CISA ajoute 5 failles au KEV 🚨, le kit zero-day BlueMoon vise Chrome 🎯, fuite de données de santé 🏥

Bonjour, voici ta veille Cybere du 13 septembre 2026 !

L'inscription d'urgence par la CISA de cinq failles critiques exploitées sur Artifactory, ScreenConnect et RouterOS, le déploiement simultané du kit d'exploitation BlueMoon par quatre groupes d'espionnage, et une fuite touchant des milliers de patients sur la plateforme médicale Jinko.care : l'actualité du jour illustre la rapidité d'adoption des zero-days et la sensibilité des données de santé.

Retrouve les trois articles à la une du jour :

• La CISA ajoute cinq vulnérabilités exploitées en conditions réelles à son catalogue KEV (Artifactory, ScreenConnect, RouterOS)
• Le kit d'exploitation BlueMoon chaîne deux zero-days Chrome V8 et une faille Windows pour cibler des administrations et ONG
• Jinko.care subit une violation de données exposant les dossiers médicaux et traitements de plus de 3 500 patients atteints de cancer

La CISA inscrit cinq failles exploitées dans Artifactory, ScreenConnect et RouterOS

La CISA a ajouté cinq vulnérabilités à son catalogue KEV après des signalements d'exploitation en conditions réelles. Trois produits sont concernés : JFrog Artifactory (CVE-2026-42016, CVSS 8.1 et CVE-2026-42018, CVSS 7.5), ConnectWise ScreenConnect (CVE-2026-84869, CVSS 9.9) et MikroTik RouterOS (CVE-2026-67277, CVSS 8.8 et CVE-2026-86060, CVSS 9.2).

Selon Wiz, les deux failles Artifactory sont chaînées avec la CVE-2026-82329 (CVSS 9.8, déjà inscrite au KEV ce mois-ci) pour contourner l'authentification, escalader les privilèges et déployer des backdoors Rust entre le 15 août et le 8 septembre. La faille ScreenConnect permet de transférer et d'exécuter des fichiers via une session active sans confirmation, et Huntress rapporte trois campagnes déposant un payload VBScript. Les deux failles RouterOS, baptisées MikroTrick par CERT Polska, autorisent la prise de contrôle sans authentification.

Points d'attention

• La CVE-2026-42016 résulte d'une validation du seul émetteur et de la signature du token, sans vérification de la portée, ce qui ouvre la porte à l'escalade de privilèges.
• Les attaquants créent des comptes administrateur persistants et déploient des plugins Groovy malveillants sur Artifactory pour exécuter du code et maintenir l'accès, d'après Wiz.
• Les agences fédérales américaines doivent corriger RouterOS avant le 13 septembre, ScreenConnect avant le 14 et Artifactory avant le 25, conformément aux délais imposés par la CISA.

→ Lire la source

Quatre groupes exploitent un kit zero-day pour compromettre Chrome et Windows

Quatre groupes d'espionnage ont déployé BlueMoon, un kit d'exploitation enchaînant trois failles pour installer des malwares via un simple lien malveillant. La CVE-2026-85046 et la CVE-2026-87491, deux zero-days, visent le moteur V8 de Chrome, tandis que la CVE-2026-85880 élève les privilèges sur Windows. Selon Proofpoint, le premier usage remonte au 28 août par TA412 (APT31), groupe lié à la Chine, suivi en quelques jours par d'autres acteurs, dont UTA0560 détecté par Volexity le 1er septembre.

L'attaque exploite un correctif gap de près de quatre semaines : les correctifs étaient publiés dans le dépôt Chromium dès le 7 août, mais Chrome stable ne les intégrait que le 3 septembre. Les cibles incluent des ONG, des entreprises aérospatiales et des administrations aux États-Unis et en Asie du Sud-Est. La charge déployée varie selon l'opérateur : extension Chromium GemStone pour TA412, porte dérobée ShadowPad pour UNK_LateNight, loader en Rust pour UNK_DoubleCheck.

Points d'attention

• La CVE-2026-85880 ne touche que d'anciennes builds : Windows 10 (1809 à 22H2), Server 2019, 2022 et Windows 11 21H2, ce qui circonscrit l'exposition aux systèmes non migrés vers des versions récentes.
• Le kit contient des artefacts de développement inhabituels (commentaires de débogage, référence à v8CTF), cohérents avec un développement assisté par IA selon Proofpoint, sans confirmation formelle.
• Quatre groupes distincts ont adopté le même kit en quelques jours, ce qui laisse supposer une mise à disposition commune, peut-être via un marché souterrain ou un fournisseur partagé.

→ Lire la source

Fuite chez Jinko.care : les dossiers de plus de 3 500 patients atteints d’un cancer exposés

La plateforme de suivi médical Jinko.care a subi une violation de données qui a exposé les informations de plus de 3 500 patients suivis pour un cancer. La fuite concerne des données médicales et personnelles, notamment des éléments liés aux diagnostics, aux traitements et à des échanges médicaux. L’accès non autorisé aurait duré plusieurs jours avant d’être détecté.

L’incident met en cause des faiblesses dans le contrôle d’accès, l’authentification et le chiffrement, sans que les mécanismes précis soient détaillés publiquement. Au-delà du préjudice pour les patients (stress, risque de phishing et d’usurpation d’identité) la plateforme se retrouve exposée aux exigences du RGPD et, plus largement, aux attentes renforcées du secteur santé (dont le cadre NIS2 pour les acteurs concernés). Des précédents récents, comme Covenant Health (478 000 personnes) ou un hôpital français sanctionné par la CNIL (700 000 dossiers), rappellent que les dossiers de santé restent une cible récurrente.

Points d'attention

• Plus de 3 500 profils de patients atteints d’un cancer ont été exposés, avec des données allant jusqu’aux diagnostics, traitements et échanges médicaux.
• L’exfiltration aurait pu se poursuivre plusieurs jours sans détection, ce qui pointe un déficit de surveillance et de contrôle d’accès sur la plateforme.
• Le secteur santé accumule les fuites massives (Covenant Health, hôpital français / CNIL) : au-delà du correctif technique, la confiance des patients et la conformité réglementaire sont directement en jeu.

→ Lire la source

Autres actus importantes

• Floride : la base de données du département des véhicules moteurs compromise via un compte policier volé
• Un pirate ukrainien condamné à quatre ans de prison aux États-Unis pour les attaques du rançongiciel Conti
• Vulnérabilité dans Microsoft Edge (10 septembre 2026)
• Multiples vulnérabilités dans le noyau Linux de Debian LTS (11 septembre 2026)

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere