Ep.799 - Check Point, UnrealIRCd - Flash info du vendredi 13 novembre 2026

RadioCSIRT

00:00 /

🛡️ Check Point, CVE-2026-123039, zero-day inscrite au KEV le 13 novembre : le daemon DynamicCLI de Gaia OS (dynamic_server) tourne en root et écoute sur /tmp/dynamic_socket, ouvert en écriture à tous, sans authentifier les processus (élévation de privilèges locale, T1068). Produits touchés : Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway, Security Management Server ; CVSS non communiqué par l’éditeur ; PoC public sur Sploitus. Chaîne observée contre deux douzaines de clients depuis fin octobre : PHP2Shell (CVE-2026-109618 et CVE-2026-109619) sur le portail Mobile Access, root via CVE-2026-123039, web shells PHP, backdoor TSGA et TSProxy, puis wiper destroy_v6 sur VMware ESXi (T1485) ; attribution non établie (lien prudent avec PhiliKit, associé par ESET à UNC5221 ; faux drapeau possible). Hotfixes d’urgence (sk1000362) et Jumbo Hotfix de novembre ; à défaut, arrêt de dynamic_server et blocage de son redémarrage, puis recherche des commandes hors wrapper Clish.

🐛 UnrealIRCd, CVE-2026-114713, CVSS 8,6 (fiche CVE), jugée critique par le projet, CWE-140, improper neutralization of delimiters, inscrite au KEV le 13 novembre : le module labeled-response n’échappe pas la balise IRCv3 « label », ce qui permet d’injecter des commandes serveur à serveur exécutées avec l’autorité du serveur ou d’un IRCOp (KILL, GLINE) sur un réseau d’au moins deux serveurs reliés (T1190). Versions 6.0.0 à 6.2.7 touchées, ainsi qu’UnrealIRCd 5 en fin de vie ; correctif 6.2.7.1 (neuf failles), hot-patch bundle-20261107 sans redémarrage, et règle spamfilter contre les labels invalides pour les serveurs 6.0.4 et ultérieurs.

🤖 Flash alert du FBI sur ARTEX : automatisation de la reconnaissance à l’exfiltration, accès privilégié parfois atteint en moins de trois heures, plus de 1 600 consoles exposées selon Censys, forks, copies archivées et version commerciale en circulation (T1588.007). Modèles chinois dominants, famille DeepSeek Flash en tête ; secteurs visés : finance, administrations, technologie, défense, semi-conducteurs, énergie, santé, industrie, télécoms et juridique. Amazon décrit un vol de clés d’accès aux modèles d’IA autofinancé et un contournement KYC par injection de deepfake ; le Wall Street Journal rapportait le 21 octobre environ 80 entreprises japonaises visées selon GMO Cybersecurity by Ierae.

📈 SentinelOne : au moins cinq acteurs ou clusters utilisent ARTEX depuis fin août, du groupe d’espionnage VAPOR PANDA à Storm-3358 basé au Cambodge ; campagnes à 145 à 1 500 dollars de calcul, outils en configuration par défaut. Proxys résidentiels (T1090.002), 79 adresses de sortie pour 100 identités échantillonnées ; activité contre des institutions de l’UE très probablement liée à ARTEX selon le CERT-EU. Mesures mises en avant : rotation des secrets, push protection GitHub, alertes Entra ID AADSTS7000215 et AADSTS7000222, couverture EDR complète.

🤖 Cisco Talos : architecture planificateur, exécutants et graphe partagé ; extension MCP qui explique la présence de VShell, GoPhish et AdaptixC2. Plus de 2 500 IP de C2 associées à ARTEX, avec ScopeWeaver, AntiFox, CyberStrikeAI, PentAGI, ScopeSentry, Mimikatz et Cobalt Strike observés aux mêmes périodes ; plus de 700 instances PentAGI joignables ; incident Dosu à plus de 80 000 requêtes en 90 minutes. Couverture Snort publiée pour ARTEX, AdaptixC2, VShell et Fscan.

🔓 Unit 42 : accès cloud obtenus via des pages de réinitialisation de mot de passe et des API exposées, sans exploitation de faille logicielle. Traits de comportement : rafales d’une à 14 requêtes puis pause de 25 à 31 secondes, pivot en moins d’une minute, plus de 200 secrets clients validés en trois minutes, entrées canari, boucles de revérification toutes les 48 secondes. En octobre, 609 hôtes ARTEX et 1 323 hôtes CyberStrikeAI exposés, dont 21 avec les deux.

Sources :

CISA Adds Two Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/13/cisa-adds-two-known-exploited-vulnerabilities-catalog
Check Point warns of zero-day flaw exploited for root access. BleepingComputer : https://www.bleepingcomputer.com/news/security/check-point-patches-zero-day-that-lets-hackers-get-root-access/
Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper. BleepingComputer : https://bleepingcomputer.com/news/security/check-point-gateways-hacked-via-php2shell-to-deploy-vmware-esxi-wiper
googlesky/CVE-2026-123039, PoC exploit for CVE-2026-123039. Sploitus : https://sploitus.com/exploit?id=68AA9CC6-D55E-575B-BE5E-D4EA0A78502A
UnrealIRCd Vulnerability CVE-2026-114713 Exploited in the Wild, Lets Users Run IRCOp Commands. SecurityOnline : https://securityonline.info/unrealircd-vulnerability-cve-2026-114713-exploited/
FBI flash alert says Artex tool automating cyberattacks at ‘machine speed’. The Record : https://therecord.media/artex-ai-tool-fbi-flash-alert
Chinese AI Tool Linked to Hacks in Japan. The Wall Street Journal : https://www.wsj.com/world/asia/chinese-ai-tool-linked-to-hacks-in-japan-4813d13b
ARTEX Unmasked, The Rise of AI-Powered ARTEX in Cybercrime and Espionage. SentinelOne : https://www.sentinelone.com/blog/artex-unmasked-the-rise-of-ai-powered-artex-in-cybercrime-espionage/
ARTEX and beyond: AI-enabled penetration testing platforms. Cisco Talos : https://blog.talosintelligence.com/artex-and-beyond/
ARTEX and AI-Powered Red Teaming Tools: What Defenders Need to Know. Unit 42 : https://unit42.paloaltonetworks.com/artex-and-ai-powered-red-teaming-tools/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #KEV #CheckPoint #GaiaOS #PHP2Shell #ZeroDay #Wiper #UnrealIRCd #IRC #ARTEX #AgenticAI #AISecurity #FBI #SentinelOne #CiscoTalos #Unit42 #CVE-2026-123039 #CVE-2026-114713 #RadioCSIRT

Ep.799 – Check Point, UnrealIRCd – Flash info du vendredi 13 novembre 2026