Episode Details

🚨 Atlassian Data Center : CVE-2026-21589, CVSS de 9,3, accès à des fichiers arbitraires sans authentification, déjà présentée dans l'épisode 773 et désormais exploitée (T1190). La société Previdian a vu quinze tentatives depuis trois adresses IP, deux heures après la publication de détails techniques par watchTowr ; les tentatives restent, selon watchTowr, de la reconnaissance et du balayage de fichiers de configuration, sans usage constaté des identifiants obtenus. Ajout au catalogue KEV le 15 octobre, échéance fédérale au 18 octobre. Produits concernés : Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible et Fisheye Data Center. Correctifs par produit, par exemple Confluence 9.2.26 et 10.2.19, Jira Software 9.12.40, 10.3.26 et 11.3.12 ; contournements par règle de pare-feu applicatif ou retrait d'Internet à défaut de correctif immédiat.

🔐 NCSC : le centre britannique publie ses réglages de TLS pour la cryptographie post-quantique, à la suite de la RFC 10024 de l'IETF sur les accords de clés hybrides en TLS 1.3. Il recommande à la fois des suites hybrides, les plus répandues dans les bibliothèques courantes, et des suites purement post-quantiques. Seul TLS 1.3 prend en charge ces algorithmes : une organisation en TLS 1.2 ou plus ancien doit migrer. Le NCSC situe la protection de la confidentialité en transit parmi les migrations prioritaires de sa feuille de route, à mener d'ici 2031, et invite à commencer dès maintenant.

🛡️ OpenNMS : CVE-2026-111235, CWE-204, divergence de réponse observable dans l'API REST de Meridian et Horizon. Les règles de filtrage comparent la méthode HTTP en respectant la casse et aucune règle ne refuse par défaut : une requête à la méthode non canonique, en minuscules, passe sans authentification. Un attaquant distant et sans compte lit l'inventaire, crée, modifie ou supprime des ressources et injecte des événements pour fabriquer ou masquer des alarmes. Non exploitée, aucun PoC public selon le CERT Santé. Versions corrigées : Meridian 2024.3.14, 2025.0.11 et 2026.0.1, Horizon 36.0.5 ; pas de contournement, produits à maintenir sur réseaux privés.

🪟 NordVPN : CVE-2026-106030, CVSS de 6,8, CWE-863, autorisation incorrecte dans l'application Windows. Un attaquant local peu privilégié se fait passer pour un processus de confiance, se connecte à un tube nommé et appelle deux fonctions qui arrêtent un service Windows et changent son type de démarrage (T1489). Il prive ainsi la machine de services critiques ; les services protégés par Windows, comme Microsoft Defender, restent hors d'atteinte. Corrigée en version 8.12. Faille signalée par Marcin Ressel au CERT Polonais.

🐧 OpenBSD : exploit d'élévation de privilèges local vers root sur OpenBSD 7.9 (T1068), sans CVE à ce jour et sans exploitation connue. Il enchaîne un dépassement d'entier sur un compteur de mémoire partagée hérité des sources BSD de 1988 et une use after free, puis une écriture hors limites qui bascule une page mémoire en zone noyau et contourne SMAP et SMEP. La société Calif a publié analyse et code de démonstration après correction. Correctifs OpenBSD du 14 septembre pour le dépassement d'entier et du 30 septembre pour la seconde faille, sur toutes les architectures ; OpenBSD 7.8 reçoit aussi le premier.

💻 Visual Studio Copilot : CVE-2026-103572, CVSS de 8,8, exécution de code à distance de gravité importante, corrigée au Patch Tuesday du 13 octobre. Un point ajouté à la fin du nom de fichier contourne le contrôle qui protège les fichiers de configuration du Copilot : les chaînes diffèrent, mais Windows retire ce point à l'écriture, qui