⚡ Weekly Recap: VMware Exploits, Windows 0-Day, MCP Attacks, Browser Hijacks and More

Actualités cybersécurité : Exploits critiques et chaînes d’approvisionnement

Cette semaine a été marquée par une activité intense impliquant des vulnérabilités critiques, des attaques par chaîne d’approvisionnement et l’exploitation active de services exposés.

Points clés

• Tactiques de diversion : L’utilisation de ransomwares sert de plus en plus de « rideau de fumée » pour masquer des intrusions à des fins d’espionnage et entraver l’analyse forensique.
• Abus du protocole de débogage : Des attaquants détournent le Chrome DevTools Protocol (CDP) pour prendre le contrôle interactif de sessions de navigation authentifiées.
• Fragmentation de la confiance : La technique « GhostSplice » permet de contourner les protections des assistants de codage IA en morcelant des instructions malveillantes via différents canaux (outils, prompts, résultats).
• Surveillance commerciale : L’implant « LightSpy » a évolué en une plateforme de surveillance sophistiquée avec branding et support client, ciblant désormais également les routeurs.

Vulnérabilités majeures (CVE)

• VMware vCenter (CVE-2026-59310 - Score 9.8) : Traversée de répertoire permettant l’exécution de code à distance. Exploitée par un groupe lié à la Chine.
• Apple macOS (CVE-2026-65400 - Score 9.8) : Problème d’authentification critique dans le partage d’écran, utilisé pour déployer des mineurs de cryptomonnaie.
• Microsoft Windows (CVE-2026-68820 - Score 7.0) : Élévation de privilèges dans AFD.sys, utilisée par le groupe Lazarus dans le cadre de l’opération « Dream Job ».
• FileRun (CVE-2026-14863 - Score 8.7) : Injection de commande OS via le traitement des miniatures.
• Citrix NetScaler (CVE-2026-8452) : Débordement de mémoire permettant une exécution de code à distance pré-authentification.
• GeoServer : Vulnérabilité d’injection SQL critique (sans CVE attribué) activement exploitée.

Recommandations

1. Gestion des correctifs : Priorisez l’application des correctifs pour les vulnérabilités de niveau critique identifiées (VMware, macOS, Windows, Citrix).
2. Réduction de la surface d’exposition : Isolez les services critiques (ex: accès distant, port 5900) du réseau internet public.
3. Sécurisation des terminaux : Désactivez ou restreignez l’accès aux protocoles de débogage (CDP) sur les machines de travail pour éviter le vol de sessions authentifiées.
4. Audit des accès Cloud : Vérifiez les configurations des portails de type Microsoft Power Pages pour prévenir les accès publics non autorisés.
5. Prudence avec l’IA : Traitez les assistants de codage et les outils tiers (MCP) avec suspicion ; ne leur accordez pas de privilèges excessifs sur vos systèmes de production.

Source