Faille GitLab sous attaque active 🚨, contournement d'email sur Keycloak 🔑, SynkLoader cible Microsoft Teams 💻

Bonjour, voici ta veille Cybere du 22 août 2026 !

Une vulnérabilité critique sur GitLab exploitée en quelques minutes par des bots, un défaut logique dans Keycloak permettant de pirater n'importe quel compte en deux requêtes HTTP, et un nouveau malware infiltrant Teams pour afficher un faux écran de verrouillage : l'actualité du jour illustre avec force la rapidité avec laquelle les attaquants automatisent leurs armes dès qu'une brèche est détectée.

Retrouve les trois articles à la une du jour :

• Faille critique CVE-2026-19478 dans GitLab : des attaques actives observées quelques jours à peine après sa divulgation
• Correctif d'urgence pour Keycloak face à une vulnérabilité permettant de bypasser la validation par email pour voler un compte
• Découverte de SynkLoader, un malware distribué via Microsoft Teams qui piège les utilisateurs avec un faux écran de verrouillage

GitLab subit une exploitation active quelques jours après la divulgation

La CVE-2026-19478 (CVSS 9.4), une faille d'injection de code dans GitLab, est exploitée en conditions réelles depuis sa divulgation publique, selon watchTowr. Elle permet à un attaquant non authentifié de modifier ou supprimer des projets GitLab publics et réécrire leurs données sans identifiants ni interaction utilisateur.

Les versions 18.2 antérieures à 18.11.11, 19.0 antérieures à 19.0.8, 19.1 antérieures à 19.1.6 et 19.2 antérieures à 19.2.4 sont concernées. L'exploitation transite par une directive GraphQL. watchTowr a reproduit la vulnérabilité en quelques minutes et observé des attaques contre son réseau de honeypots.

Points d'attention

• La faille peut être exploitée via une directive GraphQL, sans authentification ni interaction préalable, ce qui la rend immédiatement accessible aux attaquants automatisés.
• Un attaquant peut forger des enregistrements de fusion pour masquer l'absence d'une correction, bannir les mainteneurs ou supprimer des dépôts complets, dépassant ainsi la simple suppression de projets.
• watchTowr recommande de rechercher dans les journaux web les requêtes contenant @gl_introduced pour détecter les sondes ou tentatives d'exploitation contre les instances GitLab exposées.

→ Lire la source

Red Hat corrige une faille critique dans Keycloak

Red Hat a publié un correctif d'urgence pour la CVE-2026-18963 (CVSS 9.1), une vulnérabilité critique affectant le mécanisme de réinitialisation de mot de passe de Keycloak. Un attaquant non authentifié peut contourner la validation par email et forcer la réinitialisation du mot de passe de n'importe quel compte utilisateur.

Le défaut réside dans le flux reset-credentials du composant keycloak-services. Le serveur considère l'étape de validation par email comme validée sans qu'elle l'ait jamais été, permettant à l'attaquant de définir directement de nouvelles informations d'identification pour le compte ciblé. Selon Aduneo, deux requêtes HTTP suffisent pour prendre le contrôle total d'un compte si l'attaquant connaît le nom d'utilisateur, rendant l'attaque scriptable et automatisable.

Points d'attention

• L'exploitation requiert que la fonctionnalité de réinitialisation de mot de passe soit activée et que l'attaquant connaisse au minimum le nom d'utilisateur de sa cible pour déclencher la faille.
• Aucune exploitation en conditions réelles n'a été rapportée publiquement au moment de la divulgation le 18 août 2026, bien que des scripts de détection des traces d'exploitation soient d'ores et déjà disponibles.
• Les versions corrigées sont Keycloak 26.7.2, 26.6.6 et 26.4.15. Désactiver temporairement la fonctionnalité de mot de passe oublié atténue le risque mais prive les utilisateurs de la réinitialisation en libre-service.

→ Lire la source

SynkLoader, nouveau malware Teams, vole des mots de passe via faux écran

Une famille de malware inconnue baptisée SynkLoader se propage par phishing sur Microsoft Teams en se faisant passer pour le support IT d'une entreprise. Le malware affiche un faux écran de verrouillage Windows pour capturer les identifiants de connexion et établir une persistance système.

Le vecteur d'attaque distribue un installateur MSI imposteur nommé PowerShell Cleaner hébergé sur Microsoft Azure. SynkLoader se compose d'un ensemble modulaire mêlant Python, PowerShell, C# et C++, incluant un profileur système, un module de reverse proxy, un shell interactif (RAT) et un module de contrôle à distance du bureau (VNC), déjà compilés dès juillet 2026.

Points d'attention

• Le module PhishLocker simule un écran de verrouillage Windows 11 convaincant, mais révèle sa fausse nature par un simple Alt+Tab, car il s'agit d'une application GUI sans bordure en plein écran.
• Les attaquants profilent la taille de l'Active Directory de la cible, ce qui suggère une utilisation dans des campagnes de ransomware selon Marcus Hutchins d'Expel.
• Les empreintes (hachages) des modules SynkLoader varient à chaque infection, rendant les indicateurs de compromission IoC fournis peu utiles pour la détection basée sur les signatures.

→ Lire la source

Autres actus importantes

• Vulnérabilité critique de Microsoft Entra ID exploitée dans la nature (CVE-2026-69836)
• 14 paquets npm trojanisés déploient le backdoor Linux RedC2 4.0 avec C2 assisté par IA
• Malware Android pour voitures se propage via des mises à jour intégrées pour fraude publicitaire et botnet proxy
• Cisco corrige neuf failles dans Crosswork et Secure Workload, cinq avec un score CVSS de 10,0

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere