Ep.780 – PAN-OS, Cisco Secure Email Gateway – Flash info du jeudi 15 octobre 2026

🛡️ PAN-OS : CVE-2026-0322, CVSS 4.0 de 8,6, CWE-94, injection de code dans l’interface d’administration, qui donne l’exécution de code sous root à un attaquant authentifié avec des privilèges élevés et un accès réseau ; exploitation très limitée selon Palo Alto Networks, découverte interne, ajout au catalogue KEV le 14 octobre avec échéance fédérale au 17 octobre. PA-Series, VM-Series et Panorama concernés, Cloud NGFW et Prisma Access hors périmètre, aucun contournement, couverture partielle par les Threat ID 510046 et 510047 sous réserve de déchiffrer le trafic d’administration. Versions corrigées : 12.2.4, 12.1.4-h12, 12.1.7-h8, 12.1.10-h2, 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16 (annoncée pour le 15 octobre), 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3, 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 et 10.2.18-h12. L’éditeur recommande de réserver l’interface d’administration à des adresses internes de confiance ou à un poste de rebond.

📧 Cisco Secure Email Gateway : CVE-2026-76519, CVSS de 9,8, CWE-23, traversée de répertoire relative dans la protection AMP, qui permet, sans authentification et par un message porteur d’une pièce jointe forgée, d’écrire des fichiers arbitraires et d’exécuter des commandes sous root (T1190) ; exploitation constatée par Cisco en octobre 2026, ajout au catalogue KEV le 14 octobre. Conditions : service File Reputation actif dans une politique de messagerie et Content Scanner Tools antérieur à 25.3.0.5525 ; Secure Email and Web Manager et Secure Web Appliance non concernés, clés SSH du cluster exposées en cas de compromission. Correctifs : AsyncOS 15.5.5-014 et 16.5.0-780, migration pour la branche 16.0, ou Content Scanner Tools 25.3.0.5525 et suivants sur toute version supportée, sans redémarrage ; aucun contournement. Cisco recommande de rechercher les messages System Security dans system_logs sur chaque membre du cluster et, pour une appliance virtuelle compromise, de conserver les éléments forensiques, de redéployer une machine propre sans réimporter la configuration et de renouveler identifiants et clés.

💾 AhsayCBS : CVE-2026-105133, contournement d’authentification de gravité moyenne, et CVE-2026-105134, injection de commande critique dans le composant Replication Receiver, enchaînées pour une exécution de code à distance sous SYSTEM sans authentification (T1190) ; exploitation observée par Huntress depuis le 7 octobre, cinq organisations ciblées au 8 octobre, ajout au catalogue KEV le 14 octobre. Post-exploitation : web shell JSP (T1505.003), mineur XMRig déguisé en processus Edge et maintenu par un service sous SYSTEM (T1496.001), script PowerShell qui suspend le minage à l’ouverture du Gestionnaire des tâches, chargement du pilote vulnérable WinRing0. Versions touchées jusqu’à 10.3.4 incluse ; correctifs d’urgence 10.3.4.45 pour la branche 10 et 9.15.2.70 pour les branches 7 à 9, publiés le 12 octobre. Huntress recommande de restreindre l’accès web à la console aux adresses de confiance ou au VPN, de réinstaller tout hôte compromis depuis une sauvegarde de confiance, et publie quatre règles Sigma.

🔓 Ivanti Connect Secure : CVE-2026-104935, CVSS de 8,6 selon Ivanti, contournement d’authentification et exécution de code à distance enchaînés par UTA0576 depuis le 3 octobre sur une passerelle à jour en 22.8R2.4, avec une troisième faille d’élévation de privilèges vers root encore sans correctif ; ajout au catalogue KEV le 13 octobre, avec la CVE-2026-96951 de Windows, traitée dans l’épisode 779. Chaîne décrite par Volexity : requête vers la page de connexion publique avec un en-tête qui désigne un script protégé, dépôt d’un script Perl déguisé en ZIP puis race condition entre son exécution et sa suppression, détournement en mémoire d’une tâche de maintenance exécutée sous root, effacement sélectif des journaux de débogage et d’audit (T1070), chaîne rejouée à chaque commande sans web shell, invisible pour l’Integrity Checker Tool. Post-exploitation : vol des identifiants LDAP de la passerelle, recherche des mots de passe LAPS et des clés BitLocker, outil Kerberos de test d’identifiants, password spray (T1110.003) et capture du trafic LDAP. Versions corrigées : 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1 ; Volexity recommande de surveiller les écarts entre l’adresse demandée et l’en-tête de routage, et de mener une analyse forensique de la mémoire et du réseau en cas de doute.

📡 Proxyjacking : GreyNoise relève au moins 143 équipements compromis dans 34 pays, sur lesquels l’opérateur installe sans consentement l’application de partage de bande passante Pawns.app, pour revendre leur connexion à travers un réseau de proxys résidentiels (T1496). Failles exploitées (T1190) : CVE-2024-3272 et CVE-2024-3273 sur les NAS D-Link ShareCenter, CVE-2021-44228 sur Ubiquiti UniFi Video NVR, CVE-2025-31324 sur SAP NetWeaver Visual Composer ; ciblage aussi observé sur des enregistreurs Hikvision et Dahua, sans failles précisées. Accès de secours par authentification SSH à clé dans certains cas. GreyNoise propose un service gratuit, sur compte, pour vérifier si une adresse IP appartient à un service de proxy connu.

🧩 Backuply : CVE-2026-93953, CVSS de 8,0, injection SQL de second ordre dans l’extension WordPress de sauvegarde, active sur plus de 600 000 sites, toutes versions jusqu’à 1.5.8, exploitable depuis un compte d’abonné par le champ Biographical Info et déclenchée quand un administrateur restaure une sauvegarde créée après le dépôt du payload. La requête injectée passe default_role à administrator et users_can_register à 1, puis l’attaquant crée un compte administrateur par le formulaire d’inscription. Corrigée en 1.5.9 le 1er octobre ; règle de pare-feu Wordfence depuis le 24 septembre pour les offres payantes, le 24 octobre pour la version gratuite. Faille signalée par le chercheur daroo par le bug bounty de Wordfence, récompensée de 1 352 dollars.

Sources :

• CISA Adds Four Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/14/cisa-adds-four-known-exploited-vulnerabilities-catalog
• CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface. Palo Alto Networks : https://security.paloaltonetworks.com/CVE-2026-0322
• Cisco Secure Email Gateway Arbitrary File Write Vulnerability. Cisco : https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp
• Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer. Huntress : https://www.huntress.com/blog/ahsaycbs-flaws-exploit
• CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products. Help Net Security : https://www.helpnetsecurity.com/2026/10/15/cve-2026-0322-cve-2026-76519-cve-2026-105133-cve-2026-105134-exploted/
• CISA Adds Two Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-adds-two-known-exploited-vulnerabilities-catalog
• A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days. Volexity : https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
• Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935). Rapid7 : https://www.rapid7.com/blog/post/etr-ivanti-connect-secure-zero-day-exploited-in-the-wild-cve-2026-104935/
• Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN. SecurityWeek : https://www.securityweek.com/ivanti-zero-day-chain-gave-attackers-root-access-to-fully-patched-vpn/
• Windows Shell Security Feature Bypass Vulnerability, CVE-2026-96951. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
• Hackers hijack D-Link, Ubiquiti devices to resell your stolen bandwidth. BleepingComputer : https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/
• 600,000 WordPress Sites Affected by SQL Injection Vulnerability in Backuply WordPress Plugin. Wordfence : https://www.wordfence.com/blog/2026/10/600000-wordpress-sites-affected-by-sql-injection-vulnerability-in-backuply-wordpress-plugin/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #PaloAltoNetworks #PANOS #Firewall #Cisco #SecureEmailGateway #AsyncOS #Ahsay #AhsayCBS #Huntress #XMRig #Ivanti #ConnectSecure #Volexity #UTA0576 #ZeroDay #KEV #MITREATTACK #GreyNoise #Proxyjacking #PawnsApp #DLink #Ubiquiti #SAP #WordPress #Backuply #Wordfence #SQLInjection #CVE-2026-0322 #CVE-2026-76519 #CVE-2026-105133 #CVE-2026-105134 #CVE-2026-104935 #CVE-2026-96951 #CVE-2024-3272 #CVE-2024-3273 #CVE-2021-44228 #CVE-2025-31324 #CVE-2026-93953 #RadioCSIRT