Ep.786 - Tails, JFrog, Adobe Commerce et Brotli - Flash info du mercredi 28 octobre 2026

RadioCSIRT

00:00 /

🐧 Le projet Tails publie la version 7.15.1 de sa distribution pour révoquer la confiance accordée à l’autorité de certification eMudhra, dont les certificats intermédiaires sont compromis. Le navigateur Tor passe en 15.0.26 et corrige la CVE-2026-113470 ; le magasin de certificats système est mis à jour pour les autres applications. Aucune exploitation observée par un nœud de sortie Tor, services onion non concernés. La mise à niveau automatique conserve le stockage persistant chiffré.

📈 JFrog analyse l’effet de l’IA sur les CVE : hausse du volume depuis 2021, inflation des scores et faux avis générés par IA. Exemples cités : fermeture du bug bounty de curl en janvier 2026 (moins de 5 % de rapports confirmés), 54 faux avis sur 55 dans un dépôt GitHub, relèvement par la CISA de scores de failles curl jugées faibles à moyennes par les mainteneurs. Rapport Verizon : 26 % des failles du catalogue KEV entièrement corrigées en 2025 contre 38 %, délai médian à 43 jours. Réserve : l’article promeut l’offre de scoring propriétaire de l’éditeur.

🚨 La CISA ajoute deux failles à son catalogue KEV le 27 octobre. CVE-2026-48356, téléversement de fichier dangereux (CWE-434) dans Adobe Commerce et Magento Open Source, score CVSS de 9,6, corrigée par le bulletin Adobe APSB26-73 de juillet. CVE-2026-111497, écriture hors limites (CWE-787) dans le décodeur Google Brotli, surnommée Broccoli2Shell, exploitable à distance et sans authentification ; versions corrigées 1.0.10, 1.1.1 et 1.2.1. Le Centre canadien pour la cybersécurité publie une alerte sur Brotli : composant intégré à Node.js, Microsoft .NET, PowerShell, Bun, Envoy Proxy, Istio et aux paquets Python Brotli et brotlicffi.

🛡️ Selon SecurityWeek, un acteur de nexus chinois exploite PHP2Shell pour rooter des pare-feu, d’après la société Dream. Chaîne d’exploitation : CVE-2026-109618 et CVE-2026-109619 (PHP), plus Fragnesia, CVE-2026-46300, élévation de privilèges du noyau Linux. Reconnaissance de 19 000 pare-feu d’un éditeur non nommé, filtrage sur 240 cibles aux États-Unis, au Japon, à Taïwan et en Corée du Sud, webshell PHP root déposé sur 24 équipements les 23 et 24 octobre. Sur deux serveurs liés au gouvernement américain : tunnel SSH inverse, compromission du serveur de gestion, déchiffrement du compte de service LDAP, password spray et tentative de comptes d’administration Active Directory. Technique T1190, exploitation d’une application exposée.

🔓 Selon Cyber Press, l’investigation FortiBleed 2.0 de Hudson Rock expose 40 573 secrets FortiGate en clair, dans 975 domaines absents du premier jeu de données. Collecte de 101 419 enregistrements d’identifiants dans 1 703 rapports de configuration : 37 076 comptes d’utilisateurs locaux, 1 576 liaisons LDAP, 1 672 comptes d’administration, 144 enregistrements de cluster et 105 comptes SMTP. Récupération hors ligne quand FortiOS utilise la clé de chiffrement par défaut. Réserves : horodatage de février 2026 qui n’établit pas la date de compromission, 7 437 comptes locaux marqués désactivés, succès d’accès dépendant de la MFA et des règles VPN. Mesures : mise à jour du firmware, restriction de l’administration, rotation des identifiants, recherche de déplacement latéral.

🎣 Selon GBHackers, une campagne de phishing judiciaire vise la Colombie et livre le RAT XWorm, analysée par Arctic Wolf. Le loader est identique au bit près à celui d’un cas britannique du 10 septembre, ce qui établit une réutilisation d’outil, pas une attribution commune. Chaîne : courriel en espagnol, script VBScript ou JavaScript obscurci, PowerShell chiffré en AES, bibliothèque .NET chargée en mémoire, injection dans un exécutable Microsoft légitime. Techniques T1059, exécution de scripts, et T1055, injection de processus. Communication réseau en AES-128-ECB, délimiteur XWormmm, commandes de mise à jour, vol de fichiers et déni de service. IOC défangués dans la source : loganwolverin2042[.]webredirect[.]org, ukranieukranie20222022[.]duckdns[.]org, 45[.]92[.]1[.]127, 77[.]110[.]114[.]115.

📡 Selon Clubic, Tailscale déploie la version 1.104.4 après le rapport Tailworm d’Erica Windisch. Quatre bulletins, aucune CVE ni score CVSS à ce stade. Correctif principal : les redirections de Tailscale SSH ne s’exécutent plus avec les privilèges root mais avec ceux du compte connecté. Autres failles : exposition de l’interface d’administration de la fonction de partage de services via une socket locale mal vérifiée, transmission d’autorisations HTTP/2 d’une application à une autre, saturation mémoire interrompant toutes les connexions. Chaque serveur vulnérable doit être mis à jour. Contournement partiel : variable TS_SSH_DISABLE_FORWARDING=1 puis redémarrage du service, qui ne couvre ni le partage de services ni la gestion mémoire.

🧩 Selon SecurityWeek, FoxIO dévoile trois failles TLS dans le serveur web GoAhead d’EmbedThis, présent sur des centaines de millions d’équipements IoT, OT et réseau. CVE-2026-115881, score CVSS de 9,1 : en authentification mutuelle avec liste de révocation, le serveur lit la liste mais ne la consulte jamais, un certificat révoqué reste accepté ; builds OpenSSL 3.4.5 à 6.1.0. Deuxième faille sans CVE, score CVSS de 5,9 : chiffrement affaibli de certaines sessions TLS 1.2 sous Mbed TLS, déchiffrables hors ligne. CVE-2026-115884, score CVSS de 7,4 : contournement de la limite de longueur de chaîne de certificats sous LibreSSL. Version 6.1.1 corrige les deux premières, avis publiés le 12 octobre. Le correctif amont ne vaut pas correctif par équipement, qui dépend du fabricant.

Sources :

Tails 7.15.1 Blocks Compromised HTTPS Certificates in Urgent Privacy Security Fix. Linux Journal : https://www.linuxjournal.com/content/tails-7151-blocks-compromised-https-certificates-urgent-privacy-security-fix
The Impact of AI on CVEs: Industry Challenges. JFrog : https://jfrog.com/blog/the-impact-of-ai-on-cves-industry-challenges/
CISA Adds Two Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/27/cisa-adds-two-known-exploited-vulnerabilities-catalog
Alerte AL26-027, Vulnérabilité critique touchant Google Brotli, CVE-2026-111497. Centre canadien pour la cybersécurité : https://www.cyber.gc.ca/fr/alertes-avis/al26-027-vulnerabilites-critiques-touchant-google-brotli-cve-2026-111497
China-Linked Hackers Exploit PHP2Shell to Root Firewalls. SecurityWeek : https://www.securityweek.com/china-linked-hackers-exploit-php2shell-to-root-firewalls/
FortiBleed 2.0 Exposes 40,573 Fortinet Secrets Across 975 Newly Identified Domains. Cyber Press : https://cyberpress.org/fortibleed-2-0-exposes-40573-fortinet-secrets/
Hackers Reuse XWorm Malware Loader Across Phishing Campaigns Targeting Colombia and the UK. GBHackers : https://gbhackers.com/xworm-malware-loader/
Tailscale corrige ses failles SSH et confirme d’autres vulnérabilités permettant de prendre le contrôle de serveurs. Clubic : https://www.clubic.com/actualite-636340-tailscale-corrige-ses-failles-ssh-et-confirme-d-autres-vulnerabilites-permettant-de-prendre-le-controle-de-serveurs.html
TLS Flaws Found in GoAhead Web Server Used in Hundreds of Millions of Devices. SecurityWeek : https://www.securityweek.com/tls-flaws-found-in-goahead-web-server-used-in-hundreds-of-millions-of-devices/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Tails #Tor #eMudhra #JFrog #IA #NVD #KEV #Verizon #CISA #AdobeCommerce #Magento #Brotli #Broccoli2Shell #PHP2Shell #Fragnesia #Fortinet #FortiGate #FortiBleed #XWorm #ArcticWolf #Tailscale #Tailworm #GoAhead #FoxIO #CVE-2026-113470 #CVE-2026-48356 #CVE-2026-111497 #CVE-2026-109618 #CVE-2026-109619 #CVE-2026-46300 #CVE-2026-115881 #CVE-2026-115884 #RadioCSIRT

Ep.786 – Tails, JFrog, Adobe Commerce et Brotli – Flash info du mercredi 28 octobre 2026