Ep.773 – Kaseya, Fortinet FortiGate – Flash info du mercredi 7 octobre 2026

💾 Kaseya décrit des groupes de ransomware qui neutralisent les sauvegardes avant de chiffrer : ALPHV/BlackCat chez Change Healthcare en février 2024 (22 millions de dollars de rançon versés par UnitedHealth, environ 1,6 milliard de dollars de coûts de reprise), BlackMatter contre NEW Cooperative et Crystal Valley en 2021, Gunra dans l’avis commun de la CISA et du FBI d’août 2026. Dans le cas Gunra, un seul jeu d’identifiants volés a suffi pour effacer les sauvegardes et les archives du centre de données principal et du site de secours. Mesures avancées par la société : stockage immuable avec verrouillage des objets, isolation réseau et identifiants des sauvegardes, MFA et contrôle d’accès par rôle, correctifs des logiciels de sauvegarde au rythme de la production, tests de restauration. Contenu sponsorisé publié sur BleepingComputer, qui renvoie au rapport d’enquête de Kaseya.

🔓 Le FBI et le Secret Service américain alertent sur FortiBleed, campagne de credential stuffing et de password spray sans zero-day contre les portails VPN SSL des FortiGate : plus de 86 644 équipements compromis dans 194 pays selon SOCRadar. Les attaquants créent des comptes d’administration et suppriment ou modifient les comptes d’origine, ce qui peut exclure les victimes de leurs équipements, puis revendent les accès à des initial access brokers qui fournissent les groupes de ransomware INC/Lynx et Payload. Mesures publiées par les deux agences : restreindre l’administration externe à des systèmes de confiance ou passer par une local-in policy, fermer les sessions d’administration et VPN, réinitialiser les mots de passe, imposer une MFA résistante au phishing ; Fortinet recommande PBKDF2 au lieu de l’ancien stockage SHA-256 pour les mots de passe d’administrateur à partir de FortiOS 7.2.11. Les agences demandent de vérifier les indicateurs avant tout blocage, parce que l’infrastructure hébergée dans le cloud change souvent de titulaire.

🛡️ SonicWall corrige quatre failles dans les SMA1000 6210, 7210 et 8200v, sans exploitation constatée : CVE-2026-102255, SSRF sans authentification dans WorkPlace, CVSS 10,0 ; CVE-2026-102256, injection de commandes système avec compte administrateur, CVSS 7,8 ; CVE-2026-102257, Zip Slip dans l’AMC après connexion, CVSS 7,2 ; CVE-2026-102258, XSS stocké dans l’AMC avec compte administrateur, CVSS 5,5. Versions corrigées : 12.4.3-03670 et 12.5.0-03082 ou ultérieures ; les versions 12.4.3-03526 et 12.5.0-02952, que SonicWall donnait le 1er septembre comme correctifs de deux failles exploitées, restent vulnérables. Correctif sur le portail MySonicWall, redémarrage de la passerelle à l’installation, aucun contournement ; les pare-feu en SSL-VPN et la gamme SMA 100 ne sont pas concernés.

🐛 Cisco Talos détaille huit failles corrigées par leurs éditeurs, dont quatre dans des pilotes Windows : élévation de privilèges et confusion de type dans Cloud Files Mini Filter Driver, fuites d’informations dans NETIO.sys et tcpip.sys, déni de service possible dans ce dernier. Foxit Reader 2026.1.1.36485 compte deux exécutions de code par fichier ou PDF piégé, l’installateur de Photoshop une élévation de privilèges, CoreWLAN de macOS 26.3.1 une fuite d’informations sans CVE indiquée. CVE : CVE-2026-58613, CVE-2026-80093, CVE-2026-50475, CVE-2026-49177 (Windows), CVE-2026-57256, CVE-2026-91799 (Foxit), CVE-2026-48388 (Photoshop). Règles Snort disponibles sur Snort.org ; Talos ne publie ni score ni état d’exploitation.

Sources :

• Ransomware has a new target. Is your backup ready? BleepingComputer : https://www.bleepingcomputer.com/news/security/ransomware-has-a-new-target-is-your-backup-ready/
• FortiBleed hit 86,000 firewalls by exploiting something nobody can patch away. Security Affairs : https://securityaffairs.com/200558/cyber-crime/fortibleed-hit-86000-firewalls-by-exploiting-something-nobody-can-patch-away.html
• SonicWall Patches CVSS 10.0 Pre-Authentication SSRF Flaw in SMA1000 Appliances. The Hacker News : https://thehackernews.com/2026/10/sonicwall-patches-cvss-100-pre.html
• Microsoft, Adobe, Apple, and Foxit vulnerabilities. Cisco Talos : https://blog.talosintelligence.com/microsoft-adobe-apple-and-foxit-vulnerabilities/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Ransomware #Backup #Kaseya #Gunra #BlackMatter #ALPHV #FBI #SecretService #Fortinet #FortiGate #FortiBleed #SOCRadar #CredentialStuffing #PasswordSpray #SonicWall #SMA1000 #SSRF #CiscoTalos #Microsoft #Windows #Adobe #Photoshop #Apple #macOS #Foxit #Snort #CVE-2026-102255 #CVE-2026-102256 #CVE-2026-102257 #CVE-2026-102258 #CVE-2026-58613 #CVE-2026-80093 #CVE-2026-50475 #CVE-2026-49177 #CVE-2026-57256 #CVE-2026-91799 #CVE-2026-48388 #RadioCSIRT