La Veille Cyber — n°2
28 octobre – 2 novembre 2026 · Source : bulletins maCERT / DGSSI
Synthèse technique des bulletins du maCERT (DGSSI) publiés sur la période, destinée aux responsables informatiques et DSI. Toutes les versions, CVE et recommandations ci-dessous proviennent des bulletins cités. Lorsqu'une information n'y figure pas, elle est indiquée « non précisé par le bulletin ». Les mesures ajoutées par la rédaction sont signalées comme telles.
Résumé exécutif
| Produit | Sévérité | Exploitée | CVE | Action |
|---|---|---|---|---|
| Cisco ASA / FTD (VPN SSL) | Critique | Oui | CVE-2026-76418 | Correctif Cisco du 28/10 |
| Ivanti Connect Secure | Critique | Oui | CVE-2026-104935, -111357, -118527 | 22.8R2.6, 25.1.1.3 ou 25.1.3.1 |
| Fortinet FortiGate — FortiBleed 2.0 | Critique | Fuite de données | Aucune | Rotation secrets, MFA, audit AD |
| Drupal Commerce Core | Critique | Oui | CVE-2026-118539 | 3.3.13 ou 8.x-2.41 |
| GitLab CE/EE | Critique | Oui | CVE-2026-97229 | 19.2.8, 19.3.5, 19.4.2 |
| WordPress (cœur) | Critique | Non précisé | Non précisé | 4.7.39 à 7.1.4 |
| Sophos UTM (SMTP) | Critique | Non précisé | CVE-2026-118633 | 9.724 |
| WatchGuard Fireware OS | Critique | Non précisé | 18 CVE | 12.12.4, 2026.4, 12.5.22 |
| Noyau Linux (TCP) | Critique | Non précisé | CVE-2026-98432 | Mises à jour distribution |
1. Cisco Secure Firewall ASA et FTD
Produits et versions corrigées
| Produit | Versions corrigées |
|---|---|
| ASA Software | 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 / 9.24.10.1 |
| FTD Software | 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1 |
Vecteur d'attaque et impact
- Vulnérabilité de logique dans le service VPN SSL d'accès distant.
- Attaquant distant, non authentifié, via requête spécialement conçue.
- Impact : redémarrage du pare-feu — déni de service (coupure des flux et tunnels VPN).
Remédiation
- Identifier les équipements ASA/FTD exposant le VPN SSL sur Internet.
- Appliquer le correctif Cisco du 28 octobre 2026, en priorité sur les équipements exposés.
- Si le VPN d'accès distant n'est pas utilisé, évaluer sa désactivation.
2. « FortiBleed 2.0 » — exposition FortiGate
Données exposées : utilisateurs locaux, administrateurs, connexions AD/LDAP, clusters HA, services SMTP.
Une mise à jour de FortiOS ne suffit pas : elle ne révoque pas les identifiants déjà copiés.
Indices de compromission à rechercher
- Connexions administrateur hors heures ouvrables
- Échecs d'authentification répétés suivis d'une réussite
- Exportations de configuration vers des adresses externes
- Création de comptes, modifications de politiques ou de la journalisation
- Comptes, tunnels ou règles non autorisés
Remédiation
- Vérifier l'exposition via HudsonRock ou SOCRadar
- Terminer toutes les sessions d'administration et SSL VPN actives
- Renouveler tous les identifiants (admin, VPN, LDAP/AD, SMTP, HA)
- Activer la MFA sur tous les comptes
- Restreindre les interfaces de gestion — ne jamais exposer sur Internet
- Examiner les journaux et auditer les comptes AD liés
- Centraliser les journaux et les conserver durablement
3. CMS : WordPress et Drupal Commerce
3a. WordPress — vulnérabilités critiques
Versions corrigées par branche : de 4.7.39 à 7.1.4. Mettre à jour le cœur WordPress sur toutes les instances.
3b. Drupal Commerce Core — activement exploité
| Branche | Version corrigée |
|---|---|
| 3.x | 3.3.13 |
| 2.x | 8.x-2.41 |
4. Ivanti Connect Secure — activement exploité
| Branche | Version corrigée |
|---|---|
| 22.8R2 | 22.8R2.6 |
| 25.1.1 | 25.1.1.3 |
| 25.1.2 / 25.1.3 | 25.1.3.1 |
Impact : contournement d'authentification, exécution de commandes à distance, téléversement de fichiers malveillants, élévation jusqu'à root.
Le reste en bref
| Produit | Sévérité | Action |
|---|---|---|
| GitLab CE/EE | Critique — exploitée | 19.2.8, 19.3.5, 19.4.2 |
| WatchGuard Fireware OS | Critique | 12.12.4, 2026.4, 12.5.22 |
| Sophos UTM (SMTP) | Critique | 9.724 |
| Noyau Linux (TCP) | Critique | Mises à jour distribution |
| Citrix NetScaler ADC / Gateway | Critique | 14.1-73.49, 13.1-64.32 |
| Juniper Session Smart Router | Critique | 7.0.5, 7.1.7, 7.2.3 |
| TeamViewer | Critique | 15.83 + modules supervision |
| Dell PowerProtect Data Domain | Critique | 8.9.0.0, 8.6.1.30, etc. |
| HCL Domino / Notes | Critique | Correctifs HCL du 27/10 |
| Adobe (Creative Cloud, etc.) | Critique | Voir bulletin DGSSI |
| Google Chrome | Important | 156.0.8078.79/.80 |
| Mozilla Firefox | Important | 159, ESR 115.44, ESR 153.6 |
| Nextcloud, Jenkins, WS_FTP… | Important | Voir bulletins respectifs |
Malware : « FlyAgent » (backdoor Windows)
Cheval de Troie de type backdoor. Infection par fichier malveillant, persistance via le dossier Démarrage. Capacités : vol d'identifiants, téléchargement/exécution, arrêt de processus, charges supplémentaires.
Action : intégrer les IOC (29 hashs SHA-256) dans EDR / SIEM. Signaler toute détection à incident@macert.gov.ma.
Checklist de priorisation
P0 — immédiat (exploitation active)
- Cisco ASA / FTD : correctif du 28/10 (CVE-2026-76418)
- Ivanti Connect Secure : 22.8R2.6 / 25.1.1.3 / 25.1.3.1
- FortiGate : vérification FortiBleed 2.0, rotation de tous les identifiants, MFA
- Drupal Commerce Core : 3.3.13 / 8.x-2.41 (CVE-2026-118539)
- GitLab CE/EE : 19.2.8 / 19.3.5 / 19.4.2 (CVE-2026-97229)
P1 — sous 7 jours
- WordPress : cœur à jour (4.7.39 à 7.1.4)
- Sophos UTM en passerelle SMTP : 9.724
- WatchGuard Fireware OS : 12.12.4 / 2026.4 / 12.5.22
- Citrix NetScaler, Juniper, Noyau Linux, TeamViewer
- FlyAgent : intégration des IOC dans l'EDR / SIEM
P2 — cycle de patch normal
- Chrome, Firefox, Thunderbird
- Adobe, Nextcloud, Jenkins, WS_FTP, ESET, Kaspersky SC
Les versions citées proviennent des bulletins maCERT / DGSSI. Vérifiez toujours auprès de l'éditeur avant toute intervention en production.
Recevez la Veille Cyber chaque semaine
Vulnérabilités critiques, correctifs à appliquer et menaces à surveiller — directement dans votre boîte mail.
Pas de spam. Désabonnement en un clic.