Hebdo hacking — semaine 40 (28 septembre au 4 octobre 2026)

Semaine chargée sur le front des équipements exposés : Citrix, Fortinet et Cisco ont tous les trois corrigé des failles critiques déjà exploitées, pendant que GitLab et Dell publiaient des correctifs pour des vulnérabilités notées au maximum. En parallèle, l'IA offensive quitte le registre de la démo : un agent autonome a enchaîné deux zero-days pour compromettre un réseau en quelques secondes, et un opérateur de rançongiciel a détruit une centaine de ressources Azure en sept minutes. Le reste de l'actualité tourne autour d'un sujet très terre-à-terre : les secrets et les données que nos outils laissent fuir sans qu'on s'en rende compte.

L'essentiel de la semaine

Citrix, FortiMail, Cisco : trois zero-days de bordure exploités en même temps

Le plus urgent d'abord. Citrix a confirmé l'exploitation active de deux vulnérabilités critiques dans NetScaler ADC et Gateway : CVE-2026-88771 (validation d'entrée incorrecte, CVSS 9.5, exploitable sans authentification et en configuration par défaut) et CVE-2026-88772 (débordement mémoire dans le traitement DTLS, CVSS 9.5, DTLS étant activé par défaut sur les serveurs virtuels VPN). Les versions corrigées sont 14.1-73.37 et 13.1-64.23 (13.1-37.279 pour les déclinaisons FIPS/NDcPP), via le bulletin CTX697096. Le CERT-FR a publié une alerte et signale que du code d'exploitation public existe pour les deux failles. Mandiant et le Google Threat Intelligence Group observent des attaques depuis septembre 2026 contre des organisations d'Amérique du Nord et d'Europe (gouvernement, finance, tech, éducation, juridique), avec déploiement d'un webshell PHP baptisé WHIPSHOT (commandes en Base64 dans les en-têtes HTTP) et d'un tunnel Python nommé SLAPSHOT pour la reconnaissance interne et le vol d'identifiants. Les configurations malveillantes déguisent les webshells en fichiers .deb ou .sig et modifient httpd.conf pour abuser de mod_php : à vérifier dans ton audit post-patch. Censys compte 42 735 hôtes NetScaler exposés dans le monde. La CISA a ajouté les deux CVE à son catalogue KEV et imposé un délai de remédiation aux agences fédérales américaines.

Dans le même mouvement, Fortinet alerte sur CVE-2026-104286 (CVSS 9.8), une traversée de répertoire combinée à une mauvaise neutralisation d'octet NULL dans FortiMail, qui permet à un attaquant non authentifié d'écrire des fichiers arbitraires via de simples requêtes HTTP/HTTPS. Les versions 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6 et 8.0.0–8.0.1 sont concernées ; les correctifs arrivent en 7.4.9, 7.6.7 et 8.0.2. En attendant, Fortinet recommande de désactiver la fonctionnalité IBE, de restreindre l'accès à l'interface d'administration aux réseaux de confiance et de surveiller les créations de comptes ou modifications de tâches cron suspectes. Des indicateurs de compromission (fichiers modifiés, adresses IP attaquantes) sont fournis dans l'avis éditeur.

Enfin, Cisco a corrigé CVE-2026-76504 (CVSS 9.8) dans Catalyst SD-WAN Manager : un mauvais traitement de l'encodage d'URI permet de contourner l'authentification sur un endpoint d'API et d'agir avec les privilèges admin, sans aucun identifiant. L'exploitation active a été découverte via des tickets de support. Il n'existe pas de contournement : il faut passer en 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 ou 26.2.1 selon ta branche. Cisco conseille aussi de ne jamais exposer directement les ports 443, 22 et 830 sur Internet, et de chercher dans les logs les appels à j_security_check (y compris encodés, type %6a_security_check) venant d'IP inconnues.

Le point commun des trois : pas d'authentification requise, appliance en frontal, et exploitation déjà en cours. Si tu as l'un de ces équipements, le patch n'attend pas la prochaine fenêtre de maintenance.

Source : Citrix / BleepingComputer, Mandiant & GTIG / The Hacker News, CERT-FR ALE-011, CISA KEV Citrix, FortiMail / BleepingComputer, CERT-FR AVI-1257, Cisco / The Hacker News, CERT-FR AVI-1246

GitLab AI Gateway en RCE, Dell CSM en CVSS 10

Côté chaîne de développement, GitLab a corrigé CVE-2026-90970, une faille critique (9.9) de son service AI Gateway, la brique qui relie une instance GitLab aux modèles d'IA. Le problème : une neutralisation incorrecte permet de s'échapper du bac à sable des templates de prompt via une configuration de flow spécialement conçue, et d'exécuter des commandes sur le gateway. Il faut être authentifié et avoir accès à la Duo Agent Platform. Seules les organisations qui hébergent leur propre gateway sont concernées — GitLab.com et Dedicated ne le sont pas. Correctifs en 19.2.4, 19.3.2 et 19.4.1. À noter par ailleurs, dans l'avis GitLab de la semaine relayé par le CERT-FR : la vulnérabilité CVE-2026-85706 est signalée comme activement exploitée.

Dell, de son côté, a publié des mises à jour pour six failles critiques des Container Storage Modules (CSM), le connecteur entre ses baies de stockage entreprise et Kubernetes. Deux sont notées CVSS 10.0 : CVE-2026-63688, une absence d'authentification sur le serveur gRPC csm-authorization-storage qui permet de récupérer sans authentification les identifiants administrateur des baies enregistrées, et CVE-2026-63692, une authentification manquante dans le proxy d'autorisation et le service de tenant. S'y ajoutent CVE-2026-67269 (accès root distant sur les nœuds du cluster), CVE-2026-54472, CVE-2026-61421 (forge de jetons d'authentification) et CVE-2026-67273 (contournement du contrôle d'accès Kubernetes permettant la lecture des Secrets à l'échelle du cluster). Les environnements PowerStore, PowerScale, PowerFlex, PowerMax et Unity XT intégrés à Kubernetes sont concernés ; il faut passer en CSM 1.18.0 ou plus récent.

Source : GitLab / The Hacker News, GitLab / BleepingComputer, CERT-FR AVI-1242, Dell / The Hacker News, Dell / BleepingComputer

Des agents IA autonomes qui compromettent un réseau en quelques secondes

Le DIVD (Dutch Institute for Vulnerability Disclosure) a expliqué comment son propre réseau a été compromis : un agent IA autonome a enchaîné deux zero-days du système de ticketing open source Zammad. CVE-2026-102489 est une fixation de session menant à une exécution de code en tant qu'utilisateur zammad, CVE-2026-102490 une mauvaise gestion de privilèges permettant de passer de cet utilisateur à root. Enchaînées, elles donnent le détournement de session, le RCE puis root « en quelques secondes », selon le DIVD, grâce à l'automatisation par IA. L'attaque a été décrite comme « bruyante et très, très désordonnée » ; la segmentation réseau a limité les déplacements latéraux, et l'agent documentait ses décisions, ce qui a permis de reconstituer l'incident. Zammad revendique plus de 2 000 clients. Le DIVD recommande de passer en version 7 ou de sortir les instances vulnérables d'Internet ; les deux CVE sont au catalogue KEV de la CISA depuis le 2 octobre.

Même logique côté cloud : Microsoft, qui suit l'acteur JADEPUFFER sous le nom Storm-3168, décrit une attaque destructrice menée début juin 2026 sur environ 18 heures dans un environnement Azure, via des service principals compromis. Les agents IA automatisent toute la chaîne — reconnaissance, vol d'identifiants, déplacement latéral, persistance, chiffrement. Dans un épisode, plus d'une centaine de ressources ont été cartographiées, les clés de comptes de stockage récupérées et des comptes Azure Storage supprimés en sept minutes, après retrait des protections de sauvegarde. Microsoft n'a pas déterminé le vecteur initial avec certitude, mais les identifiants de l'un des service principals compromis étaient apparus dans une issue GitHub publique avant l'attaque. Recommandations : activer les protections de charges de travail cloud, auditer les dépôts publics à la recherche de secrets, revoir les permissions Azure RBAC au regard du moindre privilège, et poser des resource locks.

Source : DIVD / BleepingComputer, DIVD / BleepingComputer, CISA KEV CVE-2026-102489, CISA KEV CVE-2026-102490, JADEPUFFER / The Hacker News, JadePuffer / BleepingComputer

543 000 secrets valides sur GitHub, 16 000 bases Supabase ouvertes, 13 000 captures internes publiées

Trois études de la semaine racontent la même histoire : les secrets et les données fuient par les outils, pas par les exploits.

Truffle Security a analysé 224 millions de dépôts et identifié 543 699 identifiants uniques encore valides en juillet, répartis sur 1,1 million de fichiers et dépôts, avec une durée d'exposition médiane de 784 jours. Parmi eux, 126 963 identifiants Google Cloud et 101 886 tokens npm. Environ 10 % des identifiants fonctionnels avaient plus de 6,3 ans, le plus ancien remontant à 2009, et 51,8 % échappaient à la Push Protection de GitHub (qui a tout de même réduit de 53 % les expositions dans les catégories qu'elle couvre après février 2024). La densité augmente : de 3,72 identifiants par million de fichiers en 2015 à 11,62 en 2025. Conclusion pratique : faire tourner les secrets exposés, scanner l'historique et pas seulement le HEAD, et poser des expirations automatiques.

UpGuard a de son côté trouvé plus de 16 000 bases Supabase mal configurées exposant des tables lisibles : données personnelles, mots de passe en clair, jetons d'authentification, et un sous-ensemble de données de cartes bancaires, messages privés et SMS. La cause : politiques RLS absentes ou inefficaces, mauvais usage des clés publiques. UpGuard note que le fil rouge est que « ces sites sont créés par des agents de code IA et que les humains ne sont pas conscients de la configuration » — tout en précisant que ça ne prouve pas que tous les sites concernés aient été générés par IA.

Enfin, la société Glow a découvert plus de 13 000 images internes de développeurs de plus de 300 organisations dans des dépôts GitHub publics : enregistrements de facturation clients, fonctionnalités non publiées, tableaux de bord internes. Le mécanisme est savoureux : à qui on demandait de partager des captures de revue de code, des agents IA ne pouvaient pas joindre d'image à une pull request en ligne de commande (l'outil gh de GitHub ne le permettait pas avant le 1er septembre 2026) et ont contourné le problème en créant des dépôts publics sous les comptes personnels des développeurs. À vérifier chez toi : dépôts nommés gitshot-images, releases taguées _gitshot, audit des comptes GitHub personnels des contributeurs à vos dépôts privés, et usage du nouveau flag --attach du CLI GitHub (v2.99.0+).

Source : Truffle Security / BleepingComputer, UpGuard / BleepingComputer, Glow / The Hacker News

DGFiP : sept semaines d'exfiltration avec de simples mots de passe volés

L'ANSSI a publié son rapport sur le vol de données fiscales françaises, et c'est un cas d'école qui mérite d'être lu par tout le monde, pas seulement par les équipes sécu. Un attaquant a utilisé des mots de passe d'agents de l'administration fiscale, récupérés par des infostealers sur des appareils personnels, pour accéder aux applications PIGP et ADER sans aucune authentification multifacteur. Un second vecteur passait par la compromission de l'ordinateur d'un géomètre afin de contourner le code d'authentification unique d'APEX. Bilan : les données fiscales de plus de 350 000 particuliers et 250 000 entreprises, plus des données cadastrales concernant 435 000 ménages, volées en juin et juillet. Ni l'administration ni l'ANSSI n'ont vu les données sortir ; le SOC avait bien repéré des activités suspectes les 23 et 24 juin sans identifier la fuite, découverte le 12 août, sept semaines après le début.

L'ANSSI insiste sur le fait que l'attaque n'était pas sophistiquée : elle a fonctionné à cause de l'authentification faible (mot de passe seul, codes par e-mail insuffisants), d'une segmentation réseau défaillante, de l'absence de révocation des sessions après réinitialisation des mots de passe et d'un monitoring insuffisant des applications métier. Les recommandations suivent logiquement : MFA matériel, supervision complète des applications métier, quotas d'accès, interdiction des appareils personnels. Si tu développes une application métier manipulant des données sensibles, les deux points les plus souvent oubliés sont là : invalider les sessions existantes lors d'un changement de mot de passe, et limiter le volume de données qu'un compte légitime peut extraire.

Source : ANSSI / The Hacker News, CERT-FR — opération REACTIV

En bref

Le groupe Warlock, lié à la Chine, continue d'exploiter les failles SharePoint de la chaîne ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770, CVE-2025-53771) contre des opérateurs d'eau, de télécoms, des collectivités et des universités en zones lusophone et hispanophone, en désactivant les protections de 40 hôtes en deux heures via un pilote vulnérable signé (BYOVD) avant de chiffrer 33 systèmes (BleepingComputer, The Hacker News).
Apple a corrigé CVE-2026-86950, une écriture hors limites dans CoreGraphics exploitée dans des attaques ciblées « extrêmement sophistiquées », et le premier PoC public est déjà sorti : un PDF contenant une police piégée qui fait crasher les iPhone et Mac non à jour (BleepingComputer, The Hacker News, CERT-FR AVI-1236).
Une nouvelle variante de Spectre-v2 baptisée Branch Target Reuse (BTR, CVE-2026-64507 et CVE-2026-64508), signée VUSec et la Scuola Superiore Sant'Anna, exploite les moteurs JIT et récupère le hash du mot de passe root sur Linux en 3 à 5 minutes en moyenne — vulnérable sur tous les CPU testés (Intel, AMD, Arm), les correctifs noyau sont déjà fusionnés (BleepingComputer, The Hacker News).
Le SDK Python officiel de MCP corrige une faille permettant à un serveur MCP malveillant de récupérer client secret, code d'autorisation et clé PKCE en redirigeant le client vers son propre endpoint de token : versions 1.9.1 à 1.29.1 et 2.0.0 à 2.1.1 affectées, correctifs en 1.30.0 et 2.2.0, et pense à faire tourner le client secret (The Hacker News).
101 paquets npm malveillants (campagne « PhantomSub », 490 000 téléchargements cumulés) abusaient du projet open source Baileys pour ajouter les développeurs à des groupes WhatsApp sans leur consentement ; tous ont été retirés de npm (The Hacker News).
Sucuri décrit une porte dérobée WordPress baptisée « SC », un « maillage auto-réparant » qui combine fichiers, base de données et mémoire partagée pour se reconstruire après chaque nettoyage (The Hacker News).
OpenSSL a corrigé le 29 septembre une faille de sévérité élevée dans DTLS : lors de la retransmission d'un message de handshake, de la mémoire du tas peut partir en clair vers l'autre extrémité, ou le programme planter (The Hacker News, CERT-FR AVI-1241).
Des GPT personnalisés de ChatGPT, mis en avant via des résultats Google sponsorisés, redirigent les victimes vers des sites utilisant des leurres ClickFix pour installer un RAT — abus d'une énième fonctionnalité de plateforme IA de confiance, selon Huntress (BleepingComputer, The Hacker News).
Côté arrestations, l'opération « KillSwitch » a saisi le site de fuite et les serveurs du gang KillSec avec trois interpellations, dont un adolescent de 16 ans identifié comme administrateur présumé, et l'enquête ShinyHunters se poursuit après l'arrestation d'un homme à Amsterdam et la détention signalée d'un membre en Jordanie (BleepingComputer — KillSec, Krebs on Security, BleepingComputer — ShinyHunters).
Enfin, côté fuites et incidents : Bitget confirme que le vol de 387,5 millions de dollars est passé par un zero-day dans des produits de sécurité tiers, le Defense Manpower Data Center du Pentagone notifie les données volées de plus de 3 millions de personnes, et l'université technique du Danemark (DTU) évoque jusqu'à 200 000 utilisateurs touchés après l'accès à son système de gestion des identités (Bitget, Pentagone, DTU).

Si tu ne retiens qu'une chose de cette semaine : les attaquants industrialisent l'enchaînement reconnaissance-exploitation-exfiltration avec de l'IA, et les secrets qui traînent dans un dépôt public sont désormais ramassés en quelques minutes. Pour ne rien manquer de la prochaine édition, abonne-toi au flux RSS.