Extension Claude Code compromise (RDS du 24 au 30 octobre 2026)

Compromission de l'extension Claude Code pour VS Code pour installer une porte dérobée SSH et exploitation des CVE-2026-111497 et CVE-2026-48356 affectant Google Brotli etAdobe Commerce / Magento, les experts du service de veille cyber Yuno vous livrent une synthèse des évènements clés pour vous permettre de rester informés et d’anticiper les risques.

‍

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

‍

Correctifs

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par Google pour Chrome [1] [2], par Microsoft [3] [4], par Drupal [5], par GLPI [6], par Alpine pour Linux [7], par Veeam pour Backup & Replication [8] [9], par Docker pour Desktop [10], par PHP [11], par Gitlab pour Community Edition et Enterprise Edition [12], par Wordpress [13], parMozilla pour Firefox ESR [14], pour Firefox [15] et pour Thunderbird [16], parApple pour macOS [17], pour Safari [18] et pour iOS et iPadOS [19].

Ces correctifs remédient à des dommages allant du déni de service à la prise decontrôle du système.

‍

Code d’exploitation

Cette semaine, 2 codes d'exploitation ont été publiés. Un correctif est disponible pour chacun d'entre eux.

Contournement de sécurité via une vulnérabilité au sein de Traefik [20]

Un code d'exploitation tirant parti de la vulnérabilité, référencée CVE-2026-85595, affectant Traefik a été publié. En incitant sa victime à ouvrir ce programme, un attaquant est alors en mesure d'envoyer une première requête HTTP GET vers la racine du serveur Traefik. Cette requête déclenche une réponse 401 Unauthorized contenant l’en‑tête WWW‑Authenticate de type Digest, dont le PoC extrait les champs realm, nonce et opaque à l’aided’expressions régulières. Ensuite, une seconde requête GET est envoyée avec un en‑tête Authorization Digest construit à partir du nom d’utilisateur factice « traefik‑poc », du realm,du nonce, du opaque récupérés précédemment, et d’une réponse MD5 calculée selon le protocole Digest. En raison d’un défaut du middleware digestAuth qui renvoie un secret vide pour les utilisateurs inconnus, le serveur accepte cette autorisation et renvoie 200 OK sans l’en‑tête WWW‑Authenticate, contournant ainsi l’authentification. LeCERT-XMCO recommande l'installation des versions 2.11.55 et 3.7.1 de Traefik. Ces versions sont disponibles à l'adresse suivante :https://github.com/traefik/traefik/releases.

Contournement de sécurité via une vulnérabilité au sein de Cisco Identity Services [21]

Un code d'exploitation tirant parti de la vulnérabilité, référencée CVE-2026-76460 affectant Cisco Identity Services, a été publié. Ce dernier envoie deux requêtes GET/admin/API/mnt/Session/ActiveList : la première vérifie que l’accès sans cookie renvoie 401 Unauthorized, puis la seconde ajoute un cookie APPSESSIONIDaléatoire et recherche une réponse 200 contenant activeSessionListResult auformat XML. Si ces conditions sont réunies, le modèle signale une possible exposition de l’API sans authentification valide. Le CERT-XMCO recommande l'installation des versions suivantes de Cisco Identity Services Engine (ISE)et Cisco ISE Passive Identity Connector (ISE-PIC) : 3.3 Patch 12, 3.4 Patch 7et 3.5 Patch 4. Pour Cisco ISE Passive Identity Connector (ISE-PIC).

‍

INFORMATIONS

‍

Vulnérabilités

Tentative d'exploitation de la vulnérabilité CVE-2026-97229 sur l'instance GitLab d'Alpine Linux [22]

Le 28 octobre 2026, Alpine Linux a signalé une tentative d'exploitation de la vulnérabilité CVE‑2026‑97229, corrigée le 12 octobre dernier, sur son instanceGitLab (cf. CXA-2026-8358). L’incident s’est produit les 20 et 21 octobre, lorsqu’un attaquant non authentifié a envoyé des configurations CI spécialement conçues, provoquant des plantages des workers GitLab mais aucune exécution de code n’a été confirmée. Le défaut se situe dans le moteur d’expressions régulières Onigmo intégré à Ruby, entraînant un débordement d’entier exploitable via des fichiers de configuration CI/CD malveillants, pouvant conduire à une exécution de code à distance. Alpine Linux indique que cette tentative d'exploitation est survenue en dépit de l'application du correctif deGitLab car la vulnérabilité affecte en réalité Ruby, qui n'avait donc pas été mis à jour correctement sur l'instance d'Alpine Linux.

Exploitation des CVE-2026-111497 et CVE-2026-48356 affectant Google Brotli et Adobe Commerce / Magento [23]

Le 27 octobre 2026, la CISA a confirmé l’exploitation active de deux vulnérabilités : la CVE-2026-111497 (Node2Shell), affectant Google Brotli, et la CVE-2026-48356 (PolyShell), affectant Adobe Commerce /Magento. La première, corrigée le 22 octobre 2026, permettait à un attaquant distant non authentifié de prendre le contrôle du système (cf. CXA-2026-8786).La seconde, corrigée en juillet 2026, permettait à un attaquant distant non authentifié d’élever ses privilèges (cf. CXA-2026-5291). Selon les chercheurs de Sansec, elle a notamment été exploitée pour compromettre 953 boutiques en ligne, principalement sous Magento, dans le cadre d’une campagne de longue durée active depuis juillet 2025.

Exploitation active des vulnérabilités PHP2Shell affectant PHP [24]

Les 21, 22 et 23 octobre 2026, plusieurs chercheurs ont révélé l’exploitation active des vulnérabilités PHP2Shell affectant PHP-SRC, référencées CVE-2026-109618 et CVE-2026-109619 et corrigées le 21 octobre.Elles permettaient à un attaquant d’exécuter du code avec les privilèges du processus Web (cf. CXA-2026-8783). Exploitées comme 0-day depuis le 17 octobre, ces failles continuent d’être utilisées dans plusieurs campagnes, notamment pour déployer le botnet Potassium (cf. CXN-2026-8838). CYFIRMA attribue une campagne de reconnaissance à un acteur lié au groupe APT Lazarus, associé à laCorée du Nord, tandis que Palo Alto Networks a rapporté une attaque visant une entité gouvernementale européenne, sans confirmer formellement son lien avec ces vulnérabilités.

Une campagne assistée par IA exploite les vulnérabilités PHP2Shell et une vulnérabilité du noyau Linux pour compromettre des pare-feux aux États-Unis, au Japon, à Taïwan et en Corée du Sud [25]

Le 28 octobre 2026, des chercheurs de Dream ont identifié une campagne assistée par IA exploitant PHP2Shell (CVE-2026-109618,CVE-2026-109619) et une escalade de privilèges du noyau Linux (CVE-2026-46300)pour prendre le contrôle de 25 pare‑feux, dont trois serveurs d’un réseau affilié au gouvernement américain. L’attaquant, suspecté d'opérer depuis la Chine, a balayé 19 000 pare‑feux exposés, exploité des versions vulnérables avec PHP8.0.30, et mis en place des tunnels SSH inversés persistants pour compromettre leur Active Directory. Selon The Hacker News, il est possible que les pare-feux ciblés soient ceux fournis par Palo Alto Networks, qui a récemment mis à jour son bulletin de sécurité du 21 octobre 2026 pour indiquer l'exploitation active des CVE-2026-109618 et CVE-2026-109619 sur des interfaces de gestion PAN-OS exposées sur Internet.

Analyse de KeyDrift, le malware utilisé par UAT‑11473 pour cibler les contrôleurs Cisco SD‑WAN via une vulnérabilité d'authentification [26]

Le 28 octobre 2026, les chercheurs de Cisco Talos ont publié l’analyse détaillée du groupe APT UAT-11473 utilisant le malwareKeyDrift contre des contrôleurs Cisco SD‑WAN. Corrigée en février 2026, cette vulnérabilité a été exploitée massivement pour cibler des victimes dans divers secteurs tels que des opérateurs de services spatiaux, de défense et de recherche en politique (cf. CXA-2026-1356, CXN-2026-3516,CXN-2026-4746, CXN-2026-4115). Selon les chercheurs, le framework KeyDriftdéploie les modules PolyFlame et LittleFilch au sein des daemons du contrôleurSD‑WAN, détournant les fonctions socket et DTLS pour capturer le trafic du plan de contrôle déchiffré et exfiltrer le matériel de clé. Aucune adresse C2 codée en dur n’a été identifiée, ce qui indique un canal de commande et contrôle dynamique en‑band.

‍

Chaîne d'approvisionnement

Compromission de l'extension officielle Claude Code pourVS Code visant les développeurs via le Cursor Marketplace pour installer uneporte dérobée SSH persistante [27]

Les chercheurs de Phorion ont révélé le 30 octobre 2026 la compromission de l'extension officielle Claude Code pour VS Code, distribuée via le Cursor Marketplace, touchant jusqu'à 5 000 utilisateurs ayant installé la version 2.1.313 entre le 29 et le 30 octobre 2026. Un acteur non identifié a inséré un chargeur JavaScript malveillant de 66 lignes avant le code légitime de l'extension, permettant l'ajout automatique d'une clé SSH d'accès distant dès le chargement du module, sans interaction de l'utilisateur. L'objectif de l'opération était d'obtenir un accès interactif durable aux postes de développement compromis.

‍

Espionnage

Le groupe APT Volt Typhoon s'appuie sur un réseau d'accèsclandestin pour exploiter des failles 0-day [28]

Le 28 octobre 2026, les chercheurs de Black Lotus Lab sont signalé l'existence d'un réseau d'accès clandestin baptisé Silent Train, attribué au groupe étatique chinois Volt Typhoon. Identifié pour la première fois fin 2023, ce réseau repose sur des chaînes tournantes d'équipements SOHO,IoT et d'entreprise compromis, et recourt à des techniques anti-forensiques, à une compartimentation des opérations et à un nettoyage systématique pourlimiter la détection et l'attribution. Sa fonction principale est de faciliter les phases critiques des attaques, telles que l'exploitation de vulnérabilités, l'accès aux identifiants, l'exfiltration de données et le maintien de l'accès aux environnements des victimes.