Faille root Linux 🐧, Vulnérabilité maximale dans Node-RED 🏭, Google démantèle 1,3 million de box Android TV 📺

Bonjour, voici ta veille Cybere du 3 novembre 2026 !

Une vulnérabilité critique du noyau Linux découverte par Anthropic menace de livrer des accès root à distance. Dans le secteur industriel, des attaquants exploitent activement une faille maximale sur Node-RED pour déployer des botnets. Enfin, Google et ses partenaires frappent un grand coup en démantelant un réseau de 1,3 million de box TV pré-infectées dès leur fabrication.

Retrouve les trois articles à la une du jour :

• Alerte noyau Linux (CVE-2026-98432) : un use-after-free découvert par Anthropic dans le protocole TCP permet l'exécution de code root à distance sur les serveurs
• Exploitation Node-RED (CVE-2026-58115) : l'absence d'authentification sur l'interface web est détournée pour lancer des commandes système malveillantes
• Démantèlement du botnet XCPE : Google neutralise plus d'un million de boîtiers Android TV vendus avec un malware de proxy résidentiel

Anthropic découvre une faille Linux exploitable en root à distance

La CVE-2026-98432 (CVSS 9.8), une faille du noyau Linux découverte par Xinyang Ge d'Anthropic, permettrait d'exécuter des commandes en root à distance sans authentification. Introduite dans Linux 4.4, elle est corrigée notamment dans les versions 6.12.113, 6.18.56, 7.2.10 et 7.3.

La fonction tcp_v4_syn_recv_sock() partage les options IP avec le socket sans copie, d'où un use-after-free lors d'un SYN retransmis. Anthropic cible les serveurs dotés d'un listener MPTCP, activé par défaut dans les programmes Go depuis Go 1.24. Aucune exploitation en conditions réelles n'est signalée.

Points d'attention

• Un échec ne plante pas le serveur : lors du test d'Anthropic, 48 minutes ont livré une adresse noyau, puis 5 minutes l'exécution root.
• Red Hat a d'abord noté la faille CVSS 5.9 le 29 octobre, avant de la réviser à CVSS 9.8 et de la classer critique.
• Ubuntu n'avait publié aucun noyau corrigé au 2 novembre, et la CISA n'avait pas inscrit la faille à son catalogue KEV au 30 octobre.

→ Lire la source

Des pirates exploitent une faille maximale dans Node-RED

Des attaquants non identifiés exploitent la CVE-2026-58115 (CVSS 10.0) dans Node-RED, outil de programmation par flux répandu dans les infrastructures critiques, pour déployer un flow qui télécharge et exécute un bot Linux. Siemens a attribué cet identifiant en août.

Les appareils Siemens concernés, dont le SIMATIC IoT2050, n'imposent aucune authentification sur l'interface HTTP, ce qui donne accès à des nœuds exécutant des commandes système. Selon Patrick Garrity, de VulnCheck, un nœud "inject" relié à un nœud "exec" lance la commande dès le déploiement. La CISA n'a pas encore inscrit la faille à son catalogue KEV.

Points d'attention

• L'exploit complet, flow et dropper, tient en un seul POST /flows émis depuis 4.201.105[.]116, une adresse du réseau AS8075 de Microsoft géolocalisée au Brésil.
• VulnCheck n'a pas récupéré le binaire bot-linux-amd64, son comportement reste donc inconnu, et son nom laisse supposer l'existence d'autres versions.
• La même adresse a visé Node-RED 16 fois et totalisé 125 requêtes sur huit CVE, dont la CVE-2019-17558 d'Apache Solr, signe d'un balayage opportuniste.

→ Lire la source

Google démantèle un botnet de 1,3 million de box TV

Google a annoncé avoir démantelé, avec des partenaires du secteur, le botnet XCPE, composé de plus de 1,3 million de box Android TV livrées avec un malware. Selon le Google Threat Intelligence Group (GTIG), le fabricant chinois Videostrong Technology Co. en est responsable, et Google a rompu ses liens avec lui.

Le malware loue la connexion Internet des utilisateurs à des services de proxys résidentiels et sert à la fraude publicitaire. D'après le GTIG, Videostrong vendait l'accès à des affiliés criminels et chargeait leurs modules. Google a obtenu la saisie des domaines et serveurs de contrôle. L'opération doit couper l'accès à au moins 10 millions d'appareils supplémentaires.

Points d'attention

• Le malware s'installait dès le premier démarrage de l'appareil, malgré les tests de compatibilité et de sécurité imposés aux fabricants Android. Google affirme avoir depuis corrigé ce défaut.
• Synthient a établi que les box MECOOL de Skyworth Technology embarquaient aussi le malware de Videostrong, avec AppSalt/Honeygain et d'autres composants proxy.
• NetNut, également cité par le GTIG, avait déjà vu le FBI saisir des centaines de domaines en juillet 2026 dans l'affaire d'un autre botnet, Popa.

→ Lire la source

Autres actus importantes

• Des failles critiques dans Langflow permettent aux attaquants non authentifiés d'exécuter du code sur les serveurs
• Cyberattaque contre Brico Dépôt : 57 109 factures de location de camions en fuite
• Le plus grand échange de cryptomonnaies du Brésil confirme une cyberattaque alors que des millions quittent la plateforme
• Binance piraté : ce qu'on sait sur l'origine de l'attaque et ses conséquences

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere