Ep.797 - Barracuda ESG, N-able N-central - Flash info du mercredi 11 novembre 2026 — RadioCSIRT - Edition Française

Ep.797 - Barracuda ESG, N-able N-central - Flash info du mercredi 11 novembre 2026

RadioCSIRT - Edition Française · 11/11/2026 16:58 · 10 min
Actualités Informatique

Contenu de l'épisode

🚨 L'agence américaine CISA inscrit six CVE au catalogue KEV le 10 novembre. Sur Barracuda ESG, la CVE-2026-116606 (CWE-288, authentication bypass using an alternate path or channel, CVSS 4.0 de 9,3) et la CVE-2026-111560 (CWE-78, OS command injection, CVSS 4.0 de 8,6) s'enchaînent en accès root sans authentification par l'import de configuration (T1190, Exploit Public-Facing Application) ; exploitation confirmée par Barracuda le 9 novembre, PoC de watchTowr Labs depuis le 5 novembre, correctifs BNSF-40425 (9.4.017 et suivantes) et BNSF-40430 (antérieures à 9.4.017), échéance au 13 novembre avec triage forensique, la CVE-2026-111560 touchant aussi cinq autres produits Barracuda. Autres ajouts, échéance au 24 novembre : CVE-2026-125350 (Chromium, composant XML, CWE-416, use after free, corrigée en 157.0.8103.50 et 157.0.8103.51, Edge sans correctif au 11 novembre), CVE-2026-124194 (Outlook, fuite du hash NTLMv2), CVE-2026-20320 (Cisco BroadWorks, XXE, corrigée en RI.2026.07) et CVE-2026-111793 (Openwave Webtop Media Transcoder, corrigée en 1.1.22.0).

🐛 N-able publie N-central 2026.4 HF2, qui corrige notamment CVE-2026-125883 (XXE multiples), CVE-2026-125878 (injections OGNL multiples), CVE-2026-125879 (élévation de privilèges locale vers root par la configuration syslog-ng), CVE-2026-125880 (XSS stockée), CVE-2026-125881 (SSRF), CVE-2026-125882 (exécution de code par traversée de répertoire) et CVE-2026-91000 (canaux IPC non sécurisés). Sean Bales a publié le 8 novembre le dépôt Able2Shell avec ses exploits, dont une chaîne XXE vers exécution de code sans authentification (T1190, Exploit Public-Facing Application) ; il cite la préversion 2026.4.0.31 et probablement les versions antérieures. Tous les serveurs hébergés sont mis à jour ; N-able demande aux clients sur site de mettre à jour au plus vite et de suivre son guide avant de rétablir l'accès. Defused observe des sondages depuis le 10 novembre et Shadowserver compte un peu plus de 148 serveurs exposés, contre 1 338 le 9 novembre.

🪟 Zoom Workplace pour Windows : CVE-2026-108186 (CVSS 9,6) et CVE-2026-108187 (CVSS 8,1), deux élévations de privilèges sans authentification, corrigées à partir de la version 7.1.8, sans exploitation signalée. Asus corrige quatre failles de gravité élevée et moyenne dans le firmware de certains routeurs, avec exécution de commandes en root ou écrasement mémoire. Cisco et SonicWall annoncent le retrait de certificats racine touchés par les intermédiaires eMudhra compromis.

🔓 Fortinet FortiClient Mac, Windows et Windows PAM : CVE-2026-121529 (FG-IR-26-194), CWE-346, origin validation error, CVSS v3 de 9,1, mauvaise configuration CORS d'une API locale exploitable par la visite d'une page piégée (T1189, Drive-by Compromise). Versions touchées 7.4.0 à 7.4.7 et 7.2.0 à 7.2.14, corrigées en 7.4.8 et 7.2.15, sans patch virtuel ; la version 8.0 et FortiClient Mac 7.2 ne sont pas touchés, aucune exploitation connue selon Fortinet. Indices d'une installation vulnérable sur Windows selon Kevin Joensen : service en écoute sur le port TCP 9191 et processus FortiVRS.exe.

☁️ Du 14 au 26 octobre, deux utilisateurs IAM compromis du compte AWS de Qubole servent à endosser les rôles inter-comptes de dizaines de clients (T1078.004, Valid Accounts: Cloud Accounts), à collecter des secrets dans Secrets Manager, SSM Parameter Store et les variables Lambda, puis à télécharger les buckets S3 accessibles (T1530, Data from Cloud Storage). Enquête de Wiz, Sentra et Mandiant ; Sentra relève 100 secrets collectés en sept minutes et des millions de fichiers volés chez un seul client. BleepingComputer conseille de revoir CloudTrail depuis le 1er octobre, de renouveler les identifiants exposés, de révoquer les sessions de rôle actives et de retirer les intégrations inutilisées.

📡 Layer3 Intel relève 236 sorties de proxies résidentiels par l'AS2650 du Bureau exécutif du président américain, du 5 octobre au 3 novembre, depuis six adresses IP, sur 26 jours sur 30, surtout entre 17 h et minuit, à travers 28 services de proxy. Synthient rattache une partie de l'activité à des installations Windows 11 d'Infatica. Spur avait relevé en janvier 2026 des proxies résidentiels dans près de 300 réseaux gouvernementaux.

🤖 Claroc recense 37 571 applications Grok publiées sous grok.me, dont 35 578 accessibles sans connexion ; 24 viennent de salariés de X et de SpaceXSI, ex-xAI, et d'autres exposent les données de 30 organisations, dont 6 du Fortune 500, parmi lesquelles un annuaire de plus de 3 500 salariés d'un groupe hospitalier et des mots de passe en clair. Le réglage « Anyone with the link » est présélectionné à la publication ; Claroc demande « Only you » par défaut et une restriction au domaine de messagerie de l'entreprise. Claroc conseille d'inventorier les générateurs d'applications IA utilisés, de chercher leurs domaines en DNS passif et de tester l'accès avec un compte extérieur à l'entreprise.

🐧 Ubuntu 26.10 intègre upki, fondé sur CRLite de Mozilla, à la vérification OpenSSL de curl : un certificat révoqué échoue avec l'erreur curl 60, « certificate revoked (23) ». Le paquet upki, dépendance recommandée, rafraîchit les données toutes les six heures ; s'il manque : sudo apt install upki, puis sudo systemctl start upki-fetch.service, et test avec curl https://revoked.badssl.com/. Ubuntu 27.04 doit intégrer upki au niveau d'OpenSSL, pour plus de 1 000 paquets.

Sources :

Plus d'informations