Faille PeopleSoft exploitée via WAF 🔓, MFA absent sur VPN et RDP 🔐, failles SharePoint et MikroTik dans KEV 🚨

Bonjour, voici ta veille Cybere du 27 septembre 2026 !

Une technique de contournement WAF par simple encodage d'URL pour compromettre Oracle PeopleSoft, une étude révélant que la quasi-totalité des victimes de ransomware avaient le MFA activé mais mal déployé, et l'ajout en urgence de failles SharePoint et MikroTik au catalogue KEV : l'actualité du jour prouve qu'une couverture de sécurité incomplète ou superficielle équivaut souvent à une absence totale de protection.

Retrouve les trois articles à la une du jour :

• Le groupe UNC6240 contourne les pare-feux applicatifs par encodage d'URL pour exploiter la désérialisation Java dans Oracle PeopleSoft
• Fausse impression de sécurité : 97 % des victimes de ransomware utilisaient le MFA, mais le laissaient désactivé sur leurs accès RDP et VPN
• Alerte CISA : la CVE-2026-65660 sur SharePoint et la combinaison « MikroTrick » sur RouterOS sont activement exploitées en conditions réelles

UNC6240 contourne les WAF pour exploiter une faille Oracle PeopleSoft

Google signale une nouvelle vague d'exploitation de la CVE-2026-35273 (CVSS 9.8) dans Oracle PeopleSoft par UNC6240, groupe lié à ShinyHunters. L'attaque cible universités, gouvernements, santé et IT dans plusieurs pays, déployant des web shells sur des dizaines de systèmes. L'acteur encode un seul caractère dans le chemin d'URL (/%50SEMHUB/ au lieu de /PSEMHUB/) pour contourner les règles WAF qui filtrent la chaîne littérale avant décodage.

La faille repose sur une désérialisation Java dans le servlet PSEMHUB, permettant l'exécution de code à distance sans authentification. UNC6240 installe deux shells JSP (x.jsp et u.jsp) puis déploie SIDEEYE, un backdoor C++ volant identifiants navigateur et applicatifs, via un installateur signé trojanisé (Ple64.exe). Selon Mandiant, environ un quart des commandes s'exécutent en root ou NT Authority\SYSTEM, donnant un contrôle total sur les machines compromises.

Points d'attention

• Le contournement WAF tient à un décalage entre la règle de filtrage appliquée au chemin littéral et le décodage URL opéré ensuite par le serveur d'application PeopleSoft.
• ShinyHunters revendique parallèlement avoir piraté le portail FBIJobs.gov pour contester des allégations formulées par l'agence contre le groupe dans une alerte de mai 2026, affirmant agir sans visée d'extorsion financière.
• UNC6240 présente un schéma bien établi d'extorsion par vol de données et menace de publication sur un site de leak. Google recommande aux organisations affectées de se préparer à des communications de rançon.

→ Lire la source

Le MFA protégeait le cloud mais laissait VPN et RDP exposés chez 97 % des victimes

Selon le rapport State of Ransomware 2026 de Sophos, 97 % des victimes dont l'attaque trouvait son origine dans des identifiants compromis avaient activé le MFA. Le paradoxe s'explique par une couverture partielle : le MFA était présent sur Microsoft 365 et les applications SaaS, mais absent des VPN, des sessions Bureau à distance et des consoles d'administration.

L'enquête menée auprès de 2 158 responsables IT révèle que 79 % des attaques par ransomware ont démarré par une approche basée sur l'identité. Le rapport Active Adversary Report, qui compile 661 interventions réelles, confirme le schéma : dans 59 % des cas, le MFA manquait là où il aurait été utile. Les chemins d'authentification Active Directory, notamment l'ouverture de session Windows et les flux RADIUS, échappent au MFA Entra ID tant qu'aucune solution complémentaire n'est déployée.

Points d'attention

• Le MFA Entra ID ne protège que les authentifications qui passent par Entra ID : un attaquant muni d'un mot de passe Active Directory valide contourne cette barrière en ouvrant un tunnel VPN ou une session RDP.
• Les groupes d'exclusion MFA, créés pour des raisons temporaires, accumulent des comptes jamais retirés et deviennent la liste des cibles prioritaires pour un attaquant qui cherche le chemin de moindre résistance.
• Le référentiel ReCyF pour NIS 2 impose une revue annuelle des comptes et des droits, ce qui inclut les exclusions MFA à justifier et documenter lors d'un contrôle.

→ Lire la source

La CISA signale l'exploitation active de failles SharePoint et MikroTik

La CISA a ajouté vendredi deux vulnérabilités au catalogue KEV : la CVE-2026-65660 (CVSS 8.8) dans SharePoint Server, permettant l'exécution de code à distance par un attaquant authentifié, et la CVE-2026-67279 (CVSS 6.9) dans RouterOS, qui autorise un client non authentifié à ouvrir un canal de session. Microsoft confirme des attaques observées contre la première depuis le 25 septembre.

La faille SharePoint, initialement classée comme spoofing, a été requalifiée en exécution de code à distance. Côté MikroTik, la CVE-2026-67279 a été chaînée avec la CVE-2026-86060 (injection d'argument dans le processus de login) pour créer l'exploit MikroTrick, qui donne un contrôle administratif complet sans mot de passe sur les routeurs exposés. Selon CERT Polska, la combinaison permet un accès non authentifié à la console administrative. Les agences fédérales ont jusqu'au 28 septembre pour appliquer les correctifs.

Points d'attention

• Microsoft n'a divulgué ni l'identité des attaquants, ni le nombre d'organisations ciblées ou compromises, ni les actions menées une fois la faille exploitée.
• MikroTrick exploite une rupture de frontière de confiance : la CVE-2026-67279 expose des fonctionnalités normalement réservées aux sessions authentifiées, tandis que la CVE-2026-86060 traite les données comme une identité administrative de confiance.
• Bishop Fox a reproduit la prise de contrôle administrative complète sur les versions RouterOS 7.x vulnérables, confirmant que le canal de session contourne l'authentification avant le login.

→ Lire la source

Autres actus importantes

• ShinyHunters s'introduit sur le site de fuites Clop via une faille de traversée de répertoires dans Grav CMS
• La CISA ajoute une vulnérabilité exploitée à son catalogue
• Nouveau botnet Windows x47.c : exploit de Grok d'xAI et drain d'API IA
• Au niveau de l'UE, un suivi douteux des actions pour la cybersécurité

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere