Hebdo hacking — semaine 38 (14 au 20 septembre 2026)

Semaine chargée côté exploitation active : Cisco enchaîne deux zero-days dont un CVSS 10.0 sur ISE, CISA ajoute trois failles du noyau Linux à son catalogue KEV, et la chaîne d'approvisionnement logicielle prend encore cher entre Brevo, npm et les assistants de code IA. Côté web, WordPress corrige une chaîne d'attaque baptisée Click2Shell pendant que des plugins tiers servent de porte d'entrée. Et les extensions de navigateur s'attaquent désormais aux agents IA intégrés.

L'essentiel de la semaine

Cisco : deux zero-days exploités, dont un CVSS 10.0 sur ISE

Double peine pour Cisco cette semaine. D'abord CVE-2026-76461 (CVSS 9.8) dans AsyncOS pour Secure Email Gateway : une validation insuffisante dans le parsing des e-mails permet à un attaquant non authentifié d'injecter du SQL via un simple message piégé, jusqu'à exécuter des commandes en root sur l'OS sous-jacent. Les versions AsyncOS 15.5 et antérieures, 16.0 et 16.5 sont concernées ; les correctifs sont les builds 15.5.5-0141, 16.0.4-302 et 16.5.0-780. Cisco suggère de chercher dans les logs de mail des motifs SQL suspects, par exemple avec grep -i "COPY.*TO PROGRAM".

Deux jours plus tard, rebelote avec CVE-2026-76460 (CVSS 10.0) dans Identity Services Engine et ISE Passive Identity Connector : un contrôle d'authentification insuffisant sur un endpoint d'API permet de contourner l'interface d'administration web, sans identifiants, et d'aboutir à une exécution de commandes en root — de quoi effacer les traces au passage. Corrigé dans ISE 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 et 3.5 Patch 4. Il n'existe aucun contournement : patche, filtre l'accès aux interfaces de management avec des ACL, et réinstalle les nœuds si tu constates une compromission. Les deux failles sont déjà au catalogue KEV de la CISA.

Source : The Hacker News (SEG), The Hacker News (ISE), BleepingComputer, CERT-FR

Supply chain : une clé API en dur chez Brevo, un ver qui passe par un assistant IA

Le sujet de la semaine pour les devs. Brevo a confirmé qu'un attaquant avait mis la main sur une clé API Cloudflare codée en dur dans le code source de l'application, avec les permissions complètes sur le compte. Résultat : pendant environ 5h30 le 14 septembre (16h07–20h30 UTC), des scripts ClickFix ont été injectés dans les sites de Brevo (brevo.com, sendinblue.com, pages de login, sibforms.com) mais aussi dans les fichiers JavaScript embarqués chez les clients — script de formulaires, widget Conversations, loader SDK. Jusqu'à 100 000 sites ont pu être touchés, et des tentatives d'installation d'un faux plugin WordPress « Web Media Optimizer » ont été observées. Si tu étais connecté en admin sur un WordPress ce jour-là, vérifie les plugins installés le 14 septembre et fais tourner les mots de passe administrateur.

Dans un autre registre, Mandiant décrit une intrusion chez un éditeur SaaS où l'attaquant a détourné une session active d'assistant de code IA. L'assistant a recommandé un paquet que l'attaquant avait empoisonné, la recommandation a été acceptée, un infostealer est arrivé via un paquet PyPI compromis, les jetons OAuth GitHub ont été volés, puis le ver auto-propagé Shai-Hulud s'est répandu sur environ 100 dépôts internes, volant secrets et code source. Les recommandations de Mandiant sont concrètes : vérifier les dépendances suggérées par l'IA contre des checksums et une allowlist, garder les clés d'API et les jetons OAuth longue durée hors de portée des extensions, et faire passer le trafic de dépendances par un miroir interne.

Même logique côté CrowdSec, qui a révélé le 18 septembre que ~170 de ses dépôts GitHub privés avaient été copiés le 22 mai via le compte d'un employé qui venait de partir et dont l'accès avait été laissé ouvert. Son laptop avait été compromis par l'attaque sur les paquets npm de TanStack (42 paquets malveillants publiés le 11 mai, CVE-2026-45321), qui volait jetons GitHub, clés SSH et identifiants cloud. Fuite de code (console web, scripts data science, algorithme de consensus), plus les adresses e-mail de 83 utilisateurs et les données de 51 investisseurs potentiels de 2020. La leçon tient en une ligne : révoquer les accès au départ d'un collaborateur, pas « quand il aura fini ses tickets ».

Source : BleepingComputer, The Hacker News (Shai-Hulud), The Hacker News (CrowdSec)

WordPress : Click2Shell, un plugin premium exploité et un autre backdooré

WordPress a publié le 17 septembre la version 7.1.1 (avec des correctifs remontant jusqu'à la branche 4.7) pour corriger Click2Shell, une chaîne d'attaque rapportée par pwn.ai. Le principe : un lien piégé ouvert par un administrateur connecté déclenche l'installation d'un thème depuis le dépôt officiel WordPress.org sans que personne ne clique sur « Installer ». Deux composants interprètent le lien différemment — le répertoire y voit un nom de thème valide, le navigateur exécute les caractères injectés qui déclenchent le bouton. Seule, la faille vaut 7.1 ; chaînée avec une vulnérabilité dans le thème installé (les chercheurs l'ont démontré avec le thème « Mobile Repair Zone » et son handler non protégé), on monte à 9.6 et à l'exécution de code. Pas de contournement : il faut mettre à jour le cœur.

En parallèle, deux plugins servent déjà de porte d'entrée. Le premier, WooCommerce Wholesale Lead Capture (plugin premium, plus de 6 000 installations actives), est activement exploité : un attaquant non authentifié peut téléverser des fichiers arbitraires, dont des backdoors PHP, et obtenir l'exécution de code. Le second, Admin Menu Editor Pro, a été distribué en versions malveillantes après compromission root du serveur de son éditeur : la 2.35 (disponible de 06h00 à 13h00 UTC le 14 septembre) puis la 2.36, corrigée le même jour à 19h00 UTC. Au moins 1 500 sites et environ 230 clients sont touchés ; la version gratuite et les versions 2.34 et antérieures ne sont pas concernées. À chercher : le fichier includes/wp-user-consent.php dans le répertoire du plugin, un répertoire /wp-content/object-cache/, des utilisateurs cachés préfixés wp_ et des options wp_ocache* en base. La remédiation propre passe par une restauration depuis une sauvegarde antérieure au 14 septembre. Bonne nouvelle au passage : WordPress met en place une revue de sécurité automatisée de chaque release de plugin avant distribution via l'API de mise à jour.

Source : The Hacker News (Click2Shell), BleepingComputer (WooCommerce), BleepingComputer (Admin Menu Editor Pro), The Hacker News (revues automatisées)

BragJack : une extension pour détourner les agents IA de cinq navigateurs

Gal Weizman (Forever Security) a présenté BragJack, une preuve de concept où une seule extension prend le contrôle des assistants IA intégrés à cinq produits Chromium : Gemini Live dans Chrome, Perplexity Comet, Microsoft Edge, Opera Neon et l'extension Claude in Chrome. La technique, appelée Prompt Forcing, ne se contente pas d'injecter un prompt : elle fournit des instructions complètes que l'agent traduit en actions légitimes avec ses propres privilèges. Deux permissions très banales suffisent — celle de modifier les pages web (utilisée par les bloqueurs de pub) et declarativeNetRequest — pour injecter du code dans les pages de l'éditeur et se faire passer pour lui auprès de l'agent.

Selon les produits, on parle de lecture de fichiers locaux et d'historique, de captures d'écran, d'accès caméra/micro, ou d'agents forcés à visiter des sites et à y agir. Deux CVE ont été attribuées : CVE-2026-0628 côté Chrome (8.8, corrigée en 143.0.7499.192) et CVE-2026-55945 côté Edge (4.2, corrigée en 150.0.4078.48), pour plus de 20 000 $ de primes cumulées. Comet, Opera Neon et Claude n'ont pas reçu de CVE. Aucune exploitation active n'était rapportée au 16 septembre. Mets tes navigateurs à jour, fais le ménage dans tes extensions et méfie-toi des demandes de permissions larges.

Source : BleepingComputer, The Hacker News

Noyau Linux : trois failles au KEV et des exploits root publics

La CISA a ajouté le 18 septembre trois vulnérabilités du noyau Linux à son catalogue des failles activement exploitées : CVE-2025-39682 (CVSS 9.8, mauvaise gestion d'une condition exceptionnelle dans le chemin de réception TLS), CVE-2026-53266 (8.8, écriture hors limites dans la cible SNAT d'ebtables) et CVE-2025-39964 (7.8, condition de course sur les sockets AF_ALG). Les agences fédérales américaines ont eu 48 heures pour corriger, jusqu'au 21 septembre — un délai qui en dit long sur le niveau d'urgence. Certains produits concernés peuvent être en fin de vie, auquel cas il faut migrer.

Dans la foulée, un chercheur a publié du code d'exploitation fonctionnel pour quatre failles du noyau permettant chacune à un utilisateur local de devenir root. Les mainteneurs les ont toutes corrigées ces dernières semaines : un noyau à jour n'est pas affecté, mais tout ce qui traîne sur une version ancienne devient une cible facile. Les avis CERT-FR du 18 septembre couvrent les noyaux SUSE, Ubuntu et Red Hat.

Source : The Hacker News (KEV), The Hacker News (exploits publics), CERT-FR Red Hat, CERT-FR Ubuntu

En bref

Gyazo confirme une brèche : environ 23,62 millions d'enregistrements utilisateurs (noms, e-mails, hashs de mots de passe, jetons de session, infos de facturation) et 490 millions d'enregistrements de métadonnées d'images exfiltrés via une faille serveur exploitée le 11 septembre — BleepingComputer, The Hacker News.
Revolut a divulgué une fuite après avoir transmis des données clients, dont des informations financières et des passeports, à un acteur malveillant se faisant passer pour une agence gouvernementale — BleepingComputer.
L'agence numérique japonaise signale qu'une faille VPN a potentiellement exposé environ 246 000 lignes de données personnelles d'agents publics — BleepingComputer.
Check Point corrige une faille critique de ses Security Management et Log Servers permettant une exécution de code en root sans authentification, avec un motif de log à rechercher dans SmartConsole — The Hacker News, CERT-FR.
Côté DNS, Unbound corrige un débordement de tas critique dans son validateur DNSSEC (CVE-2026-81642, toutes versions avant 1.26.1) tandis que BIND 9.20.29 et 9.21.26 réparent quatorze failles dont un crash non authentifié via DNS-over-HTTPS — The Hacker News (Unbound), The Hacker News (BIND).
Une faille critique de Docker Sandboxes sur macOS (CVE-2026-77179) permet à du code exécuté dans la VM de sortir du répertoire projet pour lire et modifier des fichiers ailleurs sur l'hôte — The Hacker News.
Une campagne de scan massif cible les serveurs de développement Vite exposés sur Internet pour siphonner identifiants cloud, configurations AWS/Azure et fichiers d'état d'infrastructure — BleepingComputer, The Hacker News.
Plugin4Shell permet au propriétaire d'un dépôt de remplacer le code d'un plugin épinglé sur une version précise dans quatre agents de code IA : corrigé dans Claude Code 2.1.179 et Codex 0.146.0, l'attaque ne fonctionne pas depuis GitHub qui interdit les noms de branches ressemblant à des hashs — The Hacker News.
L'extension « Twitch Enhanced Viewer | JeetBot », présente sur les stores officiels Chrome et Firefox, envoie les jetons de session OAuth de près de 31 000 utilisateurs vers des serveurs d'un service commercial de bots — The Hacker News, BleepingComputer.
Les gangs de ransomware se sont joints aux attaques exploitant une RCE critique de VMware vCenter corrigée en juillet, pendant que la CISA signale l'exploitation active d'une faille critique de ConnectWise ScreenConnect et d'une faille GitLab de sévérité maximale — BleepingComputer (vCenter), BleepingComputer (ScreenConnect), BleepingComputer (GitLab).
Google a publié les correctifs Pixel de septembre couvrant 110 vulnérabilités, dont le zero-day CVE-2026-58704 (CVSS 8.0) dans le modem cellulaire, exploité dans des attaques ciblées — The Hacker News, BleepingComputer.
Microsoft a corrigé une faille de sévérité maximale dans Azure AI Foundry (CVE-2026-85889, CVSS 10.0, authentification manquante sur une fonction critique) sans action requise côté client — The Hacker News.
Le gang d'extorsion ShinyHunters a défacé le site de fuite Tor de l'opération ransomware Clop et affirme avoir volé les données du serveur et les clés privées de son service onion — BleepingComputer.
Le FBI a saisi les domaines de NightmareStresser, l'une des plateformes de DDoS à la demande les plus anciennes au monde, liée à des centaines de milliers d'attaques — BleepingComputer, The Hacker News.
Les mises à jour Windows de septembre continuent de faire des dégâts : pannes de Remote Desktop Services corrigées en urgence hors cycle, relations d'approbation de domaine cassées par KB5124008 et copier-coller défaillant dans Excel après KB5002914 — BleepingComputer (RDS), BleepingComputer (domaine).

C'est tout pour cette semaine. Pour ne rien rater des prochaines éditions, abonne-toi au flux RSS.