Résumé de la semaine #13 (du 23 au 27 mars 2026)

Compromission de LiteLLM par TeamPCP lors d’une attaque par supply chain logicielle et démentie de l’entreprise OVHcloud, les experts du service de veille cyber Yuno vous livrent une synthèse des évènements clés pour vous permettre de rester informés et d’anticiper les risques. 

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

APPLICATIONS DE CORRECTIFS

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par BMC [1], par Microsoft pour Edge [2] [3], par Gitlab [4], par Apple pour macOS [5] et iOS [6], par Nginx [7], par Mozilla pour Firefox et Thunderbird [8] [9] [10] [11], par Citrix [12] et par Google pour Chrome [13].

Codes d’exploitation

Cette semaine, 2 codes d’exploitation ont été publiés. Un correctif est disponible pour chacun d’entre eux.

Prise de contrôle du système et contournement de sécurité via 4 vulnérabilités au sein de BMC Footprints [14]

Des codes d’exploitation tirant parti des vulnérabilités référencées CVE-2025-71257, CVE-2025-71258, CVE-2025-71259, CVE-2025-71260, affectant BMC Footprints ont été publiés. L’exploitation de ces failles permet de provoquer un déni de service, d’accéder à des informations sensibles, de manipuler des données, de contourner des restrictions de sécurité voire de prendre le contrôle du système. La première vulnérabilité CVE-2025-71257 permet de contourner l’authentification en requêtant le chemin footprints/servicedesk/passwordreset/request/, ce dernier retourne un token SEC_TOKEN. Ce token permet de contourner les filtres de redirections et ainsi d’accéder à des points de terminaison normalement restreints. Les vulnérabilités CVE-2025-71258 et CVE-2025-71259 permettent de forcer le serveur à initier des requêtes sortantes et ainsi divulguer des données ou encore d’impacter la disponibilité du système. La première s’exploite en envoyant une requête HTTP GET contenant le token récupéré précédemment vers le chemin footprints/servicedesk/import/searchWeb?url=http://{{interactsh-url}}&dataEncoding=x. La seconde vers le chemin footprints/servicedesk/externalfeed/RSS?feedUrl=http://{{interactsh-url}}&dataEncoding=x en utilisant également le token. La dernière vulnérabilité CVE-2025-71260 permet d’exécuter du code arbitraire. En s’authentifiant à l’aide du token SEC_TOKEN, il est possible d’envoyer une requête POST vers le chemin footprints/servicedesk/aspnetconfig/ avec le paramètre __VIEWSTATE contenant une payload. Cette payload contient des objets Java forgés (gadget chains) encodés en base64, permettant d’exécuter du code. Le CERT-XMCO recommande l’installation de l’une des versions suivantes de BMC footprints disponible auprès du support: 20.20.02 ; 20.20.03.002 ; 20.21.01.001 ; 20.21.02.002 ; 20.22.01 ; 20.22.01.001 ; 20.23.01 ; 20.23.01.002 ou 20.24.01.

Prise de contrôle du système et élévation de privilèges via 2 vulnérabilités au sein de Dell Wyse Management Suite [15]

Un code d’exploitation tirant parti des vulnérabilités référencées CVE-2026-22765 et CVE-2026-22766 affectant Dell Wyse Management Suite a été publié. L’exploitation en chaîne de ces failles permet à un attaquant distant déjà authentifié d’élever ses privilèges, puis d’exécuter du code arbitraire avec les droits élevés obtenus. En l’exploitant, un attaquant pouvait se connecter à l’API avec POST /ccm-web/open/deviceGroupLogin2 sans fournir de jeton de groupe et récupérer un owner_id valide. Avec POST /ccm-web/open/deviceRegister et ce owner_id, il pouvait enregistrer un faux appareil et obtenir un authenticationCode et un wyseIdentifier. Ces identifiants permettaient ensuite de se faire passer pour un appareil légitime et d’accéder à d’autres API, pouvant créer des comptes administrateurs ou exécuter du code sur le serveur. Le CERT-XMCO recommande l’installation de la version 5.5 de Dell Wyse Management Suite disponible à l’adresse suivante : https://www.dell.com/support/home/fr-fr/drivers/driversdetails?driverid=m07wk&oscode=naa&productcode=wyse-wms

Informations

Vulnérabilités exploitées

Détection de la faille de sécurité critique CVE-2026-4681 au sein des produits Windchill & FlexPLM [16]

Le 23 mars 2026, l’éditeur PTC a publié une alerte de sécurité relative à une vulnérabilité affectant ses produits Windchill et FlexPLM. Référencée CVE-2026-4681 (score CVSS v4 de 9.3), cette faille en cours de correction provient d’un contrôle inadéquat de la génération de code au sein de PTC Windchill et PTC FlexPLM. Elle permet à un attaquant distant et non authentifié de prendre le contrôle des instances vulnérables par l’intermédiaire d’une désérialisation de données non fiables. Pour endiguer les risques associés à la CVE-2026-4681, le CERT-XMCO recommande de prendre connaissance des indicateurs de compromission et des mesures d’atténuation détaillées ici.

TeamPCP cible litellm dans une attaque de supply chain logicielle [17]

Le 24 mars 2026, les chercheurs d’Endor Labs ont publié une analyse de la compromission de la bibliothèque Python litellm sur PyPI, utilisée comme proxy multi-fournisseurs pour LLM et massivement déployée dans des environnements de développement et de production; le paquet a été téléchargé plus de 95 millions de fois au cours du mois dernier. Au cours de cette attaque par chaîne d’approvisionnement, les versions 1.82.7 et 1.82.8 du paquet ont été modifiées pour déclencher automatiquement un voleur d’identifiants et un mécanisme de persistance sur les systèmes victimes, touchant développeurs, pipelines CI/CD, conteneurs et serveurs Kubernetes. La campagne est attribuée au groupe TeamPCP, déjà impliqué dans les compromissions de Trivy et KICS, et s’inscrit dans une série d’opérations visant des outils disposant d’un accès étendu aux secrets d’infrastructure.

Compromission de pipelines IA Langflow via l’exploitation de la faille critique CVE-2026-33017 [18]

Le 19 mars 2026, les chercheurs de Sysdig ont publié une analyse sur l’exploitation malveillante d’une faille de sécurité critique affectant Langflow, le framework visuel pour la construction d’agents d’IA et de pipelines de génération augmentée par récupération. Référencée CVE-2026-33017, cette vulnérabilité provenait d’une mauvaise configuration de l’endpoint POST /api/v1/build_public_tmp/{flow_id}/flow conçu pour permettre aux utilisateurs non authentifiés de créer des workflows publics. Un attaquant distant et non authentifié pouvait exécuter du code arbitraire en détourant un paramètre data optionnel, susceptible d’inclure du code Python malveillant. Pour endiguer les risques d’exploitation de la CVE-2026-33017, le CERT-XMCO recommande l’installation de la version 1.9.0 du paquet Langflow, disponible ici.

Le groupe APT Pawn Storm/APT28 cible des entités stratégiques en Europe via l’exploitation de failles de sécurité 0-day (CVE-2026-21509 & CVE-2026-21513) [19]

Le 26 février 2026, les chercheurs de Trend Micro ont publié l’analyse d’une campagne d’attaques attribuée au mode opératoire Pawn Storm (aka APT28, Fancy Bear, UAC-0001 et Forest Blizzard). Ce groupe étatique aligné sur les intérêts de la Russie a exploité une souche de code malveillant référencée PRISMEX pour espionner et potentiellement saboter des entités stratégiques en lien direct avec la chaîne d’approvisionnement militaire de l’Ukraine, localisées notamment en République tchèque, en Pologne, en Roumanie, en Slovaquie, en Slovénie et en Turquie.

Prise de contrôle du système via l’exploitation malveillante d’une faille de sécurité PolyShell affectant l’API de Magento [20]

Le 19 mars 2026, les chercheurs de Sansec ont publié un rapport sur la découverte d’une vulnérabilité nommée PolyShell affectant l’API de Magento (aka Adobe Commerce). Cette faille de sécurité permet à des acteurs malveillants de télécharger des fichiers exécutables menant à une divulgation d’informations, une manipulation de données et à une exécution de code arbitraire. Adobe a corrigé la faille, mais le correctif de sécurité n’est pas encore disponible. Selon la télémétrie de Sansec, des exploitations malveillantes de la faille PolyShell ont déjà été observées dans la nature.

France

Détection d’une campagne de phishing attribuée aux services de renseignement russes via Signal et WhatsApp [21]

Le 20 mars 2026, les chercheurs en sécurité du Centre de coordination des crises cyber (C4) français, du FBI et de la CISA ont publié un communiqué sous forme d’alerte détaillant une vaste campagne de phishing ciblant les comptes de messageries instantanées, en particulier Signal et WhatsApp, utilisés par des responsables politiques, des cadres de l’administration, des journalistes et d’autres profils « à haute valeur de renseignement » dans plusieurs pays occidentaux. Cette campagne n’exploite pas de faille de chiffrement, mais détourne des fonctionnalités légitimes (codes de vérification, appareils liés, QR codes) pour prendre le contrôle des comptes. L’attribution est formellement portée sur les services de renseignement russes, qui cherchent ainsi à accéder à des informations sensibles et à disposer de canaux crédibles pour des opérations d’influence.

Le fondateur d’OVHcloud dément les allégations de cyberattaque formulée sur BreachForums [22]

Le 24 mars 2026, Hackread a rapporté la revendication d’une cyberattaque contre l’entreprise française OVHcloud par un acteur malveillant sur BreachForums. Connu sous le pseudonyme Normal, l’attaquant a indiqué être en possession de 590 To de données volées, incluant des informations associées à 1,6 million de comptes clients et près de 6 millions de sites web. Ces données ont ensuite été mises en vente par le cybercriminel, laissant craindre un risque d’exploitation ultérieure frauduleuse : phishing ciblé, usurpation d’identité, etc.

——————————————————————————————————–

Références

Références
[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]

[19]

[20]

[21]

[22]

XMCO

Découvrir d'autres articles

En savoir plus En savoir plus