Ep.704 – RadioCSIRT Flash info cybersécurité du jeudi 23 juillet 2026

📧 Unit 42 dévoile une campagne de cyberespionnage russe (CL-STA-1114 / LAUNDRY BEAR) ciblant les serveurs Zimbra via CVE-2025-66376, une exploitation zero-click injectant un payload JavaScript qui exfiltre identifiants, jetons 2FA et 90 jours d’e-mails sans aucune interaction de la victime.

🐧 Qualys découvre RefluXFS (CVE-2026-64600), une faille de race condition vieille de neuf ans dans le système de fichiers XFS du noyau Linux, touchant plus de 16,4 millions de systèmes et permettant une élévation de privilèges root contournant SELinux, kernel lockdown et protections mémoire KASLR, SMEP et SMAP.

🐛 Perl 5.44.0 est publiée avec trois correctifs de sécurité : CVE-2026-8376 (débordement de tampon dans Perl_study_chunk), CVE-2026-57432 (dépassement d’entier dans pack/unpack) et CVE-2026-13221 (overflow dans l’optimisation trie des regex au-delà de 65 000 branches).

🚨 La CISA ajoute deux vulnérabilités exploitées au catalogue KEV : CVE-2026-16232 (Check Point SmartConsole, authentification incorrecte) et CVE-2026-50522 (Microsoft SharePoint, désérialisation de données non fiables).

🛡️ CISA, NSA et FBI publient une advisory conjointe sur la campagne zero-click de LAUNDRY BEAR contre Zimbra Collaboration Suite (CVE-2025-66376), ayant compromis plus de dix organisations occidentales depuis juillet 2025 via la capacité d’exfiltration Ulej.

🎣 Le CERT-UA documente l’évolution de UAC-0099 : utilisation de Notepad++ 8.8.3 comme loader pour le plugin malveillant NppExport.dll, avec trois nouveaux outils identifiés (LUNCHPOKE, BURNYBEAR, MATCHBOIL.V2) déployés via des e-mails phishing et des archives ZIP piégées.

Sources : 

• Russian Global Webmail Espionage. Unit 42 : https://unit42.paloaltonetworks.com/russian-webmail-espionage/
• Urgence absolue : Claude découvre une faille qui met en danger 16 millions d’ordinateurs… depuis 2017 ! 01net : https://www.01net.com/actualites/urgence-absolue-claude-decouvert-faille-danger-16-millions-ordinateurs-depuis-2017.html
• New RefluXFS Linux flaw lets attackers gain root privileges. BleepingComputer : https://www.bleepingcomputer.com/news/linux/new-refluxfs-linux-flaw-lets-attackers-gain-root-privileges/
• Perl 5.44 est sorti. LinuxFr.org : https://linuxfr.org/news/perl-5-44-est-sorti
• CISA Adds Two Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/07/22/cisa-adds-two-known-exploited-vulnerabilities-catalog
• CISA, NSA, FBI and Partners Warn Zimbra Collaboration Suite Users of Ongoing Russian State-Supported Malicious Threat Activity. CISA : https://www.cisa.gov/news-events/news/cisa-nsa-fbi-and-partners-warn-zimbra-collaboration-suite-users-ongoing-russian-state-supported
• UAC-0099: LUNCHPOKE, BURNYBEAR, MATCHBOIL.V2 et utilisation de Notepad++ 8.8.3. CERT-UA : https://cert.gov.ua/article/6318634

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09
📩 Email : radiocsirt@gmail.com
🌐 Site : https://www.radiocsirt.org
📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Zimbra #LAUNDRYBEAR #VoidBlizzard #Linux #XFS #RefluXFS #Perl #CISA #KEV #CheckPoint #SharePoint #UAC0099 #LUNCHPOKE #BURNYBEAR #MATCHBOIL #CERTUA #Ukraine #CVE-2025-66376 #CVE-2026-64600 #CVE-2026-8376 #CVE-2026-57432 #CVE-2026-13221 #CVE-2026-16232 #CVE-2026-50522 #RadioCSIRT