Attaque DDoS pro-iranienne paralyse l'infrastructure Ubuntu/Canonical depuis plus de 24h
🗓️ Contexte Article publié le 1er mai 2026 sur Ars Technica par Dan Goodin. L’article couvre une panne majeure de l’infrastructure d’Ubuntu et de sa maison mère Canonical, survenue le jeudi précédant la publication.
💥 Incident principal Les serveurs d’Ubuntu et de Canonical ont été mis hors ligne suite à une attaque DDoS soutenue et transfrontalière, selon la page de statut officielle de Canonical. La panne dure depuis plus de 24 heures au moment de la publication.
Attaque supply-chain en cascade : Trivy, Checkmarx et Bitwarden compromis par TeamPCP et Lapsu$
🗓️ Contexte Source : Ars Technica, article de Dan Goodin publié le 29 avril 2026. L’article relate une série d’incidents en cascade sur une période de 40 jours, impliquant plusieurs entreprises de cybersécurité et deux groupes d’attaquants distincts.
🔗 Chronologie des incidents 19 mars 2026 : Compromission du compte GitHub de Trivy, scanner de vulnérabilités open source. Le groupe TeamPCP pousse du malware vers les utilisateurs de Trivy, dont Checkmarx. Le malware cible des tokens de dépôts, clés SSH et autres credentials. 23 mars 2026 : Le compte GitHub de Checkmarx est compromis à son tour et commence à distribuer du malware à ses propres utilisateurs. Checkmarx détecte et tente de remédier à la brèche. 30 mars 2026 : Date de la donnée exfiltrée et ultérieurement publiée par Lapsu$, indiquant que l’accès persistait malgré les tentatives de remédiation. 22 avril 2026 : Nouvelle vague de malware poussée depuis le compte GitHub de Checkmarx. Le dépôt Docker Hub officiel Checkmarx/kics publie également des packages malveillants. Bitwarden est aussi touché : un package malveillant est distribué via npm (@bitwarden/[email protected]) entre 17h57 et 19h30 (ET). Fin avril 2026 : Lapsu$ publie des données privées de Checkmarx sur le dark web. 🎯 Victimes et vecteurs Trivy : point d’entrée initial (compte GitHub compromis) Checkmarx : victime de la supply-chain Trivy, puis vecteur de distribution vers ses propres clients ; victime de fuite de données par Lapsu$ Bitwarden : victime de la même campagne, via le package npm @bitwarden/[email protected] 👥 Acteurs de la menace TeamPCP : groupe access-broker, responsable de la compromission de Trivy et de la collecte de credentials. Cible prioritairement les outils disposant d’accès privilégiés. Lapsu$ : groupe ransomware, principalement composé de jeunes adultes, connu pour ses intrusions dans de grandes entreprises et ses provocations publiques. A acquis les accès de Checkmarx auprès de TeamPCP. 🔧 Infrastructure commune Selon la société Socket, le payload utilisé contre Bitwarden partage le même endpoint C2 et la même infrastructure core que le malware utilisé contre Checkmarx, établissant le lien avec la campagne Trivy.
Claude Mythos et l'essor des script kiddies augmentés par l'IA en 2026
📰 Source : The Verge, publié le 28 avril 2026, par Yael Grauer. Article de presse spécialisée analysant l’impact des modèles d’IA sur le paysage des menaces cybersécurité.
Contexte En août 2025, le DARPA Artificial Intelligence Cyber Challenge (AIxCC) a réuni les meilleures équipes de cybersécurité à Las Vegas pour tester des systèmes automatisés de détection de bugs sur 54 millions de lignes de code. Ces systèmes ont non seulement identifié les failles artificiellement injectées, mais ont également découvert plus d’une douzaine de bugs non insérés par DARPA.
Compromission de la supply chain npm : @bitwarden/cli 2026.4.0 infecté via Checkmarx
🗓️ Contexte Le 23 avril 2026, Bitwarden a publié une déclaration officielle sur son forum communautaire concernant la compromission temporaire de son paquet npm @bitwarden/cli version 2026.4.0, survenue la veille entre 17h22 et 19h30 ET (22 avril 2026), soit une fenêtre d’exposition d’environ 93 minutes.
🔍 Déroulement de l’incident L’incident s’inscrit dans un incident de supply chain plus large impliquant Checkmarx. Selon des informations publiées sur Reddit par un membre de l’équipe Bitwarden, le vecteur initial était une extension VSCode malveillante de Checkmarx installée sur le poste d’un ingénieur Bitwarden, permettant à l’attaquant d’accéder aux credentials de publication npm.
CopyFail (CVE-2026-31431) : élévation de privilèges critique affectant quasiment tous les noyaux Linux
🗓️ Contexte Publié le 30 avril 2026 par Dan Goodin sur Ars Technica, cet article couvre la divulgation publique d’une vulnérabilité critique dans le noyau Linux, réalisée par la société de sécurité Theori, cinq semaines après sa notification privée à l’équipe de sécurité du noyau Linux.
🔍 Vulnérabilité : CopyFail (CVE-2026-31431) CopyFail est une élévation de privilèges locale (LPE) affectant le sous-système crypto du noyau Linux, plus précisément le template AEAD authencesn utilisé pour les numéros de séquence étendus IPsec. La faille est un défaut logique en ligne droite : le processus ne copie pas correctement les données, utilise le buffer de destination de l’appelant comme zone de travail temporaire, et écrit 4 octets au-delà de la région de sortie légitime sans les restaurer.
📢 CVE-2026-31431 (Copy.Fail) : workaround eBPF pour une LPE via AF_ALG socket Linux
📝 ## 🔍 Contexte
Publié le 3 mai 2026 sur GitHub (dépôt `wgnet/wg.copyfail.patch`), cet article présente un **workaround eBPF** pour la vulnérabilité **CVE-2026-31431*...
📖 cyberveille : https://cyberveille.ch/posts/2026-05-03-cve-2026-31431-copy-fail-workaround-ebpf-pour-une-lpe-via-af-alg-socket-linux/
🌐 source : https://github.com/wgnet/wg.copyfail.patch
#AF_ALG #CVE_2026_31431 #Cyberveille
CVE-2026-31431 (Copy.Fail) : workaround eBPF pour une LPE via AF_ALG socket Linux
🔍 Contexte Publié le 3 mai 2026 sur GitHub (dépôt wgnet/wg.copyfail.patch), cet article présente un workaround eBPF pour la vulnérabilité CVE-2026-31431, surnommée Copy.Fail, affectant le noyau Linux.
🐛 Description de la vulnérabilité La CVE-2026-31431 permet à un utilisateur autorisé de modifier le cache d’une copie de tout fichier lisible, ce qui entraîne :
Local Privilege Escalation (LPE) — élévation de privilèges locale jusqu’à root Échappement de sandbox/conteneur D’autres impacts liés à l’intégrité du système de fichiers L’exploitation repose sur la création d’une socket AF_ALG, fournie par les modules noyau algif*.
CVE-2026-41940 : faille critique cPanel exploitée avant patch, ransomware signalé
🗞️ Contexte Article publié le 1er mai 2026 par The Register (Carly Page). Il rapporte l’exploitation active d’une vulnérabilité critique dans cPanel et WHM, l’un des panneaux de gestion d’hébergement web les plus répandus au monde, ainsi que dans WP Squared, une couche de gestion WordPress construite sur la même plateforme.
🔍 Vulnérabilité CVE-2026-41940 — score CVSS 9.8 (critique) Affecte toutes les versions supportées de cPanel/WHM postérieures à la version 11.40, ainsi que WP Squared Un exploit réussi permet la prise de contrôle totale du serveur Le patch a été publié par cPanel un mardi ; l’exploitation était déjà en cours avant cette date CISA a ajouté la faille à son catalogue Known Exploited Vulnerabilities (KEV) le jeudi suivant 📅 Chronologie de l’exploitation 23 février 2026 : premières tentatives d’exploitation observées par l’hébergeur KnownHost (déclaration du CEO Daniel Pearson sur Reddit) Avant le patch : exploitation confirmée en conditions réelles Post-patch : CISA confirme l’exploitation active ; Namecheap a temporairement bloqué l’accès à cPanel/WHM en attendant les correctifs 💥 Impact observé Un propriétaire de petite entreprise a signalé sur Reddit avoir été victime d’une attaque ransomware suite à l’exploitation de cette vulnérabilité sur une configuration cPanel standard Demande de rançon : 7 000 $ pour déverrouiller les systèmes L’hébergeur de la victime semblait débordé par l’incident Rapid7, via Shodan, a identifié environ 1,5 million d’instances cPanel exposées sur Internet cPanel sous-tend l’hébergement de dizaines de millions de sites web 🎯 Profil des cibles Hébergeurs web et leurs clients Petites structures dépendant de fournisseurs d’hébergement mutualisé Sites WordPress gérés via WP Squared 📄 Nature de l’article Article de presse spécialisée relatant une annonce d’incident en cours, combinant des éléments de rapport d’exploitation active, de réponse des hébergeurs et de témoignages de victimes. But principal : informer sur l’étendue de l’exploitation et l’urgence de la situation.
CVE-2026-4747 : CHERI neutralise un stack buffer overflow dans FreeBSD découvert par LLM
📅 Source et contexte : Article publié le 28 avril 2026 par Brooks Davis (Capabilities Limited) sur le site de la CHERI Alliance. Il s’inscrit dans un contexte de discussions récentes sur l’utilisation des LLMs pour la découverte et l’exploitation de vulnérabilités.
🔍 Vulnérabilité identifiée : La vulnérabilité CVE-2026-4747 affecte le composant RPCSEC_GSS du noyau FreeBSD. Il s’agit d’un stack buffer overflow classique permettant potentiellement une exécution de code à distance (RCE), classée de sévérité Critique. Elle a été découverte à l’aide d’un LLM (modèle de langage de grande taille).
Démantèlement de call centres frauduleux en Albanie : 10 arrestations, 50 M€ de préjudice
🌐 Contexte Source : Europol (communiqué officiel), publié le 29 avril 2026. Cette annonce fait suite à une journée d’action coordonnée le 17 avril 2026, aboutissant au démantèlement d’un réseau criminel opérant des call centres frauduleux à Tirana, Albanie.
🎯 Nature de la menace Le réseau exploitait un schéma de fraude à l’investissement en ligne (investment scam) à grande échelle. Les victimes étaient attirées via de fausses publicités sur les réseaux sociaux et les moteurs de recherche, vers de fausses plateformes d’investissement. Des agents dits « retention agents » se faisaient passer pour des conseillers financiers et utilisaient des logiciels d’accès à distance pour prendre le contrôle total des appareils des victimes.
Des hackers chinois espionnent l'ambassade cubaine à Washington via des failles Microsoft Exchange
🗓️ Contexte Article publié le 29 avril 2026 par Bloomberg (Patrick Howell O’Neill), basé sur les conclusions de la firme de cybersécurité Gambit Security. L’opération s’inscrit dans un contexte géopolitique tendu : blocus naval américain de Cuba, raid américain au Venezuela, et décision de l’administration Trump de suspendre les livraisons de pétrole à Cuba.
🎯 Cible et impact Les attaquants ont compromis l’ambassade cubaine à Washington, DC, accédant aux boîtes mail de 68 officiels, dont :
CyberVeille.ch