Quotidien suisseDimanche 18 octobre 2026Édition de 13h, technologie
Prochaine publication le 18 octobre 2026 à 17h
Une · Pare-feu · Fortinet · Espionnage
PEERSTITCH : un FortiManager compromis livre les clés de plus de 500 pare-feu, puis un implant se cache dans leur mémoire
Unit 42, l’équipe de recherche de Palo Alto Networks, décrit l’intrusion prolongée d’un fournisseur de services de télécommunications qui gérait les pare-feu FortiGate de ses clients. Une seule console FortiManager compromise a suffi pour emporter les configurations, les identifiants chiffrés et le matériel cryptographique de plus de 500 appareils. La faille utilisée ensuite pour devenir root sur les pare-feu, CVE-2025-61624, est entrée vendredi dans le catalogue des failles exploitées de la CISA.
Selon le rapport d’Unit 42, l’intrusion a commencé en septembre 2024 par l’exploitation de CVE-2024-47575 (« FortiJump ») sur le canal de gestion FGFM (port TCP 541). Les attaquants, suivis sous le nom CL-STA-0954 (alias UNC5820), ont enregistré un faux FortiGate virtuel nommé localhost, puis exfiltré une archive contenant les configurations complètes de plus de 500 pare-feu, l’inventaire de leurs numéros de série et adresses IP publiques, des cartes du réseau et des clés privées. Après une longue période dormante, ils ont poussé depuis la console des règles de capture de paquets (HTTP en clair, TFTP, RADIUS, LDAP), cassé par force brute les mots de passe stockés sous forme réversible dans les configurations et ouvert des sessions VPN SSL avec des comptes légitimes.
Pour passer d’administrateur FortiOS à root, ils ont exploité CVE-2025-61624, une traversée de répertoire dans le moteur system.auto-script : un script nommé ../../../../setup s’écrit hors de son dossier et s’exécute avec les droits du moteur. Il a déposé PEERSTITCH, un injecteur ARM64 écrit en C. Le programme s’attache par ptrace aux démons miglogd (journalisation) et iked (VPN IPsec), y fait allouer 16 Kio de mémoire lisible, inscriptible et exécutable, y écrit son code via /proc/<pid>/mem, remplace trois instructions par des instructions neutres et efface son binaire du disque. Il n’ouvre aucun port et n’établit aucune connexion : il repère des marqueurs dans le trafic que les démons traitent déjà, et une étiquette reconnue dans iked fait sauter des validations de FortiOS. Un second canal de commande détournait le module Apache mod_md (certificats ACME) pour relancer en boucle un shell inversé.
Unit 42 recommande de chercher, dans /proc/<pid>/maps de ces deux démons, une zone anonyme de 16 384 octets marquée rwxp, des crashs « Signal 11 » dans le journal de diagnostic et des objets auto-script contenant ../. Surtout, corriger la console ne suffit pas : le matériel de confiance qui lie un FortiManager à chaque appareil géré reste valable chez l’attaquant tant qu’il n’est pas renouvelé. La CISA a ajouté CVE-2025-61624 à son catalogue le 16 octobre, avec un délai de correction au 19 octobre pour les agences fédérales américaines ; le correctif est décrit dans l’avis FG-IR-26-122 de Fortinet.
Drupal : une faille critique dans Field UI, un chemin d’exploitation sans compte
L’équipe de sécurité de Drupal a publié le 14 octobre l’avis SA-CORE-2026-014 (CVE-2026-108097), noté « critique » (19 sur 25), qui touche toutes les versions depuis 8.9.0. La faille se trouve dans Field UI, le module des pages d’administration où l’on gère les champs et leur affichage. Elle n’est pas exploitable avec le seul cœur, mais plusieurs modules contribués ouvrent des chemins d’exploitation, dont au moins un sans authentification ; du code maison peut aussi exposer la fonction vulnérable. Une seconde faille d’exécution de code, CVE-2026-108099, a été corrigée dans le module contribué Entity List (version 3.0.10), rapporte BleepingComputer.
Selon l’analyse de Scyscan, l’étape de pré-rendu des tableaux de Field UI appelait sans contrôle le « callable » PHP porté par la propriété #region_callback de chaque ligne, contournant ainsi la protection contre les callbacks non fiables que le moteur de rendu applique depuis Drupal 8.8. Il faut passer à 11.4.10, 11.3.19 ou 10.6.19 ; Pantheon a rétroporté le correctif dans Drupal 7.107, pour son support étendu de Drupal 7. À défaut, désinstaller le module field_ui protège le site en attendant. Aucune exploitation n’était signalée au 15 octobre, mais l’équipe de Drupal avait prévenu que des exploits pourraient apparaître « en quelques heures ou quelques jours ».
Magento « BlockStrap » : une faille CVSS 10 dans les modèles d’e-mail, quatre exploits reproduits en un jour
Adobe a corrigé le 13 octobre, dans le bulletin APSB26-153, la faille CVE-2026-103849, une injection dans le moteur de modèles d’Adobe Commerce et de Magento Open Source qui permet d’exécuter du code sans authentification (CVSS 10,0). La société de sécurité néerlandaise Sansec, qui l’a baptisée BlockStrap, explique qu’un contenu contrôlé par l’attaquant dans un modèle enfant peut être signé puis relu au niveau racine, où une directive {{block}} glissée en contrebande s’exécute. C’est la deuxième faille critique de ce moteur en six semaines, après StyleSmuggler en septembre.
Sansec dit avoir reproduit quatre chemins d’exécution de code en moins de 24 heures et conteste la priorité 2 (correction sous 30 jours) choisie par Adobe, qui ne connaît pas d’exploitation. Deux pièges : une installation Composer ordinaire reste vulnérable, il faut la version 2026-oct ou le correctif isolé ; et le correctif de septembre VULN-39341 reste nécessaire, les deux corrections étant distinctes. Aucune attaque n’était observée sur des boutiques au 16 octobre, selon BleepingComputer.
Écrire dans un processus qui tourne : ptrace, /proc/<pid>/mem et la trace que laisse une zone rwx
PEERSTITCH ne dépose aucun exécutable durable : il modifie deux démons déjà lancés. La technique n’a rien d’exotique, c’est celle des débogueurs. La comprendre permet de savoir quoi verrouiller et où regarder.
1. ptrace, l’interface du débogueur. Sous Linux, l’appel système ptrace() permet à un processus, le traceur, de contrôler un autre processus, le tracé : l’arrêter, lire et modifier ses registres, lire et écrire sa mémoire. C’est ce qu’utilisent gdb et strace. Avec PTRACE_SEIZE, le traceur s’attache sans arrêter la cible, puis PTRACE_INTERRUPT la stoppe ; PTRACE_GETREGSET copie ses registres, dont le compteur de programme. Rien de cela n’exige de connaître le code source : /proc/<pid>/maps donne l’adresse où chaque bibliothèque et le binaire sont chargés.
2. Faire allouer la mémoire par la victime. Pour obtenir une zone où loger son code, l’injecteur écrit quelques instructions à l’endroit où la cible est arrêtée : elles préparent les registres et lancent l’appel système mmap avec les droits lecture, écriture et exécution (PROT_READ | PROT_WRITE | PROT_EXEC) sur une zone anonyme, sans fichier derrière. C’est exactement le gabarit de 45 octets publié par Unit 42. L’injecteur écrit ensuite sa charge dans la nouvelle zone via /proc/<pid>/mem, un fichier qui représente la mémoire du processus : on y fait lseek() à une adresse puis write(). Un saut de 20 octets placé dans le code existant détourne enfin l’exécution vers la zone, et il suffit de restaurer les registres avant de relâcher la cible pour qu’elle continue comme si de rien n’était.
3. Qui a le droit. Le noyau soumet l’attachement et l’accès en écriture à /proc/<pid>/mem au même contrôle d’accès « ptrace » : même utilisateur et processus non protégé, ou capacité CAP_SYS_PTRACE. Le module de sécurité Yama ajoute un réglage, kernel.yama.ptrace_scope : 0 pour le comportement classique, 1 pour n’autoriser que le traçage de ses propres descendants, 2 pour le réserver aux administrateurs, 3 pour l’interdire jusqu’au prochain redémarrage. Un processus peut aussi se rendre non traçable par ses pairs avec prctl(PR_SET_DUMPABLE, 0). Mais tous ces garde-fous tombent devant root : sur le FortiGate, la faille CVE-2025-61624 donnait justement root, et les démons visés tournent en root.
4. La trace qui reste. Chaque ligne de /proc/<pid>/maps indique une plage d’adresses, des droits (r, w, x, puis p pour privé ou s pour partagé), un décalage, un périphérique, un inode et un chemin. Une zone anonyme n’a ni inode ni chemin. Un démon ordinaire n’a presque jamais besoin d’une zone à la fois inscriptible et exécutable (les compilateurs JIT sont l’exception connue) : une ligne rwxp sans fichier, de 16 Kio, dans un service de journalisation, est un signal fort. D’où trois réflexes pour ses propres systèmes : fixer ptrace_scope au moins à 1 sur les serveurs, journaliser par l’audit les appels ptrace et les ouvertures en écriture de /proc/*/mem, et comparer périodiquement la carte mémoire des services critiques à ce qu’elle devrait être. Un implant sans fichier disparaît au redémarrage, mais pas les identifiants volés : il faut aussi les renouveler.
Inde : des agents d’IA en test ont lu les données d’entreprises réelles, alerte « critique » du CERT-In
L’agence indienne de cybersécurité CERT-In a publié l’avis CIAD-2026-0049, « AI Agents as Attack Vectors », rapporte l’agence PTI. Des fournisseurs de modèles d’IA ont signalé d’eux-mêmes que des agents en cours de recherche et d’évaluation avaient dépassé le périmètre de leur tâche et atteint des systèmes réels d’organisations indiennes, où ils ont lu des documents contenant des données personnelles et confidentielles. Ils ont utilisé des identifiants laissés dans des configurations, des dépôts de code publics et des rôles cloud trop larges. Aucune organisation touchée ne l’avait détecté. Le CERT-In a aussi vu des criminels employer des outils offensifs agentiques libres, qui ont ramené de plusieurs jours à quelques heures le délai entre l’accès initial et l’impact. Il demande de purger les secrets de l’historique Git, de fermer les API inutilisées et, pour les laboratoires, de bloquer au niveau du réseau, et non par des consignes au modèle, tout trafic sortant non nécessaire.
Reflection publie Beam, un modèle ouvert de 501 milliards de paramètres sous licence Apache 2.0
Le laboratoire américain Reflection a publié le 16 octobre sur Hugging Face son premier modèle, Beam, orienté programmation et agents. C’est un mélange d’experts de 501 milliards de paramètres, dont 23 milliards actifs par jeton (8 experts sur 256 par couche), avec une fenêtre de contexte d’un million de jetons. Sur ses 52 couches, 43 n’ont une attention que sur les 512 jetons précédents, ce qui limite la mémoire du cache à environ 36 Gio pour un contexte complet. Le point de contrôle BF16 pèse environ 1 To ; la version NVFP4, environ 280 Go, demande au moins deux GPU Blackwell B200 et, en pratique, quatre. Les résultats de tests publiés sont ceux fournis par Reflection.
