Certighost expose AD CS 🔐, Redis corrige des failles RCE 🛡️, DNS d'hôtels détournés pour voler comptes M365 🎣
• 4 minutes de lecture
Bonjour, voici ta veille Cybere du 25 juillet 2026 !
Un compte utilisateur standard, une commande RESTORE, une passerelle Wi-Fi : trois vecteurs distincts qui mènent à la compromission de données sensibles.
Retrouve les trois articles à la une du jour :
- La
CVE-2026-54121dans AD CS permet de compromettre l'autorité de certification et de récupérer le krbtgt - Des failles dans Redis permettent l'exécution de code à distance via la commande RESTORE
- Des attaquants modifient les DNS de passerelles Wi-Fi pour rediriger vers des pages d'hameçonnage Microsoft 365
AD CS : une faille critique expose le secret du domaine
La CVE-2026-54121, baptisée Certighost par les chercheurs H0j3n et Aniq Fakhrul, affecte Active Directory Certificate Services sur Windows Server 2012 à 2025. Avec un score CVSS de 8.8, elle permet à un attaquant disposant d'un compte utilisateur standard de compromettre l'autorité de certification et de récupérer le krbtgt, secret maître du domaine Active Directory.
L'exploitation repose sur un mécanisme de repli appelé chase, qui duplique une recherche d'annuaire vers un contrôleur de domaine secondaire. L'autorité de certification contacte l'hôte désigné par le demandeur sans vérifier qu'il s'agit d'un vrai contrôleur de domaine, acceptant ainsi les données d'identité fournies par un hôte malveillant. Un attaquant crée un compte machine, expose des services LDAP, puis obtient un certificat signé au nom du contrôleur de domaine cible pour lancer une attaque DCSync.
Points d'attention
- L'exploitation n'exige aucun droit administrateur ni interaction utilisateur : une simple demande d'inscription de certificat suffit à déclencher la chaîne d'attaque, dès lors qu'une autorité de certification d'entreprise est présente.
- Le correctif de juillet 2026 ajoute une validation dans
certpdef.dllpour vérifier que la cible du chase correspond à un contrôleur de domaine enregistré, mais cette protection dépend d'un feature gate interne que Microsoft peut désactiver pour raison de compatibilité. - Aucune exploitation en conditions réelles n'est documentée et la vulnérabilité ne figure pas au catalogue KEV de la CISA, mais un code public d'exploitation est disponible sur GitHub depuis le 24 juillet 2026.
Redis publie sept correctifs contre deux failles d'exécution de code
Redis a publié sept correctifs le 23 juillet après la divulgation de preuves de concept d'exécution de code à distance authentifiée sur Redis 6.2.22, 7.4.9, 8.6.4 et 8.8.0. Les quatre chaînes d'exploitation requièrent toutes la commande RESTORE et se regroupent en deux voies : l'une cible un défaut d'utilisation après libération dans Redis Streams, l'autre une écriture hors limites dans le chargeur TDigest de RedisBloom.
Redis 6.2.23, 7.2.15, 7.4.10, 8.2.8, 8.4.5, 8.6.5 et 8.8.1 corrigent ces vulnérabilités. Redis indique que les défauts mémoire sous-jacents peuvent conduire à l'exécution de code à distance, sans qu'aucun CVE ni score CVSS ne soit attribué à ce jour. Aucune exploitation en conditions réelles n'a été signalée au 24 juillet 2026.
Points d'attention
- La première chaîne exploite un défaut de double libération : un objet RDB corrompu fait pointer deux consommateurs Streams vers le même enregistrement, créant une utilisation après libération quand les deux sont supprimés.
- En attendant la mise à jour, révoquer la commande RESTORE des comptes qui n'en ont pas besoin et bloquer les accès réseau non fiables suffit à couper les deux voies divulguées.
- Deux versions visées par les PoC (
6.2.22et7.4.9) étaient précisément celles que Redis recommandait d'installer en mai : mieux vaut vérifier la version exacte de la branche déployée que se fier à un correctif « récent ». - Selon Chaofan Shou sur X, des agents Kimi K3 auraient découvert 19 zero-days Redis en environ 90 minutes, des chiffres auto-déclarés et non validés par Redis.
Des pirates détournent les DNS d'hôtels pour voler des comptes Microsoft 365
Des attaquants modifient les paramètres DNS sur les passerelles Wi-Fi d'hôtels et de centres de conférences depuis au moins juin pour rediriger les utilisateurs vers de fausses pages de connexion Microsoft 365. ReliaQuest a identifié des passerelles compromises dans plusieurs villes des États-Unis, ainsi qu'en Inde et en Arabie Saoudite.
Le détournement des comptes Microsoft 365 offre aux attaquants l'accès à des informations métier sensibles, des communications et des documents privés des organisations ciblées. En modifiant les réglages DNS, les utilisateurs tentant d'accéder aux portails Microsoft légitimes aboutissent sur des pages d'hameçonnage. Dans certains cas, un flux d'authentification par code d'appareil contourne même l'authentification multifacteur en incitant l'utilisateur à approuver une session créée par l'attaquant, ce qui délivre un jeton OAuth valide sans voler les identifiants.
Points d'attention
- Les chercheurs de ReliaQuest estiment que cette activité est similaire aux campagnes FrostArmada de détournement de routeurs, attribuées au groupe d'espionnage russe APT28, aussi connu sous les noms Fancy Bear ou Forest Blizzard.
- L'attaquant a enregistré au moins quatre domaines pour héberger les pages d'hameçonnage : m365-owa.com, owa-ms365.com, ms365-device.com et ms365-live.com.
- Les utilisateurs de serveurs DNS publics comme Google
8.8.8.8restent vulnérables, car la passerelle forge les requêtes en clair avant qu'elles ne rejoignent le résolveur.
Autres actus importantes
- OnTrac notifie ses clients d'une violation de données après un piratage de réseau
- Un agent IA Hermes utilisé pour automatiser une attaque contre le ministère des Finances thaïlandais
- Google offre aux développeurs un chasseur de bugs IA qui écrit aussi des correctifs
- Malgré plusieurs fermetures, les botnets continuent de croître
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere