Ep.772 – Citrix NetScaler, LUNEXSTEALER – Flash info du lundi 5 octobre 2026

🚨 La CISA a ajouté le 4 octobre au catalogue KEV la CVE-2026-88779, un dépassement de mémoire dans Citrix NetScaler ADC et NetScaler Gateway configurés en authentification SAML. Citrix la décrit comme un déni de service exploité lors d’attaques ciblées, avec un score CVSS de 8,7. Les versions corrigées sont 14.1-73.41 et 13.1-64.28 ; pour les variantes FIPS et NDcPP, 14.1-73.41 FIPS et 13.1-37.282. Selon BleepingComputer, des chercheurs examinent un possible impact d’exécution de code à distance, et la CISA fixe au 7 octobre l’échéance pour les agences civiles fédérales, au titre de la directive BOD 26-04.

🪟 Le CERT-UA décrit UAC-0277, une campagne ClickFix sur plus de 100 sites compromis en septembre : une fausse vérification Cloudflare fait installer un paquet MSI qui livre LUNEXSTEALER, et un smart contract Polygon ou Ethereum fournit le domaine de la fausse page. Une variante dépose un pilote AMD vulnérable (CVE-2023-20598), une autre utilise du DLL sideloading, et l’extension LUNARAXE vole cookies, historique et identifiants. Le CERT-UA recommande de bloquer Win+R par stratégie de groupe, de limiter les paquets MSI aux administrateurs, d’activer la liste de blocage des pilotes vulnérables de Microsoft et de n’autoriser que des extensions listées.

🐧 FortiGuard Labs décrit ClingSTUN, un backdoor Linux qui fait des routeurs, enregistreurs vidéo et objets connectés des nœuds de proxy, via 24 failles d’entrée (dont la CVE-2022-36553 sur Hytec, EnGenius, D-Link, TP-Link et Ivanti Connect Secure) et sept exploits intégrés pour se propager. Il contacte 24 serveurs STUN publics, 13 dans la troisième version. Fortinet recommande d’inventorier les appareils exposés, de les corriger, de remplacer ceux qui ne reçoivent plus de mises à jour et de surveiller les processus suspects, les connexions UDP inattendues et le trafic de maintien régulier.

🤖 Google a suspendu temporairement les soumissions à OSS VRP, son programme de bug bounty open source, après une forte hausse de soumissions automatisées, en grande majorité invalides. Malwarebytes cite deux précédents : curl a mis fin à son programme HackerOne au début de 2026, et Intel ne propose plus de primes sur Intigriti. Google promet une mise à jour au premier trimestre 2027.

Sources :

• CISA Adds One Known Exploited Vulnerability to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/04/cisa-adds-one-known-exploited-vulnerability-catalog
• UAC-0277: ClickFix на скомпрометованих вебсайтах для поширення LUNEXSTEALER. CERT-UA : https://cert.gov.ua/article/6319983
• ClingSTUN Linux Backdoor Abuses Public STUN Infrastructure. Fortinet : https://www.fortinet.com/blog/threat-research/clingstun-linux-backdoor-abuses-public-stun-infrastructure
• Google pauses open source bug bounty program after rise in AI submissions. Malwarebytes : https://www.malwarebytes.com/blog/news/2026/10/google-pauses-open-source-bug-bounty-program-after-rise-in-ai-submissions

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Citrix #NetScaler #CISA #KEV #CERTUA #ClickFix #LUNEXSTEALER #Fortinet #ClingSTUN #Linux #Google #BugBounty #CVE-2026-88779 #CVE-2023-20598 #CVE-2022-36553 #RadioCSIRT