Faille critique exploitée sur SiteGuard 🚨, alphabet cyrillique imite Amazon 🔤, offensive contre phishing chinois 🎣

Veille

19 octobre 2026 • 3 minutes de lecture

Bonjour, voici ta veille Cybere du 19 octobre 2026 !

Un WAF populaire subit des attaques actives via une injection de commandes root, une démonstration virale montre comment un simple caractère cyrillique permet d'usurper l'adresse d'Amazon, et une coalition internationale neutralise un vaste écosystème de phishing chinois. Voici les faits marquants du jour.

Retrouve les trois articles à la une du jour :

Exploitation active sur SiteGuard : la vulnérabilité CVE-2026-106931 permet une exécution de code avec privilèges root
Attaque par homographe : l'utilisation du « а » cyrillique permet de créer des faux liens Amazon quasi indécelables
Opération contre le phishing chinois : saisie de domaines et neutralisation des kits CoGUI, CoAceV et CoFish_Ws

Des attaquants exploitent une faille critique du WAF SiteGuard

La CVE-2026-106931, une faille d'injection de commandes système dans la fonction statistiques de SiteGuard Server Edition, est exploitée en conditions réelles. Selon l'éditeur japonais et le JPCERT/CC, elle est de sévérité critique et permet d'exécuter des commandes avec les privilèges root ou SYSTEM sur les machines concernées.

Sont touchées les versions 2.20 à antérieures à 8.00 Update 5 pour Apache httpd, Nginx et IIS (hors FreeBSD), et antérieures à 7.00 Update 6 sur FreeBSD. L'exploitation exige que la fonction statistiques soit active, ce qui est le cas par défaut. SiteGuard propose aussi un correctif de remplacement de fichiers, y compris pour les versions en fin de vie.

Points d'attention

L'identité de l'attaquant, les victimes, l'ampleur des attaques et les méthodes employées restent inconnues, aucun des deux bulletins ne fournissant ces éléments.
SiteGuard revendique plus de 1,5 million de sites protégés, et les statistiques de WordPress.org indiquent 500 000 sites où le produit est actif.
Selon l'éditeur, la correction peut effacer les traces d'attaque, et l'export « Diagnostic information » de l'interface web permet de les conserver avant toute mise à jour.

→ Lire la source

Une lettre cyrillique suffit à imiter l'adresse d'Amazon

Une démonstration publiée sur X le 15 octobre, vue près de 3 millions de fois, a remis en lumière une attaque par homographe visant Amazon. L'adresse piégée remplace le premier « a » latin par un « а » cyrillique, quasi indiscernable, et mène vers un site de phishing.

Cette variante du typosquatting exploite le fait que l'ordinateur traite les deux lettres comme des caractères distincts. Les noms de domaine internationalisés sont convertis en Punycode, au préfixe « xn-- », que VirusTotal affiche à la place du caractère cyrillique. Les navigateurs font de même quand une adresse mélange plusieurs alphabets de façon suspecte.

Points d'attention

Lors du test de Numerama, l'adresse était signalée comme site de phishing par VirusTotal, et le navigateur affichait souvent un avertissement de page non sécurisée.
La technique est documentée depuis le début des années 2000, et la protection des navigateurs contre les adresses mêlant plusieurs alphabets n'est pas infaillible.
Les mêmes caractères peuvent se glisser dans une adresse d'expéditeur, un lien reçu par SMS ou un nom de compte, là où l'urgence pousse à cliquer sans vérifier.

→ Lire la source

Une coalition vise trois kits de phishing en langue chinoise

Une coalition de partenaires publics et privés a engagé une opération contre un écosystème de phishing en langue chinoise, dont font partie les kits CoGUI, CoAceV et CoFish_Ws. Les chercheurs recensent plus de 1 300 campagnes et environ 17 000 domaines associés à ces outils.

Microsoft et Health-ISAC ont engagé une procédure devant le tribunal fédéral du district sud de la Floride, puis saisi et redirigé des domaines liés à YAM Store, CoGUI et Iron Man. CoGUI concentre 1 081 campagnes et 13 586 domaines. L'analyse recense 66 marques usurpées, surtout au Japon.

Points d'attention

CoGUI a redirigé en février 2026 certains visiteurs vers des sites de diversion, un procédé repris par CoAceV pour masquer les pages aux analyses automatisées.
Selon Microsoft, le milliard de messages visant plus de 75 000 organisations depuis janvier 2026 couvre l'écosystème élargi, non les seuls trois kits.
Les chercheurs estiment avec un niveau de confiance élevé que les kits partagent des origines communes, sans attribuer toutes les campagnes à un opérateur unique.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere