Exploit public sur FortiSIEM 💥, 8 certificats eMudhra bloqués 🔏, CLI OVHcloud piégée ⚠️

Veille
• 3 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 21 octobre 2026 !

De la publication d'exploits jusqu'aux attaques sur la chaîne d'approvisionnement logicielle, l'actualité du jour est particulièrement chargée. Une preuve de concept publique menace désormais les passerelles FortiSIEM non mises à jour. En parallèle, les éditeurs de navigateurs réagissent d'urgence pour bloquer huit certificats intermédiaires eMudhra générés avec des clés privées absurdement faibles. Enfin, OVHcloud fait face à un piratage temporaire de sa CLI officielle sur GitHub visant à dérober des secrets d'accès.

  • FortiSIEM (CVE-2026-106173) : publication d'un exploit PoC pour une faille de traversée de chemin sur le port gRPC 27918
  • Erreur de génération de clés chez eMudhra : révocation et blocage immédiat de huit certificats par Mozilla, Chrome et Apple
  • Supply chain sur ovhcloud-cli : la compromission d'un compte développeur GitHub a permis d'injecter des binaires voleurs de secrets pendant 94 minutes

Un exploit public circule pour une faille critique de FortiSIEM

Des chercheurs ont publié une preuve de concept pour la CVE-2026-106173 (CVSS 9.4), une faille critique de traversée de chemin dans Fortinet FortiSIEM, corrigée la semaine dernière. Elle permet à un attaquant non authentifié d'exécuter du code ou des commandes via des paquets spécialement forgés.

Selon Horizon3.ai, l'attaquant se connecte au service gRPC sur le port TCP 27918. Le gestionnaire QueryResultReq traite des métadonnées sans validation de chemin, via le paramètre query-id de la fonction SendQueryResult(). Fortinet corrige la faille avec la version 7.5.1 ou supérieure, la branche 7.6 n'étant pas affectée.

Points d'attention

  • Le programme ajoute son propre suffixe de fichier, mais un octet nul glissé dans query-id le fait ignorer par la fonction d'ouverture de fichier.
  • Le script /opt/charting/redishb.sh, un contrôle Redis lancé toutes les 60 secondes par cron, transforme l'écriture de fichier en exécution de code.
  • Selon Zach Hanley de Horizon3.ai, l'écrasement conserve propriétaire et permissions, et une variante en deux requêtes crée un fichier inédit au nom choisi.

→ Lire la source

Des clés privées triviales font bloquer huit certificats eMudhra

L'autorité de certification eMudhra a révoqué huit certificats intermédiaires compromis, dont les clés privées P-384 étaient si faibles que n'importe qui pouvait les retrouver presque instantanément. Découverts le 17 octobre par le chercheur Wayne, les huit certificats ont été bloqués le jour même par Mozilla, Chrome ne bloquant ce jour-là que les six intermédiaires autorisés à émettre des certificats TLS. Apple a suivi le 19 octobre.

Selon le rapport d'incident de Mozilla, les clés générées en avril 2025 avaient des valeurs inférieures à 256. eMudhra met en cause une erreur de script et ne signale aucune preuve d'exploitation. Mozilla a publié Firefox 158.0.1, et Go les versions 1.27.3 et 1.26.10 pour la CVE-2026-111943.

Points d'attention

  • Flüpke a publié sur GitHub la clé du certificat EM OV TLS CA - G3C, de valeur 4, vérifiée par BleepingComputer.
  • Certains certificats ont été soumis à Sectigo pour une signature croisée, et eMudhra affirme que la plupart n'ont jamais servi en production.
  • Les logiciels dotés de leur propre magasin de certificats ou ignorant la révocation, dont /usr/bin/curl sous macOS, peuvent continuer à faire confiance aux certificats.

→ Lire la source

Un compte développeur détourné piège la CLI d'OVHcloud

OVHcloud a confirmé la compromission des versions v0.11.0 à v0.15.0 de sa CLI officielle ovhcloud-cli, distribuée via GitHub. Le 19 octobre 2026, entre 14h47 et 16h21, soit 94 minutes, des binaires piégés destinés à voler les secrets stockés sur le disque ont remplacé les originaux.

D'après OVHcloud, l'attaquant a utilisé le compte GitHub d'un développeur du projet. Un client a donné l'alerte, car l'empreinte SHA-256 vérifiée par son pipeline CI avait changé. Les binaires ont été supprimés à 16h21, et la v0.16.0, saine comme la v0.10.0, a été publiée avec un tag signé.

Points d'attention

  • Le fichier checksums.txt a aussi été réécrit : seule une empreinte enregistrée avant l'attaque, comme celle du pipeline du client, trahissait la substitution.
  • L'immuabilité des releases était désactivée sur le dépôt, et elle ne protège que les publications postérieures à son activation, pas les versions antérieures.
  • OpenSourceMalware attribue l'attaque à GlassWorm, mais rien ne prouve que l'auteur des dépôts piégés en mars soit celui des binaires.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere