Quotidien suisseVendredi 16 octobre 2026Édition de 13h, technologie
Prochaine publication le 16 octobre 2026 à 17h
Une · Sécurité · Support distant · Espionnage
BeyondTrust : un zero-day Remote Support exploité dès août, Google craint une vague d’attaques
Mandiant et Google Threat Intelligence Group (GTIG) ont documenté l’exploitation, dès fin août 2026, d’une faille critique dans BeyondTrust Remote Support (ex-Bomgar) par ARMORY CASTLE, un acteur d’espionnage soupçonné d’être lié à la Chine (ex-UNC5221). BeyondTrust a publié l’avis BT26-05 et le correctif le 15 octobre. Google avertit d’une exploitation potentiellement large maintenant que la faille est publique.
La vulnérabilité CVE-2026-102764 (score CVSSv4 9,3) est une validation d’origine insuffisante dans un composant de messagerie interne de Remote Support. Un attaquant distant non authentifié peut, dans certaines conditions, effectuer des opérations sur des fichiers de l’appliance. Toutes les versions Remote Support jusqu’à 26.2.3 sont concernées. Le correctif BT26-05-RS a été appliqué automatiquement aux instances SaaS le 9 octobre ; les clients auto-hébergés en 24.3.1 à 26.2.3 doivent l’installer manuellement, ceux en version plus ancienne doivent d’abord monter de version. BeyondTrust a aussi publié le correctif pour Privileged Remote Access par précaution, sans avoir confirmé d’exploitation sur ce produit.
Selon la chronologie de BeyondTrust, ARMORY CASTLE a exploité la faille en zero-day sur une appliance auto-hébergée le 29 août 2026. Après l’exploitation, Mandiant a observé le déploiement du webshell PHP SAWFLY (communication chiffrée RC4/Base32), une élévation de privilèges en copiant /bin/sh vers /usr/bin/dbus-authd avec bit SUID root, l’extraction de secrets via l’utilitaire propriétaire bt-secrets, une persistance dans les modèles sudoers.template et post_boot.d, puis le tunnel SOCKS5/WebSocket BARECLAW branché sur HAProxy. L’attaquant a aussi relevé les rôles Jump Item d’un compte administrateur et lancé des sessions de support vers des machines internes pour exfiltrer des documents.
GTIG attribue l’activité à ARMORY CASTLE, déjà connu pour des zero-days Citrix NetScaler et Ivanti Connect Secure. Reuters relaie l’avertissement de Google : après la divulgation, l’acteur et d’autres peuvent tenter d’exploiter massivement les appliances encore non corrigées. Mandiant recommande de traiter comme potentiellement compromise toute appliance joignable depuis Internet pendant la fenêtre d’exposition, de patcher d’abord, puis de faire tourner les identifiants et de reconstruire plutôt que de « nettoyer » un hôte suspect.
Ivanti Connect Secure : une chaîne sans authentification mène à root, le priv-esc reste ouvert
Volexity a documenté l’exploitation en conditions réelles, dès le 3 octobre 2026, d’une chaîne de zero-days contre un Ivanti Connect Secure pourtant à jour (22.8R2.4). L’acteur suivi sous le nom UTA0576 enchaîne un contournement d’authentification dans welcome.cgi (l’URL autorise la requête, l’en-tête X-DSCGI-PATH la redirige vers un CGI protégé), une écriture de fichier dans wu.cgi exploitée en course avant la validation ZIP, et une élévation de privilèges via le courtier root dsinvoked et le magasin DSCache. Ivanti suit le contournement et l’exécution de code sous CVE-2026-104935, corrigés le 13 octobre ; le priv-esc sera traité dans une version ultérieure.
Sans webshell ni canal C2 séparé, UTA0576 a fait passer commandes et résultats dans les réponses HTTP, a volé des identifiants LDAP/LAPS et des clés BitLocker, a sniffé du trafic LDAP et a effacé des journaux Ivanti et Linux. L’outil d’intégrité d’Ivanti ne voit pas cette chaîne, qui ne modifie le disque que temporairement. La CISA a ajouté CVE-2026-104935 à son catalogue des failles exploitées, avec échéance de correction au 16 octobre pour les agences fédérales américaines.
Chrome : deuxième correctif critique de la semaine, faille Prerender signalée avec Claude
Google a publié le 15 octobre 2026 un second correctif Stable de la semaine pour Chrome : 155.0.8059.84/.85 sous Windows et macOS, 155.0.8059.84 sous Linux et Android. Parmi dix failles corrigées, la plus grave est CVE-2026-110922, une utilisation de mémoire libérée (use-after-free) critique dans le composant Prerender, qui précharge des pages pour accélérer la navigation. Un HTML préparé suffit ; selon Golem, le scénario peut mener à une exécution de code hors de la sandbox du navigateur. Extended Stable passe à 152.0.7977.169.
Cinq des dix failles de ce lot, dont la critique, ont été signalées par Xinyang Ge (Anthropic) ; Google indique que le modèle Claude a assisté une partie des rapports. D’autres correctifs High touchent le DOM, V8, Core et SVG. Mardi, un premier correctif avait déjà fermé 37 failles, dont sept critiques. Le déploiement desktop est progressif ; Android passe par le Play Store.
Authentification : quand l’URL dit une chose et l’en-tête une autre
La chaîne Ivanti Connect Secure documentée par Volexity repose d’abord sur une erreur de frontière de confiance classique : le contrôle d’accès regarde un chemin, le routeur en exécute un autre. L’occasion de rappeler comment ce motif apparaît, et comment le casser côté conception.
1. Deux lectures du même message. Sur un serveur HTTP, l’URL de la requête et certains en-têtes peuvent tous deux nommer une ressource. Dans le cas Ivanti, welcome.cgi est public : la requête est donc acceptée. Mais l’en-tête X-DSCGI-PATH désigne un autre CGI, normalement protégé. Si le pare-feu décide sur l’URL et que le gestionnaire de CGI exécute le chemin de l’en-tête, l’attaquant a fait exécuter du code « interne » sans s’authentifier. Le même schéma a déjà touché d’autres appliances d’accès distant : une API « ouverte » qui forward vers un backend « fermé » en se fiant à une entrée contrôlée par le client.
2. La règle d’or. Toute décision de sécurité (authn, authz, choix de fichier, choix de script) doit porter sur la même valeur que celle qui sera réellement utilisée plus bas dans la pile. Si l’on normalise, décode ou réécrit le chemin, on le fait avant le contrôle, une seule fois, et on ne reprend jamais la valeur brute du client ensuite. Un en-tête du type « chemin interne », « script cible » ou « fichier à traiter » n’est pas un raccourci pratique : c’est une surface d’attaque tant qu’il n’est pas dérivé côté serveur d’un identifiant déjà autorisé.
3. La course après l’écriture. Dans la même chaîne, wu.cgi écrit d’abord le fichier uploadé, puis vérifie que c’est un ZIP valide, puis le supprime s’il ne l’est pas. Entre les deux, un second appel peut encore exécuter le fichier. C’est un classique TOCTOU (time-of-check time-of-use) : la fenêtre entre écriture et validation suffit si l’attaquant parallélise les requêtes. La défense : écrire hors de l’arbre exécutable (répertoire non servi, permissions sans exécution), valider avant de rendre le contenu atteignable, ou mieux encore traiter l’upload dans un processus sans droit d’exécution sur ce chemin.
4. Ce que ça change pour un développeur. Cartographier chaque point où un chemin, un nom de script ou un identifiant de ressource vient du client. Interdire les en-têtes de routage internes sur l’interface publique. Journaliser les divergences URL / en-tête (Volexity recommande précisément de surveiller les décalages X-DSCGI-PATH). Enfin, ne pas se reposer sur un outil d’intégrité disque seul : une chaîne qui patch en mémoire et restaure ensuite laisse le disque « propre ».
Atlassian Data Center : lecture de fichiers sans compte, ajoutée au KEV CISA
La CISA a ajouté le 15 octobre 2026 CVE-2026-21589 à son catalogue des failles exploitées. La faille, notée critique (9,3) par Atlassian, touche Bitbucket, Confluence, Jira Software et Service Management, Bamboo, Crowd, Crucible et Fisheye en Data Center / Server : un attaquant non authentifié peut lire certains fichiers à la racine de l’application web s’il en connaît le chemin exact (pas d’énumération de répertoire). Cloud est déjà corrigé. Atlassian publie des versions correctives (ex. Confluence 9.2.26 / 10.2.19, Jira Software 9.12.40 / 10.3.26 / 11.3.12) et des règles WAF / RewriteValve en attendant. Échéance fédérale américaine : 18 octobre.
AhsayCBS : contournement d’auth et injection de commandes exploités, mineurs XMRig
Deux failles d’AhsayCBS, la console de sauvegarde utilisée surtout par des MSP, sont dans le KEV CISA depuis le 14 octobre : CVE-2026-105133 (authentification incorrecte) et CVE-2026-105134 (injection de commandes via le Replication Receiver). Huntress a vu dès le 7 octobre des chaînes menant à des webshells JSP et au mineur XMRig déguisé en Microsoft Edge. Ahsay demande d’appliquer les hotfixes 10.3.4.45 (branche 10) ou 9.15.2.70 (branche 9 ; v7/v8 via montée en 9.15.0.0) et, en cas de compromission, de reconstruire le serveur plutôt que de le nettoyer.
