Bootkit BlackX espionne des diplomates 🛡️, Node2Shell : Node.js corrige faille Brotli 💥, Point Vision : vol de données ⚠️

Bonjour, voici ta veille Cybere du 25 octobre 2026 !

Du cyberespionnage d'État jusqu'aux vulnérabilités de la chaîne logicielle et aux fuites de prestataires, l'actualité du week-end reste intense. Un bootkit UEFI contourne Secure Boot pour cibler des diplomates d'Asie centrale. De son côté, Node.js colmate une faille d'écriture hors limites dans Brotli permettant l'exécution de code à distance. Enfin, un incident chez un prestataire de Point Vision expose les données de nombreux patients. Voici les faits marquants du jour.

Retrouve les trois articles à la une du jour :

• Espionnage en Asie centrale : le bootkit UEFI BlackX exploite une ancienne faille Secure Boot pour déployer un RAT
• Correctif Node.js : une vulnérabilité critique dans le décodeur Brotli (CVE-2026-111497) expose les serveurs à une RCE
• Fuite de données chez Point Vision : l'exploitation d'une faille chez un prestataire de rendez-vous compromet les dossiers patients

Un bootkit lié à APT41 espionne des diplomates d'Asie centrale

Un bootkit UEFI baptisé BlackX a exploité la faille Baton Drop (CVE-2022-21894) pour contourner Secure Boot lors d'une campagne d'espionnage début 2026. Selon Kaspersky, l'opération, attribuée avec un niveau de confiance moyen à APT41 (Brass Typhoon, Wicked Panda, Barium), a ciblé des agences diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan.

BlackX charge un pilote noyau Windows signé avec un certificat révoqué, qui désactive des processus de sécurité et altère les fournisseurs ETW. Toutes les victimes utilisaient un Windows à jour, mais les révocations Secure Boot supplémentaires n'avaient pas été activées manuellement. Le pilote déploie ensuite un RAT qui s'appuie sur Google Drive, OneDrive ou Yandex.Disk pour son C2.

Points d'attention

• Selon Kaspersky, du code absent du dépôt BlackLotus divulgué en juillet 2023 figure dans BlackX, d'où l'hypothèse d'une rétro-ingénierie ou d'un achat.
• Kaspersky avertit que l'expiration, le 19 octobre 2026, du certificat Windows Production PCA 2011 n'empêche pas le chargement des binaires vulnérables sans liste de blocage.
• Le payload OxiDLLRunner, obfusquée par OLLVM, est chargée en DLL sideloading par googleupdate.exe et récupère des plugins depuis archivetj[.]com.

→ Lire la source

Node2Shell : Node.js corrige une faille d'écriture hors limites dans Brotli

Le projet Node.js a publié le 21 octobre 2026 des mises à jour pour corriger la CVE-2026-111497, une écriture hors limites dans le décodeur Brotli qui "permet l'exécution de code à distance", selon son bulletin. Baptisée Node2Shell par la Red Team d'Imperva, elle figure parmi dix failles corrigées dans les versions 22.23.4, 24.22.1 et 26.12.1.

Selon Ron Masas d'Imperva, des données Brotli piégées ont permis d'exécuter du code sur l'image officielle de Node.js 24.22.0, via fetch() ou via Express 5 et body-parser 2. L'exécution a exigé plusieurs tentatives et n'a été démontrée que sur Linux arm64. Aucune attaque réelle n'a été signalée.

Points d'attention

• Le défaut réside dans la copie de Brotli embarquée par Node.js, non dans le code de Node.js lui-même, et le correctif est un commit de février 2026.
• Un code d'exploitation publié sur GitHub le 22 octobre ne fonctionnerait, d'après The Hacker News cité par Aikido, que sur une version volontairement configurée.
• Les branches 25.x, 23.x, 20.x et antérieures sont en fin de vie et ne recevront aucun correctif, tandis que Bun 1.4.4 intègre déjà la correction.

→ Lire la source

Une vulnérabilité chez un prestataire expose Point Vision

Point Vision a informé ses patients d'un vol de données consécutif à l'exploitation d'une vulnérabilité dans les solutions d'un prestataire chargé de la gestion des rendez-vous. Selon la notification, l'attaquant a téléchargé des bases contenant noms, prénoms, dates de naissance, coordonnées et certains échanges liés aux rendez-vous.

L'accès aux mots de passe et aux motifs de rendez-vous reste incertain, une partie des traces ayant été supprimée. Point Vision affirme qu'aucun accès illégitime aux systèmes de dossiers médicaux n'a été constaté à ce stade. L'organisme a coupé les accès, désactivé les mécanismes malveillants, renouvelé des secrets d'authentification et déployé des correctifs. Le logiciel reste suspendu.

Points d'attention

• Les données de Point Vision n'étaient pas hébergées chez le prestataire, ce qui n'a pas empêché la vulnérabilité d'ouvrir l'accès à leur environnement.
• Les motifs de rendez-vous peuvent révéler des éléments de santé, ce qui donne un poids particulier à l'incertitude née de la suppression des traces.
• La notification envisage des usurpations d'identité de l'Assurance Maladie ou d'un professionnel de santé, sous prétexte de remboursement, d'annulation ou de changement d'horaire.

→ Lire la source

Autres actus importantes

• FortiGate, FortiManager : Fortinet vous demande de corriger immédiatement, mais sans révéler ce qu'il répare
• Failles critiques chez Ivanti : les difficultés de la mise à jour mettent en lumière les obstacles des éditeurs
• Google reconnaît que les données Gmail et Photos partagées avec l'IA pourraient servir aux publicités ciblées
• La violation de données de Capcom affecte 11 millions de personnes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere