Une faille Cisco ISE exploitée déclenche une vague d’attaques contre des canaux logiciels de confiance

Les activités malveillantes observées le 21 septembre 2026 montrent que des attaquants transforment à répétition des infrastructures de confiance en vecteurs d’accès initial. Les API de gestion, les plug-ins d’agents d’IA, les extensions de navigateur, les scripts intégrés aux sites web et les services cloud légitimes sont tous impliqués dans les campagnes les plus récentes.

Le problème le plus urgent est CVE-2026-76460, une faille de contournement de l’authentification affectant Cisco Identity Services Engine, à laquelle un score CVSS de 10,0 a été attribué. Cisco a confirmé son exploitation active, tandis que la Cybersecurity and Infrastructure Security Agency a ajouté la vulnérabilité à son catalogue Known Exploited Vulnerabilities.

Parmi les autres risques immédiats figurent l’exécution de code sans authentification dans Orkes Conductor, une faille liée aux images malformées affectant libheif et Discourse, ainsi qu’une technique visant la chaîne d’approvisionnement des plug-ins d’IA et capable de remplacer silencieusement du code dont la version est verrouillée.

La faille de l’API Cisco ISE est déjà exploitée

CVE-2026-76460 affecte deux produits en version 3.1.0 :

• Cisco Identity Services Engine 3.1.0
• Cisco Identity Services Engine Passive Identity Connector 3.1.0

La vulnérabilité découle de contrôles d’authentification insuffisants sur un point de terminaison d’API. Un attaquant distant peut envoyer une requête spécialement conçue sans fournir d’identifiants, contourner l’authentification et obtenir un accès non autorisé via l’interface de gestion web.

Son vecteur CVSS 3.1 est CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Cette évaluation correspond à une attaque accessible par le réseau, de faible complexité, ne nécessitant ni privilèges ni interaction de l’utilisateur, et susceptible d’avoir de graves conséquences sur la confidentialité, l’intégrité et la disponibilité. La faiblesse est classée CWE-648.

La CISA a ajouté la faille au catalogue KEV le 16 septembre 2026 et fixé au 19 septembre 2026 la date limite de remédiation pour les agences fédérales américaines. Les mesures requises comprennent l’application des instructions d’atténuation de Cisco, des recommandations de gestion des correctifs fondées sur les risques de la directive BOD 26-04 et des exigences de triage forensique de la CISA. Les organisations doivent cesser d’utiliser le produit si aucune mesure d’atténuation efficace n’est disponible.

Les versions affectées sont connues, mais les informations disponibles n’identifient pas de version précise de Cisco dans laquelle la faille serait corrigée. Les administrateurs doivent donc suivre les instructions actuelles de l’éditeur plutôt que déduire une limite de version sûre.

L’exploitation ayant été confirmée, la réponse doit aller au-delà de l’application des correctifs. Les équipes de sécurité doivent examiner l’activité des API ISE, l’exposition de l’interface de gestion et les journaux d’authentification afin de repérer tout accès inhabituel. Les services de gestion exposés sur Internet ou largement accessibles doivent être traités en priorité.

Cette alerte KEV ne constitue pas un cas isolé parmi les éditeurs concernés. Au cours des 90 jours précédents, CVE-2025-39682, CVE-2025-39964, CVE-2026-53266, CVE-2026-87886, CVE-2026-76461 et CVE-2026-87491 ont également été ajoutées au catalogue pour des produits Linux, Google et Cisco. CVE-2026-76461, un autre identifiant Cisco, a été ajoutée le 14 septembre 2026.

Orkes et Discourse exposés à des voies distinctes d’exécution de code à distance

La nouvelle CVE-2026-58138 affecte Orkes Conductor avant la version 3.30.2, notamment la version 3.21.21. Elle affiche un score CVSS de 9,8 et permet à des attaquants non authentifiés d’exécuter des commandes du système d’exploitation via l’API de workflow.

Le problème concerne des évaluateurs GraalVM non isolés configurés avec HostAccess.ALL ou allowAllAccess(true). Avant même l’authentification, un attaquant peut soumettre des définitions de workflow intégrées contenant des expressions JavaScript ou Python malveillantes.

Les chemins d’exécution concernés incluent les types de tâches INLINE, LAMBDA, DO_WHILE et SWITCH. Des expressions malveillantes peuvent accéder à la réflexion Java ou lancer directement des sous-processus, transformant l’évaluation du workflow en exécution de commandes arbitraires.

Les déploiements d’Orkes Conductor doivent être mis à niveau vers la version 3.30.2 ou une version ultérieure. Les opérateurs doivent également restreindre l’accès non authentifié aux API de workflow et examiner les définitions soumises afin de repérer toute activité inhabituelle liée aux scripts, à la réflexion, aux évaluateurs ou aux sous-processus.

Une autre surface d’attaque apparaît avec CVE-2026-32882, une lecture hors limites d’un tampon du tas dans libheif, déclenchée par des images HEIF malformées. Les versions amont de libheif jusqu’à la 1.21.2 sont affectées, tandis que la version 1.22.0 est indiquée comme version amont corrigée.

L’erreur se produit dans HeifPixelImage::overlay(). Lorsqu’une image enfant de superposition utilise une profondeur de bits différente pour ses canaux alpha et couleur, la fonction indexe le plan alpha en utilisant le pas des canaux de couleur au lieu de alpha_stride. Dans une configuration documentée avec une image de 100 × 50, la lecture hors limites qui en résulte peut dépasser de 3 123 octets la limite du tampon alpha.

L’évaluation amont lui attribue un score CVSS de 7,1, mais l’avis de sécurité de Discourse évalue l’impact au niveau du produit à 8,8 et décrit une exécution de code à distance via l’importation d’images. Ces scores diffèrent, car ils correspondent à des contextes d’exploitation différents.

Les versions corrigées de Discourse sont 2026.7.0, 2026.6.1, 2026.5.2 et 2026.1.6. Les installations basées sur Docker peuvent être reconstruites selon la procédure habituelle :

./launcher rebuild app

Les versions prises en charge du cœur de Discourse isolent également le traitement des images lorsque le noyau sous-jacent le permet.

Hacktron a par ailleurs signalé l’exploitation combinée de la faille libheif et d’une mauvaise configuration SSO pour accéder aux comptes ChatGPT d’employés d’OpenAI et à des dépôts internes. Les problèmes signalés ont été corrigés 14 heures après leur divulgation responsable.

Plugin4Shell remet en cause la confiance accordée aux extensions d’agents d’IA dont la version est verrouillée

Plugin4Shell est une technique visant la chaîne d’approvisionnement et fonctionnant sans clic, qui affecte quatre environnements de développement assisté par IA :

• Claude Code
• OpenAI Codex
• GitHub Copilot
• Google Gemini CLI

L’attaque contourne la protection censée être assurée par l’épinglage du hachage des plug-ins. Un agent vérifie la référence de commit fournie par une marketplace, mais ne vérifie pas lui-même que le commit attendu a bien été récupéré depuis le dépôt.

Un attaquant contrôlant ce dépôt peut donc faire pointer la récupération vers du contenu malveillant alors que le SHA enregistré continue de paraître légitime. Le plug-in de remplacement est alors installé et exécuté sans qu’un clic de l’utilisateur soit nécessaire.

Les versions affectées et les limites entre versions corrigées n’ont pas été communiquées. Les utilisateurs doivent mettre à jour le logiciel agent en suivant les instructions de chaque fournisseur ; la validation côté marketplace ne peut pas à elle seule corriger une défaillance de vérification au sein du client.

Les entreprises doivent considérer les plug-ins comme des dépendances logicielles exécutables. La propriété des dépôts, les privilèges d’écriture et la provenance des plug-ins nécessitent les mêmes contrôles que ceux appliqués aux packages internes. La surveillance doit également couvrir les processus et les connexions réseau sortantes créés par les agents de codage, en particulier après l’installation ou la mise à jour d’un plug-in.

Les campagnes ClickFix passent par des services cloud et des scripts intégrés

Une compromission de la chaîne d’approvisionnement de Brevo montre comment un seul identifiant cloud peut exposer à la fois un fournisseur et ses clients. Le 14 septembre 2026, un attaquant a utilisé une clé d’API Brevo Cloudflare compromise pour déployer un Worker dans le compte de l’entreprise.

Pendant environ cinq heures et demie, le Worker a modifié des pages de brevo.com, des pages de sibforms.com et trois fichiers JavaScript intégrés par des clients. Plus de 100 000 sites web ont été exposés au code injecté.

Certains visiteurs ont vu apparaître un faux CAPTCHA Cloudflare leur demandant de coller puis d’exécuter une commande malveillante. Les administrateurs de sites pouvaient également recevoir un plug-in WordPress malveillant en consultant leurs propres sites.

Cet incident est distinct de la compromission SAML SSO antérieure de Brevo. Cette opération avait affecté 138 comptes, entraîné l’envoi de messages d’hameçonnage depuis six comptes et permis l’exportation de contacts depuis 43 comptes.

Une autre activité ClickFix s’est appuyée sur un Google Doc légitime pour cibler un chercheur en sécurité. Un Google Apps Script associé affichait une barre latérale personnalisée contenant une fausse erreur de déchiffrement et demandant de coller des commandes dans Terminal. La charge utile variait selon la plate-forme : voleur d’informations AMOS pour macOS et chaîne de chargement PowerShell pour Windows.

Une campagne de vol de cryptomonnaies a utilisé une autre variante. Elle récupérait du JavaScript obfusqué via l’API Google Visualization et tentait de convaincre les victimes de coller du code dans Chrome ou de l’installer avec Tampermonkey, qui assurait également la persistance.

Ces attaques ne reposent pas sur une vulnérabilité classique du navigateur. Leur point de contrôle commun est l’instruction donnée à l’utilisateur. Les processus légitimes de vérification CAPTCHA, de réparation de documents et de mise à jour logicielle ne demandent pas aux utilisateurs de coller du code arbitraire dans PowerShell, Terminal, une barre d’adresse ou la console d’une extension.

L’accès aux navigateurs et les attaques périphériques élargissent l’exposition

L’outil de malware bancaire KREMLIN installe des extensions malveillantes dans Google Chrome et Microsoft Edge. Active depuis au moins mai 2025 et suivie sous le nom REF9334, l’opération usurpe l’identité d’une douzaine de banques brésiliennes environ.

Ses chargeurs JavaScript en plusieurs étapes et ses installateurs C++ personnalisés déploient des extensions capables de dérober des identifiants, des jetons de session et d’autres données stockées dans le navigateur. Les victimes présumées doivent supprimer les extensions non autorisées, invalider les sessions de navigateur et renouveler les jetons.

Deux autres problèmes liés à KEV et aux plates-formes nécessitent une attention particulière. CVE-2026-58704, à laquelle un score CVSS de 8,8 a été attribué, est une faille de contournement des autorisations dans le modem cellulaire de Google Android. Elle nécessite un accès adjacent, mais ni privilèges ni interaction de l’utilisateur. La CISA l’a ajoutée au catalogue KEV le 16 septembre 2026 et fixé au 19 septembre la date limite de remédiation.

CVE-2026-82079 affecte les versions de Nintendo Switch antérieures à 23.0.0. Un attaquant à portée du réseau sans fil peut envoyer un trafic spécialement conçu au sous-système sans fil local et exploiter un dépassement de tampon sur la pile pour exécuter du code à l’aide d’une programmation orientée retour. La mise à jour vers la version 23.0.0 ou une version ultérieure corrige la plage de versions affectées documentée.

Enfin, CVE-2026-90894, connue sous le nom de ParaShells, permet une élévation locale de privilèges par l’intermédiaire du service prl_disp_service de Parallels Desktop, exécuté avec les privilèges root. En attendant la mise à disposition d’un correctif par l’éditeur, les organisations doivent limiter l’accès des utilisateurs locaux non fiables et surveiller toute installation inhabituelle d’appliances, toute exécution de tar ou tout processus enfant lancé avec les privilèges root.

La priorité opérationnelle est claire : corriger en premier les failles Cisco et Android répertoriées dans KEV, puis traiter l’exécution de workflows sans authentification, l’exposition liée au traitement des images et les canaux compromis de distribution de logiciels. Les interfaces de confiance accomplissent une grande partie du travail des attaquants.