Ep.781 – Atlassian Data Center, TLS post-quantique – Flash info du vendredi 16 octobre 2026

🚨 Atlassian Data Center : CVE-2026-21589, CVSS de 9,3, accès à des fichiers arbitraires sans authentification, déjà présentée dans l’épisode 773 et désormais exploitée (T1190). La société Previdian a vu quinze tentatives depuis trois adresses IP, deux heures après la publication de détails techniques par watchTowr ; les tentatives restent, selon watchTowr, de la reconnaissance et du balayage de fichiers de configuration, sans usage constaté des identifiants obtenus. Ajout au catalogue KEV le 15 octobre, échéance fédérale au 18 octobre. Produits concernés : Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible et Fisheye Data Center. Correctifs par produit, par exemple Confluence 9.2.26 et 10.2.19, Jira Software 9.12.40, 10.3.26 et 11.3.12 ; contournements par règle de pare-feu applicatif ou retrait d’Internet à défaut de correctif immédiat.

🔐 NCSC : le centre britannique publie ses réglages de TLS pour la cryptographie post-quantique, à la suite de la RFC 10024 de l’IETF sur les accords de clés hybrides en TLS 1.3. Il recommande à la fois des suites hybrides, les plus répandues dans les bibliothèques courantes, et des suites purement post-quantiques. Seul TLS 1.3 prend en charge ces algorithmes : une organisation en TLS 1.2 ou plus ancien doit migrer. Le NCSC situe la protection de la confidentialité en transit parmi les migrations prioritaires de sa feuille de route, à mener d’ici 2031, et invite à commencer dès maintenant.

🛡️ OpenNMS : CVE-2026-111235, CWE-204, divergence de réponse observable dans l’API REST de Meridian et Horizon. Les règles de filtrage comparent la méthode HTTP en respectant la casse et aucune règle ne refuse par défaut : une requête à la méthode non canonique, en minuscules, passe sans authentification. Un attaquant distant et sans compte lit l’inventaire, crée, modifie ou supprime des ressources et injecte des événements pour fabriquer ou masquer des alarmes. Non exploitée, aucun PoC public selon le CERT Santé. Versions corrigées : Meridian 2024.3.14, 2025.0.11 et 2026.0.1, Horizon 36.0.5 ; pas de contournement, produits à maintenir sur réseaux privés.

🪟 NordVPN : CVE-2026-106030, CVSS de 6,8, CWE-863, autorisation incorrecte dans l’application Windows. Un attaquant local peu privilégié se fait passer pour un processus de confiance, se connecte à un tube nommé et appelle deux fonctions qui arrêtent un service Windows et changent son type de démarrage (T1489). Il prive ainsi la machine de services critiques ; les services protégés par Windows, comme Microsoft Defender, restent hors d’atteinte. Corrigée en version 8.12. Faille signalée par Marcin Ressel au CERT Polonais.

🐧 OpenBSD : exploit d’élévation de privilèges local vers root sur OpenBSD 7.9 (T1068), sans CVE à ce jour et sans exploitation connue. Il enchaîne un dépassement d’entier sur un compteur de mémoire partagée hérité des sources BSD de 1988 et une use after free, puis une écriture hors limites qui bascule une page mémoire en zone noyau et contourne SMAP et SMEP. La société Calif a publié analyse et code de démonstration après correction. Correctifs OpenBSD du 14 septembre pour le dépassement d’entier et du 30 septembre pour la seconde faille, sur toutes les architectures ; OpenBSD 7.8 reçoit aussi le premier.

💻 Visual Studio Copilot : CVE-2026-103572, CVSS de 8,8, exécution de code à distance de gravité importante, corrigée au Patch Tuesday du 13 octobre. Un point ajouté à la fin du nom de fichier contourne le contrôle qui protège les fichiers de configuration du Copilot : les chaînes diffèrent, mais Windows retire ce point à l’écriture, qui atteint le fichier protégé. L’agent échappe à son confinement et exécute des commandes, y compris via une injection d’instructions indirecte. Le défaut touche une bibliothèque partagée, donc Visual Studio et SQL Server Management Studio, y compris Visual Studio 2022. Faille signalée par Johann Rehberger ; le correctif normalise le nom de fichier avant le contrôle.

🎣 DataSuckers : la police de Moscou interpelle trois membres présumés du groupe, après la fuite de Dodo Pizza qui porterait sur des centaines de millions de commandes en quinze ans. Denis Fridman, 19 ans, est placé en résidence surveillée. L’accès initial vient d’identifiants d’entreprise exposés sur GitHub, qui ont ouvert du stockage cloud, des bases de données et des mots de passe stockés. La base volée a été vendue 100 000 dollars sur le dark web. La police a remonté la piste après que le suspect a exposé son adresse IP. Récit relayé par Recorded Future, à partir de Kommersant et Baza.

🧩 curl : CVE-2026-92392, gravité haute sur l’échelle de curl, use after free dans l’envoi de données en HTTP/2 qui peut mener à l’exécution de code côté client. Lors d’un téléversement, curl met de côté des octets quand le serveur ferme sa fenêtre de flux ; si le serveur réinitialise le flux, le nettoyage s’effectue dans le mauvais ordre et réenregistre un flux rattaché à une structure déjà libérée, qu’un serveur malveillant peut alors contrôler. Scénario jugé très rare par JFrog : téléchargement et téléversement en parallèle vers deux sites contrôlés par l’attaquant. Signalée par Luna Tong, d’Anthropic. Corrigée en curl 8.23.0, avec 24 correctifs au total ; à défaut, forcer HTTP/1.1 pour les téléversements.

📡 Keepalived : Ines Wallon publie sur drupalista.dev un guide de bascule de Nginx avec Keepalived. Deux serveurs Nginx, un maître et un esclave, partagent une adresse IP virtuelle ; un script vérifie toutes les deux secondes que Nginx répond, et Keepalived bascule l’adresse vers l’esclave quand le maître tombe. Le guide détaille la configuration des deux serveurs, du script de contrôle et de l’instance Keepalived, puis le test de la bascule.

Sources :

• CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/15/cisa-adds-one-known-exploited-vulnerability-catalog
• Atlassian Data Center Flaw Draws Exploitation Attempts Within Two Hours of Public Details. The Hacker News : https://thehackernews.com/2026/10/atlassian-data-center-flaw-draws.html
• Hackers exploit critical Atlassian flaw after public PoC release. BleepingComputer : https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/
• Post-quantum updates to our TLS guidance. NCSC : https://www.ncsc.gov.uk/blogs/post-quantum-updates-to-our-tls-guidance
• OpenNMS – CVE-2026-111235. CERT Santé : https://cyberveille.esante.gouv.fr/alertes/opennms-cve-2026-111235-2026-10-16
• Vulnerability in NordVPN software. CERT Polska : https://cert.pl/en/posts/2026/10/CVE-2026-106030/
• Researchers Demonstrate OpenBSD Root Exploit Chaining 37-Year-Old Shared-Memory Bug. The Hacker News : https://thehackernews.com/2026/10/researchers-demonstrate-openbsd-root.html
• Visual Studio Copilot and SSMS Remote Code Execution (CVE-2026-103572). Embrace The Red : https://embracethered.com/blog/posts/2026/visual-studio-copilot-remote-code-execution/
• Moscow police detain suspected DataSuckers hackers linked to breaches in Ukraine and Russia. The Record : https://therecord.media/russia-datasuckers-hackers-arrested
• CVE-2026-92392: curl HTTP/2 upload RCE. JFrog : https://research.jfrog.com/post/curl-http2-upload-rce-cve-2026-92392/
• curl Patches HTTP/2 Upload Flaw After PoC Demonstrates Client-Side Code Execution. The Hacker News : https://thehackernews.com/2026/10/curl-patches-http2-upload-flaw-after.html
• Mise en place de Nginx en Failover avec Keepalived. drupalista.dev : https://www.drupalista.dev/blog/2026/09/mise-en-place-de-nginx-en-failover-avec-keepalived

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Atlassian #DataCenter #Jira #Confluence #KEV #watchTowr #NCSC #PostQuantum #PQC #TLS #OpenNMS #CERTSante #NordVPN #CERTPolska #OpenBSD #Copilot #VisualStudio #SSMS #Microsoft #DataSuckers #curl #Anthropic #Keepalived #Nginx #MITREATTACK #CVE-2026-21589 #CVE-2026-111235 #CVE-2026-106030 #CVE-2026-103572 #CVE-2026-92392 #RadioCSIRT