RadioCSIRT cover art

RadioCSIRT

RadioCSIRT

Written by: Marc Frédéric GOMEZ
Listen for free

🎙 Marc Frédéric Gomez, expert en cybersécurité, vous livre chaque jour l’essentiel des menaces, attaques et stratégies de défense à connaître.

🔎 Au programme :
✔️ Décryptage des cyberattaques et vulnérabilités critiques
✔️ Veille stratégique pour les CSIRT, CERT et pros de la cybersécurité
✔️ Sources et références pour approfondir chaque sujet

💡 Pourquoi écouter RadioCSIRT ?
🚀 Restez à jour en quelques minutes par jour
🛡️ Anticipez les menaces avec des infos fiables et techniques
📢 Une veille indispensable pour les pros de l’IT et de la sécurité

🔗 Écoutez, partagez et sécurisez votre environnement !
📲 Abonnez-vous et laissez une note ⭐ sur votre plateforme préférée !

Marc Frederic GOMEZ Politics & Government
Episodes
  • Ep. Spécial du dimanche 18 octobre 2026 - Synthèse sur l'attaque des frigos en hyper (783)

    Ep. Spécial du dimanche 18 octobre 2026 - Synthèse sur l'attaque des frigos en hyper (783)
    Oct 18 2026
    🐛 Avant l'attaque : selon Nozomi Networks, Synacktiv documente dès mai 2023 un contournement d'authentification par code du jour sur les gestionnaires Danfoss SM800, SC255 et SC355, sans correctif car en fin de vie ; l'AK-SC 355 est retiré en 2016, l'AK-SM 800 en fin de vie en 2021, et Danfoss annonce l'arrêt complet du service en octobre 2025. Le 9 août 2026, Claroty Team82 publie sur l'AK-SM 800A la CVE-2025-41450 (code du jour, CWE-287, authentification incorrecte, CVSS 8,2), chaînée avec la CVE-2025-41451 (CWE-77, injection de commande dans la configuration des alertes par email, CVSS 7,6) jusqu'à l'exécution de code, ainsi que la CVE-2025-41452 (CWE-15, déni de service de l'interface, CVSS 5,4). Selon Censys, la CVE-2025-41450 est corrigée en version 4.2 et les deux autres en 4.3.1 ; Claroty recommande R4.3.1 ou ultérieure et comptait 2 765 AK-SM 800A exposés. Fin août, au moins six supermarchés de bases militaires américaines ont subi des pannes de froid, sans lien établi avec la France.🧊 Nuit du 11 au 12 octobre : les attaquants entrent par l'interface web exposée des gestionnaires de froid (MITRE ATT&CK for ICS, T0883, Internet Accessible Device) et forcent un dégivrage continu avec une consigne à 50 °C (T0836, Modify Parameter), pendant six heures selon Les Mousquetaires. Selon Le Monde, cité par TIME, certains cycles passent d'une heure à huit heures pour retarder les alarmes, que le contrôleur suspend normalement pendant un dégivrage. Le parquet de Paris fait état de départs de feu. Le vecteur d'accès n'est pas confirmé publiquement.🛒 Enseignes : au moins 300 points de vente Intermarché et Netto selon l'AFP (150 à 200 annoncés au départ), moins d'une centaine de Système U, 80 Carrefour, 5 % des Monoprix et plusieurs E.Leclerc. Total estimé entre au moins 350 supermarchés (Reuters) et environ 500 magasins (Cooling Post), sans décompte officiel. Thierry Cotillard évoque des dizaines de millions d'euros de pertes, Intermarché indique que les assurances ne couvrent pas ce type d'incident, et la FCD réclame une transparence totale.🏭 Danfoss : incidents sur un nombre limité de systèmes selon le fabricant, majoritairement des AK-SM 800 (fin de vie en 2021) et AK-SC 355 (retirés en 2016) sans mise à jour de sécurité ; les AK-SM 800A touchés tournaient sur un ancien firmware. Mesures annoncées : mises à jour quand elles existent, protections réseau renforcées, fin de l'exposition directe à Internet. France Inter date le correctif d'un peu plus d'un mois avant l'attaque, Censys de 2025 (versions 4.2 et 4.3.1).🇫🇷 État : le parquet de Paris s'est saisi d'office le 12 octobre, enquête confiée à l'OFAC. Sébastien Lecornu a saisi l'ANSSI, qui a identifié une vulnérabilité non précisée dans un logiciel de Danfoss, selon l'entourage du Premier ministre cité par franceinfo. Ni rançon ni vol de données selon France Inter.🚨 CERT-FR : alerte CERTFR-2026-ALE-012 du 12 octobre, mise à jour le 13 octobre (systèmes affectés : Danfoss séries AK-SM et AK-SC, Copeland xweb, Dixell xweb) et le 16 octobre (recommandations) ; campagnes probablement toujours en cours. Recommandations : supprimer l'exposition Internet de toutes les unités sur adresse IP publique, vérifier les conditions d'assurance avant de couper la remontée des données vers le frigoriste, vérifier les plages de dégivrage, rétablir l'accès par VPN sécurisé ou réseau protégé, filtrer les IP des frigoristes en urgence seulement ; en cas de compromission, redémarrage ou Reset Factory, insuffisant sur un équipement en fin de vie. Pour Danfoss : mise à jour du firmware, niveau de sécurité Strict et changement des mots de passe par défaut ; Dixell publie des recommandations pour ses superviseurs XWEB.📈 Exposition : ONYPHE compte 6 212 adresses IP exposant StoreView Browser, dans 558 ASN et 95 pays, près de la moitié en France, surtout chez des opérateurs télécoms (Orange AS3215, Proximus AS5432), majoritairement sur ports non standard et souvent en HTTP ; 12 versions observées, de 01.0.124 à 01.0.170. Censys compte 2 991 interfaces StoreView le 11 octobre, dont 1 825 en France (61 %) et 1 158 françaises antérieures à 4.2 (mot de passe administrateur déduit de la date) ; en France, 537 restent exposées le 14 octobre, corrigées ou non au même rythme (baisse d'environ 70 %). Firmware actuel selon Censys : 5.3.2.🇪🇺 Europe : selon Reuters, Félix Aimé (Sekoia) cite l'Espagne, le Portugal, la Pologne, l'Allemagne et la Belgique parmi les pays touchés, sans détail. ONYPHE signale une alerte du Centre pour la cybersécurité Belgique et une forte exposition en Belgique et en Pologne ; selon Censys, 81 % des hôtes polonais exposés sont antérieurs à 4.3.1. Incident distinct chez Ahold Delhaize le 12 octobre, sans lien selon le NCSC néerlandais cité par Nozomi Networks.⚖️ Réglementation : le règlement (CE) n° 37/2005 impose pour...
    Show More Show Less
    26 mins
  • Ep.782 - Huawei en entreprise, sécurité et géopolitique - Épisode spécial du samedi 17 octobre 2026

    Ep.782 - Huawei en entreprise, sécurité et géopolitique - Épisode spécial du samedi 17 octobre 2026
    Oct 17 2026
    🎙️ Épisode spécial, en réponse au message d'un auditeur sur le répondeur de RadioCSIRT : l'usage d'équipements Huawei dans un réseau d'entreprise, entre constats d'audit et cadre réglementaire, sur les segments LAN, WLAN et WAN.🔎 Le Huawei Cyber Security Evaluation Centre (HCSEC), financé par Huawei et dont les conclusions remontent au NCSC britannique, a relevé pendant plusieurs années des défauts graves et systémiques dans l'ingénierie logicielle et la cybersécurité du groupe. Son comité de supervision attribue ces défauts à des processus de mauvaise qualité, sans établir de lien avec une ingérence de l'État chinois. Il pointe une incapacité à garantir qu'une faille corrigée l'est dans toutes les versions déployées, et des composants tiers obsolètes, dont des vulnérabilités OpenSSL non corrigées remontant pour certaines à 2006. Aucun audit public britannique n'a établi de backdoor intentionnelle en plus d'une décennie, et le programme de 2 milliards de dollars annoncé par Huawei n'avait pas convaincu le comité, qui n'offre qu'une assurance limitée.🐛 Le 23 juillet 2025, Post Luxembourg a subi une interruption nationale de plusieurs heures de ses services fixes, mobiles et d'urgence. Selon SDxCentral, une zero-day dans le logiciel de routeurs d'entreprise Huawei, déclenchée par un trafic réseau spécialement construit, provoquait des redémarrages en boucle : un déni de service sur l'équipement, la technique MITRE ATT&CK T1499. Huawei ne connaissait pas cette faille et n'a pas pu proposer de remédiation immédiate. La même source relève que les CVE du logiciel réseau d'entreprise de Huawei passent désormais par un portail client restreint plutôt que par une publication ouverte, ce qui réduit la visibilité des organisations sans contrat de support actif.🛡️ Les switches de la série S, les routeurs AR et NE et les pare-feux USG font l'objet de CVE régulières, de type déni de service, élévation de privilèges ou divulgation d'information, d'une nature comparable à celles des autres équipementiers du marché.🔐 Depuis 2019, Huawei ouvre à certains partenaires des centres de transparence à Bruxelles, Bonn et au Royaume-Uni, avec accès au code source et tests indépendants. Selon SecurityWeek, des observateurs doutent qu'un audit de code mené dans un cadre fermé et à capacité limitée suffise à établir un niveau de sécurité à l'échelle du groupe.🏭 Depuis son inscription sur l'Entity List américaine en 2019 et le durcissement des restrictions sur les semi-conducteurs avancés, Huawei réoriente une partie de son approvisionnement vers des fondeurs chinois. L'effet de cette contrainte sur les pièces détachées et le support à long terme de la gamme entreprise n'est pas documenté publiquement de façon vérifiable.⚖️ L'article 7 de la loi chinoise sur le renseignement national, en vigueur depuis juin 2017, oblige toute organisation et tout citoyen à soutenir les activités de renseignement et à garder le secret, et l'article 14 permet aux services d'exiger cette coopération. Une première lecture relève que cette obligation ne figure pas au chapitre des sanctions et existe dans d'autres lois chinoises ; une seconde, portée par des analyses juridiques occidentales, estime que l'absence d'État de droit et les structures du parti dans les entreprises permettent des directives extrajudiciaires jusqu'aux filiales à l'étranger. Les détracteurs du groupe citent aussi le passé d'ingénieur de l'APL de son fondateur. Huawei conteste toute instrumentalisation par l'État chinois et a attaqué en 2019 l'interdiction américaine, faute selon lui de preuve produite par le Congrès.🇺🇸 L'usage d'équipements Huawei et ZTE est interdit dans les agences fédérales américaines et chez leurs sous-traitants depuis 2018. La Federal Communications Commission (FCC) a inscrit les deux constructeurs sur sa Covered List en mars 2022, ce qui ferme l'accès aux fonds de l'Universal Service Fund, puis a bloqué toute nouvelle autorisation de mise sur le marché en novembre 2022. Le 26 juin 2026, la FCC étend l'interdiction aux modèles autorisés avant 2022 et vise Huawei, ZTE, Hytera, Hikvision et Dahua.🇬🇧 Depuis juillet 2020, les opérateurs britanniques ne peuvent plus acheter d'équipement 5G Huawei et doivent le retirer de leurs réseaux d'ici fin 2027, pour un coût estimé jusqu'à 2 milliards de livres sterling. Les réseaux 2G, 3G et 4G n'étaient pas visés au départ.🇩🇪 En juillet 2024, les autorités allemandes et les opérateurs Deutsche Telekom, Vodafone et Telefónica Deutschland conviennent de retirer les composants Huawei et ZTE du cœur de réseau d'ici 2026, puis des réseaux de transport et d'accès d'ici 2029, pour un coût estimé à 2,5 milliards d'euros. Selon Huawei Central, Deutsche Telekom aurait reporté à 2027 une partie du déploiement Open RAN destiné à ce remplacement.🇫🇷...
    Show More Show Less
    19 mins
  • Ep.781 - Atlassian Data Center, TLS post-quantique - Flash info du vendredi 16 octobre 2026

    Ep.781 - Atlassian Data Center, TLS post-quantique - Flash info du vendredi 16 octobre 2026
    Oct 16 2026
    🚨 Atlassian Data Center : CVE-2026-21589, CVSS de 9,3, accès à des fichiers arbitraires sans authentification, déjà présentée dans l'épisode 773 et désormais exploitée (T1190). La société Previdian a vu quinze tentatives depuis trois adresses IP, deux heures après la publication de détails techniques par watchTowr ; les tentatives restent, selon watchTowr, de la reconnaissance et du balayage de fichiers de configuration, sans usage constaté des identifiants obtenus. Ajout au catalogue KEV le 15 octobre, échéance fédérale au 18 octobre. Produits concernés : Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible et Fisheye Data Center. Correctifs par produit, par exemple Confluence 9.2.26 et 10.2.19, Jira Software 9.12.40, 10.3.26 et 11.3.12 ; contournements par règle de pare-feu applicatif ou retrait d'Internet à défaut de correctif immédiat.🔐 NCSC : le centre britannique publie ses réglages de TLS pour la cryptographie post-quantique, à la suite de la RFC 10024 de l'IETF sur les accords de clés hybrides en TLS 1.3. Il recommande à la fois des suites hybrides, les plus répandues dans les bibliothèques courantes, et des suites purement post-quantiques. Seul TLS 1.3 prend en charge ces algorithmes : une organisation en TLS 1.2 ou plus ancien doit migrer. Le NCSC situe la protection de la confidentialité en transit parmi les migrations prioritaires de sa feuille de route, à mener d'ici 2031, et invite à commencer dès maintenant.🛡️ OpenNMS : CVE-2026-111235, CWE-204, divergence de réponse observable dans l'API REST de Meridian et Horizon. Les règles de filtrage comparent la méthode HTTP en respectant la casse et aucune règle ne refuse par défaut : une requête à la méthode non canonique, en minuscules, passe sans authentification. Un attaquant distant et sans compte lit l'inventaire, crée, modifie ou supprime des ressources et injecte des événements pour fabriquer ou masquer des alarmes. Non exploitée, aucun PoC public selon le CERT Santé. Versions corrigées : Meridian 2024.3.14, 2025.0.11 et 2026.0.1, Horizon 36.0.5 ; pas de contournement, produits à maintenir sur réseaux privés.🪟 NordVPN : CVE-2026-106030, CVSS de 6,8, CWE-863, autorisation incorrecte dans l'application Windows. Un attaquant local peu privilégié se fait passer pour un processus de confiance, se connecte à un tube nommé et appelle deux fonctions qui arrêtent un service Windows et changent son type de démarrage (T1489). Il prive ainsi la machine de services critiques ; les services protégés par Windows, comme Microsoft Defender, restent hors d'atteinte. Corrigée en version 8.12. Faille signalée par Marcin Ressel au CERT Polonais.🐧 OpenBSD : exploit d'élévation de privilèges local vers root sur OpenBSD 7.9 (T1068), sans CVE à ce jour et sans exploitation connue. Il enchaîne un dépassement d'entier sur un compteur de mémoire partagée hérité des sources BSD de 1988 et une use after free, puis une écriture hors limites qui bascule une page mémoire en zone noyau et contourne SMAP et SMEP. La société Calif a publié analyse et code de démonstration après correction. Correctifs OpenBSD du 14 septembre pour le dépassement d'entier et du 30 septembre pour la seconde faille, sur toutes les architectures ; OpenBSD 7.8 reçoit aussi le premier.💻 Visual Studio Copilot : CVE-2026-103572, CVSS de 8,8, exécution de code à distance de gravité importante, corrigée au Patch Tuesday du 13 octobre. Un point ajouté à la fin du nom de fichier contourne le contrôle qui protège les fichiers de configuration du Copilot : les chaînes diffèrent, mais Windows retire ce point à l'écriture, qui atteint le fichier protégé. L'agent échappe à son confinement et exécute des commandes, y compris via une injection d'instructions indirecte. Le défaut touche une bibliothèque partagée, donc Visual Studio et SQL Server Management Studio, y compris Visual Studio 2022. Faille signalée par Johann Rehberger ; le correctif normalise le nom de fichier avant le contrôle.🎣 DataSuckers : la police de Moscou interpelle trois membres présumés du groupe, après la fuite de Dodo Pizza qui porterait sur des centaines de millions de commandes en quinze ans. Denis Fridman, 19 ans, est placé en résidence surveillée. L'accès initial vient d'identifiants d'entreprise exposés sur GitHub, qui ont ouvert du stockage cloud, des bases de données et des mots de passe stockés. La base volée a été vendue 100 000 dollars sur le dark web. La police a remonté la piste après que le suspect a exposé son adresse IP. Récit relayé par Recorded Future, à partir de Kommersant et Baza.🧩 curl : CVE-2026-92392, gravité haute sur l'échelle de curl, use after free dans l'envoi de données en HTTP/2 qui peut mener à l'exécution de code côté client. Lors d'un téléversement, curl met de côté des octets quand le serveur ferme sa fenêtre de flux...
    Show More Show Less
    18 mins
adbl_web_anon_alc_button_suppression_t1
No reviews yet