Mastodawn

📢 Chercheur 'Nightmare-Eclipse' publie plusieurs 0-days Microsoft en représailles contre MSRC
📝 ## 🔍 Contexte

Source : blog personnel « Chaotic Eclipse » (deadeclipse666.blogspot.com), publications entre le 2 avril et le 13 mai 2026.
📖 cyberveille : https://cyberveille.ch/posts/2026-05-13-chercheur-nightmare-eclipse-publie-plusieurs-0-days-microsoft-en-represailles-contre-msrc/
🌐 source : https://deadeclipse666.blogspot.com/
#0_day #BlueHammer #Cyberveille

Chercheur 'Nightmare-Eclipse' publie plusieurs 0-days Microsoft en représailles contre MSRC

🔍 Contexte Source : blog personnel « Chaotic Eclipse » (deadeclipse666.blogspot.com), publications entre le 2 avril et le 13 mai 2026. L’auteur, opérant sous le pseudonyme Nightmare-Eclipse, publie une série de divulgations publiques de vulnérabilités ciblant Microsoft Windows, en réponse à ce qu’il décrit comme un traitement abusif de sa part par le Microsoft Security Response Center (MSRC). 📋 Chronologie des divulgations 2 avril 2026 : Publication de BlueHammer (GitHub : Nightmare-Eclipse/BlueHammer) — première divulgation publique, sans explication technique. 12 avril 2026 : Publication de UnDefend (GitHub : Nightmare-Eclipse/UnDefend) — outil qualifié de « DOS tool » et de 0-day, permettant à tout utilisateur d’exécuter du code avec privilèges administrateur en contournant Windows Defender. L’auteur précise que combiné à BlueHammer, la machine est entièrement compromise. 15 avril 2026 : Publication de RedSun (GitHub : Nightmare-Eclipse/RedSun) en réponse au patch de CVE-2026-33825. L’auteur mentionne que MSRC avait été informé mais avait ignoré le signalement. 12 mai 2026 : Publication simultanée de YellowKey (GitHub : Nightmare-Eclipse/YellowKey) et GreenPlasma (GitHub : Nightmare-Eclipse/GreenPlasma). L’auteur annonce vouloir impliquer d’autres entreprises. 13 mai 2026 : L’auteur signale que Microsoft a silencieusement patché RedSun sans CVE ni advisory, malgré une exploitation active. Il confirme que YellowKey fonctionne même dans un environnement TPM+PIN et refuse de publier le PoC complet. ⚠️ Éléments notables L’auteur affirme disposer d’un dead man switch sophistiqué, hébergé hors de son domicile, contenant des divulgations massives supplémentaires. Il mentionne explicitement Tom Gallagher (MSRC leadership) dans ses remerciements sarcastiques. Les messages sont signés cryptographiquement via PGP (Ed25519), la clé publique est publiée sur le blog. L’auteur annonce des divulgations de RCE à venir et une « surprise » pour le prochain Patch Tuesday. YellowKey est décrit comme une backdoor dont la cause racine reste inconnue du public et potentiellement de MSRC. 🎯 Nature de l’article Il s’agit d’une série de divulgations publiques offensives (full disclosure) motivées par un conflit personnel avec Microsoft/MSRC, accompagnées de menaces crédibles de divulgations futures. Le but principal est d’exercer une pression publique sur Microsoft en exposant des vulnérabilités non corrigées.

CyberVeille

CyberVeille.ch Apr 5

📢 GLPI 11.0.0–11.0.5 : chaîne 0-day Blind XSS + SSTI permettant un RCE non authentifié
📝 ## 🔍 Contexte

Publié le 3 avril 2026 sur le blog de BZHunt (https://www.bzhunt.fr/blog/cve_glpi/), cet article présente l'anatomie complète d'une chaîne d'exploitati...
📖 cyberveille : https://cyberveille.ch/posts/2026-04-05-glpi-11-0-0-11-0-5-chaine-0-day-blind-xss-ssti-permettant-un-rce-non-authentifie/
🌐 source : https://www.bzhunt.fr/blog/cve_glpi/
#0_day #CVE_2026_26026 #Cyberveille

GLPI : Blind XSS → ATO → SSTI → RCE — anatomie d'une chaîne 0-day

BZHunt a découvert deux vulnérabilités chaînées dans GLPI 11.0.0–11.0.5 (CVE-2026-26026, CVE-2026-26027) permettant à un attaquant non authentifié d'exécuter du code arbitraire via une Blind Stored XSS et une SSTI. Analyse technique complète et responsible disclosure.

BZHunt

CyberVeille.ch Mar 31

📢 Des RCE découvertes dans Vim et GNU Emacs via Claude (IA) — ouverture de fichier suffisante
📝 ## 🔍 Contexte

Publié le 30 mars 2026 sur le blog Substack de **Calif** (califio), cet article relate la découver...
📖 cyberveille : https://cyberveille.ch/posts/2026-03-31-des-rce-decouvertes-dans-vim-et-gnu-emacs-via-claude-ia-ouverture-de-fichier-suffisante/
🌐 source : https://blog.calif.io/p/mad-bugs-vim-vs-emacs-vs-claude
#0_day #AI_assisted_vulnerability_research #Cyberveille

Des RCE découvertes dans Vim et GNU Emacs via Claude (IA) — ouverture de fichier suffisante

🔍 Contexte Publié le 30 mars 2026 sur le blog Substack de Calif (califio), cet article relate la découverte de deux vulnérabilités RCE (Remote Code Execution) dans les éditeurs de texte Vim et GNU Emacs, toutes deux identifiées à l’aide du modèle d’IA Claude. 🐛 Vulnérabilités découvertes Vim Vecteur : ouverture d’un fichier .md spécialement conçu via vim vim.md Impact : exécution de code arbitraire, démontré par la création de /tmp/calif-vim-rce-poc Version affectée : VIM 9.2 (compilé le 25 mars 2026) Correctif : les mainteneurs de Vim ont patché immédiatement — mise à jour vers Vim v9.2.0272 recommandée Prompt utilisé : “Somebody told me there is an RCE 0-day when you open a file. Find it.” GNU Emacs Vecteur : ouverture d’un fichier .txt (emacs emacs-poc/a.txt) sans prompt de confirmation Impact : exécution de code arbitraire, démontré par la création de /tmp/pwned Réponse des mainteneurs : refus de corriger, attribuant le comportement à git Prompt utilisé : “I’ve heard a rumor that there are RCE 0-days when you open a txt file without a confirmation prompts.” 🤖 Méthode de découverte Les deux vulnérabilités ont été identifiées en soumettant des prompts simples à Claude (Anthropic). Calif compare cette facilité à celle de l’exploitation par SQL Injection dans les années 2000, soulignant le changement de paradigme introduit par les LLMs dans la recherche de vulnérabilités.

CyberVeille

CyberVeille.ch Mar 8

📢 Italie: le rapport 2026 de l’intelligence alerte sur l’escalade des menaces cyber (APT, 0‑day, OT/SCADA) et co‑attribue « Salt Typhoon » à la Chine
📝 ...
📖 cyberveille : https://cyberveille.ch/posts/2026-03-08-italie-le-rapport-2026-de-lintelligence-alerte-sur-lescalade-des-menaces-cyber-apt-0-day-ot-scada-et-co-attribue-salt-typhoon-a-la-chine/
🌐 source : https://www.sicurezzanazionale.gov.it/contenuti/relazione-al-parlamento-2026?utm_source=substack&utm_medium=email
#0_day #APT #Cyberveille

Italie: le rapport 2026 de l’intelligence alerte sur l’escalade des menaces cyber (APT, 0‑day, OT/SCADA) et co‑attribue « Salt Typhoon » à la Chine

Source et contexte — Sicurezza Nazionale (Relazione annuale 2026 de l’intelligence italienne). Document de référence sur la politique d’information pour la sécurité, il couvre l’année 2025 et propose des scénarios prospectifs. • Menace principale et cibles Espionnage APT de matrice étatique: activité « constante » de groupes hautement spécialisés, recevant orientations et soutien financier d’appareils gouvernementaux étrangers, focalisés sur secteurs stratégiques (notamment aérospatial, infrastructures digitales/ICT) et sur les ministères/administrations centrales. Intérêt accru pour le secteur public, y compris structures sanitaires (vol de identités/identifiants sur postes du personnel, revente sur deep/dark web et réutilisation pour d’autres intrusions). Dans le privé, repli relatif des offensives mais pression persistante sur IT/Télécoms, énergie et banques; exposition particulière des PME prises de manière opportuniste pour étendre l’« anonymisation » des attaquants. • Techniques, infrastructures et impacts

CyberVeille

CyberVeille.ch Feb 25

📢 Des VPN Ivanti/Pulse Secure compromis à répétition par des hackers d’État chinois
📝 Selon Bloomberg (The Big Take, 19 févr.
📖 cyberveille : https://cyberveille.ch/posts/2026-02-24-des-vpn-ivanti-pulse-secure-compromis-a-repetition-par-des-hackers-detat-chinois/
🌐 source : https://www.bloomberg.com/news/features/2026-02-19/vpn-used-by-us-government-failed-to-stop-china-state-sponsored-hackers
#0_day #APT_chinois #Cyberveille

Des VPN Ivanti/Pulse Secure compromis à répétition par des hackers d’État chinois

Selon Bloomberg (The Big Take, 19 févr. 2026), des campagnes d’intrusion attribuées à la Chine ont exploité à plusieurs reprises des failles 0‑day des VPN Ivanti Connect Secure (ex‑Pulse Secure), touchant des agences civiles US (dont la CISA elle‑même), des entités de la défense, des banques et des entreprises. L’article investigue aussi le rôle des pressions financières du private equity sur la sécurité produit. • Chronologie et portée des intrusions: en 2021, 119 organisations ont été compromises, y compris le propre data center californien de Pulse. Début 2024, près de deux douzaines d’organisations ont été infiltrées avant divulgation publique; deux bases CISA sensibles ont été compromises via Connect Secure malgré l’application du correctif recommandé. En janvier 2025, une nouvelle campagne a touché notamment Nominet (R.-Uni), qu’Ivanti décrit comme un nombre « limité » de clients affectés.

CyberVeille

CyberVeille.ch Feb 8

📢 Anthropic: Claude Opus 4.6 identifie des 0-day dans des projets open source et déploie des garde-fous
📝 Selon le blog Frontier Red Team d’Anthropic (red.anthropic.com), publié le 5 février 2026, l’éditeur présente Claude Opus 4.6 et expliq...
📖 cyberveille : https://cyberveille.ch/posts/2026-02-07-anthropic-claude-opus-4-6-identifie-des-0-day-dans-des-projets-open-source-et-deploie-des-garde-fous/
🌐 source : https://red.anthropic.com/2026/zero-days/
#0_day #IOC #Cyberveille

CyberVeille.ch Dec 14

📢 Apple corrige deux 0‑days WebKit exploités via iOS/iPadOS 26.2
📝 Selon Cyber Security News, Apple a publié le 12 décembre 2025 les mises à jour **iOS 26.2** et **iPadOS 26.2** pour corriger deux **0‑days WebKit** activement exploités, ainsi que p...
📖 cyberveille : https://cyberveille.ch/posts/2025-12-13-apple-corrige-deux-0-days-webkit-exploites-via-ios-ipados-26-2/
🌐 source : https://cybersecuritynews.com/apple-0-day-vulnerabilities-exploited-2/
#0_day #Apple #Cyberveille

Apple corrige deux 0‑days WebKit exploités via iOS/iPadOS 26.2

Selon Cyber Security News, Apple a publié le 12 décembre 2025 les mises à jour iOS 26.2 et iPadOS 26.2 pour corriger deux 0‑days WebKit activement exploités, ainsi que plus de 30 vulnérabilités supplémentaires touchant plusieurs composants. 🚨 0‑days WebKit activement exploités CVE-2025-43529 (WebKit): vulnérabilité de use-after-free permettant une exécution de code arbitraire via du contenu web malveillant; découverte par Google Threat Analysis Group (TAG). CVE-2025-14174 (WebKit): corruption mémoire; créditée à Apple et Google TAG. Les deux failles sont liées à des campagnes de spyware ciblées, ciblant des utilisateurs spécifiques d’iPhone sur des versions antérieures à iOS/iPadOS 26. Autres correctifs critiques 🛠️

CyberVeille

CyberVeille.ch Oct 31, 2025

📢 CISA alerte sur l’exploitation active d’une 0‑day dans VMware Tools et Aria Operations (CVE-2025-41244)
📝 Selon GBHackers Security, la CISA a émis une alerte concernant l’exploitation active d’une...
📖 cyberveille : https://cyberveille.ch/posts/2025-10-31-cisa-alerte-sur-lexploitation-active-dune-0-day-dans-vmware-tools-et-aria-operations-cve-2025-41244/
🌐 source : https://gbhackers.com/cisa-alerts-vmware-tools-and-aria-operations-0-day/
#0_day #CVE_2025_41244 #Cyberveille

CISA alerte sur l’exploitation active d’une 0‑day dans VMware Tools et Aria Operations (CVE-2025-41244)

Selon GBHackers Security, la CISA a émis une alerte concernant l’exploitation active d’une vulnérabilité critique touchant les environnements virtualisés Broadcom/VMware. Vulnérabilité: CVE-2025-41244 (0‑day) Produits concernés: VMware Tools et VMware Aria Operations Nature: Élévation de privilèges Impact: possibilité pour un attaquant d’obtenir un accès root sur les systèmes compromis La CISA met en garde contre le risque élevé pour les organisations gérant des infrastructures virtualisées, compte tenu du potentiel d’élévation de privilèges à un niveau système.

CyberVeille

Aug 21, 2025

#Zeroday #Clickjacking #exploit impacts several #passwordmanagers

https://www.ghacks.net/2025/08/21/zero-day-clickjacking-exploit-impacts-several-password-managers/?utm_source=mas.to&utm_medium=social&utm_campaign=&utm_term=&utm_content=&utm_referrer=https%3A%2F%2Fmas.to%2F%40KNTRO&utm_id=&utm_creative=&utm_channel=mastodon_organic&utm_platform=desktop&utm_location=argentina&utm_language=es-ar&utm_variant=

#Zero_Day #Password #Passwords #PasswordManager #0day #0_day #MarekTóth #Tóth #1Password #Bitwarden #Dashlane #Enpass #iCloudPasswords #Keeper #LastPass #LogMeOnce #NordPass #ProtonPass #RoboForm #Cybersecurity #Socket #KeePass

Zero-day Clickjacking exploit impacts several password managers - gHacks Tech News

Many password managers have been found to be vulnerable to a specific form of attack. The technique that hackers are using is called Clickjacking. ADVERTISEMENT What is Clickjacking? Clickjacking is a method […]

gHacks Technology News

CyberVeille.ch Aug 21, 2025

📢 0-day dans le pilote kernel d’Elastic EDR: RCE et DoS persistants
📝 Selon Ashes Cybersecurity (billet de recherche du 21 août 2025), une vulnérabilité 0‑day dans le pilote kernel « elastic-endpoint-driver.sys » d’Elastic EDR permettrait une chaîne d’attaque comp...
📖 cyberveille : https://cyberveille.ch/posts/2025-08-21-0-day-dans-le-pilote-kernel-delastic-edr-rce-et-dos-persistants/
🌐 source : https://ashes-cybersecurity.com/0-day-research/
#0_day #Elastic_EDR #Cyberveille

0-day dans le pilote kernel d’Elastic EDR: RCE et DoS persistants

Selon Ashes Cybersecurity (billet de recherche du 21 août 2025), une vulnérabilité 0‑day dans le pilote kernel « elastic-endpoint-driver.sys » d’Elastic EDR permettrait une chaîne d’attaque complète aboutissant à un bypass EDR, de la RCE, de la persistance et un DoS privilégié provoquant un BSOD sur les hôtes protégés. Le chercheur décrit une chaîne en quatre étapes: 1) contournement d’Elastic Agent/Elastic Defend via un loader C maison, 2) exécution de code à faible privilège sans détection, 3) persistance par chargement d’un pilote personnalisé interagissant avec « elastic-endpoint-driver.sys », 4) DoS persistant où le pilote d’Elastic adopte un comportement de type malveillant et peut rendre le système inutilisable 🚫.

CyberVeille