Faille RCE critique sur F5 BIG-IP 🚨, ShinyHunters pirate le FBI via PeopleSoft 🎭, l'Europe épinglée sur sa gestion cyber 🇪🇺

Veille

24 septembre 2026 • 4 minutes de lecture

Bonjour, voici ta veille Cybere du 24 septembre 2026 !

Un correctif d'urgence pour une faille RCE exploitée sur BIG-IP, la revendication choc de ShinyHunters d'une intrusion chez le FBI via un composant Oracle, et un rapport au vitriole de la Cour des comptes européenne sur la coopération cyber : l'actualité du jour met en lumière le fossé grandissant entre l'agilité des attaquants et les lourdeurs des dispositifs de défense.

Retrouve les trois articles à la une du jour :

F5 corrige la CVE-2026-94127 (CVSS 9.8), un débordement de mémoire vive exploité sur le serveur OAuth de BIG-IP APM
ShinyHunters revendique la compromission du portail de recrutement du FBI grâce à une faille zero-day Oracle PeopleSoft
L'audit choc de la Cour des comptes européenne : zéro incident qualifié de « majeur » depuis 2016 et des retards critiques sur la réserve cyber

F5 corrige une faille critique exploitée dans BIG-IP APM

F5 a publié des correctifs d'urgence pour la CVE-2026-94127 (CVSS 9.8), une vulnérabilité exploitée en conditions réelles qui permet l'exécution de code à distance sans authentification sur BIG-IP Access Policy Manager. La faille touche uniquement les systèmes où APM agit comme serveur d'autorisation OAuth, émettant des jetons d'accès aux applications.

Le vecteur repose sur un débordement de tampon heap déclenché par du trafic malveillant envoyé au serveur virtuel hébergeant l'adresse BIG-IP qui reçoit le trafic OAuth. La CISA a inscrit la vulnérabilité à son catalogue KEV le 22 septembre et exige des agences fédérales qu'elles appliquent les correctifs avant le 25 septembre. F5 propose des hotfixes pour la version 21.1.0, les plages 17.5.0 à 17.5.1 et 17.1.0 à 17.1.3, ainsi qu'une iRule de contournement obtenue via son support.

Points d'attention

Les restrictions d'accès à l'interface de gestion BIG-IP ne protègent pas contre cette faille, car le trafic malveillant cible directement le serveur virtuel exposé au trafic OAuth.
La CISA et CERT-EU ont publié leurs avis avant que F5 ne précise à 00h45 UTC le 23 septembre que seul le rôle serveur d'autorisation est vulnérable, créant une brève confusion sur le périmètre.
F5 recommande de surveiller les échecs répétés de requêtes UserInfo dans /var/log/apm, suivis de commandes suspectes dans /var/log/audit et d'un SIGABRT TMM peu après comme indicateurs de compromission.

→ Lire la source

ShinyHunters revendique le piratage du FBI via une faille Oracle PeopleSoft

Le groupe ShinyHunters affirme avoir compromis un portail de recrutement du FBI en exploitant une vulnérabilité zero-day dans Oracle PeopleSoft, avant de dérober entre 2 et 3 To de données sensibles sur des agents et candidats. Le FBI n'a ni confirmé ni démenti l'intrusion, mais une enquête est en cours.

Les pirates auraient exploité la faille le 21 septembre sur le domaine apply.fbijobs.gov, puis se seraient déplacés vers des systèmes AWS GovCloud pour extraire des données des services Criminal Justice, Human Resources et Medlink. ShinyHunters ne réclame aucune rançon, mais exige le retrait d'un rapport FLASH du FBI publié en mai qui contestait la portée de ses attaques passées. Un ultimatum d'une semaine a été posé.

Points d'attention

ShinyHunters avait exploité PeopleSoft comme zero-day entre le 27 mai et le 9 juin via la CVE-2026-35273 (CVSS 9.8), ciblant plus de 100 organisations, dont 68 % dans l'enseignement supérieur selon Google.
L'attaque vise à faire retirer un rapport FBI de mai qui qualifiait le groupe d'exagérer ses accès pour pousser ses victimes à payer, ce qu'ils contestent par cette compromission.
Le portail de recrutement a été brièvement défacé avec un message annonçant le vol de données personnelles et de santé d'agents, anciens employés et candidats, incluant noms et adresses de conjoints.

→ Lire la source

La Cour des comptes européenne épingle la coopération cyber de l'UE

La Cour des comptes européenne a publié un audit couvrant 2022-2025 sur cinq dispositifs de coopération cyber (réseau des CSIRT, EU-CyCLONe, Cyber Situation Centre, système d'alerte et réserve de cybersécurité). Conclusion : le partage d'informations reste limité et les mécanismes peinent à devenir pleinement opérationnels.

Les retards de transposition de la directive NIS 2 retardent les obligations de déclaration, tandis qu'aucun des 27 États membres n'a jamais qualifié un incident de « majeur » depuis 2016, malgré WannaCry, NotPetya ou l'épisode CrowdStrike. Le système d'alerte, lancé en 2025, ne dispose toujours d'aucun contrat signé 18 mois après le lancement des appels d'offres, faute de spécifications techniques finalisées.

Points d'attention

Le réseau des CSIRT et EU-CyCLONe ne se sont pas encore mis d'accord sur une taxonomie commune pour qualifier les incidents « importants » ou « majeurs », ni finalisé les modalités de leur collaboration.
La répartition du budget de la réserve de cybersécurité (36 M€) en 27 lots nationaux empêche tout redéploiement : si un pays n'utilise pas ses crédits, ils ne peuvent servir ailleurs.
Le Cyber Situation Centre recourt à des prestataires externes pour 18 M€ sur quatre ans, alors que l'ENISA et d'autres services de la Commission produisent déjà des rapports similaires.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere