VM espionnent hôte Linux 🖥️, Docker Hub faille GhostPat 🐳, Palo Alto corrige une zero-day 🔥
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 16 octobre 2026 !
Des couches virtuelles jusqu'aux équipements réseau, trois failles critiques bousculent la sécurité de l'infrastructure cloud. Côté noyau Linux, la vulnérabilité PwnEscape permet à une machine virtuelle d'accéder à la mémoire de l'hôte. Sur le registre Docker Hub, la faille GhostPat offrait la possibilité d'usurper n'importe quel compte via des jetons d'accès détournés. Enfin, Palo Alto Networks déploie des correctifs d'urgence pour une RCE zero-day exploitée contre l'interface de gestion de PAN-OS.
Retrouve les trois articles à la une du jour :
- Faille PwnEscape (CVE-2026-99999) dans le noyau Linux : des VM peuvent lire la mémoire de l'hôte
- Docker Hub corrige GhostPat (CVE-2026-105445), une faille critique permettant de prendre le contrôle de comptes
- Palo Alto Networks corrige la CVE-2026-0322, une zero-day RCE exploitée sur les interfaces PAN-OS
Une faille du noyau Linux permet aux VM d'espionner l'hôte
La CVE-2026-99999, baptisée PwnEscape, affecte le code réseau du noyau Linux et permet à du code exécuté dans une machine virtuelle de lire la mémoire de l'hôte. Le chercheur Paulos Yibelo, de pwn.ai, a démontré la fuite contre les sandboxes de production de Vercel, ce que l'entreprise a confirmé.
Les mainteneurs du noyau l'ont notée CVSS 9.3, avec un vecteur local. Le correctif, le commit 6785011f8b16 signé Michael S. Tsirkin de Red Hat, ajoute une vérification à cinq endroits du code réseau. Les versions corrigées incluent 5.10.272, 6.12.113 et 7.2.11. Aucune exploitation en conditions réelles n'est signalée.
Points d'attention
- Chaque paquet envoyé par l'invité ramène environ 32 octets de mémoire de l'hôte, et la fuite se poursuit tant que les paquets continuent.
- Le plantage de l'hôte et l'exécution de code n'ont été observés que sur les machines du chercheur, configurées comme celles de Vercel.
- Son auteur qualifie le correctif de mesure de défense en profondeur et note qu'un contrôle plus complet à l'entrée des paquets reste à écrire.
Docker Hub corrige GhostPat, une faille d'usurpation de comptes
La CVE-2026-105445, baptisée GhostPat par les chercheurs Peter Molnar et Krisztian Hozak, touche la gestion des identités et des accès de Docker Hub. Docker a publié un bulletin le 12 octobre 2026 et classé la faille comme critique, car elle permettait d'usurper n'importe quel utilisateur du registre.
Le défaut se situait dans la conversion d'un compte personnel en organisation, qui transférait les jetons d'accès personnels (PAT) vers le compte désigné propriétaire. L'attaquant gardait le secret du jeton et pouvait récupérer, publier ou supprimer des images, y compris privées. Signalée le 30 septembre via le programme de Bug Bounty, la faille a été corrigée quelques heures plus tard.
Points d'attention
- Depuis le 26 août 2024, Docker changeait seulement le propriétaire du jeton, sans le révoquer, et le compte désigné ne recevait ni confirmation ni notification.
- L'attaque ne coûte rien: un compte gratuit et quelques clics dans l'interface web suffisent, avec n'importe quel nom d'utilisateur existant comme cible.
- Docker affirme n'avoir trouvé aucune preuve d'exploitation après l'examen d'environ 304 000 push réalisés avec des jetons transférés, mais le nombre d'utilisateurs exposés n'a pas été communiqué.
Palo Alto corrige une zero-day exploitée dans PAN-OS
Palo Alto Networks a publié mercredi des correctifs pour la CVE-2026-0322, une zero-day de sévérité élevée dans l'interface de gestion de PAN-OS. Selon l'éditeur, cette faille d'exécution de code à distance fait l'objet d'une exploitation très limitée contre ses pare-feu.
Un attaquant authentifié disposant d'un accès réseau peut exécuter du code arbitraire avec les privilèges root. Les pare-feu PA-Series et VM-Series ainsi que Panorama sont concernés. La CISA a ajouté la faille à son catalogue KEV, avec une échéance au 17 octobre pour les agences fédérales.
Points d'attention
- Selon Palo Alto Networks, aucune configuration spéciale n'est requise pour exploiter la
CVE-2026-0322: l'interface de gestion de PAN-OS suffit comme point d'entrée. - La faille a été découverte en interne par l'éditeur, qui n'a communiqué ni sur les attaques observées ni sur l'acteur responsable.
- Les indicateurs de compromission se limitent à quelques adresses IP, et la KEV recense 16 failles Palo Alto Networks, dont trois ajoutées cette année.
Autres actus importantes
- Next.js publie un correctif hors cycle pour deux failles RCE critiques dans le cache et le traitement SVG
- De faux paquets Arch Linux diffusent des malwares avec privilèges root
- Comment le Crédit Agricole amorce sa mue post-quantique
- Le cheval de Troie KGB RAT combine espionnage webcam, vol de mots de passe et menu de terrorisation des victimes
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere