Ep.778 – WatchGuard, VulcanRAT – Flash info du lundi 12 octobre 2026

🛡️ WatchGuard publie Fireware 12.12.3, qui corrige quinze vulnérabilités dans le système d’exploitation de ses pare-feux Firebox. Parmi les corrections figure une exécution de code à distance dans le traitement du fichier de configuration du client BOVPN Over TLS, la CVE-2026-86131. Les autres corrections couvrent une désérialisation de données non fiables dans le démon samld, deux dépassements de capacité entiers dans le démon iked lors du traitement de messages IKEv2, une initialisation de fichier arbitraire et un déni de service dans wgagent, un contournement d’authentification SAML pour le VPN mobile, et une traversée de répertoire dans le portail d’accès. Aucun score CVSS ni état d’exploitation n’est précisé pour ces quinze corrections.

🪟 Morphisec détaille VulcanRAT207.A, un cheval de Troie d’accès à distance diffusé par WhatsApp, c’est le phishing par un service tiers, la technique T1566.003. Le chargeur s’exécute entièrement en mémoire et injecte son code dans le planificateur de tâches Windows pour obtenir les droits système, l’injection de processus, la technique T1055. La persistance recourt à une tâche planifiée, USOPrivate Kit, qui relance au démarrage l’utilitaire Intel VulkanInfo pour charger une bibliothèque malveillante, le détournement de chargement, la technique T1574.002. Morphisec recommande de bloquer l’adresse du serveur de commande et de restreindre les pilotes signés vulnérables autorisés sur le parc.

🐛 Le chercheur Simon Köck révèle une exécution de code à distance sans authentification dans l’infrastructure partagée DevSite de Google, qui dessert developers.google.com, firebase.google.com, developer.android.com, source.android.com et docs.partner.android.com. Google réutilisait le secret client OAuth comme clé de signature des cookies de session Flask, ce qui permettait à un attaquant de forger un cookie accepté comme authentique. Le serveur désérialisait ensuite l’objet contenu dans ce cookie avec la bibliothèque Python pickle, capable d’exécuter du code pendant l’opération, c’est l’exploitation d’une application exposée sur Internet, la technique T1190. Google corrige la faille le 7 octobre 2026 et verse 90 000 dollars à Köck, qui avait signalé le problème le 6 août.

☁️ Des drones ukrainiens frappent pour la troisième fois en une semaine un centre de données Yandex en Russie, à Vladimir, après Riazan et Kalouga. Sur les six centres de données de l’entreprise en Russie, deux sont désormais à l’arrêt complet et un troisième endommagé, pour une capacité combinée d’environ 115 mégawatts. La coupure touche Yandex Cloud, utilisé par des milliers d’entreprises, ainsi que les services Yandex Pay, Alice et la messagerie. Yandex recommande à ses clients cloud des plans de reprise alternatifs et a modifié ses conditions générales pour exclure sa responsabilité en cas de frappes de drones.

🐧 Le projet Linux Gentoo recherche de nouveaux sponsors d’infrastructure après le retrait de plusieurs soutiens de longue date, selon une annonce publiée le 7 octobre 2026. Le projet recherche de l’hébergement de machines virtuelles à partir de deux processeurs virtuels, quatre gigaoctets de mémoire et vingt-cinq gigaoctets de stockage, des serveurs physiques complets hébergés par le sponsor ou confiés en gestion à distance, de la place en baie avec alimentation et connectivité, et des dons en numéraire. Gentoo avait quitté GitHub, propriété de Microsoft, en février pour la plateforme Codeberg, et précise privilégier les partenariats avec des organisations alignées sur ses objectifs.

Sources :

• Enhancements and Resolved Issues in Fireware v12.12.3. WatchGuard Technologies : https://www.watchguard.com/support/release-notes/fireware/12/en-US/EN_ReleaseNotes_Fireware_12_12_3/
• VulcanRAT207.A Malware Spreads via WhatsApp to Gain SYSTEM-Level Access. CyberPress : https://cyberpress.org/vulcanrat207a-whatsapp-malware/
• Critical Google DevSite Flaw Allowed Attackers to Execute Remote Code Without Authentication. GBHackers : https://gbhackers.com/critical-google-devsite-flaw/
• Ukraine strikes third Yandex data center, disrupting digital services across Russia. The Record : https://therecord.media/ukraine-strikes-third-yandex-data-center
• Gentoo Is Looking for Infrastructure Sponsors. FOSS Force : https://fossforce.com/2026/10/gentoo-is-looking-for-infrastructure-sponsors/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #WatchGuard #Fireware #Firebox #VulcanRAT #WhatsApp #Morphisec #Google #DevSite #OAuth #Pickle #MITREATTACK #Yandex #Ukraine #CloudDisruption #Gentoo #Linux #OpenSource #CVE-2026-86131 #RadioCSIRT