Faille Adobe Acrobat expose WhatsApp 📄, Stadler Rail refuse de payer 🚂, Qilin exploite une faille PAN-OS 🔥

Bonjour, voici ta veille Cybere du 23 juillet 2026 !

Une extension de navigateur, la plateforme partagée d'un fournisseur, une passerelle VPN : dans les trois cas du jour, le point d'entrée n'est pas la cible elle-même. Ce sont les composants périphériques, ceux qu'on installe une fois puis qu'on oublie, qui ouvrent la porte.

Retrouve les trois articles à la une du jour :

• Une faille de l'extension Adobe Acrobat pour Chrome permet d'accéder aux sessions WhatsApp Web
• Stadler Rail refuse de payer une rançon après un accès non autorisé à des données techniques
• Des attaquants exploitent la CVE-2026-0257 dans PAN-OS pour déployer le rançongiciel Qilin

Adobe corrige une faille d'accès aux données WhatsApp

Des chercheurs de Guardio Labs ont révélé une vulnérabilité dans l'extension Adobe Acrobat pour Chrome, utilisée par plus de 314 millions de personnes. Baptisée HermeticReader et répertoriée sous la CVE-2026-48294 (CVSS 7.4), la faille affecte toutes les versions jusqu'à 26.5.2.2 incluse.

La vulnérabilité contourne la politique de même origine du navigateur pour accéder aux données liées aux sessions utilisateur. Un attaquant peut exploiter une faille de cross-site scripting universel pour injecter un formulaire dans WhatsApp Web et extraire les conversations, les noms de contacts et les détails de profil. Seule interaction de la victime requise : visiter une page web malveillante.

Points d'attention

• L'attaque ne requiert ni logiciel malveillant, ni hameçonnage d'identifiants, ni vol de cookie de session : la simple visite d'une page piégée suffit, l'extension étant déjà installée.
• L'exfiltration réussit parce que la politique de sécurité de contenu de WhatsApp Web ne contient pas de directive form-action : WhatsApp envoie lui-même son contenu affiché vers le serveur de l'attaquant.
• Pour Guardio, l'industrie surveille les classes d'exploitation spectaculaires et néglige la tuyauterie, d'autant plus longtemps que la base installée est large.

→ Lire la source

Stadler Rail rejette une demande de rançon de 12,3 millions de dollars

Stadler Rail déclare avoir reçu une lettre d'extorsion du groupe Everest réclamant environ 12,3 millions de dollars (10 millions de francs suisses), après une intrusion dans une plateforme d'échange de données partagée avec un fournisseur du fabricant suisse de trains. L'entreprise a refusé de payer et a déposé plainte auprès de la police cantonale de Thurgovie.

Selon Stadler, l'incident s'est produit à la mi-juillet et n'a affecté ni ses systèmes informatiques ni ses opérations de production. Les attaquants n'auraient volé, chez le fournisseur, que des données techniques que l'entreprise qualifie de non pertinentes pour la sécurité. Aucune donnée personnelle notable n'aurait été compromise et les véhicules ferroviaires en circulation ne sont pas concernés.

Points d'attention

• Everest n'a pas revendiqué publiquement l'attaque et Stadler ne figure pas encore sur son site d'extorsion : l'attribution repose sur la seule déclaration de la victime.
• Le groupe a abandonné le chiffrement des réseaux au profit du vol de données avec menace de publication, et a par le passé revendu ses accès à d'autres acteurs.
• Stadler avait déjà été visé en 2020 par une intrusion avec vol de données, sans que l'entreprise confirme alors la piste du ransomware.

→ Lire la source

Des attaquants Qilin exploitent PAN-OS pour déployer un ransomware

Des acteurs de menace ont exploité la CVE-2026-0257 (CVSS 7.8), une faille de contournement d'authentification affectant les composants portail et passerelle de PAN-OS, pour installer le ransomware Qilin dans les environnements des victimes. Selon Arctic Wolf Labs, plusieurs intrusions observées en juin 2026 ont débuté par cette exploitation. La faille est corrigée depuis.

La vulnérabilité permet à des attaquants non authentifiés de contourner l'authentification et d'établir des sessions VPN sans identifiants valides, lorsque les cookies de contournement d'authentification sont activés avec certaines configurations de certificats. Après l'accès initial, les attaquants procèdent au vol d'identifiants et au mouvement latéral via des comptes compromis, utilisent PsExec par les partages administratifs Windows, puis préparent l'exécution depuis C:\PerfLogs\ en effaçant les journaux d'événements.

Points d'attention

• Les attaquants désactivent la protection en temps réel de Microsoft Defender avant de lancer la charge, pour limiter la détection et les traces d'analyse.
• Les modes opératoires varient selon les victimes, du chiffrement seul à la double extorsion, ce qui suggère plusieurs affiliés partageant la même infrastructure d'accès initial.
• Une persistance inhabituelle en base de registre sert de marqueur : un astérisque suivi de six lettres minuscules aléatoires.

→ Lire la source

Autres actus importantes

• Le CISA ordonne une action urgente concernant une faille RCE de Langflow activement exploitée
• Des pirates exploitent une faille de Windmill pour lire des fichiers serveurs arbitraires sans authentification
• La Corée du Sud révèle une fuite de données affectant des diplomates dans le monde entier
• Un logiciel malveillant cible les outils d'IA dans les environnements de développement logiciel

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere