Hebdo hacking — semaine 41 (5 au 11 octobre 2026)

Cette semaine, la fenêtre entre la publication d'un PoC et les premières exploitations se compte en heures, pas en jours : Atlassian en a fait l'expérience, SonicWall et Citrix aussi. En parallèle, l'écosystème des développeurs continue d'être un terrain de chasse privilégié (faux dépôts GitHub, workflows Actions piégés, paquets npm compromis), et le FBI resserre l'étau autour de ShinyHunters. Côté fuites, le Danemark signe l'incident le plus massif avec 8,8 millions de personnes concernées.

L'essentiel de la semaine

Atlassian : CVE-2026-21589 exploitée deux heures après la sortie du PoC

Atlassian a divulgué le 5 octobre une faille critique de lecture de fichiers arbitraires, CVE-2026-21589 (CVSS 9.3), qui touche huit produits Data Center auto-hébergés : Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible et Fisheye. Techniquement, c'est un traversal via une bibliothèque de ressources web partagée qui transforme les doubles deux-points (::) en slashes, exploitable sans authentification via des endpoints de plugins. L'attaquant doit connaître le nom et le chemin exacts du fichier visé et ne peut pas lister le répertoire — ce qui n'empêche pas l'impact : sur les déploiements Jira intégrés à Crowd, la lecture de WEB-INF/classes/crowd.properties livre des identifiants en clair, suffisants pour créer un compte administrateur.

Le 7 octobre, Previdian a observé des exploitations sur ses honeypots dans les heures qui ont suivi la publication des détails techniques et du PoC par watchTowr, avec scans massifs et template Nuclei disponible dans la foulée.

Si tu administres un Atlassian self-hosted : patche en priorité (le CERT-FR liste les versions corrigées, par exemple Confluence Data Center 9.2.26 et 10.2.19, Jira Software 9.12.40, 10.3.26 et 11.3.12, Bitbucket 9.4.26, 10.2.8 et 10.5.1). En attendant, les sources recommandent de restreindre l'exposition réseau, d'ajouter des règles WAF bloquant les motifs de traversal, d'utiliser une réécriture d'URL côté Tomcat et de filtrer par IP les accès à Crowd.

Source : BleepingComputer, BleepingComputer, The Hacker News, The Hacker News, CERT-FR

Équipements de bordure : SonicWall noté 10/10 déjà exploité, Citrix enchaîne les correctifs

SonicWall a publié le 6 octobre des hotfixes pour quatre failles de ses appliances SMA1000, dont un SSRF préauthentification noté 10.0 (CVE-2026-102255) : un attaquant non authentifié peut faire émettre des requêtes par l'appliance pour atteindre des fonctions internes et effectuer des opérations non autorisées. L'éditeur affirmait au moment de la publication n'avoir aucune preuve d'exploitation ; trois jours plus tard, des honeypots détectaient des tentatives visant l'interface WorkPlace Extraweb avec des requêtes OPTIONS forgées pointant vers le service CouchDB interne. Sont concernés les modèles 6210, 7210 et 8200v — pas les SMA 100 ni le SSL-VPN des firewalls SonicWall. Plus de 400 instances SMA1000 sont exposées sur Internet.

Chez Citrix, la semaine a commencé par des correctifs d'urgence pour CVE-2026-88779 (CVSS 8.7), un dépassement mémoire exploité en zero-day dans des attaques ciblées sur NetScaler ADC et Gateway configurés en SAML, avec un déni de service confirmé et une piste de RCE que les chercheurs creusaient encore. Elle s'est terminée par un second bulletin pour CVE-2026-107406, un autre dépassement mémoire pouvant mener à une exécution de code ou un déni de service, là encore uniquement quand l'appliance fait office d'IdP ou de SP SAML. Versions corrigées : 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS et 13.1.37.283 FIPS/NDcPP. Shadowserver compte plus de 21 000 appliances NetScaler exposées.

Source : BleepingComputer, BleepingComputer, The Hacker News, BleepingComputer, BleepingComputer, The Hacker News, CERT-FR

L'écosystème dev sous pression : faux dépôts GitHub, workflows Actions piégés, npm compromis

Trois campagnes distinctes visent directement ta chaîne d'outils cette semaine.

FakeGit s'est réactivé le 4 octobre et pousse désormais plus de 17 610 dépôts GitHub malveillants distribuant le loader SmartLoader, qui installe notamment l'infostealer StealC. D'après Apiiro, 97 % des dépôts ne touchent que le README et 88 % font pointer leur bouton « Download » vers une archive ZIP qui installe SmartLoader. Plus de 13 000 dépôts ont été créés en 34 heures, avec un pic à 2 999 par heure. Island avait documenté la campagne en juillet avec 7 600 dépôts. Le conseil des chercheurs : vérifie le propriétaire du dépôt et ne récupère skills IA et serveurs MCP que depuis les registres officiels ou les dépôts éditeurs ; en cas de doute sur une exécution de SmartLoader, traite l'incident comme une compromission de compte (révocation des sessions et des tokens, passage aux passkeys).

Côté CI, StepSecurity décrit une campagne de vol d'identifiants qui a compromis deux comptes de mainteneurs open source en vue pour injecter un workflow malveillant dans plus de 340 dépôts. Via le compte de Takashi Kitao, auteur du moteur de jeu pyxel (18 400 étoiles), l'attaquant a poussé le workflow dans 27 dépôts à partir de 13 h 20 UTC.

Enfin, la supply chain npm reste bien occupée : le paquet tensorlake a été compromis en version 0.5.144 dans le cadre de l'attaque ChainDrop / Shai-Hulud, avec du code obfusqué qui collecte des identifiants, exfiltre des secrets, s'installe en persistance et exécute du code fourni à distance (Socket). En parallèle, CloudSEK et Checkmarx documentent la campagne MALFEX : huit paquets npm malveillants téléchargés 40 767 fois, distribuant infostealers et RAT, l'œuvre probable d'un acteur isolé actif depuis août 2023.

Source : BleepingComputer, The Hacker News, The Hacker News, The Hacker News

ShinyHunters : le FBI resserre l'étau, y compris sur un dirigeant du secteur

La séquence judiciaire autour de ShinyHunters s'accélère après le vol de données sensibles sur des agents et candidats du FBI. Reuters rapporte que « Rey », de son vrai nom Saif al-Din Khader, adolescent d'Amman en Jordanie et soupçonné d'être une figure de tête du groupe, a été placé en détention le 29 septembre et coopère avec le FBI pour identifier d'autres membres. KrebsOnSecurity précise qu'il a été interpellé alors que le groupe était en train d'extorquer Jeppesen ForeFlight, l'unité d'aviation cédée par Boeing au fonds Thoma Bravo en novembre 2025 pour 10,55 milliards de dollars ; le groupe a par ailleurs exploité en masse une vulnérabilité PeopleSoft (CVE-2026-35273) à partir de juin 2026, en contournant ensuite les mitigations via une astuce d'encodage d'URL. Selon Krebs, ShinyHunters a extorqué plus de 70 millions de dollars à ses victimes sur la seule année 2026.

Le 8 octobre, le FBI a arrêté en Pennsylvanie Edward Dubrovsky, 54 ans, dirigeant canadien du secteur cyber — ancien managing director de Cypfer, démissionnaire en novembre 2025, depuis associé à CyberSteward. Les documents judiciaires mentionnent une « conspiration en vue de menacer de porter atteinte à la confidentialité d'informations dans le but d'extorquer de l'argent » et une entrave au commerce par la menace. Le 9 octobre, le directeur du FBI Kash Patel a annoncé sur X l'arrestation d'un autre suspect, non nommé et sans charges rendues publiques à ce stade. Enfin, le FBI a écarté un sous-traitant d'Accenture, la brèche résultant selon l'agence d'un défaut d'application de correctifs.

Source : The Hacker News, Krebs on Security, Krebs on Security, BleepingComputer, BleepingComputer, The Hacker News

Danemark : 8,8 millions de personnes exposées via un accès légitime au registre national

Le ministère danois de la Digitalisation a annoncé le 5 octobre que des tiers non autorisés avaient accédé aux noms, adresses, dates de naissance, situations matrimoniales et numéros d'identification personnels (CPR) d'environ 8,8 millions de personnes, vivantes comme décédées, soit 80 % des 11 millions d'inscrits au Central Person Register. Les attaquants n'ont pas cassé le registre : ils ont utilisé le droit de consultation légitime d'une entreprise privée danoise, puis, selon l'autorité danoise de protection des données, énuméré les numéros CPR valides par force brute avant d'extraire les données associées. L'incident s'est produit en septembre, a été découvert le 2 octobre par l'administration du CPR et rendu public le 5.

C'est un cas d'école de l'abus d'API métier légitime : un accès autorisé, pas de rate limiting suffisant, et un identifiant national prédictible suffisent. L'accès de l'entreprise a été bloqué, une enquête de police est ouverte, des mesures de sécurité renforcées ont été déployées sur le CPR et une hotline a été mise en place. La ministre Christina Egelund a qualifié l'affaire d'« incident extrêmement grave », et les autorités rappellent aux citoyens de ne jamais communiquer de mots de passe ou d'informations confidentielles par téléphone ou e-mail, même si l'interlocuteur connaît déjà des données personnelles.

Source : BleepingComputer, The Hacker News

En bref

• Pwn2Own Ireland 2026 s'est conclu le 9 octobre sur 1 262 000 $ de primes pour 98 zero-days, avec un Pixel 10 entièrement à jour tombé trois fois, un Galaxy S26 malmené, et Ikotas Labs vainqueur à 361 000 $ dont 300 000 $ pour sa chaîne d'exploits sur le Pixel — les éditeurs ont 90 jours pour corriger avant publication par la ZDI (BleepingComputer).
• Le FBI et le Secret Service alertent sur la campagne FortiBleed toujours active contre les FortiGate et passerelles SSL VPN exposés : 86 644 appareils comptabilisés, création de comptes admin puis suppression ou changement de mot de passe des comptes légitimes, et recommandation de passer le stockage des mots de passe admin de SHA-256 à PBKDF2 (BleepingComputer, The Hacker News).
• Le FBI a saisi sept domaines servant à opérer MicroScan (scanner embarquant plus de 1 300 scripts de pentest visant WebLogic, Struts ou WordPress) et FishHub, outils liés au groupe chinois Flax Typhoon, tandis que la CISA ajoutait cinq failles anciennes au catalogue KEV (BleepingComputer, The Hacker News).
• Deux failles d'AhsayCBS (CVE-2026-105133, authentification contournée, et CVE-2026-105134, injection de commandes) sont exploitées pour déposer des webshells JSP et un mineur XMRig déguisé en edge.exe ; Huntress précise que la dernière version 10.3.4 reste affectée et conseille de restreindre l'accès à l'interface à des IP de confiance (BleepingComputer, The Hacker News).
• Cisco publie cinq avis critiques sur NX-OS permettant une exécution de code en root sans authentification sur les Nexus 3000 et 9000 en mode standalone, l'exploitation dépendant toutefois de l'activation de NX-API, NGOAM ou MPLS OAM (BleepingComputer).
• Deux XSS stockées dans les plugins WordPress Ninja Forms (plus de 500 000 installations, CVE-2026-94504, corrigée en 3.15.4) et WPC Product Bundles for WooCommerce (CVE-2026-93836, corrigée en 8.6.7) sont exploitées par un même acteur pour créer comptes admin cachés, URL de connexion secrète et gestionnaire de fichiers non authentifié (BleepingComputer).
• Les serveurs Rejetto HFS sont activement scannés pour CVE-2026-61500 (CVSS 9.3), une clé de signature faible issue d'un PRNG prévisible qui permet de forger des sessions administrateur et d'aboutir à une exécution de code (BleepingComputer, The Hacker News).
• Une faille critique de LMCache, brique open source qui accélère les serveurs LLM comme vLLM, permet d'exécuter du code sans authentification en mode multiprocessus via ZeroMQ, et aucune version corrigée n'est disponible (The Hacker News).
• Google a suspendu depuis le 1er octobre les récompenses de son programme de bug bounty open source pour les failles produit, noyé sous les rapports automatisés invalides générés par IA ; les signalements de compromission de supply chain restent acceptés (BleepingComputer, The Hacker News).
• Des attaquants ont compromis les opérateurs tiers des ccTLD du Ghana (.gh), de Sierra Leone (.sl) et des Samoa américaines (.as), modifié les enregistrements DNS autoritatifs et obtenu des certificats HTTPS non autorisés pour plusieurs domaines Google, sans que les systèmes de Google soient touchés (BleepingComputer, The Hacker News).

Si cette revue t'a été utile, abonne-toi au flux RSS pour ne rien manquer des prochaines éditions.