『RadioCSIRT』のカバーアート

RadioCSIRT

RadioCSIRT

著者： Marc Frédéric GOMEZ
無料で聴く

🎙 Marc Frédéric Gomez, expert en cybersécurité, vous livre chaque jour l’essentiel des menaces, attaques et stratégies de défense à connaître.

🔎 Au programme :
✔️ Décryptage des cyberattaques et vulnérabilités critiques
✔️ Veille stratégique pour les CSIRT, CERT et pros de la cybersécurité
✔️ Sources et références pour approfondir chaque sujet

💡 Pourquoi écouter RadioCSIRT ?
🚀 Restez à jour en quelques minutes par jour
🛡️ Anticipez les menaces avec des infos fiables et techniques
📢 Une veille indispensable pour les pros de l’IT et de la sécurité

🔗 Écoutez, partagez et sécurisez votre environnement !
📲 Abonnez-vous et laissez une note ⭐ sur votre plateforme préférée !

Marc Frederic GOMEZ 政治・政府
エピソード
  • Ep.785 - Plex Media Server, SiteGuard - Flash info du mardi 20 octobre 2026

    Ep.785 - Plex Media Server, SiteGuard - Flash info du mardi 20 octobre 2026
    2026/10/20
    🐛 Plex2Shell, quatre failles ajoutées au catalogue KEV de la CISA le 20 octobre : CVE-2026-96652 (SSRF sans authentification, CVSS 5,3), CVE-2026-96654 (neutralisation incorrecte d'URL, récupération du jeton d'administration du propriétaire, CVSS 6,9), CVE-2026-96655 (SSRF authentifiée, CVSS 5,3) et CVE-2026-96656 (contrôle externe d'un nom de fichier, écriture et exécution d'un objet ELF dans le dossier des codecs, CVSS 8,6), enchaînées jusqu'à l'exécution de code à distance sans authentification (MITRE ATT&CK T1190), selon The Hacker News. Découvertes par Zach Main, signalées le 27 juillet, corrigées dans Plex Media Server 1.43.3.10861 du 3 août ; détails publics le 16 octobre, attaques dès le 17 avec un mineur de type XMRig (T1496) et une backdoor Linux faisant office de proxy. Infrastructure citée par le site : 217.60.194[.]116, ota.proxystream[.]st ; aucun groupe ni volume de serveurs touchés publié.🛡️ CVE-2026-106931, ajoutée au catalogue KEV : injection de commande système dans la fonction de statistiques, active par défaut, de SiteGuard Server Edition (EG Secure Solutions), CVSS 8,5 en version 4 et 7,8 en version 3, accès local peu privilégié requis, droits root ou SYSTEM obtenus (MITRE ATT&CK T1068). Corrigée en 8.00 Update 5 (Apache httpd, Nginx, IIS) et 7.00 Update 6 (Apache httpd et Nginx sur FreeBSD) ; exploitation signalée par JVN (JVN#88474777, 14 octobre) et confirmée par l'éditeur, clients sous contrat prévenus le 29 septembre. La mise à jour peut effacer les traces d'une attaque : le JPCERT/CC (JPCERT-AT-2026-0032) recommande de télécharger et conserver les informations de diagnostic depuis l'écran d'administration avant de corriger, puis de rechercher une compromission.🪟 CVE-2026-110936, ajoutée au catalogue KEV : DLL sideloading dans Siemens Software Center (SSA-580366), CWE-427, élément de chemin de recherche non contrôlé, CVSS 6,7 en version 3.1 et 8,4 en version 4, toutes versions antérieures à 4.0.9.8 ; découverte par Jose Oregon (Huntress Labs). Selon The Hacker News, une campagne ClickFix attribuée par Forescout à la plateforme Romulus lance un MSI qui exécute le SiemensSoftwareCenter.exe légitime à côté d'une archive.dll malveillant, puis installe un RAT (MITRE ATT&CK T1574). Siemens recommande la mise à jour en 4.0.9.8 et la recherche de SiemensSoftwareCenter.exe lancé par msiexec.exe depuis AppData\Local\Programs ; indicateurs publiés : 96.62.218[.]59, wizardexpensive[.]com, 2.27.248[.]127.💻 CVE-2026-70197, exécution de code à distance dans .NET publiée le 13 octobre (CVSS 8,1, CWE-787, écriture hors limites, sans authentification, complexité élevée) : la révision 2 du 19 octobre indique que la faille n'est pas corrigée et qu'une mesure complète est en préparation et en test ; la fiche liste toujours .NET 8.0.32, 9.0.21, 10.0.13, 11.0.0-rc.2, Visual Studio 2022 17.14.42 et Visual Studio 2026 18.10.4. Autres révisions du 19 et du 20 octobre : CVE-2026-102204 (CVSS 7,8, CWE-59, élévation vers SYSTEM) rattachée à Windows Subsystem for Linux, corrigée en WSL 3.0.1 ; CVE-2026-80092 (Microsoft Identity Web, CWE-302) précisée avec les versions corrigées 3.16.0 et 4.16.1 ; six fiches modifiées pour leurs seuls crédits de découverte, dont la CVE-2026-96913 (noyau Windows, critique).Sources :CISA Adds Six Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/20/cisa-adds-six-known-exploited-vulnerabilities-catalogHackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor. The Hacker News : https://thehackernews.com/2026/10/hackers-exploit-plex2shell-flaws-to.htmlSiteGuard Warns Patching Actively Exploited Security Flaw Could Erase Evidence of Attacks. GBHackers : https://gbhackers.com/siteguard-warns-patching/SSA-580366: DLL Sideloading Vulnerability in Siemens Software Center. Siemens ProductCERT : https://cert-portal.siemens.com/productcert/html/ssa-580366.htmlClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan. The Hacker News : https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.htmlSecurity Update Guide. Microsoft Security Response Center : https://msrc.microsoft.com/update-guide/vulnerability.NET Remote Code Execution Vulnerability, CVE-2026-70197. Microsoft Security Response Center : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70197⚡️ On ne réfléchit pas, on patch !📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #KEV #Plex #Plex2Shell #SiteGuard #WAF #Siemens #ClickFix #DLLSideloading #Microsoft #DotNet #WSL #CVE-2026-96652 #CVE-2026-96654 #CVE-2026-96655 #CVE-2026-96656 #CVE-2026-106931 #CVE-2026-110936 #CVE-2026-70197 #CVE-2026-102204 #CVE-2026-80092 #RadioCSIRT
    続きを読む 一部表示
    8 分
  • Ep.784 - CAPTCHA, Cisco Talos, Leboncoin et Vinted - Flash info du lundi 19 octobre 2026

    Ep.784 - CAPTCHA, Cisco Talos, Leboncoin et Vinted - Flash info du lundi 19 octobre 2026
    2026/10/19
    🤖 Oguzhan Salman et Kemal Bicakci publient sur arXiv un solveur de CAPTCHA visuels qui associe un détecteur YOLOv8 affiné et un modèle de vision et de langage en poids ouverts, reliés par un aiguillage fondé sur la confiance ; il opère par captures d'écran et événements d'entrée du système, sans automatisation du navigateur ni accès au DOM. Il atteint 85,4 % de réussite globale et 84,2 % en moyenne par catégorie sur 16 catégories, et le détecteur apprend une catégorie nouvelle après une ou deux rencontres grâce aux étiquettes du modèle de langage. Ramené à 0 % par des images perturbées, le détecteur se rétablit, y compris sur une course aux armements simulée d'un an avec un professeur juste à environ 70 %. Bruce Schneier relaie l'étude sans la commenter.📈 Cisco Talos (Thorsten Rosendahl, lettre Threat Source du 15 octobre) : plus de 70 000 CVE publiées à fin septembre 2026, soit +105 % sur un an, contre +37 % pour le catalogue KEV de la CISA (+30 % entre 2024 et 2025). Un tiers des entrées KEV portent sur des CVE de 2025 ou antérieures ; 29 % des CVE de 2026 entrent au catalogue le jour de leur publication (+2 points sur 2025) ; les équipements réseau montent à 27 %. Nouvelle colonne forensicTriage au catalogue KEV, liée à la directive BOD 26-04, qui signale les failles imposant triage forensique et réponse à incident ; l'auteur demande de vérifier les outils face à cette colonne et aux CVE à six chiffres.🎯 Unit 42 classe les vecteurs d'accès initial de septembre 2026, dans l'ordre : exploitation d'applications exposées (MITRE ATT&CK T1190) ; identifiants valides (T1078), souvent chaînés à une faille de bordure ; phishing ciblé (T1566), surtout secteur public, défense et entreprises régionales ; compromission de la supply chain (T1195) ; drive-by et watering hole (T1189). Aucun volume ni méthode de classement publiés.🐧 CVE-2026-99999, CVSS 9,3, noyau Linux depuis la version 2.6.27 : un invité virtio-net place le début du calcul de somme de contrôle dans l'en-tête IPv4 déjà validé de l'hôte, qui y écrit deux octets lors de la fragmentation puis recopie jusqu'à 40 octets de son tas par fragment ; évasion de l'invité vers l'hôte (MITRE ATT&CK T1611), avec fuite mémoire, plantage et exécution de code root rapportés par le chercheur sur un hôte de test. Chemins d'accès : invité via TAP ou vhost-net, et, selon le code, utilisateur local via tun dans un espace de noms utilisateur, socket AF_PACKET ou macvtap. Aucun noyau corrigé publié ; correctif à chaud KernelCare K20261016_0002 en flux principal pour AlmaLinux 9 et CloudLinux 9, autres en test ou en préparation. Contournements non testés selon CloudLinux : csum=off et guest_csum=off côté QEMU ou libvirt pour les invités non fiables (perte de TSO et GSO), user.max_user_namespaces=0 contre le chemin local (casse les conteneurs rootless et les sandbox Chrome et Flatpak) ; CageFS ne protège pas.🖥️ KDE Plasma 6.8, publié le 14 octobre : fin des sessions X11 natives, KWin devient compositeur Wayland exclusif, applications X11 via XWayland. Capture et partage d'écran via les portails du bureau ; outils d'accès distant propres à X11 à remplacer avant la mise à jour. Également : EAP-TTLS pour les VPN StrongSwan, mode exclusif du bureau à distance qui verrouille l'écran physique, presse-papiers bidirectionnel à distance, exclusion expliquée des mots de passe de l'historique du presse-papiers. Vérification du protocole de session : echo $XDG_SESSION_TYPE.🇫🇷 Pillages du 17 octobre (plus de 2 000 commerces selon CCI France) : objets revendus dès le soir sur Vinted et Leboncoin, transactions déplacées vers Snapchat. Anne Le Hénanff et Serge Papin réunissent les plateformes, puis les principaux réseaux sociaux mardi. Leboncoin : contrôle automatisé de 100 % des annonces avant mise en ligne, signalements conformes traités sous 48 heures, service dédié aux réquisitions ; eBay : retrait immédiat sur confirmation de vol par la police, portail réservé aux forces de l'ordre ; Vinted : suppression et bannissement définitif possible. Le recel est passible de cinq ans de prison et de 375 000 euros d'amende.☁️ CLI OVHcloud (dépôt github.com/ovh/ovhcloud-cli) : selon Octave Klaba, un attaquant a utilisé le compte GitHub d'un développeur pour publier une version contenant un binaire qui récupère les secrets présents sur le disque (MITRE ATT&CK T1195.002, compromission de la supply chain logicielle ; T1552.001, identifiants dans des fichiers), publiée à 14 h 47, détectée et bloquée à 16 h 21 sur signalement d'un client. Versions compromises citées : v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 ; v0.10.0 et v0.16.0 saines ; aucun autre dépôt touché selon les premières vérifications. Conduite publiée : mettre à jour ou effacer la CLI téléchargée ce jour, puis changer tous les secrets présents sur le disque, dont les ...
    続きを読む 一部表示
    14 分
  • Ep. Spécial du dimanche 18 octobre 2026 - Synthèse sur l'attaque des frigos en hyper (783)

    Ep. Spécial du dimanche 18 octobre 2026 - Synthèse sur l'attaque des frigos en hyper (783)
    2026/10/18
    🐛 Avant l'attaque : selon Nozomi Networks, Synacktiv documente dès mai 2023 un contournement d'authentification par code du jour sur les gestionnaires Danfoss SM800, SC255 et SC355, sans correctif car en fin de vie ; l'AK-SC 355 est retiré en 2016, l'AK-SM 800 en fin de vie en 2021, et Danfoss annonce l'arrêt complet du service en octobre 2025. Le 9 août 2026, Claroty Team82 publie sur l'AK-SM 800A la CVE-2025-41450 (code du jour, CWE-287, authentification incorrecte, CVSS 8,2), chaînée avec la CVE-2025-41451 (CWE-77, injection de commande dans la configuration des alertes par email, CVSS 7,6) jusqu'à l'exécution de code, ainsi que la CVE-2025-41452 (CWE-15, déni de service de l'interface, CVSS 5,4). Selon Censys, la CVE-2025-41450 est corrigée en version 4.2 et les deux autres en 4.3.1 ; Claroty recommande R4.3.1 ou ultérieure et comptait 2 765 AK-SM 800A exposés. Fin août, au moins six supermarchés de bases militaires américaines ont subi des pannes de froid, sans lien établi avec la France.🧊 Nuit du 11 au 12 octobre : les attaquants entrent par l'interface web exposée des gestionnaires de froid (MITRE ATT&CK for ICS, T0883, Internet Accessible Device) et forcent un dégivrage continu avec une consigne à 50 °C (T0836, Modify Parameter), pendant six heures selon Les Mousquetaires. Selon Le Monde, cité par TIME, certains cycles passent d'une heure à huit heures pour retarder les alarmes, que le contrôleur suspend normalement pendant un dégivrage. Le parquet de Paris fait état de départs de feu. Le vecteur d'accès n'est pas confirmé publiquement.🛒 Enseignes : au moins 300 points de vente Intermarché et Netto selon l'AFP (150 à 200 annoncés au départ), moins d'une centaine de Système U, 80 Carrefour, 5 % des Monoprix et plusieurs E.Leclerc. Total estimé entre au moins 350 supermarchés (Reuters) et environ 500 magasins (Cooling Post), sans décompte officiel. Thierry Cotillard évoque des dizaines de millions d'euros de pertes, Intermarché indique que les assurances ne couvrent pas ce type d'incident, et la FCD réclame une transparence totale.🏭 Danfoss : incidents sur un nombre limité de systèmes selon le fabricant, majoritairement des AK-SM 800 (fin de vie en 2021) et AK-SC 355 (retirés en 2016) sans mise à jour de sécurité ; les AK-SM 800A touchés tournaient sur un ancien firmware. Mesures annoncées : mises à jour quand elles existent, protections réseau renforcées, fin de l'exposition directe à Internet. France Inter date le correctif d'un peu plus d'un mois avant l'attaque, Censys de 2025 (versions 4.2 et 4.3.1).🇫🇷 État : le parquet de Paris s'est saisi d'office le 12 octobre, enquête confiée à l'OFAC. Sébastien Lecornu a saisi l'ANSSI, qui a identifié une vulnérabilité non précisée dans un logiciel de Danfoss, selon l'entourage du Premier ministre cité par franceinfo. Ni rançon ni vol de données selon France Inter.🚨 CERT-FR : alerte CERTFR-2026-ALE-012 du 12 octobre, mise à jour le 13 octobre (systèmes affectés : Danfoss séries AK-SM et AK-SC, Copeland xweb, Dixell xweb) et le 16 octobre (recommandations) ; campagnes probablement toujours en cours. Recommandations : supprimer l'exposition Internet de toutes les unités sur adresse IP publique, vérifier les conditions d'assurance avant de couper la remontée des données vers le frigoriste, vérifier les plages de dégivrage, rétablir l'accès par VPN sécurisé ou réseau protégé, filtrer les IP des frigoristes en urgence seulement ; en cas de compromission, redémarrage ou Reset Factory, insuffisant sur un équipement en fin de vie. Pour Danfoss : mise à jour du firmware, niveau de sécurité Strict et changement des mots de passe par défaut ; Dixell publie des recommandations pour ses superviseurs XWEB.📈 Exposition : ONYPHE compte 6 212 adresses IP exposant StoreView Browser, dans 558 ASN et 95 pays, près de la moitié en France, surtout chez des opérateurs télécoms (Orange AS3215, Proximus AS5432), majoritairement sur ports non standard et souvent en HTTP ; 12 versions observées, de 01.0.124 à 01.0.170. Censys compte 2 991 interfaces StoreView le 11 octobre, dont 1 825 en France (61 %) et 1 158 françaises antérieures à 4.2 (mot de passe administrateur déduit de la date) ; en France, 537 restent exposées le 14 octobre, corrigées ou non au même rythme (baisse d'environ 70 %). Firmware actuel selon Censys : 5.3.2.🇪🇺 Europe : selon Reuters, Félix Aimé (Sekoia) cite l'Espagne, le Portugal, la Pologne, l'Allemagne et la Belgique parmi les pays touchés, sans détail. ONYPHE signale une alerte du Centre pour la cybersécurité Belgique et une forte exposition en Belgique et en Pologne ; selon Censys, 81 % des hôtes polonais exposés sont antérieurs à 4.3.1. Incident distinct chez Ahold Delhaize le 12 octobre, sans lien selon le NCSC néerlandais cité par Nozomi Networks.⚖️ Réglementation : le règlement (CE) n° 37/2005 impose pour...
    続きを読む 一部表示
    26 分
adbl_web_anon_alc_button_suppression_t1
まだレビューはありません