Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Zyxel and Veeam Flaws Under Active Exploitation With Command and SYSTEM Access

1 minute de lecture

Mis à jour :

Exploitation active de vulnérabilités critiques : Zyxel et Veeam

Des campagnes d’exploitation active ciblent actuellement des équipements réseau Zyxel et le logiciel Veeam Agent, permettant aux attaquants d’obtenir des accès non autorisés et des privilèges élevés.

Points clés :

  • Zyxel : Près de 1 000 commutateurs de la série GS1900 ont été compromis dans 48 pays par un acteur malveillant (lié au groupe « Red Heron »). L’attaque consiste en l’exfiltration de configurations et de mots de passe hashés via un script Python obfusqué.
  • Veeam : Une faille locale permet à des utilisateurs standard d’élever leurs privilèges au niveau « SYSTEM » sur les machines équipées de Veeam Agent for Windows.
  • Multiplicité des vecteurs : Le groupe suspecté utilise un large éventail d’exploits ciblant également Gitea, UniFi OS, WordPress, Proxmox et d’autres logiciels, démontrant une capacité d’intrusion importante sur des instances exposées.

Vulnérabilités identifiées :

  • CVE-2026-7273 (Zyxel GS1900) : Dépassement de tampon (buffer overflow) basé sur la pile. Permet l’exécution de commandes OS arbitraires via une requête HTTP forgée. Score CVSS : 8.8.
  • CVE-2026-32996 (Veeam Agent for Windows) : Élévation de privilèges locale via une mauvaise gestion des sessions gRPC. Permet un accès SYSTEM. Score CVSS : 7.3.

Recommandations :

  • Pour Zyxel : Appliquer immédiatement les correctifs fournis par le fabricant. Pour la série GS1900, cela implique la mise à jour vers les versions correctives (ex: 2.90(AAHH.2)C0 pour le GS1900-8). Les agences gouvernementales américaines ont jusqu’au 24 septembre 2026 pour se conformer.
  • Pour Veeam : Mettre à jour les agents Veeam pour Windows vers les versions sécurisées pour empêcher l’exploitation du service VeeamEndpointBackup et la lecture des logs contenant des UIDs sensibles.
  • Général : Surveiller les flux réseau pour détecter l’usage du protocole TFTP et inspecter les instances exposées sur Internet pour détecter toute anomalie liée à d’autres vulnérabilités récemment documentées (Gitea, UniFi, etc.).

Source

Vous pourriez aimer