VPN Check Point sous attaque 🔓, escalade root dans le kernel Linux 🐧, la messagerie d'État Tchap piratée 🇫🇷

Bonjour, voici ta veille Cybere du 9 juin 2026 !

Les vulnérabilités critiques s'enchaînent, des infrastructures réseau aux outils étatiques, tandis que l'exploitation active révèle des lacunes persistantes dans les chaînes de confiance et les configurations par défaut.

Retrouve les trois articles à la une du jour :

• Une faille Check Point permet de contourner l'authentification VPN via un défaut de validation de certificats.
• Un use-after-free dans le kernel Linux (CVE-2026-23111) permet à un utilisateur local d'obtenir les privilèges root.
• Un compte Tchap usurpé sur la messagerie de l'État, utilisée par 300 000 agents ; les échanges potentiellement consultés se limitent aux salons publics.

Check Point : faille VPN critique sous exploitation active

Une faille de validation de certificats permet aux attaquants de contourner l'authentification sur les VPN configurés en IKEv1.

CVE-2026-50751 (CVSS 9.3) affecte les passerelles de sécurité (Security Gateways) en versions R82.10, R82, R81.20, R81.10, R81 et R80.40, ainsi que les pare-feu Spark en versions R80.20.X, R81.10.X et R82.00.X. Les attaquants exploitent une faille pour établir des connexions VPN sans mot de passe valide, nécessitant toutefois des conditions spécifiques : IKEv1 activé, accès aux clients legacy autorisé, absence de certificat machine obligatoire. Depuis mai 2026, quelques dizaines d'organisations ciblées dans le monde sont concernées, dont un cas lié à un affilié du rançongiciel Qilin.

Points d'attention

• Exploitation confirmée depuis mai 2026, utilisant une infrastructure VPS géolocalisée pour cibler des organisations régionales spécifiques.
• Deuxième faille CVE-2026-50752 (CVSS 7.40) identifiée pour des attaques intermédiaires (AitM) site-à-site, sans exploitation détectée à ce jour.
• Accès établi suivi de tentatives de téléchargement de fichiers ELF malveillants depuis une infrastructure contrôlée.

→ Lire la source

Une faille du kernel Linux permet l'escalade locale en root

Un défaut du code nf_tables dans le kernel Linux, identifié comme CVE-2026-23111 (CVSS 7.8), permet à un utilisateur non privilégié d'escalader ses droits jusqu'à root. Cette faille use-after-free a été corrigée en amont le 5 février 2026, mais des exploits fonctionnels ont été publiés publiquement depuis avril.

La faille ne requiert qu'une modification d'un seul caractère dans le code. Son exploitation nécessite un accès local initial et l'activation des espaces de noms utilisateur non privilégiés, deux configurations activées par défaut sur la plupart des postes de bureau et de nombreux serveurs. Exodus Intelligence et FuzzingLabs ont démontré des chaînes d'exploitation complètes contournant les protections mémoire du kernel.

Points d'attention

• CVE-2026-23111 affecte les distributions avec nf_tables et espaces de noms utilisateur activés par défaut.
• Aucune exploitation en environnement réel n'a été rapportée à ce jour selon les sources publiques.
• Mettre à jour immédiatement le kernel et redémarrer les systèmes concernés, particulièrement ceux hébergeant des charges de travail non fiables.

→ Lire la source

Compte Tchap compromis sur la messagerie de l'État

Le 7 juin 2026, l'Anssi a détecté la compromission de Tchap, la messagerie instantanée chiffrée utilisée par 300 000 agents de l'administration française, suite à l'usurpation d'un compte.

L'attaquant revendique avoir exploité un compte du ministère de l'Éducation nationale comme point d'entrée et collecté des centaines de milliers de messages, comptes d'agents et documents. Les autorités confirment la compromission, mais restent prudentes : les investigations sont toujours en cours, et seules des conversations publiques, non chiffrées, auraient pu être consultées.

Points d'attention

• Pas de faille technique identifiée, mais compromission directe de compte utilisateur via usurpation.
• L'incident a été notifié à la Cnil en raison de la sensibilité des échanges.
• Tchap rappelle aux utilisateurs de ne pas échanger d'informations sensibles dans les salons publics non chiffrés.

→ Lire la source

Autres actus importantes

• Le malware NFCShare pour Android se propage via de fausses mises à jour d'applications bancaires sur GitHub
• La nouvelle attaque Shai-Hulud infecte 19 packages PyPI axés sur la science avec un cheval de Troie
• Ces trois vulnérabilités permettent un accès root sur UniFi OS Server : appliquez le correctif !
• Meta bloque la nouvelle attaque de hameçonnage WhatsApp du groupe NSO et dépose une requête pour outrage

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere