Ce qui s'est passé

Confirmé Barracuda’s advisory covers an authorization bypass in Email Security Gateway only (CVE-2026-116606, CVSS 9.3) and a command injection in ESG, Load Balancer ADC, Message Archiver, WAF Control Center, WAF and Web Security Gateway (CVE-2026-111560, CVSS 8.6). Chained, they give root. On 9 November at 21:00 EST Barracuda added that it had seen exploitation “affecting a small number of organizations”. Barracuda CISA added both to KEV on 10 November, due 13 novembre, avec forensic triage “Yes”, ransomware use “Unknown” and references to Mandiant disclosures MNDT-2026-0041/-0042. CISA KEV

Signalé Previdian saw 17 attempts against CVE-2026-116606 from 15 IP addresses in three countries between 9 and 11 November; the IPs weren’t published and the actors are unidentified. No ransomware link has been reported. Semaine de la sécurité Prévidien

Qui est concerné et comment cela fonctionne

Confirmé On 5 November Barracuda changed CVE-2026-116606’s “Authentication Required” field to “No (Administrative UI Access Required)”: no credentials, but the admin UI must be reachable. Barracuda KEV says the bypass lets an attacker invoke config-import and restore a crafted backup, and the injection runs root commands “when the crafted timezone value is subsequently processed”. CISA KEV Analyse MAG212 That points to a crafted backup that sets a malicious timezone value. Inconnu Tooling, actors, start date and the Mandiant pages’ contents.

Que rechercher

Analyse MAG212 With no published IOCs: config-import or backup-restore events you didn’t start, unexpected timezone changes, and admin-UI connections from outside your management networks.

Enquêter, contenir et remédier (dans cet ordre)

1. Restrict the admin UI now to trusted networks; this is Barracuda’s workaround. Barracuda
2. Confirm the latest firmware and the patch ID on every device. Devices several versions behind may need more than one update; apply manually if auto-patching didn’t run. Barracuda Campus
3. Triage before you trust a patched box. Analyse MAG212 Treat any appliance with an internet-reachable admin UI since 2 November as possibly compromised: preserve logs, review config history, involve Barracuda support or your IR provider.
4. Analyse MAG212 If compromise is suspected, rotate LDAP bind, SMTP relay and admin credentials, and consider rebuilding rather than cleaning.

Vérifier la récupération : the patch ID shows as applied on every device; the admin UI doesn’t answer from an external vantage point; config history re-reviewed after patching. Lesson Analyse MAG212: MSPs should inventory admin-UI exposure across every client appliance this week.

Ce qui s'est passé

Confirmé Of 1,342 entries in Microsoft’s November data, 1,094 were first published on 10 November: 1,093 assigned by Microsoft and one by VulDB. By MAG212’s count of that data, 63 Microsoft-assigned CVEs are Critical. Exactly one is marked exploited and none publicly disclosed. MSRC Signalé SecurityWeek also counts 1,094; ZDI says “about 1,090” and calls the count “a bit confusing”. SecurityWeek notes 165 republished third-party CVEs (none from Chrome) and that this is the last month of updates for Windows 11 23H2 Enterprise and Education. ZDI counts 30 wormable CVEs by its own definition. Semaine de la sécurité ZDI

The Outlook zero-day: who is affected and how it works

Confirmé CVE-2026-124194 is a spoofing flaw (missing warning before an unsafe action) in Microsoft 365 Apps for Enterprise and Office LTSC 2021/2024, rated “Exploitation Detected”, customer action required. A user must open a crafted message file; Outlook then connects to an attacker-controlled location without the usual warning and discloses the user’s NTLMv2 hash. The Preview Pane is not an attack vector. Credited to “nono” and Benoît Sevens. MSRC KEV: due 24 November, forensic triage “No”. CISA KEV Signalé ZDI says the hash could be used “to authenticate as the user”. ZDI Inconnu Who exploited it, against whom, the delivery method and IOCs.

The criticals to patch next (per ZDI; none reported exploited)

Look for, contain and remediate (in order)

1. Deploy the November Office updates to Microsoft 365 Apps and Office LTSC 2021/2024. MSRC
2. Patch Exchange servers and domain controllers first for CVE-2026-116928 and CVE-2026-119958. ZDI Analyse MAG212 Zero-click and unauthenticated, so expect exploit development.
3. Analyse MAG212 Block outbound SMB/NTLM (TCP 445) to the internet and consider NTLM restrictions; review firewall logs for workstations, particularly Outlook, reaching internet hosts on 445.
4. Analyse MAG212 Reset passwords for anyone who reports opening an odd message file and review their sign-ins.
5. Plan Windows 11 23H2 Enterprise/Education migrations. Semaine de la sécurité

Vérifier la récupération : patch reporting shows the November Office build on all Outlook clients and the November update on Exchange and DCs; outbound TCP 445 to the internet is blocked from inside. Lesson Analyse MAG212: this month’s only exploited bug is “Moderate”. Exploitation status should outrank CVSS, which is what KEV encodes.

Ce qui s'est passé

Confirmé Vates classe la vulnérabilité VSA-2026-062, “ Jeton de connexion d'objet vide ”, comme critique et indique qu'elle est activement exploitée par un acteur opérant initialement depuis 91.211.251.112:8001 and an onion address. There is no CVE yet. Vates Signalé Attribué à Filip Magic et Christoffer Olsen (TDC NET Security) ; THN ajoute que VirusTotal signale cette adresse IP comme étant un serveur C2 de vol de données RedLine. Un cookie spécialement conçu, authenticationToken=j:%7B%7D, is parsed into an empty object that the token provider accepts, giving XO admin, then code execution on pools and root on hosts. Les actualités des hackers Inconnu Date de début et nombre de victimes.

Qui est concerné ?

Éléments à rechercher (indicateurs de conformité des fournisseurs)

# VMs whose platform settings include a file-backed serial port (IOC: hvm_serial: file)
xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'
# Search current and rotated xensource logs for file-backed serial configuration
zgrep -- '-serial file:' /var/log/xensource.log*
# Preload hijack and the published persistence files
ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Contenir et remédier (dans l'ordre, selon Vates)

1. Retirez XO d'Internet sur un réseau de gestion dédié ; bloquer les adresses IP et l’adresse Onion.
2. Mise à niveau vers XO 6.9.2 ou 6.10.1 (xo-server 5.211.2 / 5.213.1) ; les builds à partir des sources vers la dernière version master.
3. Règle WAF ou de proxy inverse intérimaire facultative pour les modèles de jetons ; Vates avertit que les règles regex peuvent être contournées.
4. Exécutez les vérifications de l'hôte ci-dessus sur chaque hôte.
5. En cas de compromission : rotate all secrets (proxy, backup remotes, root, pool secret, users, OTP, mail) and fully reinstall. Vates

Vérifier la récupération : Vérifiez la version XO, assurez-vous que l'interface est inaccessible depuis des réseaux non fiables, relancez les vérifications et confirmez que les secrets renouvelés sont utilisés. Analyse MAG212 En l'absence de journaux d'activité, la réinstallation est la seule solution de récupération fiable pour un hôte ayant subi une panne. Les plans de contrôle de virtualisation doivent être déployés sur un réseau isolé, notamment pour les fournisseurs de services gérés et les établissements scolaires ayant opté pour XCP-ng afin de réduire leurs coûts.

Vulnérabilité Chrome CVE-2026-125350 : exploitation d’une vulnérabilité XML d’utilisation après libération.

Signalé Google a connaissance de l'existence d'une faille exploitable pour CVE-2026-125350. Signalée anonymement le 6 novembre, il s'agit de la huitième vulnérabilité zero-day de Chrome exploitée en 2026, corrigée dans [date manquante]. Chrome 157.0.8103.50/.51 (Windows, macOS) et 157.0.8103.50 (Linux). Les actualités des hackers Semaine de la sécurité Confirmé KEV notes it affects other Chromium browsers such as Edge and Opera. CISA KEV Inconnu Détails de l'attaque, cibles, indicateurs de compromission et indication si Edge a déployé un correctif ; Google note de version n'a pas été ouvert. Faire Analyse MAG212 Poussez 157.0.8103.50/.51 et forcez un redémarrage du navigateur, puis suivez Edge et Opera. Vérifier la version dans votre inventaire de points de terminaison.

Cisco BroadWorks CVE-2026-20320 : vulnérabilité XXE exploitée

Confirmé An XML external entity flaw that “could allow an unauthenticated, remote attacker to read sensitive configuration information”; due 24 November. CISA KEV Inconnu Versions corrigées, CVSS et IOC ; lire Avis de Cisco (non ouvert) avant d'agir. Analyse MAG212 La configuration peut contenir des informations d'identification ; prévoyez donc une rotation en même temps que le correctif.

Transcodeur multimédia Openwave Webtop CVE-2026-111793

Confirmé “Incorrect resource transfer between spheres” in Openwave Messaging Webtop Media Transcoder; due 24 November, referencing the vendor’s GitHub advisory and JVN. CISA KEV Openwave Inconnu Versions et détails d'exploitation. Public cible restreint : fournisseurs de télécommunications et de messagerie.

Analyse MAG212 Là où nous avons enregistré le signalement, chaque échéance KEV de trois jours cette semaine est suivie d'un triage médico-légal “ Oui ” et chaque échéance de 14 jours d'un “ Non ” : le délai court semble signaler une compromission présumée, et pas seulement une urgence.

Ce qui s'est passé

Confirmé The FortiGuard PSIRT index grew from 324 to 370 advisories on 10 November. Every advisory page our researchers fetched says “Known Exploited: No” and offers no workaround, so upgrading is the only fix. FortiGuard Fortinet RSS Signalé The fixes came from Fortinet’s AI-assisted testing programme; watchTowr’s Yordan Ganchev expects them to be “rapidly reverse-engineered, reproduced, and exploited” and advises restricting exposed management interfaces. Cybernews

Contenir et remédier (dans l'ordre)

1. Analyse MAG212 Start with FortiManager/FortiAnalyzer reachable on FGFM from untrusted networks and internet-facing FortiMail: unauthenticated code execution, the class watchTowr expects to be weaponised.
2. Schedule migrations now for FortiMail 7.2 and FortiManager/FortiAnalyzer 7.4/7.2, which have no in-branch fix. FG-IR-26-199 FG-IR-26-275
3. Upgrade FortiOS for the OSPF flaw. Analyse MAG212 Meanwhile, OSPF authentication and passive interfaces on user segments reduce adjacency exposure (general hardening, not Fortinet guidance).
4. Read FG-IR-26-271 and -265 for FortiAuthenticator versions and patch; it sits in front of VPN and admin MFA.
5. Restrict all management interfaces to trusted networks. Cybernews

Look for and verify: Analyse MAG212 no IOCs exist; watch FGFM and FortiMail HA traffic from unexpected sources and OSPF neighbour changes you didn’t make. Confirm firmware per device and, from outside, that FGFM and FortiMail admin/HA ports don’t answer.

Ce qui s'est passé

Confirmé Après une enquête d'un an, Check Point Research a établi un lien entre trois groupes, SilentDelivery, OceanGate et DarkWire, via un framework partagé appelé Sparrow, qu'il suggère être fourni par un développeur qu'il nomme CopperDragon. Cibles : fournisseurs de télécommunications, gouvernement, armée, recherche et infrastructures critiques 21 pays. CPR warns a telecom compromise could expose call records, subscriber locations, SMS and possibly lawful-intercept systems. Point de contrôle Recherche sur les points de contrôle

Comment chaque groupe entre en contact

• Livraison silencieuse (Europe/Asie, 2026) : le JavaScript obfusqué sur des sites légitimes permet d’identifier les visiteurs et révèle un Fausse alerte de certificat Chrome proposant une “ solution de réparation de certificat ”, a trojanized MSI that drops a backdoor. Also LNK files disguised as PDFs sent to Indonesian organisations. Les actualités des hackers
• OceanGate (2025-2026, focus sur l'Inde) : un “ serveur Linux vulnérable exposé à Internet ”, avec aucun produit ni CVE nommé, then RDP brute force to an admin account; Linux backdoors with an optional rootkit, Windows keylogger and credential stealers. Les actualités des hackers
• DarkWire (mid-2025, Latin American telecom and government): DLL sideloading, DNS tunnelling over MX queries, C2 often in the victim’s own country. Les actualités des hackers ESET documented related Sparrow activity in Latin America in September. CSA

Attribution : évaluée, non prouvée

Signalé CopperDragon is “assessed” to supply FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 and UAT-8302; FamousSparrow’s relationship to Salt Typhoon “remains unclear”. Les actualités des hackers Confirmé CPR’s own caveat: shared malware or C2 “does not necessarily mean” the same actor, and it gives no formal confidence level. Point de contrôle Inconnu Aucune confirmation gouvernementale n'a été trouvée. Nous disons “ un ensemble d'outils partagés relie trois campagnes ”, et non “ un seul groupe ”.

Que rechercher et que faire

CPR publie les domaines, les adresses IP et les hachages de fichiers, ainsi que les artefacts de l'hôte : une valeur de persistance de clé d'exécution, un compte local ajouté aux administrateurs avec le filtrage des jetons distants désactivé, des règles de pare-feu personnalisées, des chemins HTTP C2 distinctifs et un dump LSASS renommé. Nous ne réimprimons pas les valeurs : copiez-les textuellement à partir du Rapport de recherche de Check Point into your tooling. Check Point’s guidance, in order: Point de contrôle

1. Analysez les données de télémétrie DNS, proxy et EDR à la recherche des domaines, adresses IP et hachages de CPR ; traquez les artefacts de l'hôte.
2. Considérez comme suspect tout utilitaire de “ correction de certificat ” ou de mise à jour. Analyse MAG212 Bloquez les fichiers MSI non signés dans les dossiers de téléchargement du navigateur.
3. Surveillez le chargement de DLL malveillantes, le vidage de données d'identification, l'enregistrement des frappes au clavier et toute nouvelle forme de persistance.
4. Limitez et surveillez les protocoles RDP, SMB et SSH, en particulier les attaques par force brute sur les hôtes exposés à Internet.
5. Inspecter le DNS, y compris le tunnelage via MX, et le trafic sortant inhabituel ; inventorier et corriger les serveurs Linux exposés à Internet.

Vérifier: Analyse MAG212 Après suppression, le compte malveillant et les règles de pare-feu disparaissent et la politique de filtrage des jetons revient à sa configuration de base ; changez les identifiants sur tout hôte présentant des artefacts de vidage d'identifiants.

NEAR AI : une faille exploitée dans SGLang et un environnement d’exécution de confiance (TEE) qui n’a pas été utile.

Confirmé On 8 November an attacker exploited an RCE in SGLang, “the open-source inference engine running on our servers”, reached NEAR AI infrastructure and an internal system behind the deprecated Private Chat service. Exposed: names and emails of about 100 users (some with plan and balance data), chat history, settings and logs of 18 agents on a legacy deployment outside the TEE, and two Cloud customers’ API keys (now revoked) that sat in logs. No sign stored Private Chat conversations were accessed, but the attacker “could also have observed user requests”, including confidential-mode ones. NEAR AI revoked sessions and admin credentials, took Private Chat offline, patched every inference server, rotated credentials and notified users. IA PROCHE Signalé The TEE “does not protect against a vulnerability in the software running inside the environment”. Brave’s Leo uses a NEAR AI-run TEE; NEAR hasn’t said whether the server handled Brave traffic. Les actualités des hackers

Inconnu Aucun CVE, point de terminaison, version SGLang ou IOC, et aucun avis de sécurité SGLang n'est lié à l'incident. Le CERT/CC a répertorié six failles SGLang non corrigées en juillet, mais Rien ne relie la faille de sécurité de NEAR AI à aucun d'entre eux.. Opérateurs SGLang (CERT/CC) : Évitez d'utiliser SGLang sur des réseaux non fiables, segmentez-le et configurez-le. SGLANG_USE_PICKLE_IPC=false (a configuration change; restart the process, MAG212 analysis) and disable unused endpoints. CERT/CC Analyse MAG212 Exigez également les clés API et ne tenez pas les secrets dans les journaux de l'hôte d'inférence.

Fireworks AI : une équipe de pirates informatiques s'est introduite via un fournisseur de services cloud tiers.

Confirmé An unnamed cloud provider hosting Fireworks R&D machines had an incident on 23 October; on 24 October the attacker reached development machines and ran an unauthorized workload, detected the same day. Accessed: resource metadata, billing and shipping addresses, invoices, balances, secrets for a limited set of accounts and some incomplete model weights and datasets. Not affected: Inference, Training SDK and Nexus; card numbers aren’t stored. Fireworks attributes it to an unnamed, financially motivated group reselling tokens through illicit gateways (LLMjacking), engaged Unit 42 and told law enforcement. Feux d'artifice Signalé Affected accounts are a “limited number”, all notified. The Record reports Notion was notified on 2 November, disconnected, disabled its Insights feature and stopped serving open-weight models via Fireworks. Le Record Nous ne signalons pas que les conversations de Notion AI aient été exposées : Un titre de THN l'affirme, mais ni le corps de l'article ni le bulletin de Fireworks ne le confirment, et nous n'avons pas lu Avis de Notion. Les actualités des hackers

clients de feux d'artifice MAG212 analysis, from the bulletin: faire tourner les secrets stockés dans Fireworks et toutes les clés API ; rechercher les clés que vous n'avez pas créées et les utilisations ou facturations inhabituelles ; traiter les ensembles de données téléchargés et les réglages fins comme potentiellement exposés ; alerter sur les pics d'utilisation de LLM. Leçon: Considérez les fournisseurs d'IA comme des détenteurs de vos secrets, avec des clés limitées et renouvelables dans votre registre des risques tiers.

Confirmé Vanderbilt has an active incident that may affect devices, systems and cloud services, and told users to “SHUT DOWN YOUR DEVICE IMMEDIATELY” and leave university Wi-Fi. It has about 14,000 students and more than 6,000 staff. WSMV Le Record Signalé Officials called it a “likely” ransomware attack; classes proceeded though some were cancelled; users reported ransom notes and files renamed with a .byod extension (Nashville Scene via Gizmodo, not officially confirmed). Gizmodo Réclamé BYOD says it holds data on more than 1 million people including SSNs, plus the domain controller and research data. Vanderbilt didn’t respond to Gizmodo. Gizmodo

Signalé BYOD’s first victim appeared on 29 September; it has also claimed Michigan State and UNM Health Sciences Center, which confirmed a “cybersecurity event” on 26 October. Its UNM machine count is unverified, as is a 9 November claim against the Texas Health and Human Services Commission. Le Record Le Registre Inconnu Vector, official ransomware confirmation, restoration status and whether data was taken. No IOCs.

For school and university IT Analyse MAG212: (1) confirm tested offline or immutable backups of domain controllers and identity systems; (2) rehearse a campus-wide “shut down devices” message on a channel that works without email; (3) review privileged and domain-admin activity; (4) watch Vanderbilt’s status page for a vector disclosure.

Bureau d'intervention du défenseur

Sélection des articles du jour. Analyse MAG212 pour le classement ; les sources se trouvent dans chaque article.

• MaintenantBarracuda: admin UI to trusted networks only; confirm patch IDs; review config-import/restore history; triage exposed boxes before 13 Nov. → 01
• MaintenantXen Orchestra: isolate; XO 6.9.2 / 6.10.1; block 8 IPs + onion; run 3 host checks; any hit → rotate and reinstall. → 03
• MaintenantOutlook and Chrome: November Office update; Chrome 157.0.8103.50/.51 with forced restart. → 02 → 04
• Aujourd'huiExchange and DCs: first ring for CVE-2026-116928 and CVE-2026-119958; block outbound TCP 445. → 02
• Aujourd'huiFortinet: close FGFM and FortiMail exposure; book FortiMail 7.2 and FortiManager/FAZ 7.4/7.2 migrations. → 05
• Aujourd'huiN-able on-prem N-central: keep offline until the hotfix is verified (Briefly noted).
• Cette semaineAI vendors: rotate Fireworks keys and secrets; keep SGLang off untrusted networks. → 07
• Cette semaineHunting: load CPR’s CopperDragon IOCs; brief staff on fake “certificate fixes”. → 06
• Cette semaineGit: update to 2.56.1 or your branch’s fix; no recursive clones of untrusted repos (Briefly noted).

Échéances KEV (dates limites fédérales ; un signal de priorité pour tous)