Fastjson 1.x : RCE sans correctif 🚨, SourTrade assemble malware dans navigateur 💻, doxing politique frappe 24 élus 🗳️

Veille

26 juillet 2026 • 3 minutes de lecture

Bonjour, voici ta veille Cybere du 26 juillet 2026 !

Des composants logiciels détournés, un navigateur transformé en usine à malware, des données volées recomposées en arme politique : l’attaque ne frappe plus en frontale, elle s’infiltre par les interstices du système.

Retrouve les trois articles à la une du jour :

Des attaquants exploitent la CVE-2026-16723 dans Fastjson 1.x pour exécuter du code à distance
La campagne SourTrade utilise Bun dans le navigateur pour assembler un malware
Un pirate publie des données personnelles de 24 élus français pour faire pression

Alibaba Fastjson 1.x reste sans correctif face à une exploitation présumée

Une faille d'exécution de code à distance dans Fastjson, la bibliothèque JSON d'Alibaba pour Java, fait l'objet d'une activité d'exploitation observée. Baptisée CVE-2026-16723 et dotée d'un CVSS 9.0, la vulnérabilité touche les versions 1.2.68 à 1.2.83 et permet à un attaquant non authentifié de prendre le contrôle d'une application Spring Boot.

L'attaque repose sur un détournement du système de résolution de types via une valeur @type contrôlée pour charger un bytecode malveillant depuis une JAR imbriquée. Le mécanisme exploite la fonction de chargement des JAR exécutables Spring Boot et contourne les vérifications de type si le SafeMode reste désactivé. Aucun correctif pour la branche 1.x n'existe à ce jour. Alibaba recommande la migration vers Fastjson2 ou l'activation du SafeMode par l'option -Dfastjson.parser.safeMode=true.

Points d'attention

Seul ThreatBook affirme avoir capturé une exploitation en conditions réelles. Imperva rapporte une activité observée. Ni l'un ni l'autre n'a fourni de preuve d'exécution de code réussie ou de compromission, et l'évaluation CISA-ADP marque l'exploitation comme « none ».
Le vecteur n'exige ni activation d'AutoType ni gadget classpath spécifique, réduisant les obstacles à l'exploitation. Les déploiements non fat-JAR (WAR, JAR simple) demeurent à l'abri.
Imperva rapporte des attaques contre des services financiers, de santé et de commerce, principalement aux États-Unis. Les impersonateurs de navigateur génèrent la majorité des requêtes, tandis que les outils Ruby et Go représentent environ 30% collectivement.

→ Lire la source

Malvertising SourTrade assemble le malware côté navigateur

Une campagne de malvertising baptisée SourTrade incite les navigateurs des victimes à assembler elles-mêmes l'exécutable Windows final, en fragmentant le payload et en s'appuyant sur le runtime Bun légitime. Opérationnelle depuis fin 2024, la campagne cible des traders et investisseurs en cryptomonnaies via des pages usurpant TradingView, Solana et Luno dans 12 pays et 25 langues, selon l'analyse de Confiant du 23 juillet 2026.

La chaîne d'attaque enregistre un ServiceWorker et construit un SharedWorker qui récupère un template de configuration, un runtime Bun depuis un domaine secondaire, et des blobs Base64 contenant l'en-tête PE et le bytecode malveillant. Le worker génère ensuite un flux pseudoaléatoire en AES-CTR, combine les éléments selon le template, et transmet l'exécutable généré via un iframe caché au ServiceWorker, qui retourne le fichier avec un en-tête Content-Disposition.

Points d'attention

Chaque victime reçoit un binaire différent : la rotation du seed et de la taille dans chaque réponse /config modifie le hash tout en préservant le code malveillant, ce qui limite la valeur des détections basées sur le hash simple.
L'enregistrement Mark of the Web identifie la page de destination comme source du téléchargement, non le domaine ayant fourni le runtime Bun. MotW reste présent malgré la nature distribuée de la livraison.
Confiant lie l'activité à des campagnes précédentes documentées par Bitdefender en septembre 2025, mais n'établit pas que les trois échantillons publiés portent le payload stealer JSCEAL identifié antérieurement.

→ Lire la source

Un pirate cible 24 élus français par doxing politique

Un pirate informatique a publié les données personnelles de 24 responsables politiques français pour contester Chat Control 1.0, un régime européen temporaire de détection de contenus liés aux abus sexuels sur enfants. Nadine Morano, Raphaël Glucksmann et Bernard Guetta figurent parmi les cibles. Les informations diffusées proviendraient d'anciennes fuites affectant des organismes publics et privés, recomposées en dossier de pression.

L'auteur a publié des photographies, adresses personnelles, numéros de téléphone, dates de naissance, identifiants administratifs et, pour certaines victimes, des coordonnées bancaires. Cette agrégation de données fragmentées crée un profil exploitable par hameçonnage ciblé, usurpation d'identité ou fraude bancaire. La dimension politique amplifie le risque d'actions coordonnées contre les personnes désignées comme favorables au texte de compromis.

Points d'attention

Le pirate ne révèle pas une intrusion unique contre des institutions parlementaires, mais reconstitue des données provenant de fuites sans lien apparent avec Chat Control pour les instrumentaliser politiquement.
Le texte amendé a été transmis au Conseil, qui dispose de trois mois pour se prononcer et pourrait encore refuser l'amendement.
Un amendement Renew propose d'exclure les communications protégées par chiffrement de bout en bout, garantie dont l'application reste incertaine et que le Conseil pourrait refuser sans explication de conciliation entre surveillance et vie privée.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere