Ep.785 – Plex Media Server, SiteGuard – Flash info du mardi 20 octobre 2026

🐛 Plex2Shell, quatre failles ajoutées au catalogue KEV de la CISA le 20 octobre : CVE-2026-96652 (SSRF sans authentification, CVSS 5,3), CVE-2026-96654 (neutralisation incorrecte d’URL, récupération du jeton d’administration du propriétaire, CVSS 6,9), CVE-2026-96655 (SSRF authentifiée, CVSS 5,3) et CVE-2026-96656 (contrôle externe d’un nom de fichier, écriture et exécution d’un objet ELF dans le dossier des codecs, CVSS 8,6), enchaînées jusqu’à l’exécution de code à distance sans authentification (MITRE ATT&CK T1190), selon The Hacker News. Découvertes par Zach Main, signalées le 27 juillet, corrigées dans Plex Media Server 1.43.3.10861 du 3 août ; détails publics le 16 octobre, attaques dès le 17 avec un mineur de type XMRig (T1496) et une backdoor Linux faisant office de proxy. Infrastructure citée par le site : 217.60.194[.]116, ota.proxystream[.]st ; aucun groupe ni volume de serveurs touchés publié.

🛡️ CVE-2026-106931, ajoutée au catalogue KEV : injection de commande système dans la fonction de statistiques, active par défaut, de SiteGuard Server Edition (EG Secure Solutions), CVSS 8,5 en version 4 et 7,8 en version 3, accès local peu privilégié requis, droits root ou SYSTEM obtenus (MITRE ATT&CK T1068). Corrigée en 8.00 Update 5 (Apache httpd, Nginx, IIS) et 7.00 Update 6 (Apache httpd et Nginx sur FreeBSD) ; exploitation signalée par JVN (JVN#88474777, 14 octobre) et confirmée par l’éditeur, clients sous contrat prévenus le 29 septembre. La mise à jour peut effacer les traces d’une attaque : le JPCERT/CC (JPCERT-AT-2026-0032) recommande de télécharger et conserver les informations de diagnostic depuis l’écran d’administration avant de corriger, puis de rechercher une compromission.

🪟 CVE-2026-110936, ajoutée au catalogue KEV : DLL sideloading dans Siemens Software Center (SSA-580366), CWE-427, élément de chemin de recherche non contrôlé, CVSS 6,7 en version 3.1 et 8,4 en version 4, toutes versions antérieures à 4.0.9.8 ; découverte par Jose Oregon (Huntress Labs). Selon The Hacker News, une campagne ClickFix attribuée par Forescout à la plateforme Romulus lance un MSI qui exécute le SiemensSoftwareCenter.exe légitime à côté d’une archive.dll malveillant, puis installe un RAT (MITRE ATT&CK T1574). Siemens recommande la mise à jour en 4.0.9.8 et la recherche de SiemensSoftwareCenter.exe lancé par msiexec.exe depuis AppData\Local\Programs ; indicateurs publiés : 96.62.218[.]59, wizardexpensive[.]com, 2.27.248[.]127.

💻 CVE-2026-70197, exécution de code à distance dans .NET publiée le 13 octobre (CVSS 8,1, CWE-787, écriture hors limites, sans authentification, complexité élevée) : la révision 2 du 19 octobre indique que la faille n’est pas corrigée et qu’une mesure complète est en préparation et en test ; la fiche liste toujours .NET 8.0.32, 9.0.21, 10.0.13, 11.0.0-rc.2, Visual Studio 2022 17.14.42 et Visual Studio 2026 18.10.4. Autres révisions du 19 et du 20 octobre : CVE-2026-102204 (CVSS 7,8, CWE-59, élévation vers SYSTEM) rattachée à Windows Subsystem for Linux, corrigée en WSL 3.0.1 ; CVE-2026-80092 (Microsoft Identity Web, CWE-302) précisée avec les versions corrigées 3.16.0 et 4.16.1 ; six fiches modifiées pour leurs seuls crédits de découverte, dont la CVE-2026-96913 (noyau Windows, critique).

Sources :

• CISA Adds Six Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/10/20/cisa-adds-six-known-exploited-vulnerabilities-catalog
• Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor. The Hacker News : https://thehackernews.com/2026/10/hackers-exploit-plex2shell-flaws-to.html
• SiteGuard Warns Patching Actively Exploited Security Flaw Could Erase Evidence of Attacks. GBHackers : https://gbhackers.com/siteguard-warns-patching/
• SSA-580366: DLL Sideloading Vulnerability in Siemens Software Center. Siemens ProductCERT : https://cert-portal.siemens.com/productcert/html/ssa-580366.html
• ClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan. The Hacker News : https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.html
• Security Update Guide. Microsoft Security Response Center : https://msrc.microsoft.com/update-guide/vulnerability
• .NET Remote Code Execution Vulnerability, CVE-2026-70197. Microsoft Security Response Center : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70197

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #KEV #Plex #Plex2Shell #SiteGuard #WAF #Siemens #ClickFix #DLLSideloading #Microsoft #DotNet #WSL #CVE-2026-96652 #CVE-2026-96654 #CVE-2026-96655 #CVE-2026-96656 #CVE-2026-106931 #CVE-2026-110936 #CVE-2026-70197 #CVE-2026-102204 #CVE-2026-80092 #RadioCSIRT