Patch Tuesday & 0-Day BeyondTrust (RDS du 10 au 16 octobre 2026)

Publication du Patch Tuesday de Microsoft et exploitation d'une 0-day référencée CVE-2026-102764affectant BeyondTrust Remote Support par le groupe APT chinois ARMORY CASTLE, les experts du service de veille cyber Yuno vous livrent une synthèse des évènements clés pour vous permettre de rester informés et d’anticiper les risques.

‍

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

‍

Correctifs

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par Microsoft dans le cadre de son Patch Tuesday [1] et pour Edge [2][3], par Beyond Trust pour Remote Support [4], par Google pour Chrome [5] [6], par Cisco pour Secure Email Gateway [7], par Keycloak [8], par Ivanti pour Xtraction [9] et pour Connect Secure [10], par Gitlab pour CE et EE [11], parDocker pour Engine [12], par SAP [13], par Juniper pour Junos OS [14], par Palo Alto pour Prisma Browser [15] et pour PAN-OS [16], par Progress pour Marklogic Server [17], par Fortinet pour FortiSIEM [18], par Adobe pour Experience Manager [19], pour ColdFusion [20], et pour Commerce [21] et par Mozilla pour Firefox [22].

Ces correctifs remédient à des dommages allant du déni de service à la prise de contrôle du système.

‍

Code d’exploitation

‍

Un code d'exploitation a été publié cette semaine. Un correctif est disponible.

Prise de contrôle du système et contournement de sécurité via une vulnérabilité au sein d'Ivanti Connect Secure [23]

Un code d'exploitation tirant parti de la vulnérabilité référencée CVE-2026-104935 affectant Ivanti Connect Secure a été publié. Dans un premier temps, le template envoie une requête HTTP GET vers la racine de l'application afin d'identifier la présence d'une appliance Ivanti Connect Secure. Il recherche plusieurs éléments caractéristiques du produit dans la réponse HTTP et tente d'extraire le chemin du script welcome.cgi, correspondant à une page d'authentification accessible publiquement. Dans un second temps, le template envoie une nouvelle requête HTTP GET vers ce script en ajoutant l'en-tête X-DSCGI-PATH, dont la valeur pointe vers le script interne /home/webserver/htdocs/dana/fb/smb/wu.cgi. L'exploitation repose sur une incohérence dans le traitement des requêtes HTTP. Le contrôle d'authentification est effectué à partir du chemin présent dans l'URL, tandis que le script réellement exécuté est déterminé par la valeur de l'en-têteX-DSCGI-PATH. Ainsi, la requête semble cibler une ressource publique ne nécessitant aucune authentification, alors qu'elle est redirigée vers un scriptCGI normalement protégé. Le template considère la cible comme vulnérable lorsqu'il obtient une réponse HTTP 200 contenant simultanément les chaînes upload file et Browse buttons, caractéristiques de l'interface du scriptwu.cgi. Il valide ainsi de confirmer le contournement d'authentification. LeCERT-XMCO recommande l'installation des versions suivantes d'Ivanti Connect Secure : 25.1.1.2, 25.1.3.0, 25.1.3.1, 22.8R2.5.

‍

INFORMATIONS

‍

Vulnérabilités

Exploitation malveillante de la vulnérabilité CVE-2026-102764 au sein de BeyondTrust Remote Support [24]

Le 15 octobre 2026, les chercheurs de Google ont signalé l’exploitation malveillante de la vulnérabilité critique CVE-2026-102764 affectant les instances Beyond Trust Remote Support (anciennement Bomgar). Cette faille, liée à une validation incorrecte de l’origine des messages dans un composant de messagerie interne (CWE-290), permettait à un attaquant distant non authentifié d’effectuer des opérations sur les fichiers d’un appareil vulnérable. Exploitée comme une vulnérabilité zero-day depuis août 2026, elle a fait l’objet d’un correctif publié par Beyond Trust. Au cours de leurs investigations, les chercheurs de Google ont attribué l’exploitation de cette faille au groupe étatique chinois ARMORY CASTLE (alias UNC5221).

Exploitation en chaîne de trois vulnérabilités affectant Ivanti, dont une 0-day CVE-2026-104935 [25]

Le 13 octobre 2026, les chercheurs de Volexity ont révélé l’exploitation, depuis au moins le 3 octobre, d’une chaîne de trois vulnérabilités 0-day affectant les appliances VPN Ivanti Connect Secure (ICS).Ces failles, dont l’une référencée CVE-2026-104935, permettaient à un attaquant distant et non authentifié d’obtenir une exécution de code avec les privilèges root, y compris sur des équipements entièrement corrigés. Exploitée par le nouvel acteur de la menace UTA0576, cette chaîne a permis de compromettre les équipements, de collecter des identifiants et des données Active Directory, puis de rechercher des informations sensibles et des comptes valides.

Distribution du malware PEERSTITCH via l'exploitation dela CVE-2024-47575 au sein de FortiManager [26]

Le 14 octobre 2026, les chercheurs de l’Unit 42 de Palo Alto Networks ont publié une analyse détaillée de l’exploitation de la vulnérabilité critique CVE-2024-47575, affectant FortiManager. Cette faille, liée à un défaut de contrôle du mécanisme d’authentification du daemon fgfmd, permettait à un attaquant distant non authentifié d’envoyer des requêtes spécialement conçues afin d’obtenir un accès non autorisé. Déjà exploitée comme une vulnérabilité 0-day en octobre 2024, elle représente une menace importante en raison du rôle central de FortiManager dans l’administration des pare-feu FortiGate. L’un des principaux éléments de cette enquête est la découverte de PEERSTITCH, un implant malveillant conçu pour fonctionner en mémoire sur des équipements FortiGate.

Exploitation de la vulnérabilité CVE-2026-85097 affectantle plugin Bricksforge de WordPress [27]

Le 8 octobre 2026, les chercheurs de Patchstack ont révélé l’exploitation active depuis le 7 octobre d’une vulnérabilité critique affectant le plugin Bricksforge, un outil de création visuelle de sites web pour WordPress. Référencée CVE-2026-85097 et corrigée dans la version 3.1.8.10, elle permettait à un attaquant non authentifié de téléverser et d’exécuter du code PHP arbitraire à distance. Cette faille pouvait ainsi permettre de prendre le contrôle du site WordPress, de déployer des webshells, d’accéder à des données sensibles et d’établir une persistance. Afin de se protéger contre cette menace, il est recommandé de mettre à jour l’extension vers la version4.0.1.

Exploitation des vulnérabilités CVE-2026-105133 etCVE-2026-105134 affectant AhsayCBS [28]

Le 8 octobre 2026, les chercheurs de Huntress ont révélé l’exploitation en chaîne de deux vulnérabilités affectant la plateforme de gestion des sauvegardes AhsayCBS. Référencées CVE-2026-105133 etCVE-2026-105134, elles permettaient respectivement de contourner des mécanismes d’authentification et d’exécuter du code arbitraire. Bien que l’éditeur les ait indiquées comme corrigées, Huntress a découvert qu’elles affectaient également Ahsay 10.3.4, qui constitue actuellement la dernière version. Ces vulnérabilités sont exploitées pour déployer des webshells Java Server Pages(JSP) et télécharger le cryptominer XMRig.

‍

France

Analyse de l’incident cyber visant les systèmes Danfoss dans la grande distribution française [29]

Le 12 octobre 2026, le CERT-FR a publié une alerte de sécurité relative à la compromission de systèmes Danfoss (séries AK-SM etAK-SC), utilisés pour superviser les installations frigorifiques commerciales.D'après les premiers éléments communiqués publiquement, des attaquants auraient modifié à distance le fonctionnement de certains équipements, notamment en déclenchant des cycles de dégivrage, provoquant une hausse des températures et perturbant la conservation des denrées alimentaires. Des vulnérabilités affectant certaines plateformes Danfoss avaient été documentées en 2025. Pour l'heure, les informations disponibles ne permettent pas de confirmer que ces vulnérabilités ont été exploitées lors de cet incident, ni de reconstituer précisément le vecteur initial de compromission.

CERT-FR et CERT Santé : analyse des vulnérabilités et des risques de cybersécurité dans le secteur de la santé [30]

Le 2 octobre 2026, le CERT-FR et le CERT Santé ont conjointement publié un retour d’expérience relatif aux vulnérabilités affectant les solutions numériques du secteur de la santé. Fondé sur des cas réels anonymisés, ce rapport met en évidence des failles critiques, parfois facilement exploitables depuis Internet, susceptibles de compromettre la confidentialité des données médicales, la continuité des soins et la sécurité des patients. Les chiffres présentés illustrent l’ampleur du problème : 82% des établissements interrogés déclarent avoir eu connaissance de vulnérabilités au cours des douze derniers mois, tandis que 74% indiquent avoir été confrontés à des éditeurs tardant à corriger les failles ou refusant de le faire. Par ailleurs, le nombre d’incidents malveillants traités par le CERT Santé est passé de 328 en 2024 à 400 en 2025, soit une hausse de 22%. Ces constats soulignent l’exposition croissante du secteur de la santé aux risques cyber.

‍

——————————————————————————————————-

‍