Tour d'horizon de l'actualité cyber — Semaine du 6 juillet

Voici les cinq principales nouvelles que vous avez manquées la semaine dernière.

1. Ubiquiti : Cinq failles critiques dans le système UniFi permettent à tout attaquant ayant accès au réseau d’exécuter des commandes.

Le titre : Ubiquiti Actualités d’urgence envoyées par voie électronique Pour cinq vulnérabilités critiques dans les produits UniFi Connect, UniFi Talk, UniFi Access, UniFi Protect et UniFi OS le 9 juillet. La plus grave, CVE-2026-50746 (CVSS 10.0), est une faille de contrôle d’accès inapproprié dans UniFi Connect qui permet à tout attaquant ayant accès au réseau d’exécuter une injection de commandes sur l’appareil hôte. Les CVE-2026-50747 (CVSS 9.9) et CVE-2026-50748 (CVSS 9.9) suivent le même schéma respectivement dans les produits UniFi Talk et UniFi Access. Des correctifs sont disponibles pour tous les produits concernés.

Ce que nous sommes en train de regarder : Le matériel Ubiquiti est omniprésent dans les réseaux des petites et moyennes entreprises, les environnements des fournisseurs de services gérés et les déploiements dans les bureaux distants. Une vulnérabilité de injection de commandes CVSS 10.0, qui ne nécessite rien d’autre que l’adjacency réseau, couvre une grande partie de l’infrastructure réseau des entreprises sans nécessiter de seule identité.

La condition d’attaque “ adjacent au réseau ” semble être une contrainte importante. Ce n’est pas le cas. Tout attaquant déjà présent dans un réseau d’entreprise, par phishing, un point d’extrémité compromis ou une intrusion active, est adjacent au réseau de tous les appareils UniFi présents dans ce segment. Les cinq révélations critiques simultanées concernant différentes gammes de produits UniFi indiquent que l’audit de sécurité effectué a révélé un problème structurel systémique plutôt que des bugs isolés. Lorsque la même classe de défaut apparaît dans cinq produits distincts du même portefeuille, la cause est généralement une composante ou un modèle de développement commun, et non cinq erreurs distinctes.

Les environnements MSP sont exposés à un risque accru. Les fournisseurs de services gérés qui utilisent UniFi sur les réseaux clients sont confrontés à un scénario dans lequel un seul ordinateur portable de l’équipe technique MSP compromis ou un seul identifiant frauduleux permettent à des appareils UniFi d’être connectés à ces réseaux sur tous les environnements clients partageant une infrastructure de gestion. Le rayon d’action de ces vulnérabilités dépend de la présence de clients chez chaque MSP, et non pas seulement de la portée de son propre réseau.

La question du RSSI : Pour chaque appareil UniFi présent dans votre environnement, y compris ceux gérés par des MSP tiers, savez-vous quelle version de firmware est en cours d’exécution, si les correctifs du 9 juillet ont été appliqués et si la segmentation de votre réseau empêche tout mouvement latéral vers ces appareils depuis un point d’extrémité compromis ?

2. Linux : Januscape CVE-2026-53359 permet aux machines virtuelles d’échapper à leur hôte via les systèmes Intel et AMD.

Le titre : A Un bug de 16 ans utilisant le mécanisme after-free Dans le hyperviseur KVM de Linux, connu sous le nom CVE-2026-53359 et baptisé Januscape, il a été découvert le 6 juillet. Cette faille se situe dans le chemin de code MMU de l’interface sous-système Linux KVM et peut être déclenchée par une machine virtuelle guest pour corrompre l’état des pages ombragées du noyau hôte. Le résultat est une fuite de données entre le guest et le noyau hôte qui affecte toutes les distributions majeures depuis 2011 sur les systèmes x86 d’Intel et AMD. Des correctifs sont disponibles.

Ce que nous sommes en train de regarder : Januscape ne compromet pas seulement une machine virtuelle. Il compromet également l’hôte qui exécute ces machines virtuelles, ainsi que toutes les autres machines virtuelles qui partagent cet hôte. L’infrastructure cloud, les centres de données virtualisés et les workloads containerisés dépendent tous de la frontière entre l’hôte et le guest. Januscape efface cette frontière dans toutes les déploiements Linux KVM non patchés.

La durée de vie de 16 ans raconte l’histoire la plus importante. Cette faille existe dans toutes les principales distributions Linux depuis 2011. Toute entreprise menant des activités malveillantes ayant connaissance de cette classe de vulnérabilités aurait eu 16 ans d’opportunité d’exploitation non détectée. Le fait que cette faille ait été découverte maintenant, grâce à des recherches de sécurité actives, ne signifie pas que celle-ci n’avait pas été découverte plus tôt par quelqu’un qui avait choisi de ne pas la divulguer. Januscape est le type de faille que des acteurs sponsorisés par l’État investissent dans la recherche et le maintien de la confidentialité. La question que les organisations devraient se poser n’est pas seulement de savoir s’il faut mettre à jour le système, mais aussi de savoir si l’on doit considérer tout environnement KVM non mis à jour comme potentiellement déjà compromis.

Les environnements d’hébergement partagé sont exposés de manière disproportionnée. Les fournisseurs de cloud, les hébergeurs web et les prestataires de services de sécurité gérés qui exploitent une infrastructure KVM partagée ne gèrent pas seulement leur propre risque. L’effondrement d’une VM hôte affecte les VM de tous les autres clients qui s’exécutent sur la même machine physique. Le risque de compromission entre les différents comptes rend Januscape une priorité absolue pour toute infrastructure qui dessert plusieurs clients à partir d’un matériel partagé.

La question du RSSI : Pour votre infrastructure virtualisée, vos environnements cloud et toutes les plateformes d’hébergement partagé sur lesquelles sont exécutées vos charges de travail, avez-vous vérifié que le correctif Januscape a été appliqué et avez-vous un processus pour identifier si une exploitation a eu lieu au cours des 16 années durant lesquelles cette vulnérabilité était présente dans les systèmes de production ?

3. BeyondTrust : les CVE-2026-40138 et CVE-2026-40139 permettent une prise de contrôle non authentifiée de l’infrastructure de support à distance.

Le titre : Au-delà de la confiance Résolue deux vulnérabilités critiques liées à l’authentification préalable dans les fonctionnalités de Support à distance (RS) et Accès à distance privilégié (PRA) le 7 juillet. Le CVE-2026-40138 (CVSS 9.2) affecte le Support à distance et le CVE-2026-40139 (CVSS 9.2) affecte l’Accès à distance privilégié. Les deux permettent aux attaquants non authentifiés de compromettre les plates-formes sans aucune identité. Les fonctionnalités RS et PRA de BeyondTrust sont utilisées par les équipes informatiques et de sécurité pour fournir un accès à distance privilégié aux systèmes sensibles et gérer les identités administratives.

Ce que nous sommes en train de regarder : BeyondTrust a déjà été compromis fin 2024 grâce à une clé API compromise. L’entreprise révèle désormais deux nouvelles vulnérabilités de pré-authentification dans les mêmes produits utilisés pour la gestion des accès privilégiés. Pour les organisations qui évaluent la sécurité de leur infrastructure de gestion des accès et des identifiants à distance, il s’agit du deuxième événement de sécurité important en moins de deux ans affectant la même plateforme.

Les plateformes de support à distance et de gestion de l’accès privilégié sont des cibles très précieuses précisément en raison de leur fonction. Elles existent pour permettre l’accès privilégié à des systèmes sensibles, ce qui signifie que toute plateforme de support à distance compromise permet aux attaquants d’accéder aux outils informatiques utilisés par les équipes IT pour atteindre leurs cibles. La nature pré-authentification de ces deux vulnérabilités élimine toute nécessité d’accès préalable ou de vol de données d’identification. Un attaquant ayant accès à l’interface de BeyondTrust dispose de tout ce dont il a besoin pour commencer son exploitation.

CybelAngel couvre la totalité des détails techniques du zéro-day du RoguePlanet Defender Dans le cadre du même schéma de vulnérabilités liées à l’authentification préalable et à l’escalade des privilèges qui dominent le paysage des menaces tout au long de 2026. Le thème constant des histoires de cette semaine est que les attaquants ciblent les outils de sécurité eux-mêmes, et non les terminaux que ces outils protègent.

La question du RSSI : Pour votre infrastructure de gestion des accès privilégiés et de support à distance de votre organisation, avez-vous appliqué les correctifs de juillet 7 de BeyondTrust ? Avez-vous vérifié les journaux d’accès pour détecter toute tentative d’authentification anormale contre ces plateformes avant l’application de ces correctifs, et avez-vous vérifié si des fournisseurs tiers ou des MSP ayant accès à votre environnement utilisent des instances de BeyondTrust non mises à jour ?

4. Wiz: GhostApproval transforme les assistants de codage IA en menaces pour les employés grâce à la manipulation des demandes de pull request.

Le titre : Les chercheurs en sécurité de Wiz ont dévoilé GhostApproval le 9 juillet, une nouvelle méthode d’attaque contre les assistants de codage IA qui manipulent les outils pour approuver leurs propres demandes de soumission malveillante. Cette attaque intègre des instructions cachées dans les commentaires de code ou dans la documentation, les instaurant pour que l’assistant IA contourne ses propres processus de validation, approuve les modifications qu’il aurait autrement signalées et supprime les avertissements de sécurité. Cette attaque ne nécessite aucune vulnérabilité dans l’assistant de codage IA lui-même. Elle exploite la volonté de l’assistant de suivre les instructions intégrées dans le code qu’il examine.

Ce que nous sommes en train de regarder : GhostApproval n’est pas une vulnérabilité logicielle. C’est un défaut du modèle de confiance. Les assistants de codage basés sur l’IA sont chargés de vérifier et d’approuver les codes, en partant de l’hypothèse qu’ils évalueront le code de manière objective. GhostApproval montre que les assistants de codage basés sur l’IA sont vulnérables aux instructions intégrées dans le code, créant ainsi un scénario où l’analyste et le manipulateur sont le même système.

La surface d’attaque est chaque dépôt que l’assistant de codage d’IA examine. Les organisations qui mettent en œuvre des assistants d’IA pour l’examen du code ajoutent effectivement un rédacteur qui peut être guidé par le code qu’il examine. C’est l’équivalent d’un rédacteur humain qui suit les instructions écrites dans les commentaires du code pour approuver le changement et ne pas le mentionner dans l’examen. Aucun rédacteur humain ne ferait cela. Les assistants d’IA de codage, tels qu’ils sont actuellement déployés, le feront.

CybelAngel a documenté comment l'infrastructure liée à l'IA produit systématiquement les résultats les plus graves lors de notre surveillance de la surface d'attaque externe.. GhostApproval ajoute une nouvelle catégorie : l’utilisation de l’IA n’est pas destinée à servir d’outil d’attaque, mais bien à manipuler l’IA afin de compromettre les défenses destinées à renforcer le système.

La question du RSSI : Si votre organisation utilise des assistants de codage IA pour l’examen des demandes de pull request ou l’approbation du code, avez-vous des processus de contrôle humain qui ne peuvent pas être contournés par des instructions incorporées dans le code examiné, et avez-vous vérifié les dernières demandes de pull request approuvées par l’IA pour détecter des indications d’injection d’instructions dans les commentaires du code ou dans la documentation ?

5. Deutsche Bank : Le groupe de ransomware publie des preuves d’une violation du système interne.

Le titre : Un groupe de pirates informatiques a publié le 8 juillet ce qu’il prétend être des preuves d’une violation des systèmes internes de Deutsche Bank. Le groupe a publié des échantillons de données qui, selon lui, ont été extraites de ces systèmes internes. Deutsche Bank n’a pas confirmé ni nié cette violation. Les échantillons de données n’ont pas été vérifiés indépendamment comme authentiques.

Ce que nous sommes en train de regarder : Les allégations de ransomware non confirmées contre de grandes institutions financières nécessitent un cadre analytique différent de celui des violations confirmées. L’absence de confirmation n’est pas une confirmation de l’absence. Les contraintes juridiques et réglementaires de Deutsche Bank concernant la divulgation des violations signifient que le silence du public ne signifie pas que aucune violation n’a eu lieu.

Les groupes de ransomware ciblant des institutions financières de grande importance systémique ont changé leur calcul en matière d’extorsion en 2026. La menace ne concerne plus seulement la divulgation de données. Il s’agit désormais de conséquences réglementaires, de préoccupations des contreparties et de dommages à la réputation d’une institution dont la stabilité est un signal du marché. Le fait que Deutsche Bank soit sous le contrôle de la BaFin, de la BCE et des autorités réglementaires internationales signifie que même une allégation non confirmée crée une pression que n’aurait pas à supporter une cible plus petite.

L’approche de la collecte de données est une pratique courante dans les groupes de ransomware. La publication de données partielles confère crédibilité à la revendication, met la pression sur la victime pour qu’elle y adhère et crée une incertitude chez les clients et les partenaires commerciaux. Que la revendication soit complète ou partielle, les dommages liés à la revendication elle-même se sont déjà produits.

La question du RSSI : Pour vos partenaires financiers et les fournisseurs d’infrastructures bancaires de votre organisation, avez-vous un processus d’évaluation de votre propre exposition en cas de réclamation crédible concernant un ransomware contre une banque importante ? En particulier, la question se pose de savoir si les données partagées, les intégrations d’API ou l’historique des transactions génèrent un risque à l’échelle des entreprises avant même que la réclamation concernant la violation ne soit confirmée ?

Le schéma commun aux cinq histoires

Chaque article de cette semaine portait sur les infrastructures que les organisations utilisent pour sécuriser d'autres infrastructures.

Les failles de Ubiquiti ont compromis le matériel réseau utilisé pour gérer les réseaux d’entreprise. Januscape a compromis le hyperviseur utilisé pour exécuter les machines virtuelles. Les vulnérabilités de BeyondTrust ont compromis la plateforme utilisée pour gérer l’accès privilégié. GhostApproval a compromis les outils d’IA utilisés pour examiner le code. Les cibles des réclamations de Deutsche Bank sont l’institution utilisée pour gérer les opérations financières.

CybelAngel détecte des informations d’accès exposées, des services vulnérables et une infrastructure compromise sur votre surface d’attaque externe, y compris les outils de sécurité et les plateformes de gestion qui bénéficient de la plus grande confiance et de l’accès le plus large dans votre environnement.

Lire aussi : Intelligence sur les menaces informatiques; Intelligence des qualifications.