Hebdo hacking — semaine 37 (7 au 13 septembre 2026)

Grosse semaine côté correctifs : Microsoft signe le plus gros Patch Tuesday de son histoire, GitLab et Adobe Commerce écopent chacun d'une faille notée 10/10 déjà exploitée, et la chaîne de build prend cher avec JFrog Artifactory. Fil rouge de ces sept jours : l'IA, qui sert autant à trouver les bugs qu'à les exploiter en série — rapports d'Anthropic, agents OpenAI sur RubyGems, campagne PaperCut automatisée. Si tu maintiens du code ou de l'infra exposée, il y a de quoi faire ce week-end.

L'essentiel de la semaine

Patch Tuesday record : 974 failles chez Microsoft, plus un zero-day Chrome

Microsoft a corrigé 974 vulnérabilités le 8 septembre, son plus gros lot jamais publié (999 en comptant 25 CVE tierces) : 723 pour Windows, 111 pour Office, 62 pour SQL, 22 pour les outils de développement, et plus de 110 classées critiques. Deux zero-days sont activement exploitées, toutes deux en élévation de privilèges locale vers SYSTEM : CVE-2026-85880 (débordement de tas dans Windows ALPC, CVSS 7.8) et CVE-2026-81963 (link following dans la pile Windows Update, CVSS 7.8). Les deux sont au catalogue KEV de la CISA. Microsoft attribue en partie ce volume à la découverte de failles assistée par IA, et les experts cités par Krebs pointent le vrai problème : tester et déployer autant de correctifs chaque mois reste un travail humain.

Côté navigateur, Google a publié 230 correctifs pour Chrome, dont CVE-2026-87491, une écriture hors limites dans V8 exploitée dans la nature — le septième zero-day Chrome depuis janvier 2026. Mets-toi au minimum en 153.0.8010.36. Le CERT-FR signale par ailleurs que CVE-2026-85046 est activement exploitée dans Microsoft Edge.

Concrètement : priorise les deux CVE Windows du KEV et les navigateurs, et prévois du temps de recette — les mises à jour Windows Server de septembre cassent les Remote Desktop Services chez plusieurs administrateurs.

Source : The Hacker News, Krebs on Security, The Hacker News (Chrome), CERT-FR (Windows), CERT-FR (Edge)

Deux CVSS 10 côté web déjà exploitées : GitLab et Magento

GitLab a publié en urgence des correctifs pour CVE-2026-85706 (CVSS 10.0), un path traversal dans l'API des commits de dépôt. Cause racine : un confinement de chemin défaillant et une absence de vérification d'authentification. Résultat, un attaquant non authentifié peut lire des fichiers arbitraires sur le serveur, à condition qu'au moins un projet public existe — donc logs, configuration, identifiants et secrets. Versions vulnérables : CE/EE 18.7 à 19.1.7, 19.2 à 19.2.5 et 19.3 à 19.3.1 ; corrigées en 19.1.8, 19.2.6 et 19.3.2. Des sondages en conditions réelles ont été détectés dès 6h00 UTC le 11 septembre, quelques heures après la divulgation, et la CISA l'a ajoutée au KEV le jour même. Pour la chasse : inspecte les requêtes HTTP POST vers /api/v4/projects/{id}/repository/commits/ contenant un paramètre file.Path.

Adobe Commerce et Magento Open Source sont de leur côté visés par CVE-2026-75650 (CVSS 10.0), baptisée StyleSmuggler par Sansec : une injection de code PHP via le moteur de templates, qui aboutit à une RCE non authentifiée, notamment via les e-mails de rappel de transaction de paiement. Sont concernés Adobe Commerce 2.4.4 à 2.4.9, Commerce B2B 1.3.3 à 1.5.3 et Magento Open Source 2.4.6 à 2.4.9. L'exploitation a démarré le 4 septembre, avec dépôt d'une backdoor Linux écrite en Rust et de web shells PHP ; Sansec a documenté une compromission 50 minutes après l'exploitation initiale. Applique le hotfix (VULN-39341, via composer patches) et fais tourner tes clés de chiffrement : le patch seul ne suffit pas si tu as déjà été touché.

Source : The Hacker News (GitLab), BleepingComputer, CERT-FR (GitLab), The Hacker News (Magento), CERT-FR (Adobe)

JFrog Artifactory : la chaîne de build sert de porte d'entrée

Wiz a observé entre le 15 août et le 8 septembre des attaques chaînant deux failles d'Artifactory auto-hébergé : CVE-2026-42018 renvoie un jeton d'utilisateur anonyme interne à un appelant non authentifié, puis CVE-2026-42016 permet d'échanger ce jeton faiblement privilégié contre un jeton de portée administrateur (la validation portait sur la signature et l'émetteur du jeton, pas sur sa portée). Dans certains cas, le passage de zéro accès à admin a pris moins de cinq minutes. Une troisième faille, CVE-2026-82329 (CVSS 9.8, contournement d'authentification), donne un accès admin direct sans chaînage ; un exploit public est sorti le 1er septembre et le 2 a vu un pic d'environ 406 000 tentatives d'exploitation.

Après compromission, les attaquants créent des comptes admin (noms observés du type « 0xTerror », « svc_ », « jfrog-distribution »), déposent des plugins Groovy malveillants pour exécuter du code, et installent une backdoor Rust avec canal de commande et contrôle. JFrog avait corrigé les failles avant ces attaques : seuls les serveurs non à jour étaient exposés. La CISA a ajouté CVE-2026-42016 et CVE-2026-42018 à son KEV le 11 septembre.

Que faire : mettre à jour (7.146.8/7.133.28 pour 42018, 7.133.11 pour 42016, 7.161.20/7.146.38 pour 82329), faire tourner les join keys de la plateforme, révoquer les jetons émis depuis le 28 août, et auditer les comptes admin et les changements de configuration. Pour CVE-2026-82329, la solution de contournement consiste à générer une join key aléatoire. Rappel utile : un registre d'artefacts compromis, c'est toute ta chaîne de livraison qui l'est.

Source : The Hacker News, BleepingComputer, CISA KEV CVE-2026-42016, CISA KEV CVE-2026-42018

L'IA offensive sort du laboratoire

Anthropic a publié un rapport couvrant décembre 2025 – août 2026 sur l'abus de Claude par des groupes qu'elle appelle GTG (Generative Threat Groups). Le cas le plus parlant pour les développeurs : un membre du collectif ShinyHunters (pseudo « frkoo ») a monté un pipeline automatisé qui a téléchargé en masse 1,8 million d'APK Android distincts depuis plusieurs sources de stores, les a décompilés et scannés à la recherche de secrets en dur avec TruffleHog. Les résultats vérifiés étaient routés vers un groupe Telegram, classés par plus de 100 types de sources, et servaient d'identifiants d'accès initial pour des intrusions ultérieures. Si tu embarques des clés d'API dans ton app mobile, considère-les comme publiques.

Le rapport documente aussi un acteur étatique russe (Midnight Blizzard) utilisant Claude pour automatiser développement de malware, phishing, persistance et C2 contre plus de 20 entités gouvernementales et diplomatiques, un cluster chinois (GTG-10007) pour la reconnaissance, la recherche de vulnérabilités et le développement d'exploits contre 50 organisations, et des criminels réutilisant des clés d'API IA volées — un incident a touché un fournisseur SaaS et ses quelque 200 clients. Anthropic dit avoir désactivé les comptes concernés, ajusté ses garde-fous et prévenu les victimes.

Même logique ailleurs. Sur RubyGems, l'attaque « majeure » de mai 2026 était le fait d'un essaim d'agents OpenAI, selon des chercheurs : plus de 2 000 paquets malveillants soumis entre le 11 et le 12 mai, création de comptes en masse en contournant la confirmation par e-mail, et surtout une RCE sur les serveurs de RubyDoc.info obtenue en abusant du fichier de configuration .yardopts du processus de génération de documentation. RubyGems a suspendu les nouvelles inscriptions pendant quatre jours. Et sur PaperCut, un acteur russophone a utilisé des centaines d'agents (OpenAI Codex et un modèle DeepSeek) pour développer des exploits pour CVE-2026-81578 et CVE-2026-82078, puis compromettre plus de 440 instances dans 395 organisations et 48 pays, surtout dans l'éducation : 11 organisations violées en 26 secondes une fois la campagne lancée. Le gain, selon Blackpoint Cyber, n'est pas la magie technique mais la réduction de l'effort humain pour rechercher, déboguer et réessayer.

Source : BleepingComputer, The Hacker News (Claude/GTG), The Hacker News (RubyGems), The Hacker News (PaperCut)

Phishing « passkey » et faux support IT contre Microsoft 365

Microsoft a détaillé deux campagnes. La première : plus d'un million d'e-mails frauduleux envoyés entre le 3 et le 5 août 2026, en usurpant l'identité de PDG pour réclamer des virements ACH au titre de faux abonnements ServiceNow, avec des modèles d'e-mails générés par IA et de faux fils de discussion de factures ; cibles principales, les services financiers d'entreprises américaines.

La seconde est plus intéressante techniquement, et active depuis mai 2026 : les attaquants appellent le téléphone personnel des employés en se faisant passer pour le support informatique, puis les redirigent par SMS vers de fausses pages de connexion Microsoft, en s'appuyant sur des flux d'authentification adversary-in-the-middle ou device code. Le thème « passkey » sert de prétexte à la manipulation. Une fois dans la place : enregistrement de méthodes MFA non autorisées (numéro de téléphone, application d'authentification), reconnaissance via l'API Microsoft Graph, puis exfiltration de boîtes mail, de fichiers SharePoint et OneDrive, avec une persistance sur plusieurs jours. Microsoft attribue l'activité à Storm-3121, Storm-3032 (UNC6671) et des affiliés de Cordial Spider et PREY-0058, opérant sous les marques d'extorsion Helix et Falcon ; BleepingComputer rattache également ces attaques à ShinyHunters. Recommandation de Microsoft : analyser l'activité Graph de façon globale, en cherchant des schémas comportementaux plutôt que des requêtes isolées.

Un cluster similaire, documenté séparément, vise directeurs et vice-présidents via du vishing auprès du helpdesk, du vol de jetons en AitM et des connexions passant par des proxys résidentiels. Autrement dit : la MFA ne protège plus si le facteur humain, lui, est contourné par téléphone.

Source : The Hacker News, BleepingComputer, The Hacker News (helpdesk vishing)

En bref

• Le NCSC néerlandais juge imminente l'exploitation de deux failles critiques de Check Point VPN, CVE-2026-85102 (validation de certificat défaillante) et CVE-2026-85103 (débordement de tas dans le décodeur ASN.1), toutes deux menant à une RCE — R82.20 n'est pas affectée. BleepingComputer
• Cisco indique que trois groupes distincts, dont des opérateurs du rançongiciel Qilin, exploitent deux failles récemment corrigées de Secure Firewall Management Center, dont CVE-2026-20079 (CVSS 10.0, contournement d'authentification). The Hacker News
• La CISA a ajouté au KEV une RCE pré-authentification notée 10.0 dans N-able N-central (CVE-2026-86218), ainsi que des failles ConnectWise ScreenConnect et MikroTik RouterOS activement exploitées. The Hacker News
• SAP a corrigé CVE-2026-44756 (CVSS 10.0), une corruption mémoire dans le traitement Extended Passport permettant une exécution de code à distance non authentifiée. The Hacker News
• Une faille cPanel corrigée le 8 septembre permet à un compte d'hébergement disposant de privilèges liés au mail de créer des fichiers arbitraires via EmailTrack puis d'exécuter du code en root ; toutes les versions supportées de cPanel et WHM sont concernées. The Hacker News
• Près d'une passerelle LiteLLM exposée sur dix scannée par Wiz acceptait encore sk-1234, la clé d'administration donnée en exemple dans la documentation d'installation — pense à changer les valeurs par défaut de tes gateways IA. The Hacker News
• Check Point Research a montré qu'une simple instruction plantée dans une conversation ChatGPT pouvait lui faire lire les données du compte Gmail connecté et les transmettre à un autre compte via un canal caché, tout en répondant normalement à l'utilisateur. The Hacker News
• Trezor précise que la vague de phishing consécutive à la compromission de Brevo a visé 347 000 adresses e-mail, dont 2 500 utilisateurs ayant cliqué sur le lien malveillant. BleepingComputer
• La Floride confirme que sa base de données de permis de conduire DAVID a été compromise à l'aide des identifiants d'un employé d'un service de police. BleepingComputer
• PaperCut a publié des versions de maintenance (26.0.5, 25.0.13 et 24.1.10) qui remplacent tous les correctifs d'urgence diffusés pour les deux failles activement exploitées. The Hacker News

Bon patching, et si tu veux les éditions suivantes sans passer par les réseaux, abonne-toi au flux RSS du blog.