Ep.791 - Zyxel GS1900, noyau Linux - Flash info du mercredi 4 novembre 2026

RadioCSIRT

00:00 /

🐛 Zyxel corrige la CVE-2026-107441, écriture hors limites dans l’interface web d’administration de dix modèles de commutateurs GS1900, exploitable sans authentification par requête HTTP forgée, qui contourne le correctif du 16 juin de la CVE-2026-7273 par corruption du compteur de paramètres avant sa validation. GreyNoise a observé l’exploitation dès le 17 août environ par Kapibala, threat actor sinophone présumé lié à la campagne Red Heron : 996 commutateurs compromis dans 48 pays, avec collecte des configurations, des hashs des identifiants root et des informations réseau ; exploitation d’une application exposée, technique T1190. Binarly a retrouvé l’exploit sur l’infrastructure Red Heron, liée à la backdoor JITTERLY et au rootkit SIXZUT, l’a signalé le 29 septembre, et Zyxel a confirmé la faille le 11 octobre. Firmwares corrigés publiés le 22 octobre et avis du 3 novembre 2026 ; BleepingComputer ne donne pas les numéros de version corrigés et conseille d’installer les derniers firmwares.

📈 Linus Torvalds a publié la version 7.4-rc1 du noyau Linux : 19 671 commits dans la fenêtre de fusion selon le décompte de Phoronix, contre 7 620 pour la version 3.1, et près de 42 millions de lignes. Il attribue ce volume au flot de travaux déclenchés par l’IA, qu’il préfère voir arriver à ce stade plutôt qu’en correctifs pendant les versions candidates, et à l’attente d’une 7.4 en version à support long terme. Selon Neowin, un tiers des modifications porte sur des décalages de registres et des masques de bits des processeurs graphiques AMD, et la 7.4-rc1 est la première de sept ou huit versions candidates. La version finale est attendue en décembre 2026.

🐧 Canonical corrige la CVE-2026-109518 d’APT, découverte par Max Justicz, avec un score CVSS 4.0 de 7,7 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) : un attaquant en position d’homme du milieu sur le trafic HTTP d’APT, technique T1557, fait installer un paquet .deb qui échoue à la vérification de signature et obtient les privilèges root par ses scripts d’installation ; un miroir malveillant peut faire de même. Ubuntu 22.04 et les versions suivantes sont exposées par défaut, les versions antérieures seulement si Acquire::Retries est différent de 0 ; le HTTPS protège et les paquets snap ne sont pas concernés. Versions corrigées (USN-8996-1) : 1.0.1ubuntu2.24+esm4 pour la 14.04, 1.2.36+esm1 pour la 16.04, 1.6.19+esm1 pour la 18.04, 2.0.12+esm1 pour la 20.04, 2.4.15ubuntu0.1 pour la 22.04, 2.8.4ubuntu0.1 pour la 24.04, 3.2.1ubuntu0.1 pour la 26.04, et 3.3.3ubuntu0.1 en cours de publication pour la 26.10. Canonical recommande d’installer la mise à jour avec Acquire::Retries=0 et de passer les sources APT en HTTPS quand le chemin réseau n’est pas sûr.

🪟 ESET attribue à SlippyNunchucks, groupe aligné sur la Chine et actif depuis septembre 2023, une campagne de surveillance lancée le 1er juillet 2026 contre des organisations et des sinophones à Hong Kong, en Thaïlande, au Japon, au Vietnam, à Oman et au Sri Lanka. Le groupe falsifie la résolution DNS du serveur de configuration que Sogou Input Method pour Windows interroge en HTTP, livre une configuration piégée, puis charge DarkVigil (alias FDMTP) par DLL sideloading derrière un exécutable légitime d’Adobe ; détournement du flux d’exécution, technique T1574, et C2 sur le protocole DMTP. Tencent corrige la CVE-2026-120422 dans la version 16.10 du 29 octobre 2026, qui passe ces requêtes en HTTPS. ESET ne relève aucun recoupement tactique avec Mustang Panda, et Gen Digital a signalé en septembre l’exploitation par UNC3569 d’une autre faille de Sogou, la CVE-2026-51990, pour livrer la backdoor GRAYRABBIT.

🚨 L’agence américaine CISA a inscrit le 3 novembre 2026 au catalogue KEV la CVE-2026-119977 du cœur de WordPress : lors d’une mise à jour complète, les fichiers et l’installateur sont décompressés dans un répertoire prévisible sous wp-content/upgrade/, qu’un attaquant non authentifié peut atteindre pour aller jusqu’à l’exécution de code PHP. Wordfence, qui a attribué la CVE, la note avec un score CVSS de 8,1 à complexité élevée et la classe en CWE-367, race condition entre le contrôle et l’utilisation ; WordPress la classe en gravité faible, et Wordfence a bloqué 62 969 tentatives en 24 heures sans signaler de compromission réussie. WordPress corrige la faille en 7.1.4 le 28 octobre 2026 et sur toutes les branches jusqu’à la 4.7.39 ; les versions 4.6 et antérieures ne reçoivent aucun correctif. Wordfence recommande de vérifier que la mise à jour s’est faite et de chercher des requêtes vers des fichiers PHP sous wp-content/upgrade/, ainsi que des comptes administrateur, des extensions ou des fichiers PHP inconnus.

📡 Johannes Ullrich, du SANS Internet Storm Center, relève sur les honeypots une reprise des scans vers des scripts d’envoi de courriel, sur sept chemins dont le nom évoque un test d’envoi ou une configuration de messagerie ; scan actif, technique T1595. Les noms en « test » visent des scripts de développement laissés en ligne, comme un script qui prend le destinataire dans un paramètre d’URL et lui envoie des variables du serveur. Il rapproche ces scans de la CVE-2000-0411, un ancien script CGI d’envoi de courriel, et recommande d’attraper ces fichiers au déploiement ; le scan de ses propres serveurs reste un contrôle d’appoint.

🤖 Anton Chuvakin applique la défense en profondeur à l’IA à partir de trois principes de Phil Venables : duplication sans cause commune de défaillance, contrôle de détection pour chaque contrôle préventif, suivi de la couche où les attaques sont arrêtées. Selon lui, des garde-fous LLM empilés échouent ensemble, d’où la diversité de la question plutôt que du modèle, des contrôles déterministes hors de la fenêtre de contexte et des barrières synchrones sur les actions irréversibles des agents, avec une supervision par IA asynchrone pour le reste. Face aux attaquants dotés d’IA, il recommande d’investir dans le confinement derrière la bordure : segmentation, contrôle des flux sortants, détection et reprise rapide. L’auteur, employé de Cisco, invite lui-même à minorer de 20 % son plaidoyer pour la segmentation.

Sources :

Zyxel fixes zero-day exploited to hack nearly 1,000 network switches. BleepingComputer : https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/
Linux 7.4 is « Much Healthier » Thanks to AI. Linux Magazine : https://www.linux-magazine.com/Online/News/Linux-7.4-is-Much-Healthier-Thanks-to-AI
Linux 7.4-rc1 rolling out with a massive merge window driven heavily by AI. Neowin : https://www.neowin.net/news/linux-74-rc1-rolling-out-with-a-massive-merge-window-driven-heavily-by-ai/
CVE-2026-109518 APT vulnerability fixes available. Canonical Ubuntu : https://ubuntu.com/blog/apt-vulnerability-fixes-available
China-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor. The Hacker News : https://thehackernews.com/2026/11/china-aligned-hackers-hijack-sogou.html
CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog
A race condition during core updates that could lead to remote code execution. WordPress : https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-4w3m-c66w-69mg
WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours. The Hacker News : https://thehackernews.com/2026/10/wordpress-rce-flaw-draws-nearly-63000.html
WordPress Core 7.1.4 Fixes an Unauthenticated Upgrade-Window Race RCE (CVE-2026-119977). Rescana : https://www.rescana.com/post/wordpress-core-7-1-4-upgrade-staging-race-rce
The Classics Return: Vulnerable E-Mail Scripts. SANS Internet Storm Center : https://isc.sans.edu/diary/rss/33488
How to Solve the Mystery of AI Defense in Depth? Anton on Security : https://medium.com/anton-on-security/how-to-solve-the-mystery-of-ai-defense-in-depth-e8bbc48024eb

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Zyxel #GS1900 #ZeroDay #GreyNoise #Binarly #Kapibala #Linux #Kernel #LinusTorvalds #AI #Ubuntu #Debian #Canonical #DebianAPT #SupplyChain #ESET #SlippyNunchucks #DarkVigil #Sogou #Tencent #DLLSideloading #CISA #KEV #WordPress #Wordfence #RaceCondition #SANS #InternetStormCenter #Honeypot #DefenseInDepth #AISecurity #MITREATTACK #CVE-2026-107441 #CVE-2026-7273 #CVE-2026-109518 #CVE-2026-120422 #CVE-2026-119977 #RadioCSIRT

Ep.791 – Zyxel GS1900, noyau Linux – Flash info du mercredi 4 novembre 2026