🐛 Check Point Research dévoile une chaîne d'attaque dans LangGraph, framework d'agents IA aux 50 millions de téléchargements mensuels. Une injection SQL dans le checkpointer SQLite (CVE-2025-67644) couplée à une désérialisation msgpack non sécurisée (CVE-2026-28277) mène à une exécution de code à distance. La même classe d'injection touche le checkpointer Redis (CVE-2026-27022). Le service managé LangSmith sur PostgreSQL n'est pas affecté.
🤖 Unit 42 (Palo Alto Networks) présente Behavioral Integrity Verification, une méthode comparant ce qu'un skill d'agent IA déclare faire à ce qu'il fait réellement. Sur près de 50 000 skills du registre OpenClaw, 80 % présentent au moins un écart. 18,9 % traduisent une intention malveillante, dominée par le vol d'identifiants et le détournement de l'agent. Recommandation : vérifier l'intégrité avant installation.
🕵️ Selon Cyberpress relayant une recherche d'ESET, le groupe OceanLotus (APT32) réoriente son activité vers l'espionnage domestique. Sa backdoor SPECTRALVIPER a été déployée via une attaque sur la chaîne d'approvisionnement de la plateforme boursière FireAnt MetaKit, dont les mises à jour ne validaient ni TLS ni signature numérique. Ciblage très sélectif des investisseurs.
📡 The Hacker News rapporte, d'après Black Lotus Labs (Lumen), l'expansion du botnet de reconnaissance JDY, lié à la Chine, passé à plus de 1 500 équipements SOHO et IoT. Issu du KV-botnet utilisé par Volt Typhoon, il exploite des failles fraîchement divulguées sur des équipements de bordure (CVE-2026-35616) pour cartographier les infrastructures exposées.
🇫🇷 ZDNET annonce que la région Auvergne-Rhône-Alpes dispose enfin de son CSIRT territorial, baptisé Aura. Porté par la CCI de Lyon métropole, financé par 400 000 euros de l'ANSSI sur deux ans et opéré par Orange Cyberdéfense, il offre un premier niveau d'assistance gratuit aux collectivités, PME, ETI et associations.
🔐 Sur son blog, l'acteur Nightmare Eclipse publie une divulgation non coordonnée décrivant un contournement de BitLocker baptisé GreatXML, qui ne fonctionnerait que sur les systèmes ayant utilisé l'analyse hors ligne de Windows Defender. Sans CVE ni correctif éditeur à ce stade. Portée réelle à confirmer. Rapporté à titre de veille.
🧰 Six vulnérabilités affectant Ghidra (NSA), divulguées via VulnCheck et corrigées en version 12.1 : contournement d'authentification par signature nulle (CVE-2026-52754), RCE par désérialisation RMI (CVE-2026-52751), injection SQL PostgreSQL avec escalade superutilisateur (CVE-2026-49498), deux traversées de répertoire via ZIP (CVE-2026-52755, CVE-2026-52752) et une injection de commande Windows (CVE-2026-52750).
🛡️ Le CERT-FR publie l'avis CERTFR-2026-AVI-0734 sur de multiples vulnérabilités dans les produits Palo Alto Networks (Cortex XSIAM/XSOAR, GlobalProtect, PAN-OS 10.2 à 12.1, Prisma Access Agent, Prisma Browser). Risques : RCE, élévation de privilèges, déni de service, XSS. Références CVE-2026-0266 à CVE-2026-0274 et PAN-SA-2026-0008.
Sources :
⚡️ On ne réfléchit pas, on patch !
📞 Répondeur : 07 68 72 20 09
📩 Email : radiocsirt@gmail.com
🌐 Site : https://www.radiocsirt.org
📰 Newsletter : https://radiocsirt.substack.com
#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #LangGraph #LangChain #CheckPoint #Unit42 #PaloAltoNetworks #AIAgents #OpenClaw #OceanLotus #APT32 #SPECTRALVIPER #ESET #JDY #Botnet #VoltTyphoon #Lumen #ANSSI #Ghidra #VulnCheck #BitLocker #CERTFR #CVE-2025-67644 #CVE-2026-28277 #CVE-2026-27022 #CVE-2026-35616 #CVE-2026-52755 #CVE-2026-52754 #CVE-2026-52752 #CVE-2026-52751 #CVE-2026-52750 #CVE-2026-49498 #CVE-2026-0266 #CVE-2026-0274 #RadioCSIRT
