Ep.799 - Check Point, UnrealIRCd - Flash info du vendredi 13 novembre 2026
RadioCSIRT · 13 nov. 2026 · 11:41
RadioCSIRT · 13 nov. 2026 · 11:41
Écoutez dans l'app Podli 🎧
Suivez vos podcasts préférés, écoutez hors ligne et en voiture avec CarPlay et Android Auto, et reprenez toujours là où vous en étiez. Essai gratuit.
🛡️ Check Point, CVE-2026-123039, zero-day inscrite au KEV le 13 novembre : le daemon DynamicCLI de Gaia OS (dynamic_server) tourne en root et écoute sur /tmp/dynamic_socket, ouvert en écriture à tous, sans authentifier les processus (élévation de privilèges locale, T1068). Produits touchés : Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway, Security Management Server ; CVSS non communiqué par l'éditeur ; PoC public sur Sploitus. Chaîne observée contre deux douzaines de clients depuis fin octobre : PHP2Shell (CVE-2026-109618 et CVE-2026-109619) sur le portail Mobile Access, root via CVE-2026-123039, web shells PHP, backdoor TSGA et TSProxy, puis wiper destroy_v6 sur VMware ESXi (T1485) ; attribution non établie (lien prudent avec PhiliKit, associé par ESET à UNC5221 ; faux drapeau possible). Hotfixes d'urgence (sk1000362) et Jumbo Hotfix de novembre ; à défaut, arrêt de dynamic_server et blocage de son redémarrage, puis recherche des commandes hors wrapper Clish.
🐛 UnrealIRCd, CVE-2026-114713, CVSS 8,6 (fiche CVE), jugée critique par le projet, CWE-140, improper neutralization of delimiters, inscrite au KEV le 13 novembre : le module labeled-response n'échappe pas la balise IRCv3 « label », ce qui permet d'injecter des commandes serveur à serveur exécutées avec l'autorité du serveur ou d'un IRCOp (KILL, GLINE) sur un réseau d'au moins deux serveurs reliés (T1190). Versions 6.0.0 à 6.2.7 touchées, ainsi qu'UnrealIRCd 5 en fin de vie ; correctif 6.2.7.1 (neuf failles), hot-patch bundle-20261107 sans redémarrage, et règle spamfilter contre les labels invalides pour les serveurs 6.0.4 et ultérieurs.
🤖 Flash alert du FBI sur ARTEX : automatisation de la reconnaissance à l'exfiltration, accès privilégié parfois atteint en moins de trois heures, plus de 1 600 consoles exposées selon Censys, forks, copies archivées et version commerciale en circulation (T1588.007). Modèles chinois dominants, famille DeepSeek Flash en tête ; secteurs visés : finance, administrations, technologie, défense, semi-conducteurs, énergie, santé, industrie, télécoms et juridique. Amazon décrit un vol de clés d'accès aux modèles d'IA autofinancé et un contournement KYC par injection de deepfake ; le Wall Street Journal rapportait le 21 octobre environ 80 entreprises japonaises visées selon GMO Cybersecurity by Ierae.
📈 SentinelOne : au moins cinq acteurs ou clusters utilisent ARTEX depuis fin août, du groupe d'espionnage VAPOR PANDA à Storm-3358 basé au Cambodge ; campagnes à 145 à 1 500 dollars de calcul, outils en configuration par défaut. Proxys résidentiels (T1090.002), 79 adresses de sortie pour 100 identités échantillonnées ; activité contre des institutions de l'UE très probablement liée à ARTEX selon le CERT-EU. Mesures mises en avant : rotation des secrets, push protection GitHub, alertes Entra ID AADSTS7000215 et AADSTS7000222, couverture EDR complète.
🤖 Cisco Talos : architecture planificateur, exécutants et graphe partagé ; extension MCP qui explique la présence de VShell, GoPhish et AdaptixC2. Plus de 2 500 IP de C2 associées à ARTEX, avec ScopeWeaver, AntiFox, CyberStrikeAI, PentAGI, ScopeSentry, Mimikatz et Cobalt Strike observés aux mêmes périodes ; plus de 700 instances PentAGI joignables ; incident Dosu à plus de 80 000 requêtes en 90 minutes. Couverture Snort publiée pour ARTEX, AdaptixC2, VShell et Fscan.
🔓 Unit 42 : accès cloud obtenus via des pages de réinitialisation de mot de passe et des API exposées, sans exploitation de faille logicielle. Traits de comportement : rafales d'une à 14 requêtes puis pause de 25 à 31 secondes, pivot en moins d'une minute, plus de 200 secrets clients validés en trois minutes, entrées canari, boucles de revérification toutes les 48 secondes. En octobre, 609 hôtes ARTEX et 1 323 hôtes CyberStrikeAI exposés, dont 21 avec les deux.
Sources :
