Nous ouvrons cette édition avec l'ajout par la CISA d'une nouvelle vulnérabilité à son catalogue Known Exploited Vulnerabilities. La CVE-2026-1731, une faille de type OS Command Injection, affecte les produits BeyondTrust Remote Support et Privileged Remote Access. Activement exploitée dans la nature, elle s'ajoute aux quatre entrées référencées la veille, dont la CVE-2025-15556 ciblant Notepad++ et la CVE-2026-20700 visant Apple. La Binding Operational Directive 22-01 impose aux agences fédérales américaines de corriger les vulnérabilités inscrites au catalogue dans les délais prescrits.

L'actualité se poursuit avec la publication par le Google Threat Intelligence Group d'un rapport documentant une campagne d'extraction massive visant le modèle Gemini. Plus de cent mille requêtes ont été soumises au modèle dans le cadre d'une attaque par distillation, visant à reproduire sa logique interne via des accès API légitimes. D'après The Register, le groupe APT31, également connu sous les noms Violet Typhoon et Zirconium et attribué à la Chine, a utilisé Gemini pour planifier des cyberattaques contre des organisations américaines. Les requêtes portaient sur l'analyse de vulnérabilités d'exécution de code à distance et le contournement de Web Application Firewalls. Le rapport souligne que d'autres acteurs étatiques liés à l'Iran, à la Corée du Nord et à la Russie expérimentent également l'usage de Gemini à différents stades du cycle offensif.

Enfin, l'interpellation le 10 février d'un intérimaire de 19 ans sur le site Dassault Aviation de Cergy illustre la menace que représentent les objets connectés discrets pour la sûreté des installations industrielles sensibles. Selon RTL et l'AFP, l'homme, monteur-câbleur sur la chaîne d'assemblage du Rafale, portait des lunettes Ray-Ban Meta équipées d'une caméra. Placé en garde à vue pour atteinte aux intérêts fondamentaux de la Nation, il a été libéré le 12 février sans qu'aucune utilisation malveillante n'ait été établie. L'affaire, suivie par la DGSI, pose la question du contrôle d'accès physique et de la politique BYOD dans les environnements liés à la défense nationale.

Sources :

• CISA – CISA Adds One Known Exploited Vulnerability to Catalog : https://www.cisa.gov/news-events/alerts/2026/02/13/cisa-adds-one-known-exploited-vulnerability-catalog
• 01net – Cyberattaques chinoises sur Gemini : Google s'attend à un coup dur : https://www.01net.com/actualites/cyberattaques-chinoises-gemini-google-sattend-co
• ZDNet France – Lunettes connectées au travail : pourquoi un simple gadget peut vous mener en garde à vue : https://www.zdnet.fr/actualites/lunettes-connectees-au-travail-pourquoi-un-simple-gadget-peut-vous-mener-en-garde-a-vue-490077.htm

On ne réfléchit pas, on patch !

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com

Nous ouvrons cette édition avec les travaux du chercheur Wietze Beukema, présentés lors du Wild West Hackin' Fest. Quatre techniques inédites de manipulation des fichiers raccourcis Windows LNK permettent de falsifier intégralement la cible affichée dans les propriétés du fichier tout en exécutant un programme entièrement différent. La variante la plus critique exploite la structure EnvironmentVariableDataBlock pour afficher une cible fictive tout en lançant PowerShell ou toute autre commande malveillante. Soumises au Microsoft Security Response Center, ces failles ont été rejetées au motif qu'elles ne franchissent pas de Security Boundary. Le parallèle avec le CVE-2025-9491, exploité en Zero-Day par au moins onze groupes APT dont Evil Corp, APT37, Kimsuky et Mustang Panda, souligne la persistance de ce vecteur d'attaque.

L'actualité se poursuit avec la perturbation massive du réseau d'anonymisation I2P par le botnet IoT Kimwolf. Selon KrebsOnSecurity, les opérateurs du botnet ont tenté de connecter environ 700 000 dispositifs infectés comme nœuds sur un réseau qui ne compte habituellement que 15 000 à 20 000 participants actifs, provoquant une Sybil Attack d'envergure. D'après Benjamin Brundage, fondateur de Synthient, l'objectif est de bâtir une infrastructure Command and Control résiliente face aux tentatives de Takedown. Le réseau I2P fonctionne actuellement à la moitié de sa capacité normale, tandis que des dissensions internes chez Kimwolf ont entraîné la perte de plus de 600 000 systèmes infectés.

Enfin, la CISA a ajouté quatre nouvelles vulnérabilités à son catalogue Known Exploited Vulnerabilities, sur la base de preuves d'exploitation active. Parmi elles, la CVE-2024-43468, une SQL Injection dans Microsoft Configuration Manager, la CVE-2025-15556, un défaut de vérification d'intégrité dans Notepad++, la CVE-2025-40536, un Security Control Bypass dans SolarWinds Web Help Desk, et la CVE-2026-20700, de multiples Buffer Overflow affectant des produits Apple. Leur inscription au catalogue KEV impose aux agences fédérales américaines l'application des correctifs selon les délais de la directive BOD 22-01.

Sources :

• BleepingComputer – Microsoft: New Windows LNK spoofing issues aren't vulnerabilities : https://www.bleepingcomputer.com/news/microsoft/microsoft-new-windows-lnk-spoofing-issues-arent-vulnerabilities/
• KrebsOnSecurity – Kimwolf Botnet Swamps Anonymity Network I2P : https://krebsonsecurity.com/2026/02/kimwolf-botnet-swamps-anonymity-network-i2p/
• CISA – Known Exploited Vulnerabilities Catalog Update : https://www.cisa.gov/news-events/alerts/2026/02/12/cisa-adds-four-known-exploited-vulnerabilities-catalog

On ne réfléchit pas, on patch !

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com