Ep.784 – CAPTCHA, Cisco Talos, Leboncoin et Vinted – Flash info du lundi 19 octobre 2026

🤖 Oguzhan Salman et Kemal Bicakci publient sur arXiv un solveur de CAPTCHA visuels qui associe un détecteur YOLOv8 affiné et un modèle de vision et de langage en poids ouverts, reliés par un aiguillage fondé sur la confiance ; il opère par captures d’écran et événements d’entrée du système, sans automatisation du navigateur ni accès au DOM. Il atteint 85,4 % de réussite globale et 84,2 % en moyenne par catégorie sur 16 catégories, et le détecteur apprend une catégorie nouvelle après une ou deux rencontres grâce aux étiquettes du modèle de langage. Ramené à 0 % par des images perturbées, le détecteur se rétablit, y compris sur une course aux armements simulée d’un an avec un professeur juste à environ 70 %. Bruce Schneier relaie l’étude sans la commenter.

📈 Cisco Talos (Thorsten Rosendahl, lettre Threat Source du 15 octobre) : plus de 70 000 CVE publiées à fin septembre 2026, soit +105 % sur un an, contre +37 % pour le catalogue KEV de la CISA (+30 % entre 2024 et 2025). Un tiers des entrées KEV portent sur des CVE de 2025 ou antérieures ; 29 % des CVE de 2026 entrent au catalogue le jour de leur publication (+2 points sur 2025) ; les équipements réseau montent à 27 %. Nouvelle colonne forensicTriage au catalogue KEV, liée à la directive BOD 26-04, qui signale les failles imposant triage forensique et réponse à incident ; l’auteur demande de vérifier les outils face à cette colonne et aux CVE à six chiffres.

🎯 Unit 42 classe les vecteurs d’accès initial de septembre 2026, dans l’ordre : exploitation d’applications exposées (MITRE ATT&CK T1190) ; identifiants valides (T1078), souvent chaînés à une faille de bordure ; phishing ciblé (T1566), surtout secteur public, défense et entreprises régionales ; compromission de la supply chain (T1195) ; drive-by et watering hole (T1189). Aucun volume ni méthode de classement publiés.

🐧 CVE-2026-99999, CVSS 9,3, noyau Linux depuis la version 2.6.27 : un invité virtio-net place le début du calcul de somme de contrôle dans l’en-tête IPv4 déjà validé de l’hôte, qui y écrit deux octets lors de la fragmentation puis recopie jusqu’à 40 octets de son tas par fragment ; évasion de l’invité vers l’hôte (MITRE ATT&CK T1611), avec fuite mémoire, plantage et exécution de code root rapportés par le chercheur sur un hôte de test. Chemins d’accès : invité via TAP ou vhost-net, et, selon le code, utilisateur local via tun dans un espace de noms utilisateur, socket AF_PACKET ou macvtap. Aucun noyau corrigé publié ; correctif à chaud KernelCare K20261016_0002 en flux principal pour AlmaLinux 9 et CloudLinux 9, autres en test ou en préparation. Contournements non testés selon CloudLinux : csum=off et guest_csum=off côté QEMU ou libvirt pour les invités non fiables (perte de TSO et GSO), user.max_user_namespaces=0 contre le chemin local (casse les conteneurs rootless et les sandbox Chrome et Flatpak) ; CageFS ne protège pas.

🖥️ KDE Plasma 6.8, publié le 14 octobre : fin des sessions X11 natives, KWin devient compositeur Wayland exclusif, applications X11 via XWayland. Capture et partage d’écran via les portails du bureau ; outils d’accès distant propres à X11 à remplacer avant la mise à jour. Également : EAP-TTLS pour les VPN StrongSwan, mode exclusif du bureau à distance qui verrouille l’écran physique, presse-papiers bidirectionnel à distance, exclusion expliquée des mots de passe de l’historique du presse-papiers. Vérification du protocole de session : echo $XDG_SESSION_TYPE.

🇫🇷 Pillages du 17 octobre (plus de 2 000 commerces selon CCI France) : objets revendus dès le soir sur Vinted et Leboncoin, transactions déplacées vers Snapchat. Anne Le Hénanff et Serge Papin réunissent les plateformes, puis les principaux réseaux sociaux mardi. Leboncoin : contrôle automatisé de 100 % des annonces avant mise en ligne, signalements conformes traités sous 48 heures, service dédié aux réquisitions ; eBay : retrait immédiat sur confirmation de vol par la police, portail réservé aux forces de l’ordre ; Vinted : suppression et bannissement définitif possible. Le recel est passible de cinq ans de prison et de 375 000 euros d’amende.

☁️ CLI OVHcloud (dépôt github.com/ovh/ovhcloud-cli) : selon Octave Klaba, un attaquant a utilisé le compte GitHub d’un développeur pour publier une version contenant un binaire qui récupère les secrets présents sur le disque (MITRE ATT&CK T1195.002, compromission de la supply chain logicielle ; T1552.001, identifiants dans des fichiers), publiée à 14 h 47, détectée et bloquée à 16 h 21 sur signalement d’un client. Versions compromises citées : v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 ; v0.10.0 et v0.16.0 saines ; aucun autre dépôt touché selon les premières vérifications. Conduite publiée : mettre à jour ou effacer la CLI téléchargée ce jour, puis changer tous les secrets présents sur le disque, dont les identifiants d’API OVHcloud que la CLI stocke dans ~/.ovh.conf ou dans les variables d’environnement OVH_*, selon la documentation du dépôt. OVHcloud annonce des détails sur le binaire.

Sources :

• Training AIs to Solve CAPTCHAs. Schneier on Security : https://www.schneier.com/blog/archives/2026/10/training-ais-to-solve-captchas.html
• CAPTCHAs in the Agentic Era: Solvers That Learn from Every Encounter. arXiv : https://arxiv.org/abs/2609.02393
• The Q3 Vulnerability Pulse: Discovery ≠ Exploitation. Cisco Talos : https://blog.talosintelligence.com/the-q3-vulnerability-pulse-discovery-exploitation/
• Top 5 Initial Access Threat Vectors Observed by Unit 42 in September 2026. Unit 42 : https://unit42.paloaltonetworks.com/top-5-initial-access-vectors-september-2026/
• CVE-2026-99999 Guest-to-Host Escape: mitigation and kernel update for CloudLinux. CloudLinux : https://blog.cloudlinux.com/cve-2026-99999-guest-to-host-escape
• KDE Plasma 6.8 Marks 30 Years With a Major Shift to Wayland and a More Powerful Linux Desktop. Linux Journal : https://www.linuxjournal.com/content/kde-plasma-68-marks-30-years-major-shift-wayland-and-more-powerful-linux-desktop
• Scandale des objets volés lors des pillages revendus en ligne : Leboncoin, Vinted et eBay expliquent leur stratégie. Clubic : https://www.clubic.com/actualite-634939-scandale-des-objets-voles-lors-des-pillages-revendus-en-ligne-leboncoin-vinted-et-ebay-expliquent-leur-strategie.html
• Publication d’Octave Klaba sur la compromission de la CLI OVHcloud. LinkedIn : https://www.linkedin.com/feed/update/urn:li:activity:7517991179561660416/
• ovh/ovhcloud-cli, OVHcloud official CLI. GitHub : https://github.com/ovh/ovhcloud-cli

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #CAPTCHA #IA #CiscoTalos #KEV #Unit42 #InitialAccess #CloudLinux #Linux #Virtualisation #KDE #Wayland #Leboncoin #Vinted #eBay #OVHcloud #SupplyChain #GitHub #CVE-2026-99999 #RadioCSIRT