Résumé de la semaine #09 (du 23 au 27 février 2026)

Exploitation de la vulnérabilité 0-day CVE-2026-20127 au sein de produits Cisco et compromission d’équipements FortiGate exposés sur Internet par un cluster criminel russophone, les experts du service de veille cyber Yuno vous livrent une synthèse des évènements clés pour vous permettre de rester informés et d’anticiper les risques.

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

APPLICATIONS DE CORRECTIFS

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par Solarwinds pour Serv-U file server [1], par Juniper pour Junos OS [2], par Cisco pour Catalyst [3], par Trend Micro [4], par Centreon [5] [6], par Gitlab [7], par Mozilla pour Firefox, Firefox ESR et Thunderbird [8] [9] [10] [11], par Grafana [12], par Google pour Chrome [13], et par Microsoft pour Edge [14] [15].

Code d’exploitation

Un code d’exploitation a été publié cette semaine. Un correctif est disponible.

Prise de contrôle du système via une vulnérabilité au sein de Chrome [16]

Un code d’exploitation tirant parti de la vulnérabilité référencée CVE-2026-2441 et affectant Chrome a été publié. L’exploitation de cette faille permet à un attaquant distant et non authentifié d’exécuter du code arbitraire au sein d’une sandbox. En incitant sa victime à ouvrir une page spécialement conçue dans une version vulnérable de Chrome, un attaquant est alors en mesure de déclencher une vulnérabilité de type use-after-free dans le moteur CSS, pouvant conduire à l’exécution de code arbitraire dans le contexte du navigateur. Le CERT-XMCO recommande l’installation de l’une des versions suivantes de Chrome disponibles via le mécanisme de mise à jour automatique : 144.0.7559.75 pour la version Linux ; 145.0.7632.75/76 pour la version Windows et 145.0.7632.75/76 pour la version macOS. Google indique que cette vulnérabilité a été activement exploitée comme 0-day.

Informations

Vulnérabilités

Le mode opératoire UAT-8616 exploite la vulnérabilité 0-day CVE-2026-20127 au sein de produits Cisco [17]

Le 25 février 2026, les chercheurs de Cisco Talos ont publié un bulletin de sécurité signalant l’exploitation malveillante d’une vulnérabilité critique au sein des solutions Cisco Catalyst SD-WAN Controller et Cisco Catalyst SD-WAN Manager. Référencée CVE-2026-20127, cette faille de sécurité provenait d’un défaut au sein du mécanisme d’authentification de peering, qui ne validait pas correctement les pairs et permettait un contournement de l’authentification via des requêtes spécialement conçues. Cette vulnérabilité permettait à un attaquant distant et non authentifié d’envoyer des requêtes spécifiquement conçues pour contourner les mesures d’authentification et obtenir des privilèges administrateur. D’après les investigations de Cisco Talos, le mode opératoire UAT-8616 serait responsable de l’identification de la faille CVE-2026-2012 et de son exploitation en tant que 0-day. Des traces malveillantes de l’opération ont été observées par Cisco Talos, suggérant une campagne d’attaques active depuis au moins trois ans.

Exploitations malveillantes de la faille de sécurité CVE-2026-1731 au sein de produits BeyondTrust [18]

Le 19 février 2026, l’Unit42 de Palo Alto a publié un bulletin de sécurité sur l’exploitation malveillante d’une faille affectant des produits BeyondTrust. Référencée CVE-2026-1731 et désormais corrigée, cette vulnérabilité provenait d’une mauvaise neutralisation d’éléments spéciaux. Elle permettait à un attaquant distant et non authentifié d’envoyer des requêtes spécifiquement conçues afin de prendre le contrôle de l’appareil. Un code d’exploitation est publiquement disponible. Pour endiguer les risques de détournement de cette faille, le CERT-XMCO recommande l’installation des versions 25.3.2 ou Patch BT26-02-RS de Remote Support, ainsi que 25.1.1 ou Patch BT26-02-PRA de Privileged Remote Access, disponibles auprès du support. Des tentatives d’exploitation de la CVE-2026-1731 ont été signalées par l’Unit42 aux États-Unis, en France, en Allemagne, en Australie et au Canada, contre de multiples secteurs d’activités, tels que les services financiers, juridiques, les hautes technologies, l’enseignement supérieur, le commerce de gros et de détail et la santé. Conjointement à ces observations, l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a confirmé le 13 février dernier que cette faille avait aussi été exploitée lors d’attaques par ransomware.

Europe

Compromission d’équipements FortiGate exposés sur Internet par un cluster criminel russophone [19]

Le 20 février 2026, les chercheurs d’Amazon Threat Intelligence ont révélé une campagne d’attaque opportuniste menée par un cluster criminel russophone à motivation financière. Les attaquants ont exploité plusieurs services commerciaux d’IA générative afin de compromettre plus de 600 équipements FortiGate exposés sur Internet dans plus de 55 pays, entre le 11 janvier et le 18 février 2026. L’opération cherchait principalement à compromettre des environnements Active Directory, exfiltrer des bases de données d’identifiants ainsi que cibler des infrastructures de sauvegarde. Cette campagne illustre le gain capacitaire que l’intelligence artificielle peut offrir aux cybercriminels. Selon les chercheurs, le mode opératoire observé suggère l’implication probable d’un individu isolé ou d’un petit groupe qui, grâce à l’appui de l’IA, a pu atteindre un niveau d’efficacité et une envergure opérationnelle auparavant réservés à des équipes plus structurées et expérimentées.

France

Un acteur cybercriminel revendique le vol de 16 GB données chez Airbus sur le forum Exploit [20]

Le 23 février 2026, un acteur malveillant connu sous le pseudonyme AckLine a publié sur la plateforme criminelle Exploit un échantillon de données, susceptible d’appartenir à un environnement de développement d’Airbus. Dans sa publication, le cybercriminel a précisé être en possession de 16 GB de données compressées, désormais mises en vente sur le forum. Bien que la nature exacte du mode opératoire employé par l’attaquant ne soit pas établie, AckLine a indiqué qu’il avait infiltré un environnement de DevOps lié à Airbus pendant plus de deux mois. Pour l’heure, l’entreprise aérospatiale européenne n’a pas communiqué publiquement sur ce potentiel vol de données.

——————————————————————————————————–

Références

Références
[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]

[19]

[20]

XMCO

Découvrir d'autres articles

En savoir plus En savoir plus