Ep.780 - PAN-OS, Cisco Secure Email Gateway - Flash info du jeudi 15 octobre 2026
🛡️ PAN-OS : CVE-2026-0322, CVSS 4.0 de 8,6, CWE-94, injection de code dans l'interface d'administration, qui donne l'exécution de code sous root à un attaquant authentifié avec des privilèges élevés et un accès réseau ; exploitation très limitée selon Palo Alto Networks, découverte interne, ajout au catalogue KEV le 14 octobre avec échéance fédérale au 17 octobre. PA-Series, VM-Series et Panorama concernés, Cloud NGFW et Prisma Access hors périmètre, aucun contournement, couverture partielle par les Threat ID 510046 et 510047 sous réserve de déchiffrer le trafic d'administration. Versions corrigées : 12.2.4, 12.1.4-h12, 12.1.7-h8, 12.1.10-h2, 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16 (annoncée pour le 15 octobre), 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3, 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 et 10.2.18-h12. L'éditeur recommande de réserver l'interface d'administration à des adresses internes de confiance ou à un poste de rebond. 📧 Cisco Secure Email Gateway : CVE-2026-76519, CVSS de 9,8, CWE-23, traversée de répertoire relative dans la protection AMP, qui permet, sans authentification et par un message porteur d'une pièce jointe forgée, d'écrire des fichiers arbitraires et d'exécuter des commandes sous root (T1190) ; exploitation constatée par Cisco en octobre 2026, ajout au catalogue KEV le 14 octobre. Conditions : service File Reputation actif dans une politique de messagerie et Content Scanner Tools antérieur à 25.3.0.5525 ; Secure Email and Web Manager et Secure Web Appliance non concernés, clés SSH du cluster exposées en cas de compromission. Correctifs : AsyncOS 15.5.5-014 et 16.5.0-780, migration pour la branche 16.0, ou Content Scanner Tools 25.3.0.5525 et suivants sur toute version supportée, sans redémarrage ; aucun contournement. Cisco recommande de rechercher les messages System Security dans system_logs sur chaque membre du cluster et, pour une appliance virtuelle compromise, de conserver les éléments forensiques, de redéployer une machine propre sans réimporter la configuration et de renouveler identifiants et clés. 💾 AhsayCBS : CVE-2026-105133, contournement d'authentification de gravité moyenne, et CVE-2026-105134, injection de commande critique dans le composant Replication Receiver, enchaînées pour une exécution de code à distance sous SYSTEM sans authentification (T1190) ; exploitation observée par Huntress depuis le 7 octobre, cinq organisations ciblées au 8 octobre, ajout au catalogue KEV le 14 octobre. Post-exploitation : web shell JSP (T1505.003), mineur XMRig déguisé en processus Edge et maintenu par un service sous SYSTEM (T1496.001), script PowerShell qui suspend le minage à l'ouverture du Gestionnaire des tâches, chargement du pilote vulnérable WinRing0. Versions touchées jusqu'à 10.3.4 incluse ; correctifs d'urgence 10.3.4.45 pour la branche 10 et 9.15.2.70 pour les branches 7 à 9, publiés le 12 octobre. Huntress recommande de restreindre l'accès web à la console aux adresses de confiance ou au VPN, de réinstaller tout hôte compromis depuis une sauvegarde de confiance, et publie quatre règles Sigma. 🔓 Ivanti Connect Secure : CVE-2026-104935, CVSS de 8,6 selon Ivanti, contournement d'authentification et exécution de code à distance enchaînés par UTA0576 depuis le 3 octobre sur une passerelle à jour en 22.8R2.4, avec une troisième faille d'élévation de privilèges vers root encore sans correctif ; ajout au catalogue KEV le 13 octobre, avec la CVE-2026-96951 de Windows, traitée dans l'épisode 779. Chaîne décrite par Volexity : requête vers la page de connexion publique avec un en-tête qui désigne un script protégé, dépôt d'un script Perl déguisé en ZIP puis race condition entre son exécution et sa suppression, détournement en mémoire d'une