Ep.789 - NIST, noyau Linux - Flash info du lundi 2 novembre 2026

RadioCSIRT

00:00 /

🎙️ Le NIST publie le CSWP 50, Small Business Cybersecurity: Non-Employer Firms, signé par Daniel Eliot, Jeffrey A. Marron et Savann Thorn, qui remplace le NISTIR 7621 révision 1 de 2016. Le guide adapte le CSF 2.0 aux entreprises sans salarié, plus de 28 millions aux États-Unis, avec pour chaque action la justification, les premiers pas et les évolutions à prévoir quand l’entreprise grandit ; les annexes D à J, dont trois cas fictifs, sont publiées dans un classeur séparé. Parmi les premières mesures : MFA résistante au phishing, phrases de passe d’au moins 15 caractères, sauvegardes testées, changement des mots de passe par défaut et logiciels à jour. Une note précise qu’un décret présidentiel du 29 septembre 2026 impose aux agences fédérales « super intelligence » à la place d’« intelligence artificielle ».

🐧 CVE-2026-98432, use after free dans le noyau Linux 4.4 et suivants : lors de l’établissement d’une connexion TCP en IPv4, la nouvelle socket reprend sans les copier les options IP de la demande, qui peuvent être libérées pendant qu’un autre processeur construit un SYNACK ; score CVSS de 9,8 selon l’équipe CVE du noyau, 5,9 chez Red Hat. Anthropic indique qu’un modèle Claude de recherche non publié a obtenu le root à distance sur un serveur doté d’un listener MPTCP, sans publier l’exploit ni la configuration ; CloudLinux n’a pas reproduit le résultat, aucune exploitation n’était signalée au 29 octobre. Correctif amont dans les noyaux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 et 7.3 ; noyaux Amazon Linux 2 et 2023 disponibles, AMI EKS et ECS 20261031, Ubuntu 16.04 à 20.04 sans correctif et RHEL 8 à 10 sans noyau corrigé à la date de l’article. En attendant le redémarrage sur un noyau corrigé, AWS propose de désactiver MPTCP (net.mptcp.enabled=0, GODEBUG=multipathtcp=0 pour Go 1.24 et suivants) et de rejeter les paquets IPv4 porteurs d’options IP.

🪟 FortiGuard Labs attribue avec un haut niveau de confiance au groupe BITTER une campagne contre des organisations d’Asie du Sud, en trois chaînes : raccourci LNK qui détourne ftp.exe pour exécuter un script et créer des tâches planifiées (T1053.005), image VHDX avec leurre Excel et installeur MSI, raccourci URL qui récupère un LNK par WebDAV puis un MSI lancé par msiexec (T1218.007). PapRAT, écrit en C++ puis en Rust, se présente comme bruzsvc.exe de Microsoft, masque sa configuration par XOR ou par ROT-3 inversé et accepte huit commandes, onze dans la version Rust qui ajoute PowerShell, la mise en sommeil et l’arrêt. Dans la troisième chaîne, PapRAT a livré WmRAT sous le nom vnces.exe. Fortinet publie les IOC et les signatures LNK/Agent.BC!tr, LNK/Agent.F!tr, W64/PapRAT.A!tr et W32/WmRAT.A!tr.

💾 Synology alerte depuis le jeudi 29 octobre sur l’exploitation, contre des NAS sous DSM non à jour, d’une faille corrigée en décembre 2024 qu’il ne nomme pas ; son avis renvoie au bulletin de novembre 2024 qui couvre la CVE-2024-10441 (exécution de code), la CVE-2024-50629 (lecture de fichiers) et la CVE-2024-10445 (écriture de fichiers). Versions corrigées : DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 et 6.2.4-25556-8 ou ultérieures. Le ransomware C3RB3R chiffre les fichiers (T1486), ajoute l’extension .L0CK3D et dépose la note read-me3.txt ; Shadowserver recense plus de 380 000 NAS Synology exposés à Internet. Synology recommande d’activer les mises à jour automatiques, BleepingComputer de bloquer l’accès Internet à l’interface d’administration.

📱 Le Threat Intelligence Group de Google attribue avec un haut niveau de confiance à Videostrong Technology Co. le botnet XCPE, plus de 1,3 million de boîtiers Android TV dont le firmware embarque les backdoors x.cpe et com.oemservice, exécutées avec les privilèges système, pilotées par un broker MQTT et revendues à des affiliés pour des proxies résidentiels, de la fraude publicitaire et d’autres backdoors (Moyu, Spirit, Bird). Le démantèlement, mené avec l’Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI, coupe aussi l’accès à au moins 10 millions d’autres appareils infectés par une douzaine de familles liées. Google révoque la licence Android TV de Videostrong et lui interdit de produire des appareils certifiés ou de fournir du logiciel à des fabricants certifiés. Le malware n’est pas retiré des appareils et se réinstalle depuis la partition /oem/ : seul un firmware propre l’élimine.

📡 Johannes Ullrich (SANS Internet Storm Center) décrit le multipath TCP, défini par la RFC 8684 et signalé par l’option TCP 30, en versions 0 et 1, qu’il observe surtout entre iOS et le réseau 17.0.0.0/8 d’Apple. Détection : filtre mptcp dans Wireshark, mot-clé tcp.hdr dans Suricata sur les octets 1e 14 00 ou 1e 14 01 de l’option MP_CAPABLE, événement tcp_option dans Zeek, heuristique de longueur d’en-tête tcp[12]>0xd0 dans tcpdump. Snort ne dispose d’aucun mot-clé pour inspecter les options TCP.

🔓 Ivanti a mis à jour le 29 octobre son avis sur Connect Secure : la CVE-2026-111357, absence d’authentification sur une fonction critique, avec un score CVSS de 8,8, donne le root, et la CVE-2026-118527, identifiant prévisible, avec un score CVSS de 4,3, permet de déposer un fichier à un emplacement connu ; avec la CVE-2026-104935, elles forment la chaîne exploitée depuis le 3 octobre par UTA0576 selon Volexity. Les versions corrigées sont 25.1.1.3 et 22.8R2.6. La CISA a inscrit les deux failles au catalogue KEV le 30 octobre, avec des échéances fédérales au 2 et au 13 novembre au titre de la directive BOD 22-01. Selon GBHackers, l’attaquant a visé les mots de passe LAPS et les clés BitLocker sans web shell, par exploitation pour l’élévation de privilèges (T1068), et un contrôle d’intégrité propre n’exclut pas une compromission.

Sources :

Self-Employed? Solopreneur? NIST Has a Cybersecurity Guide Just for You. NIST : https://www.nist.gov/news-events/news/2026/11/self-employed-solopreneur-nist-has-cybersecurity-guide-just-you
Small Business Cybersecurity: Non-Employer Firms, NIST CSWP 50. NIST : https://doi.org/10.6028/NIST.CSWP.50
Critical Linux kernel TCP vulnerability can allow remote code execution (CVE-2026-98432). Aikido : https://www.aikido.dev/blog/linux-kernel-tcp-rce-vulnerability-cve-2026-98432
BITTER Expands Its Arsenal with PapRAT. Fortinet FortiGuard Labs : https://www.fortinet.com/blog/threat-research/bitter-expands-its-arsenal-with-paprat
Synology warns of C3RB3R ransomware attacks targeting NAS devices. BleepingComputer : https://www.bleepingcomputer.com/news/security/synology-warns-customers-of-ongoing-c3rb3r-ransomware-attacks/
Google disrupts million-device XCPE Android malware botnet, bans TV box maker. BleepingComputer : https://www.bleepingcomputer.com/news/security/google-disrupts-million-device-xcpe-android-malware-botnet-bans-tv-box-maker/
Mutipath TCP: Use and Detection. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33482
Hackers Exploit Ivanti Connect Secure Zero-Day Vulnerabilities to Gain Root Access and Steal Credentials. GBHackers : https://gbhackers.com/hackers-exploit-ivanti-connect-secure-zero-day-vulnerabilities/
U.S. CISA adds Ivanti Connect Secure flaws to its Known Exploited Vulnerabilities catalog. Security Affairs : https://securityaffairs.com/202175/security/u-s-cisa-adds-ivanti-connect-secure-flaws-to-its-known-exploited-vulnerabilities-catalog.html

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #NIST #CSF #SmallBusiness #Linux #Kernel #MPTCP #Aikido #Anthropic #Fortinet #FortiGuard #BITTER #PapRAT #WmRAT #APT #Synology #NAS #DSM #Ransomware #C3RB3R #Google #Android #AndroidTV #Botnet #XCPE #Videostrong #SANS #ISC #Ivanti #ConnectSecure #Volexity #CISA #KEV #CVE-2026-98432 #CVE-2024-10441 #CVE-2024-50629 #CVE-2024-10445 #CVE-2026-111357 #CVE-2026-118527 #RadioCSIRT

Ep.789 – NIST, noyau Linux – Flash info du lundi 2 novembre 2026