Ce qui s'est passé

Confirmé Sophos X-Ops enquête sur des déploiements non autorisés du client ScreenConnect. Il a constaté trois instances ScreenConnect compromises utilisé pour exécuter des commandes et deux cas malveillants Nous recevons les nouveaux clients et notons que ConnectWise a confirmé l'incident et conseillé de désactiver les extensions faisant l'objet de l'enquête. Sophos

Signalé Huntress a aperçu cette activité pour la première fois vers 17h47 UTC le 11 novembre. Les attaquants ont utilisé Exécuter la commande sur des panneaux ScreenConnect hébergés dans le cloud pour installer des clients malveillants sur au moins 288 points de terminaison dans 48 organisations, Le tout en environ 90 minutes, et environ un tiers dans les dix premières minutes. Le premier décompte de Huntress sur Reddit faisait état de six fournisseurs de services gérés (MSP). Les clients malveillants livrent SCKit, une boîte à outils de 16 fichiers. Les actualités des hackers Le Registre ConnectWise a désactivé cinq extensions (Labtech Plus, RMM Plus, RMM+, Lien de mot de passe RMM Plus, Lien de mot de passe RMM+) là où c'était possible, et a trouvé environ 400 environnements partenaires avec au moins un logiciel installé ; il ne s'agit pas d'un nombre de victimes. BleepingComputer

Signalé Voie d'entrée probable. Huntress a retracé l'activité jusqu'à un Failles d'authentification possibles dans RMM+, Il s'agit d'une extension permettant à d'autres outils d'envoyer des commandes via ScreenConnect sans utiliser la console. Les versions 1.0.31 et 1.0.32 acceptent une clé d'accès vide lorsqu'aucune n'est définie et fonctionnent indépendamment des identifiants et de l'authentification multifacteur (MFA) de ScreenConnect. Les enquêteurs ont constaté la réception de commandes sans identifiants correspondants. Les attaques ont ciblé les versions 26.6.6.9747 et 26.7.6.9783 de ScreenConnect ; l'utilisation de la dernière version n'a donc protégé personne. Le Registre ConnectWise affirme n'avoir trouvé aucune preuve de compromission de sa propre infrastructure ni d'une vulnérabilité de ScreenConnect, et que l'accès initial fait toujours l'objet d'une enquête. Aucun CVE n'a été attribué. Son avis de novembre ne figurait pas dans l'index des avis publics lorsque MAG212 a vérifié. Les actualités des hackers ConnectWise

Qui est concerné et comment cela fonctionne

Signalé Les fournisseurs de services gérés (MSP) dont ScreenConnect possède l'une des cinq extensions, notamment RMM+, et toutes les organisations qu'ils gèrent, sont concernés. ConnectWise précise que la présence d'une extension ne signifie pas qu'un partenaire a été compromis, que sa désactivation ne supprime pas les accès déjà obtenus et que les responsables sur site doivent désactiver eux-mêmes les extensions. BleepingComputer Confirmé Dans un cas, Sophos a vu curl.exe télécharger le client sur C:\Windows\TEMP\sc.msi, msiexec.exe Installez-le en mode silencieux, puis PowerShell, avec une stratégie d'exécution contournée, récupère un script de deuxième étape. Sophos Signalé SCKit ajoute des exclusions Defender, installe un deuxième client contrôlé par l'attaquant et crée une tâche planifiée nommée TrapWatch et remplace l'installation authentique de ScreenConnect par une copie malveillante. Un composant nommé RelayTrap par Huntress attend qu'un technicien se connecte afin de voler les cookies de session et d'accéder à d'autres panneaux de contrôle ; Huntress a reproduit cette étape à partir du code et n'a pas encore constaté de succès. Certaines machines étaient réinfecté quelques minutes après sa sortie d'isolement. Les actualités des hackers Le Registre

Que rechercher

# ScreenConnect client services: the ID in brackets is the instance the client reports to
Get-CimInstance Win32_Service | Where-Object { $_.Name -like 'ScreenConnect Client (*' } |
  Select-Object Name, State, PathName
# Live connections to the published relay / secondary C2
Get-NetTCPConnection -RemoteAddress 185.99.255.28,155.94.150.39 -ErrorAction SilentlyContinue
# Recently resolved names that match the published domains
Get-DnsClientCache | Where-Object { $_.Entry -match 'gotdns\.org|homedns\.org|payproofkit|mo7sen|cdn007-digitaldownloads' }
# Published file names, and Defender exclusions added by the operator
Get-ChildItem C:\Users,C:\ProgramData,C:\Windows\Temp -Recurse -File -ErrorAction SilentlyContinue `
  -Include Panel-Lateral.ps1,runnew.cmd,ToolboxRelayUploader.exe,Run-Lateral-Full.bat,sckit-*,TrapWatch.ps1
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess
# SCKit persistence: TrapWatch task, RelayTrap folder, staged installer, Run key
Get-ScheduledTask -TaskName 'TrapWatch*' -ErrorAction SilentlyContinue
Test-Path 'C:\ProgramData\RelayTrap', 'C:\Windows\Temp\sc.msi'
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v RelayTrapLiteAlert 2>$null
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v RelayTrapLiteAlert 2>$null

Enquêter, contenir et remédier (dans cet ordre)

1. N’ouvrez pas de sessions interactives ScreenConnect à tout appareil susceptible d'être compromis. Menez une enquête à l'aide d'outils de sécurité distincts. (ConnectWise)
2. Désactivez les cinq extensions, RMM+ avant tout ; pour les serveurs sur site, désactivez-les vous-même. Conservez les documents d'installation et les journaux. Ne les réactivez pas tant que ConnectWise ne vous y autorise pas.
3. Revoir journaux d'authentification, enregistrements d'installation d'extensions, activité d'administration, Historique des commandes et enregistrements de la boîte à outils, pour revenir à avant le 11 novembre.
4. Révoquer les sessions actives, réinitialiser les identifiants depuis un appareil de confiance, vérifier l'authentification multifacteur sur chaque compte ScreenConnect. BleepingComputer
5. Isoler et nettoyer complètement les hôtes infectés Avant la reconnexion : clients malveillants, tâche TrapWatch, dossier RelayTrap, fichiers SCKit et clé d’exécution RelayTrapLiteAlert. Huntress a constaté une réinfection quelques minutes après la fin de l’isolement. Le Registre Expert en sécurité informatique
6. Analyse MAG212 Vérifiez que le client ScreenConnect authentique est toujours en cours d'exécution ; SCKit le remplace par une copie malveillante. En cas de doute, réinstallez le système sur les sites infectés et vérifiez également les postes de travail des techniciens.
7. Analyse MAG212 Clients : demandez dès aujourd’hui à votre fournisseur de services gérés s’il utilise ScreenConnect, si l’une des cinq extensions a été activée et ce qu’il a vérifié sur vos machines.

Vérifier la récupération : Chaque point de terminaison affiche uniquement les identifiants clients ScreenConnect approuvés ; aucun trafic vers les indicateurs pendant 72 heures ; l’historique des commandes d’exécution a été examiné et validé ; toutes les sessions opérateur ont été rétablies après la réinitialisation des informations d’identification. Prévention Analyse MAG212Considérez les extensions RMM comme du code déployé chez chaque client. Une extension dotée de sa propre clé API peut contourner l'authentification multifacteur : conservez une liste d'utilisateurs autorisés, définissez des clés robustes pour chaque API d'intégration, limitez les connexions des opérateurs par adresse IP et configurez des alertes en cas d'utilisation de la commande « Exécuter une commande » en dehors des périodes de modification.

Ce qui s'est passé

Confirmé La CISA a ajouté ces quatre vulnérabilités au catalogue des vulnérabilités exploitées connues. 9 novembre avec une date d'échéance fixée au 12 novembre. L’utilisation de rançongiciels est “ inconnue ” pour chacun d’eux. Les agences fédérales doivent corriger ces failles immédiatement ; pour tous les autres, un délai de trois jours signifie que la CISA perçoit un risque réel. CISA KEV

Qui est concerné et comment cela fonctionne-t-il ?

Signalé SSHole a été attaqué rapidement : Previdian a détecté une première tentative moins de neuf heures après sa divulgation et a confirmé l’obtention des droits root sur un honeypot Alpine. Un blog spécialisé dans l’auto-hébergement avance que la cause première réside dans musl plutôt que dans OpenSSH ; la solution reste la même pour les équipes de sécurité. Aide à la sécurité du réseau monstre bot Inconnu Qui a exploité GPUStack, FreeSWITCH et Faspex ? Aucun IOC n’a été publié pour aucun des quatre.

# OpenSSH: version, libc and the two settings that decide exposure
ssh -V
ldd "$(command -v sshd)" 2>/dev/null | grep -i musl
sshd -T 2>/dev/null | grep -Ei '^(passwordauthentication|usepam) '
# Recent password logins (Alpine logs to /var/log/messages by default)
grep -h 'Accepted password' /var/log/messages /var/log/auth.log 2>/dev/null | tail -n 50
# FreeSWITCH: version
fs_cli -x 'version'

Contenir et remédier (dans l'ordre)

1. Inventaire Hôtes et images basés sur musl exécutant sshd, serveurs GPUStack, boîtiers FreeSWITCH et instances Faspex ; déconnectez d’Internet tous ceux exposés à Internet si vous ne pouvez pas appliquer le correctif aujourd’hui.
2. Correctif aux versions corrigées ci-dessus, ou appliquez les solutions de contournement à titre provisoire.
3. Analyse MAG212 Triage Tout ce qui a été exposé depuis la divulgation : nouvelles clés SSH, tâches cron, mineurs, clés API GPUStack que vous n’avez pas créées, modifications inattendues du plan de numérotation FreeSWITCH ou de Lua, comptes d’administrateur Faspex.
4. Analyse MAG212 GPUStack expose les secrets du fournisseur de cloud et des nœuds de calcul : il faut les faire tourner sur chaque instance accessible.

Vérifier la récupération : versions corrigées confirmées à chaque fois ; PasswordAuthentication no où la connexion par mot de passe n'est pas requise ; pas de comptes ni de clés non expliqués. Prévention Analyse MAG212Les serveurs de gestion de l'IA et des GPU figurent désormais sur les listes des attaquants ; placez-les derrière les mêmes contrôles d'accès que n'importe quelle console d'administration.

Ce qui s'est passé

Confirmé Tarifs du bulletin ZSB-26023 de Zoom CVE-2026-108186 Critique (CVSS 9.6, vecteur AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) : une validation des entrées incorrecte dans Zoom Workplace pour Windows peut permettre à un utilisateur non authentifié d’élever ses privilèges via un accès réseau. Cette vulnérabilité affecte les versions 7.1.0 à 7.1.8 (exclue) et a été découverte par Zoom Offensive Security. Le rapport ZSB-26024 traite de ce problème. CVE-2026-108187 (8.1, erreur de validation d'origine) dans les versions antérieures à 7.1.5, signalée par “ shmoul ”. Les deux ont été publiées le 10 novembre. Zoom ZSB-26023 ZSB-26024

Qui est concerné et comment cela fonctionne

Confirmé Installations Windows de Zoom Workplace dans ces plages. Signalé Ni Zoom ni la presse ne signalent d'exploitation, et la version 7.1.8 corrige les deux problèmes. Les actualités des hackers Semaine de la sécurité Inconnu Le scénario d'attaque précis. Les deux vecteurs nécessitent une action de l'utilisateur, comme rejoindre une réunion ou cliquer sur un lien ; nous ne pouvons pas prédire lequel. Les documents consultés ne précisent pas si macOS, Linux, les environnements VDI ou Rooms sont concernés par cette faille.

Que rechercher, puis corriger

1. Trouver la version sur l'ensemble de la flotte avec votre inventaire logiciel ou MDM ; tout ce qui va de 7.1.0 à 7.1.7 présente le défaut 9.6, et tout ce qui est antérieur à 7.1.5 présente les deux.
2. Push 7.1.8 ou version ultérieure et activez la mise à jour automatique de Zoom lorsque les utilisateurs l'installent eux-mêmes.
3. Analyse MAG212 Aucun indicateur n'est disponible. En attendant le correctif, surveillez les processus Zoom qui lancent des invites de commandes ou écrivent dans les dossiers système.

Vérifier la récupération : L'inventaire ne révèle aucune version de Windows inférieure à 7.1.8. Prévention Analyse MAG212Les copies Zoom installées par l'utilisateur et réservées à un seul utilisateur échappent souvent aux correctifs centralisés ; bloquez-les ou mettez-les sous gestion.

Ce qui s'est passé

Signalé Les équipes CyOps et de recherche de Cynet ont découvert des serveurs Qlik Sense à plusieurs clients basés dans l'UE tentative de lancement de shells inversés PowerShell vers 45.115.26[.]23 En octobre, le tout en un peu plus de trois minutes. La commande initiale était le shell inversé en une seule ligne de Nishang, exécuté sous Qlik. scheduler.exe; Cynet a bloqué les tentatives de création de processus. Un répertoire ouvert sur la même adresse IP contenait une porte dérobée Go, des scripts de persistance SSH, une vulnérabilité Apache ActiveMQ CVE-2023-46604 et une chaîne d'outils Veeam CVE-2024-40711 modifiée. Les actualités des hackers Mallory Cynet a publié ses recherches ; MAG212 les a trouvées mais n'a pas pu les ouvrir, les détails nous parviennent donc par le biais de la presse. Cynet

Qui est concerné et comment cela fonctionne

Signalé Serveurs Qlik Sense Enterprise pour Windows accessibles via Internet. On ignore quelle faille de Qlik a été exploitée. Les candidats les plus probables sont les trois vulnérabilités de 2023 : CVE-2023-41265 (tunneling HTTP), CVE-2023-41266 (traversée de répertoire) et CVE-2023-48365 “ DoubleQlik ”, un correctif incomplet pour la première. Le script de persistance installe un paquet OpenSSH légitime et configure sshd pour démarrer automatiquement, ouvre le port TCP entrant 22 et s'exécute C:\ProgramData\ssh\winc.ps1 d'une tâche nommée WinUpdCheck toutes les cinq minutes. Sous Linux, la porte dérobée Go lit /etc/shadow et /etc/passwd et recherche ActiveMQ en cours d'exécution. Les actualités des hackers Analyse MAG212 Le fichier parent scheduler.exe correspond aux intrusions du ransomware CACTUS de 2023 documentées par Arctic Wolf, mais personne n'a attribué cette activité. Loup arctique (2023)

# Persistence artefacts named in the report
Get-ScheduledTask -TaskName 'WinUpdCheck' -ErrorAction SilentlyContinue
Test-Path 'C:\ProgramData\ssh\winc.ps1'
Get-Service sshd -ErrorAction SilentlyContinue
# Connections to the reported C2
Get-NetTCPConnection -RemoteAddress 45.115.26.23 -ErrorAction SilentlyContinue
# Process-creation events with Qlik's scheduler as parent (needs 4688 auditing)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} -MaxEvents 20000 -ErrorAction SilentlyContinue |
  Where-Object { $_.Message -match 'Scheduler\.exe' -and $_.Message -match 'powershell|cmd\.exe' } |
  Select-Object TimeCreated, Message

Contenir et remédier (dans l'ordre)

1. Retirez Qlik Sense d'Internet ou placez-le derrière un VPN ou un SSO ; bloquer 45.115.26[.]23.
2. Correctif Qlik Sense à une version qui corrige les trois CVE de 2023 (voir les articles de support de Qlik). Qlik
3. Exécutez la vérification de l'hôte; en cas de succès, supprimez la tâche, le script, le service sshd et la règle TCP 22, faites tourner le compte de service Qlik et reconstruisez.
4. Analyse MAG212 Vérifiez les prochaines ciblesActiveMQ a été corrigé pour la vulnérabilité CVE-2023-46604, et Veeam Backup & Replication pour la vulnérabilité CVE-2024-40711. Aucun des deux ne devrait être accessible depuis le serveur Qlik.

Vérifier la récupération : Compilation de Qlik confirmée ; aucun shell lancé par scheduler.exe depuis 7 jours ; versions d’ActiveMQ et de Veeam vérifiées. Prévention Analyse MAG212Des failles de sécurité de Qlik vieilles de trois ans continuent d'être exploitées par les attaquants. Les serveurs d'analyse sont souvent négligés lors des mises à jour, pensez donc à les inclure dans les vôtres.

Ce qui s'est passé

Confirmé Arctic Wolf affirme traquer les attaquants qui utilisent des frameworks de test d'intrusion auto-hébergés, notamment AntiFox, depuis le cloud public. Lors de plusieurs intrusions récentes, Les systèmes Alibaba Cloud hébergent des interfaces AntiFox étaient liées à des actions malveillantes confirmées contre des services web exposés à Internet et les environnements AWS qui les sous-tendent, enchaînant l'exploitation web, les web shells, la découverte de configurations, les vérifications d'identifiants, l'énumération du cloud, l'accès secret et les opérations de stockage. Loup arctique Signalé Les attaquants ont utilisé des comptes IAM valides et, dans certains cas, un rôle EC2 usurpé. Lors d'une intrusion, ils ont usurpé plusieurs identités et effectué des centaines d'appels API en une trentaine de minutes. AntiFox est issu d'une version dérivée d'ARTEX 0.1.1, le framework que Datadog avait signalé lors d'attaques sur AWS en octobre. BleepingComputer GBHackers Datadog Analyse MAG212 “ Lié à ” signifie que l'outil a été utilisé ; aucun acteur malveillant n'est nommé et les responsables de la maintenance ne sont pas mis en cause. Les adresses de cloud public peuvent être réattribuées, comme le souligne Arctic Wolf.

Qui est concerné et comment cela fonctionne

Signalé Web : sur une application IIS compromise (faille d'entrée inconnue), w3wp.exe J'ai écrit un shell web ASPX et j'y ai exécuté des commandes, j'ai cherché web.config fichiers et sauvegardes, lecture des chaînes de connexion et des journaux, test d'une base de données de production interne et copie des fichiers dans un dossier de téléchargement accessible via le Web. AWS : À partir d'une authentification valide (origine non précisée), l'acteur a énuméré IAM, S3, Secrets Manager, KMS, RDS, Lambda et Bedrock. La plupart des appels ont renvoyé une erreur d'accès refusé, mais certains ont abouti, dont au moins un GetSecretValue sur un secret de production. Les actualités des hackers Confirmé L'alerte d'Arctic Wolf répertorie les modèles de fichiers présents dans le dossier de téléchargement accessible via le Web : *.aspx, pwn*.aspx, cfg*.txt, wc*.txt, el*.txt, et le titre de la console AntiFox “ AntiFox — 自主渗透测试控制台 ”. Loup arctique

# Who read secrets since 1 Oct (management events, per region, last 90 days)
aws cloudtrail lookup-events --region us-east-1 \
  --lookup-attributes AttributeKey=EventName,AttributeValue=GetSecretValue \
  --start-time 2026-10-01T00:00:00Z \
  --query 'Events[].[EventTime,Username,CloudTrailEvent]' --output text | head -n 200
# PowerShell on the IIS server: .aspx files written in the last 30 days
Get-ChildItem C:\inetpub -Recurse -Include *.aspx,*.ashx,cfg*.txt,wc*.txt,el*.txt -File -ErrorAction SilentlyContinue |
  Where-Object LastWriteTime -gt (Get-Date).AddDays(-30) | Select-Object FullName, LastWriteTime

Contenir et remédier (dans l'ordre)

1. Analyse MAG212 Alerte sur w3wp.exe créant des fichiers .aspx ou lançant cmd/PowerShell, et sur une identité effectuant une série d'appels List/Describe sur de nombreux services avec un taux élevé d'AccessDenied.
2. Révoquez les sessions et clés d'accès concernées, et effectuez une rotation. tout secret lu par un principal inattendu et chaque identifiant dans une collecte web.config; Voici le conseil d'Arctic Wolf : dans CloudTrail, recherchez les rares appels réussis au sein des pics de refus. GBHackers BleepingComputer
3. Supprimer les clés d'accès permanentes et limiter les autorisations IAM à ce que chaque charge de travail utilise ; restreindre secretsmanager:GetSecretValue par ressource.

Vérifier la récupération : Les secrets utilisés ont été renouvelés et les anciennes valeurs ont été révoquées ; aucun principal inconnu n'a été détecté dans CloudTrail pendant 7 jours ; les racines Web correspondent aux versions déployées. Prévention Analyse MAG212Les agents d'IA rendent le recensement exhaustif et bruyant peu coûteux. Ce bruit représente une opportunité de détection si CloudTrail est suivi.

Ce qui s'est passé

Confirmé Apache signale la vulnérabilité CVE-2026-119618 Critique: synchronisation incorrecte d'une ressource partagée dans mod_http2 assign_headers() Peut entraîner une corruption de la mémoire et l'exécution de code à distance. Ce problème affecte httpd 2.4.55 à 2.4.70 et le module autonome mod_h2 2.0.8 à 2.0.42, et est corrigé dans la version [référence manquante]. 2.4.71, publié le 11 novembre. Anthropic OSS Scanner l'a signalé le 26 octobre et Google Cloud Vulnerability Research (Anthony Weems, Simon Scannell) le 3 novembre. La même version corrige cette vulnérabilité. CVE-2026-106023 (Important : le déréférencement NULL de mod_md provoque le plantage d’un processus enfant, 2.4.30–2.4.70) et CVE-2026-109163 (Faible : écrasement de pile d'un octet de mod_vhost_alias). Apache

Signalé Red Hat lui attribue la note de 9,8 mais le qualifie d“” important » sur RHEL 9 et 10 en raison des allocateurs de mémoire par flux. Inconnu Quant à savoir si elle est exploitée : Red Hat affirme que des recherches publiques ont démontré l’existence d’une faille fiable, sans toutefois la citer ; Wiz affirme qu’aucune faille n’est disponible et qu’aucune n’a été observée en circulation. Les actualités des hackers

Qui est concerné ?

Signalé Seuls les serveurs de la plage de versions avec HTTP/2 activé à travers le Protocols directif. Analyse MAG212 Cela concerne encore de nombreux serveurs scolaires, PME et d'hébergement, ainsi que des appareils intégrant httpd, dont les correctifs fournisseurs seront en retard par rapport aux versions amont.

# Version (apache2ctl on Debian/Ubuntu, apachectl on RHEL)
apachectl -v 2>/dev/null || apache2ctl -v
# Is mod_http2 loaded?
(apachectl -M 2>/dev/null || apache2ctl -M) | grep -i http2
# Where is HTTP/2 switched on?
grep -RniE '^\s*Protocols\s' /etc/apache2 /etc/httpd 2>/dev/null

Remédier

1. Mise à jour vers la version 2.4.71 ou le paquet fixe de votre distribution.
2. Jusqu'à présent, retirer h2 et h2c En cas de problème avec les protocoles, les clients utilisent HTTP/1.1. Il n'existe pas de solution officielle ; il s'agit d'une suggestion de Wiz. Les actualités des hackers
3. Demandez aux vendeurs d'électroménager si leur serveur HTTP intégré est affecté.

Vérifier la récupération : apachectl -v affiche la version corrigée ou un test HTTP/2 (par exemple curl -sI --http2 https://your.site) affiche HTTP/1.1. Prévention Analyse MAG212: conservez une liste de tous les serveurs qui intègrent un serveur web, y compris les appliances, afin que le prochain bug httpd soit diagnostiqué en quelques minutes.

Que s'est-il passé, qui est concerné et comment cela fonctionne-t-il ?

Signalé Ivanti a réparé un Injection SQL dans Endpoint Manager pouvant entraîner l'exécution de code distant non authentifié (CVE-2026-121653, 9.8 ; EPM 2024 SU8) et un Défaut d'authentification manquante dans l'application de services cloud Cette vulnérabilité permet à un attaquant d'ajouter ou de supprimer des entrées de certificats EPM Core de confiance (CVE-2026-121683, 9.4 ; CSA 5.0.8.1). CSA, avec une configuration à double carte réseau, n'est pas exploitable de l'extérieur. Une vulnérabilité d'exécution de code à distance (RCE) Sentry de haute gravité (CVE-2026-105425) est également corrigée. Confirmé Ivanti a publié sa propre mise à jour indiquant qu'elle ne dispose d'aucune preuve d'exploitation de ces failles et cite quatre CVE Sentry (CVE-2026-105425, -105669, -123179, -123181), une faille User Workspace Manager (CVE-2026-105813) et CVE-2026-121683 pour CSA, ainsi que des avis EPM et EPMM. Ivanti Signalé La mise à jour de Citrix XenServer corrige la vulnérabilité CVE-2026-102705, qui pouvait permettre à un attaquant de déduire le secret du pool et de compromettre l'hôte, ainsi que cinq problèmes d'élévation de privilèges et de terminaison de tâches et des mesures d'atténuation pour les failles AMD invité-hôte ; Citrix ne mentionne pas d'exploitation. Semaine de la sécurité MAG212 a ouvert le résumé d'Ivanti mais pas les avis par produit ni le bulletin de Citrix, donc le score EPM et les versions corrigées proviennent de SecurityWeek. Citrix

Ce qu'il faut rechercher, puis corriger (dans l'ordre)

1. Serveurs principaux EPM en premier : Mise à niveau vers le SU8 2024. Analyse MAG212 Les failles d'Ivanti ont la fâcheuse tendance à être rapidement exploitées une fois les correctifs intégrés ; n'attendez pas une entrée KEV.
2. CSA : 5.0.8.1 ; vérifiez si votre système fonctionne avec une seule carte réseau.
3. Analyse MAG212 Après la mise à jour, Veuillez vérifier la liste des certificats de confiance d'EPM pour les entrées que vous n'avez pas ajoutées.
4. XenServer : Appliquer CTX697316 ; maintenir le réseau de gestion isolé (même leçon que les attaques Xen Orchestra de cette semaine).

Vérifier la récupération : Versions confirmées ; liste des certificats EPM vérifiée. Prévention Analyse MAG212Les serveurs de gestion des points de terminaison peuvent déployer du code sur chaque machine, comme les consoles ScreenConnect de l'histoire 1. Offrez-leur le même niveau d'isolation qu'un contrôleur de domaine.

Barracuda : plus qu'un jour

Confirmé Les vulnérabilités CVE-2026-116606 et CVE-2026-111560 sont dues 13 novembre, Une analyse forensique est en cours. Barracuda a mis en place une solution de contournement : l’interface d’administration est restreinte aux réseaux de confiance. Les identifiants des correctifs sont disponibles dans l’avis de sécurité. Aucun indicateur de compromission (IOC) n’a été publié. CISA KEV Barracuda Faire: Vérifiez les identifiants des correctifs sur chaque ESG, ADC, BMA, WCC, WAF et WSG ; examinez l’historique d’importation et de restauration de la configuration sur toute machine dont l’interface utilisateur d’administration était accessible.

Xen Orchestra : exploité, toujours pas de CVE

Confirmé La vulnérabilité VSA-2026-062 de Vates (exploitation d'un contournement de jeton ’ objet vide “, accès root sur les hôtes XCP-ng) ne figure toujours pas dans la liste des CVE ; elle a été corrigée dans XO 6.9.2 et 6.10.1. La vulnérabilité VSA-2026-063 (Importante) a été publiée le même jour. L'exploitation ne laisse aucune trace dans les journaux ; il est donc recommandé d'effectuer les vérifications d'hôtes du fournisseur et de bloquer ses adresses IP publiées ainsi que son serveur de commande et de contrôle Onion. Vates Inconnu MAG212 n'a pas pu localiser l'article de SecurityWeek du 11 novembre sur ces failles, nous ne pouvons donc pas dire s'il signale VSA-2026-063 comme exploitée.

eMudhra : la confiance dans les certificats s’estompe.

Signalé Après qu'un script de transfert de clés a tronqué des clés privées lors d'une cérémonie de transfert de clés en avril 2025, eMudhra a révoqué huit autres intermédiaires (six TLS, deux de signature de code), en utilisant un motif de révocation que les participants de Mozilla ont contesté. 16 novembre L'émission des certificats G1 s'arrête, Microsoft commence à supprimer dix certificats racines eMudhra, et Chrome et Firefox ne font plus confiance aux certificats G1 émis après cette date. Apple cesse de faire confiance à tous les certificats G1 le 30 novembre. eMudhra ne signale aucun abus connu et abandonne le protocole TLS public. Le principal utilisateur G1 restant est une fédération universitaire nord-américaine. Les actualités des hackers Microsoft Analyse MAG212 Faire: Vérifiez votre inventaire de certificats et vos chaînes de signature de code pour les émetteurs emSign/eMudhra et remplacez-les avant le 16 novembre. Les universités participant à des systèmes d'identité fédérés doivent contacter leur fédération dès aujourd'hui.

Routeurs Asus : quatre vulnérabilités CVE, aucune exploitée connue

Signalé SecurityWeek indique qu'Asus a révélé quatre failles de sécurité importantes, de gravité moyenne, dans le firmware de ses routeurs, qui pourraient permettre l'exécution de commandes root ou l'écrasement de la mémoire. Semaine de la sécurité Les enregistrements CVE publiés le 10 novembre correspondent à ce nombre, tous pour les séries de firmware 3.0.0.4.386, 3.0.0.4.388 et 3.0.0.6.102 :

Faire: mettre à jour le firmware du routeur à partir de page d'information d'Asus; En attendant, évitez de connecter des périphériques non fiables au réseau local du routeur et désactivez les fonctions USB et d'administration à distance inutilisées. Analyse MAG212 Les petits bureaux et les travailleurs à domicile représentent ici le principal risque.

Bureau d'intervention du défenseur

Sélection des articles du jour. Analyse MAG212 pour le classement ; les sources se trouvent dans chaque article.

• MaintenantScreenConnect (MSP) : Aucune session vers les appareils suspects ; désactivez les 5 extensions (RMM+ en premier) ; consultez la commande Exécuter/Toolbox ; révoquez les sessions, réinitialisez les identifiants à partir d’un appareil propre, vérifiez l’authentification multifacteur. → 01
• MaintenantScreenConnect (clients) : Exécutez le balayage des points de terminaison (identifiants non autorisés, TrapWatch, RelayTrap) ; nettoyez complètement avant de désisoler ; posez les trois questions à votre fournisseur de services gérés. → 01
• MaintenantKEV attendu aujourd'hui : OpenSSH 10.6p2 sur musl, GPUStack 2.2.2, FreeSWITCH 1.11.3, Faspex 5.0.19 PL1 ; trier tout ce qui est exposé. → 02
• Aujourd'huiBarracuda (prévu pour le 13 novembre) : Examen des identifiants de correctifs et de l'historique de configuration. → 08
• Aujourd'huiQlik Sense : hors ligne ; vérification de l’hôte ; versions d’ActiveMQ et de Veeam. → 04
• Aujourd'huiAWS : Analyse des appels GetSecretValue depuis le 1er octobre ; alerte concernant l'écriture de fichiers .aspx par w3wp.exe. → 05
• Cette semainePatchs : Zoom 7.1.8; httpd 2.4.71 ou abandonnez h2/h2c; Ivanti EPM SU8 et CSA 5.0.8.1; XenServer CTX697316. → 03 → 06 → 07
• D'ici le 16 novembreeMudhra : remplacer les certificats emSign/eMudhra et les chaînes de signature de code. → 08

Échéances KEV (dates limites fédérales ; un signal de priorité pour tous)