait reporté à 2027 une partie du déploiement Open RAN destiné à ce remplacement. 🇫🇷 La France n'a publié aucune interdiction formelle. L'ANSSI délivre pour les équipements 5G des licences de trois à huit ans : celles accordées au matériel Huawei portent majoritairement sur trois à cinq ans, contre huit ans pour Ericsson ou Nokia. Plusieurs sources, dont Reuters, rapportent que ces licences ne seraient pas renouvelées à leur expiration, ce qui aboutirait à un retrait de fait d'ici 2028. Le gouvernement a publiquement nié toute discrimination et affirmé ne pas vouloir interdire les investissements de Huawei dans la 5G. 🇪🇺 La boîte à outils 5G de 2020 recommandait, sans caractère contraignant, d'exclure les fournisseurs à haut risque ; 13 États membres sur 27 avaient pris des mesures concrètes début 2026. Le 20 janvier 2026, Henna Virkkunen, vice-présidente exécutive de la Commission européenne, a proposé une révision du Cybersecurity Act qui rend obligatoire sous 36 mois l'élimination de ces fournisseurs dans les infrastructures critiques, pour un coût estimé entre 17 et 21,5 milliards d'euros sur cinq ans. Le 4 mai 2026, la Commission étend le périmètre à l'ensemble des infrastructures de télécommunication et numériques, et la Chine menace de rétorsion ; la proposition doit encore être approuvée par le Parlement européen et le Conseil de l'UE. Huawei invoque le droit de l'UE et les engagements pris devant l'OMC, et réexaminerait son usine de Brumath, près de Strasbourg. 🌏 L'Australie et la Nouvelle-Zélande ont exclu Huawei de leurs déploiements 5G en 2018, et le Japon a restreint ses achats publics la même année. Le ministère belge de la Défense a ordonné le remplacement d'environ 300 points d'accès Wi-Fi Huawei de l'armée, alors qu'ils n'étaient pas connectés aux réseaux militaires, et les Pays-Bas retirent ces équipements de leur informatique gouvernementale. À Taïwan, l'institut public de recherche ITRI interdit aux terminaux Huawei de ses collaborateurs l'accès à son Wi-Fi interne. 📡 Les mesures recensées visent d'abord le WAN des opérateurs : cœur de réseau, RAN et transport ; pour un WAN d'entreprise opéré par un tiers, l'exposition dépend des choix de cet opérateur. Le LAN filaire reste le segment le moins ciblé par des interdictions formelles, mais les constats du HCSEC sur la cohérence des correctifs couvrent tout le catalogue de commutation. Le WLAN compte au moins un retrait institutionnel, celui de l'armée belge, et ses consoles de gestion centralisées ou hébergées dans le cloud, communes à tous les équipementiers, concentrent des données de configuration et de télémétrie qui soulèvent les mêmes questions d'accès juridictionnel. 📈 Huawei reste l'un des plus grands fournisseurs mondiaux d'équipement réseau, avec un rapport prix/performance compétitif avancé pour expliquer son adoption dans les marchés sans restriction. Les alternatives les plus citées sont Ericsson et Nokia pour les télécoms, et Samsung pour certains équipements 5G. Sources : Huawei banned from UK's 5G market. Light Reading : https://www.lightreading.com/services/huawei-banned-from-uk-s-5g-marketGermany finally gets round to banning Huawei, sort of. Telecoms.com : https://www.telecoms.com/telecoms-infrastructure/germany-finally-gets-round-to-banning-huawei-sort-ofDeutsche Telekom delays Open RAN till 2027 for Huawei 5G: Report. Huawei Central : https://www.huaweicentral.com/deutsche-telekom-delays-open-ran-till-2027-for-huawei-5g-report/L'UE durcit encore ses règles concernant les équipementiers chinois. Mobile World Live : https://www.mobileworldlive.com/french/lue-durcit-encore-ses-regles-concernant-les-equipementiers-chinois/EU Advises Member States Against Using Huawei and ZTE Networking Equipment, China Warns of Retaliation. MobileMasr : https://mobilemasr.com/en/blogs/advises-member-states-against-using-huawei-and-zte-networking-equipmentEU moves to force the phase-out of Chinese suppliers from key infrastructure, FT reports. MarketScreener (Reuters) : https://uk.marketscreener.com/news/eu-moves-to-force-the-phase-out-of-chinese-suppliers-from-key-infrastructure-ft-reports-ce7e58dfda8ff621France planning to halt renewal of Huawei's licence for operators by 2028: Reports. WION : https://www.wionews.com/technology/france-planning-to-halt-renewal-of-huaweis-licence-for-operators-by-2028-reports-315456France Also Phases Out Huawei 5G Equipment Gradually. The Asia Business Daily : https://www.asiae.co.kr/en/article/2020072313143129912The US President bans the use of some Huawei and ZTE products within the government. PhoneArena : https://www.phonearena.com/news/The-US-President-bans-the-use-of-some-Huawei-and-ZTE-products-within-the-government_id107752Huawei is suing the US government over the ban on its products. MIT Technology Review : https://www.technologyreview.com/2019/03/07/136749/huawei-is-suing-the-us-government-over-the-ban-on-its-products/Import Autho