Veille · Threat Intel
Threat Intel : les incidents, les campagnes de menace et les CVE que je retiens, utiles aux infrastructures et aux équipes SOC. Les sources françaises institutionnelles passent en premier. Une faille annoncée, une exploitation confirmée et une exposition réelle sont trois informations différentes, et je les garde séparées.
Les nouveautés des technologies et des services (Wazuh, Suricata, CrowdSec, Zabbix…) sont sur la page Veille SOC, pas ici.
Fiches Threat Intel
Incidents, menaces et vulnérabilités que j’ai analysés.
CVE-2026-107415 — Citrix NetScaler ADC et Gateway : débordement mémoire en authentification OTP par e-mail
Threat Intel · Alerte de sécurité L'alerte CVE-2026-107415 — NetScaler ADC Une faille de débordement mémoire affecte le mécanisme d'authentification […]
CVE-2026-107408 — Citrix NetScaler ADC et Gateway : corruption mémoire DNS/DoH provoquant déni de service
Threat Intel · Alerte de sécurité L'alerte CVE-2026-107408 — NetScaler ADC et NetScaler Gateway Une corruption mémoire dans le traitement […]
Arkime v6.9.2 : alertes sécurisées, capture stable, indexation horodatée
Veille SOC · Sécurité réseau Le sujet Arkime v6.9.2 Arkime 6.9.2 sécurise les alertes en échappant les caractères HTML et […]
CVE-2026-111793 — Webtop Media Transcoder : contournement de restrictions de types de fichiers
Threat Intel · Alerte de sécurité L'alerte CVE-2026-111793 — Webtop Media Transcoder Openwave Messaging (Ireland) Limited Webtop Media Transcoder ne […]
CVE-2026-121653 — Ivanti Endpoint Manager : injection SQL permettant l’exécution de code distant
Threat Intel · Alerte de sécurité L'alerte CVE-2026-121653 — Endpoint Manager Une injection SQL dans le cœur d'Ivanti Endpoint Manager […]
CVE-2026-114162 — Microsoft Azure Privileged Identity Management : élévation de privilèges via Microsoft Graph
Threat Intel · Alerte de sécurité L'alerte CVE-2026-114162 — Azure Privileged Identity Management (PIM) Azure Privileged Identity Management (PIM) versions […]
DefectDojo 3.5.102 — corrections risk-acceptance et optimisations API
Veille SOC · Gestion des vulnérabilités Le sujet DefectDojo 3.5.102 DefectDojo 3.5.102 corrige le statut d'endpoint pour les findings acceptés […]
OpenVAS Scanner v23.52.10 — correction du traitement des dépôts inaccessibles
Veille SOC · Gestion des vulnérabilités Le sujet OpenVAS Scanner v23.52.10 OpenVAS Scanner v23.52.10 (2026-11-10) corrige la vérification des sous-dépôts […]
CVE-2026-97229 — GitLab : exécution de code via expression régulière malveillante en CI/CD
Threat Intel · Alerte de sécurité L'alerte CVE-2026-97229 — GitLab GitLab Community Edition et Enterprise Edition contiennent une vulnérabilité de […]
CVE-2026-20320 — Cisco BroadWorks : XXE dans l’analyseur XML OCI permettant la lecture de fichiers
Threat Intel · Alerte de sécurité L'alerte CVE-2026-20320 — Cisco BroadWorks Une vulnérabilité XXE (XML External Entity) dans l'analyseur XML […]
CVE-2026-89103 — SAP Gateway : Broken Access Control, actions non autorisées par un attaquant non authentifié
Threat Intel · Alerte de sécurité L'alerte CVE-2026-89103 — SAP Gateway SAP Gateway active la liste de contrôle d'accès (Access […]
CVE-2026-110936 — Siemens Software Center : chargement de DLL depuis un chemin non contrôlé
Threat Intel · Alerte de sécurité L'alerte CVE-2026-110936 — Siemens Software Center Siemens Software Center antérieur à V4.0.9.8 charge des […]
CVE-2026-124194 — Microsoft Office Outlook : absence d’avertissement pour action non sécurisée
Threat Intel · Alerte de sécurité L'alerte CVE-2026-124194 — Microsoft Office Outlook Microsoft Outlook dans plusieurs éditions (Microsoft 365 Apps […]
CVE-2026-120017 — SAP NetWeaver AS ABAP et ABAP Platform : contournement d’authentification SAML2
Threat Intel · Alerte de sécurité L'alerte CVE-2026-120017 — SAP NetWeaver AS ABAP and ABAP Platform (SAML2 Service Provider) SAP […]
CVE-2026-123218 — IBM Aspera Faspex : contournement d’autorisation permettant l’escalade de privilèges
Threat Intel · Alerte de sécurité L'alerte CVE-2026-123218 — Aspera Faspex IBM Aspera Faspex 5.0.0 à 5.0.19 contient une vulnérabilité […]
CVE-2026-116606 — Barracuda Email Security Gateway : contournement d’authentification et restauration de configuration
Threat Intel · Alerte de sécurité L'alerte CVE-2026-116606 — Barracuda Email Security Gateway (ESG) Une faille de contournement d'authentification dans […]
CVE-2026-109798 — SAP BusinessObjects Business Intelligence : injection XXE dans Web Intelligence
Threat Intel · Alerte de sécurité L'alerte CVE-2026-109798 — SAP BusinessObjects Business Intelligence Platform (Web Intelligence) SAP BusinessObjects Business Intelligence […]
CVE-2026-109803 — SAP NetWeaver Knowledge Management : injection de code via transformations XSL
Threat Intel · Alerte de sécurité L'alerte CVE-2026-109803 — SAP NetWeaver Knowledge Management (XML Forms) SAP NetWeaver Knowledge Management (XML […]
CVE-2026-123158 — OpenSSH : contournement d’authentification par mot de passe sur musl libc
Threat Intel · Alerte de sécurité L'alerte CVE-2026-123158 — OpenSSH OpenSSH avant 10.6p2 sur Linux avec musl libc et sans […]
MISP v2.5.51 — MISP 2.5.51 — mise à jour otphp et suppression de composants
Veille SOC · Renseignement sur la menace Le sujet MISP v2.5.51 MISP 2.5.51 consolide la base de code via des […]
CVE-2026-111560 — Barracuda : injection de commandes OS via champ timezone authentifié
Threat Intel · Alerte de sécurité L'alerte CVE-2026-111560 — Barracuda Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), […]
Wazuh v4.14.10 : durcissement du manager, gestion mémoire et correctifs de détection
Cette version corrective renforce la stabilité du manager face aux surcharges et corrige plusieurs failles de sécurité dans les modules d'ingestion et d'analyse.
CVE-2026-19868 — SonicWall SonicOS SSLVPN : contournement d’authentification SAML
Threat Intel · Alerte de sécurité L'alerte CVE-2026-19868 — SonicOS Une faille d'authentification dans le service SSLVPN de SonicOS permet […]
CVE-2026-125350 — Chrome : faille Use-After-Free dans le composant XML permettant l’exécution de code
Threat Intel · Alerte de sécurité L'alerte CVE-2026-125350 — Chrome Google Chrome avant la version 157.0.8103.50 contient une faille Use-After-Free […]
DSA-6583-1 libheif – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
Semgrep v1.184.0 : journalisation JSON d’exécution et détection affinée des dépendances
Terminal affichant une analyse Semgrep (« semgrep scan –config auto ») avec résultats détaillés incluant des findings de sécurité comme « express-check-csrf-middleware-usage » et […]
Syft v1.57.0 : capture des build IDs ELF et optimisation du scan de couches
Terminal affichant la commande « syft clashapp/qa-page | head » avec un tableau de paquets listant NAME, VERSION et TYPE (ex. adduser, […]
DefectDojo 3.5.0 : optimisation de l’ingestion Qualys et filtrage des vulnérabilités
Le sujet DefectDojo 3.5.0 Cette version 3.5.0 optimise le traitement des rapports Qualys volumineux et affine le filtrage des vulnérabilités […]
CVE-2026-111357 — Connect Secure : élévation de privilèges
CVE-2026-111357 affecte Ivanti Connect Secure 22.8R2.4 : une confiance incorrecte du broker dsinvoked envers les données de configuration DSCache permet […]
CVE-2026-119977 — WordPress : exécution de code
CVE-2026-119977 concerne les installations WordPress Core des branches vulnérables entre 4.7 et 7.1.3 : un attaquant non authentifié peut exécuter […]
CVE-2026-76418 — Cisco Secure Firewall Adaptive Security Appliance (ASA) Software : déni de service
CVE-2026-76418 touche le VPN SSL d’accès distant de Cisco Secure Firewall ASA et FTD : un attaquant distant non authentifié […]
NetBird v0.82.0 : stabilisation du routage HA et isolation des journaux de proxy
Schéma d’architecture du produit NetBird montrant un fournisseur d’identité (ex. Okta), un bloc « managed or selfhosted » avec les modules Management, […]
Grype v0.121.1 : optimisation de db diff, indexation d’exclusions et correction go-jose
Terminal affichant la commande « grype clashapp/qa-page | head » avec un tableau de vulnérabilités (NAME, INSTALLED, VULNERABILITY, SEVERITY) listant des CVE […]
OpenCTI 7.261030.1 : préservation des règles d’obsolescence et des indicateurs
Tableau de bord d’une plateforme de threat intelligence (type OpenCTI) avec compteurs (Threat actors, Intrusion sets, Campaigns, Malware, Indicators, Observables) […]
Falco 0.45.2 : durcissement cryptographique OpenSSL et mise à jour des certificats
La version 0.45.2 de Falco sécurise les communications en intégrant OpenSSL 3.5.9 LTS au niveau TLS 2 et en actualisant […]
CrowdSec v1.8.2 : limitation de débit du WAF et empreinte JavaScript pour bots
La version v1.8.2 de CrowdSec introduit la limitation de débit dans son composant WAF et intègre la prise d'empreintes JavaScript […]
CVE-2026-109619 — PHP : exécution de code
CVE-2026-109619 permet une divulgation de mémoire et une exécution de code à distance sans authentification, avec les privilèges du worker […]
CVE-2026-109618 — PHP : exécution de code
CVE-2026-109618 permet une exécution de code à distance sans authentification sous le compte du processus web PHP. L'exploitation a été […]
CVE-2026-0322 — PAN-OS : exécution de code
CVE-2026-0322 permet à un attaquant authentifié disposant d’un accès réseau à l’interface d’administration PAN-OS d’exécuter du code arbitraire avec les privilèges root sur le pare-feu.
OpenSearch 2.19.7
OpenSearch est un moteur distribué de recherche et d'analyse de données textuelles et de journaux. La version 2.19.7 apporte des correctifs de sécurité et de robustesse limitant les dépassements de pile et les saturations…
Organiser le renseignement sur les cybermenaces avec OpenCTI
OpenCTI organise des connaissances et des observables sur les cybermenaces pour les relier et les rendre exploitables. Il apporte du […]
Falco 0.45.1 : trois correctifs pour la continuité de supervision
Falco 0.45.1 est à considérer comme une version de robustesse, non comme une nouvelle capacité de détection. Les correctifs annoncés concernent la configuration des paquets, la reprise des écritures d’alertes et un arrêt possible…
CVE-2025-61624 : écriture ou suppression de fichiers sur plusieurs produits Fortinet
Selon la CISA, un attaquant authentifié disposant d’un profil administrateur et de droits au moins en lecture-écriture peut écrire ou supprimer des fichiers via certaines commandes CLI.
CVE-2026-76519 — Cisco Secure Email Gateway : Cisco Secure Email Gateway Relative Path Traversal Vulnerability
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
CVE-2026-104935 — Ivanti Connect Secure : Ivanti Connect Secure Authentication Bypass by Spoofing Vulnerability
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6548-1 node-shell-quote – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6549-1 xz-utils – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
CVE-2026-96951 — Microsoft Windows : Microsoft Windows Command Injection Vulnerability
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6550-1 ghostscript – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6551-1 tor – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6552-1 vips – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6553-1 chromium – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6555-1 librsvg – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6554-1 keystone – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6557-1 ntfs-3g – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
DSA-6556-1 nagios4 – security update
Extraits originaux attribués ; aucune traduction ni conseil ajouté.
Microsoft publie un correctif hors bande pour la faille CVE-2026-96940 dans Exchange Server
Selon IT-Connect citant l'éditeur, Microsoft a publié une mise à jour hors bande corrigeant la vulnérabilité CVE-2026-96940 affectant Exchange Server. Cette faille permet à un attaquant authentifié d'accéder aux boîtes aux lettres d'autres utilisateurs…
Appareils non gérés : IT-Connect distingue authentification et vérification du terminal
Selon IT-Connect, la MFA ne renseigne pas sur la sécurité du terminal utilisé. L’article distingue la gestion de l’appareil de la vérification de sa posture et recommande une réévaluation pendant la session. Il inclut…
Selon ZATAZ, FLOCKER relance son recrutement d’affiliés avec des capacités non vérifiées
Selon ZATAZ, une annonce de FLOCKER publiée début octobre 2026 propose une affiliation avec une commission annoncée de 90 % et un droit d’entrée de 170 dollars. Les outils revendiqués visent Windows, Linux et…
Selon ZATAZ, le Japon a remis à l’Allemagne un suspect lié au rançongiciel Qilin
Selon ZATAZ, un ressortissant russe soupçonné d’un rôle central dans Qilin a été remis à l’Allemagne le 2 octobre 2026. L’enquête concerne une attaque de septembre 2024 contre une entreprise allemande de logistique.
Selon IT-Connect, le Galaxy S26 compromis trois fois au premier jour de Pwn2Own Ireland 2026
Selon IT-Connect, trois démonstrations d’exploitation ont compromis le Samsung Galaxy S26 lors de la première journée de Pwn2Own Ireland 2026. Les chaînes utilisées combinaient des failles nouvelles et des problèmes déjà connus.
Debian 13 : selon IT-Connect, une mise à jour du noyau corrige plus de 1 300 vulnérabilités
Selon IT-Connect, Debian a publié le noyau 6.12.111-1 pour corriger plus de 1 300 vulnérabilités sur Debian 13. Le média indique que le bulletin ne précise ni les failles les plus sévères ni leur…
CrowdStrike annonce une visibilité sur les services tiers et des plans de remédiation assistés par IA
CrowdStrike annonce que Falcon Cloud Security identifie les intégrations avec des services tiers et propose des plans de remédiation priorisés, assistés par IA. Ces capacités sont décrites par l’éditeur et ne sont pas recoupées…
CrowdStrike annonce la disponibilité de Falcon Data Security for SaaS pour Microsoft 365
CrowdStrike annonce la disponibilité générale de Falcon Data Security for SaaS pour SharePoint, OneDrive et Copilot. L’éditeur décrit des fonctions de classification, de protection par étiquettes Microsoft et d’intégration au SIEM. Ces capacités ne…
CrowdStrike rapporte un contournement des classificateurs de sécurité par combinaison de requêtes
CrowdStrike affirme avoir contourné un classificateur de sécurité en décomposant des objectifs offensifs en requêtes bénignes, puis en assemblant les réponses avec un autre modèle. Ces résultats annoncés par l’éditeur ne sont pas recoupés…
Le CERT Santé et le CERT-FR signalent des vulnérabilités critiques dans des solutions de santé
Le CERT Santé et le CERT-FR rapportent la présence de vulnérabilités critiques facilement exploitables depuis Internet dans plusieurs solutions de santé. Ils soulignent des impacts potentiels sur les données, la continuité des soins et…
OpenSSH : plusieurs vulnérabilités signalées par le CERT-FR
Le CERT-FR signale plusieurs vulnérabilités dans OpenSSH. Certaines permettent une exécution de code arbitraire à distance, une élévation de privilèges et une atteinte à la confidentialité des données.
Suricata : l’OISF soutient Vectorscan, son moteur de recherche de motifs
L’OISF lance une collaboration pilote avec VectorCamp pour soutenir Vectorscan, le moteur open source derrière le chemin de détection le plus rapide de Suricata.
CrowdSec dévoile « PaperPhone », un réseau de bots réparti sur 43 pays
Grâce à la détection de bots arrivée avec CrowdSec 1.8.0, l’éditeur a identifié « PaperPhone » : un réseau coordonné de navigateurs sans interface utilisant environ 75 000 IP dans 43 pays et des…
Noyau Linux de Debian et d’Ubuntu : deux avis CERT-FR à appliquer
Le 2 octobre 2026, le CERT-FR a publié deux avis sur le noyau Linux de Debian et d’Ubuntu : élévation de privilèges, fuite de données et déni de service, et pour Ubuntu exécution de…
Zammad : deux failles chaînées, de la session volée au compte root
Le 2 octobre 2026, la CISA a inscrit deux vulnérabilités de l’outil de ticketing Zammad à son catalogue KEV. Chaînées, elles mènent d’une fixation de session à l’exécution de code puis aux droits root.
Citrix NetScaler : un déni de service ajouté au catalogue KEV
La CISA a ajouté le 4 octobre 2026 la CVE-2026-88779 de Citrix NetScaler ADC et Gateway à son catalogue des vulnérabilités exploitées : une erreur de gestion mémoire qui permet un déni de service.
Cisco Catalyst SD-WAN : la CVE-2026-76504 est activement exploitée
Le CERT-FR relaie une vulnérabilité de Cisco Catalyst SD-WAN permettant de contourner la politique de sécurité. Cisco indique qu’elle est activement exploitée ; des correctifs existent pour toutes les branches.
Suricata 8.0.7 corrige quatre failles : contournement HTTP/2 et dénis de service
Le 29 septembre 2026, l’OISF a publié quatre avis de sécurité pour Suricata, tous corrigés en version 8.0.7 : un contournement de l’inspection HTTP/2 et trois dénis de service (SMB1, NFS, LDAP).
Zyxel GS1900 et Veeam Agent : deux failles activement exploitées
Un débordement de tampon dans les switchs Zyxel GS1900 (ajouté au catalogue KEV le 21 septembre) et une élévation de privilèges dans Veeam Agent for Windows sont exploités. Deux rappels : isoler l’administration réseau…
SharePoint CVE-2026-65660 : une « usurpation » qui cachait une exécution de code
Présentée par Microsoft comme une simple usurpation (CVSS 6.5), la CVE-2026-65660 permet en réalité une exécution de code à distance authentifiée sur SharePoint Server (8.8 au NVD). Un exploit est désormais public.
WordPress « Comment2Shell » : d’un commentaire anonyme à un web shell
Une faille du cœur de WordPress (4.7 à 7.1) transforme un commentaire anonyme en script exécuté dans la session d’un administrateur, jusqu’à l’installation d’un web shell. Corrigée en 7.1.1.
Faux LastPass Authenticator : un pilote signé pour neutraliser 145 antivirus et EDR
Un faux dépôt GitHub bien référencé distribue un installeur LastPass piégé. Il charge un pilote noyau signé (technique BYOVD) qui arrête 145 outils de sécurité avant de voler mots de passe et portefeuilles crypto.
Metabase : injection SQL sans authentification, nombreuses compromissions
Une injection SQL sur le chemin de réinitialisation de mot de passe de Metabase donne les droits administrateur sans compte. Le CERT-FR signale de nombreuses instances compromises et fournit une signature de détection simple.
SonicWall SMA 1000 : SSRF et exécution de code activement exploitées
Deux vulnérabilités des passerelles d’accès distant SonicWall SMA 1000 sont exploitées : un SSRF sans authentification et une exécution de code. Patcher ne suffit pas, il faut traiter l’hypothèse de compromission.
Active Directory : surveiller le Kerberoasting
Le Kerberoasting permet à tout utilisateur du domaine de demander des tickets de service et de casser hors ligne le mot de passe des comptes de service.
CVSS, EPSS et KEV : prioriser les correctifs sans se noyer
Le score CVSS mesure la gravité théorique ; EPSS estime la probabilité d’exploitation et le catalogue KEV confirme l’exploitation réelle. Les trois ensemble permettent de prioriser.
Sigma : écrire des règles de détection portables entre SIEM
Sigma est aux journaux ce que YARA est aux fichiers : un format YAML générique, converti ensuite vers la syntaxe de chaque SIEM.
MITRE ATT&CK : cartographier la couverture de détection d’un SOC
ATT&CK décrit les tactiques et techniques des attaquants ; s’en servir pour cartographier ses règles de détection révèle immédiatement les angles morts.
Observabilité : la stack Prometheus + Loki + Grafana
La stack PLG unifie métriques et journaux avec une empreinte mémoire modeste, idéale pour un laboratoire de plusieurs machines virtuelles.
NIS2 et secteur santé : de nouvelles obligations de cybersécurité
La directive NIS2 élargit fortement le périmètre des entités régulées, dont de nombreux acteurs de la santé, et impose gouvernance, gestion des incidents et notification rapide.
Active Response de Wazuh : automatiser la réponse à incident
L’Active Response déclenche automatiquement des actions correctives sur les agents Wazuh ; bien paramétrée, elle réduit fortement le délai entre détection et confinement.
CrowdSec : la détection collaborative face aux EDR commerciaux
CrowdSec construit une réputation d’adresses IP de manière collaborative : une attaque détectée quelque part protège toute la communauté.
Suricata en mode IPS inline : NFQUEUE ou AF_PACKET ?
Comparaison des deux modes d’inspection inline de Suricata : NFQUEUE pour l’intégration fine avec nftables, AF_PACKET pour la performance brute.
DNS sinkholing avec BIND9 RPZ : bloquer les domaines malveillants dès la résolution
Les Response Policy Zones transforment un résolveur BIND9 en première ligne de défense en neutralisant les domaines malveillants avant toute connexion.
Wazuh vs ELK Stack : quel SIEM open source pour centraliser les logs ?
Wazuh apporte corrélation, HIDS et réponse active prêts à l’emploi ; la stack ELK reste plus souple pour la recherche de logs et les tableaux de bord sur mesure.
Aucun article ne correspond à ces filtres.