Ep.773 – Ubuntu 26.10, BTR Spectre v2, Atlassian Jira Confluence – Flash info du mardi 6 octobre 2026

🐧 Ubuntu 26.10 réduit le code des composants privilégiés : GRUB signé allégé, chiffrement adossé au TPM étendu aux machines sans racine de confiance matérielle, utilitaires de base entièrement en Rust, OpenSSL 4.0 et OpenSSH 10.5 avec échange de clés post-quantique par défaut, bus de messages remplacé avec médiation AppArmor maintenue. Billet d’éditeur sans mesure. Vérifier toute disposition de partition de démarrage personnalisée avant de migrer, le durcissement de Secure Boot retire le support de LVM, du RAID hors miroir et de LUKS sur /boot.

🐛 CVE-2026-64507 et CVE-2026-64508, BTR, variante de Spectre v2 classée modérée par Red Hat : un utilisateur local ordinaire lit la mémoire du noyau via le compilateur à la volée des filtres BPF. PoC public limité aux microarchitectures Intel Raptor Cove et Lion Cove, aucune exploitation observée, la faille ne donne pas root seule. Aucune mitigation : ni le durcissement du JIT, ni le blocage du BPF non privilégié ne protègent. Corrigé en amont le 25 juillet 2026 ; à ce jour Red Hat, AlmaLinux et Canonical n’ont pas publié le noyau corrigé. Toutes les versions de CloudLinux sont concernées sauf CloudLinux 7, qui interprète les filtres au lieu de les compiler.

🤖 CVE-2026-104247, CVSS 6,3 : exécution de commande dans l’agent de code VTCode par contournement du contrôle d’approbation des recherches. Une citation vide insérée dans une option destructrice déjoue la comparaison, la commande est apprise comme recherche sûre et s’exécute sans prompt. Exploitation conditionnée à une session locale, trois approbations préalables et un pilotage de l’agent, par exemple une prompt injection indirecte. Corrigé en version 0.171.5 ; toute version inférieure est concernée.

🎣 Première comparution au Nebraska d’Anibal Alexander Canelon Aguirre, concepteur présumé du malware Ploutus de jackpotting de distributeurs, qui a plaidé non coupable et reste détenu. Au moins 1 500 attaques recensées pour 40,7 millions de dollars de pertes ; 117 attaques et plus de 5,4 millions de dollars entre février 2024 et décembre 2025 ; 120 personnes inculpées ; jusqu’à 70 ans de prison encourus. Des chercheurs qui suivent Ploutus depuis plus de dix ans n’ont pas confirmé qu’il en est le développeur ; le département de la Justice précise qu’il n’a pas été extradé.

🪟 CVE-2026-21589, classée critique : accès à un fichier sans authentification dans les produits Atlassian Data Center auto-hébergés, dont Confluence, Jira et Bitbucket. L’attaquant doit connaître le nom exact et le chemin du fichier, la faille ne permet pas d’énumérer les dossiers. Versions corrigées, à appliquer sur chaque nœud du cluster : Confluence 9.2.26 et 10.2.19 ; Jira Software 9.12.40, 10.3.26 et 11.3.12 ; Jira Service Management 5.12.40, 10.3.26 et 11.3.12 ; Bitbucket 9.4.26, 10.2.8 et 10.5.1 ; Bamboo 10.2.24 et 12.1.12 ; Crowd 6.3.7, 7.0.3, 7.1.7 et 7.2.4 ; Crucible et Fisheye 4.9.15. Clients cloud corrigés automatiquement. Aucune exploitation constatée à ce jour ; contournements temporaires par règle de pare-feu applicatif disponibles.

Sources :

• What’s new in security for Ubuntu 26.10? Ubuntu : https://ubuntu.com//blog/ubuntu-26-10-security
• BTR (CVE-2026-64507, CVE-2026-64508) Spectre v2 kernel memory leak: status for CloudLinux. CloudLinux : https://blog.cloudlinux.com/btr-cve-2026-64507-cve-2026-64508-status-cloudlinux
• VTCode is vulnerable to Arbitrary Command Execution via an ANSI-C Quote Bypass of the find Approval Check. JFrog Security Research : https://research.jfrog.com/vulnerabilities/vtcode-is-vulnerable-to-arbitrary-command-execution-via-an-ansi-c-quote-bypass-of-the-find-approval-check-cve-2026-104247-jfsa-2026-001694179/
• Alleged ATM malware creator appears in Nebraska court after arrest. The Record : https://therecord.media/atm-malware-creator-appears-in-nebraska-court
• Atlassian warns of critical file-access flaw in Jira, Confluence. BleepingComputer : https://www.bleepingcomputer.com/news/security/atlassian-warns-of-critical-file-access-flaw-in-jira-confluence/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Ubuntu #Canonical #SecureBoot #Rust #OpenSSL #PostQuantum #BTR #Spectre #BPF #CloudLinux #RedHat #AlmaLinux #VTCode #JFrog #PromptInjection #Ploutus #ATMJackpotting #FBI #Atlassian #Jira #Confluence #Bitbucket #CVE-2026-64507 #CVE-2026-64508 #CVE-2026-104247 #CVE-2026-21589 #RadioCSIRT