Apple : zero-day exploitée 🍎, Microsoft 365 : 79 organisations piratées 🔓, Kali Linux 2026.3 🐉

Bonjour et bienvenue dans l'édition du jeudi 29 octobre !

A la une aujourd'hui:

• Apple corrige une faille zero-day exploitée dans une attaque « extrêmement sophistiquée »
• Node2Shell : exécution de code à distance via le décodeur Brotli de Node.js
• 79 organisations piratées par rejeu de sessions Microsoft 365 volées
• Microsoft Authenticator : une faille Android permet le vol de jetons d'authentification
• Kali Linux 2026.3 : six nouveaux outils de pentest et des mises à jour majeures

Apple corrige une faille zero-day exploitée dans une attaque « extrêmement sophistiquée »

Points Clés :

• La faille CVE-2026-86950 touche Core Graphics, le framework de rendu graphique des systèmes Apple
• Elle permet d'exécuter du code arbitraire via un fichier piégé et aurait été exploitée contre des individus ciblés
• Les correctifs sont disponibles dans iOS 26.7.1, iPadOS 26.7.1 et les versions concernées de macOS

Description :

Apple a publié des mises à jour iOS, iPadOS et macOS pour corriger la vulnérabilité zero-day CVE-2026-86950 (CVSS 8.8), qui affecte le framework Core Graphics. Cette faille d'écriture « hors limites », signalée par Meta Product Security, permet d'exécuter du code arbitraire lors du traitement d'un fichier piégé. Apple indique qu'elle aurait été exploitée dans une attaque « extrêmement sophistiquée » visant des individus ciblés, sans donner davantage de détails.

Pourquoi c'est important :

Le ciblage d'individus spécifiques et la qualification d'attaque « extrêmement sophistiquée » par Apple traduisent une opération élaborée, même si ni les victimes ni les auteurs ne sont révélés. Les utilisateurs doivent installer rapidement les correctifs, les versions iOS 27 et macOS Golden Gate n'étant pas concernées.

Node2Shell : exécution de code à distance via le décodeur Brotli de Node.js

Points Clés :

• La faille CVE-2026-111497 du décodeur Brotli embarqué dans Node.js permet l'exécution de code à distance
• Les branches 22.x, 24.x et 26.x sont affectées et des versions corrigées sont disponibles
• Un premier trafic d'exploitation a été intercepté, sans compromission réussie signalée à ce stade

Description :

Des chercheurs d'Imperva ont démontré qu'une donnée Brotli malveillante peut déclencher l'exécution de code à distance sur une version officielle de Node.js, sans débogueur ni build modifié. La faille CVE-2026-111497 touche le décodeur Brotli embarqué, atteignable lorsqu'une application décode des données compressées non fiables via fetch() ou les middlewares d'Express 5. Node.js a publié des correctifs le 21 octobre ; la société de cybersécurité tchèque ELLIO a depuis reproduit l'attaque sur x86-64 et observé un premier trafic d'exploitation.

Pourquoi c'est important :

Cette vulnérabilité est exploitable depuis les deux côtés d'un échange HTTP, ce qui élargit la surface d'attaque des services Node.js. Aucun contournement n'existe dans le runtime : seule la mise à jour supprime la faille, y compris dans les images de conteneurs embarquant un binaire Node.

79 organisations piratées par rejeu de sessions Microsoft 365 volées

Points Clés :

• Un attaquant a rejoué des sessions Microsoft 365 volées pour pénétrer les messageries de 79 organisations
• Les jetons de session, capturés après l'étape MFA via du phishing AiTM, dispensaient de tout mot de passe
• Pour conserver l'accès, l'attaquant a enregistré de faux appareils et remplacé les méthodes MFA des victimes

Description :

Selon Huntress, entreprise américaine de cybersécurité, un attaquant a passé dix semaines à rejouer des sessions de connexion Microsoft 365 volées, s'introduisant dans les messageries de 79 organisations. Les victimes étaient piégées par de fausses pages de connexion adossées à des relais adversary-in-the-middle, qui récupéraient le jeton de session émis après l'authentification MFA. L'attaquant a ensuite masqué des courriels aux victimes via des règles de boîte de réception, pour dissimuler ses activités et consolidé son accès en enregistrant de faux appareils.

Pourquoi c'est important :

Cette campagne illustre comment le vol de jetons de session neutralise l'authentification multifacteur, puisque le jeton est capturé après cette protection. Elle montre aussi qu'un accès peut survivre à la réinitialisation du mot de passe si la méthode MFA de l'attaquant n'est pas supprimée du compte. Selon Huntress, les politiques d'accès conditionnel ont bloqué certaines connexions et peuvent combler des lacunes que la MFA ne couvre pas.

Microsoft Authenticator : une faille Android permet le vol de jetons d'authentification

Points Clés :

• La faille CVE-2026-80097 touche Microsoft Authenticator pour Android avant la version 6.2606.4246
• Une application malveillante sans aucune permission peut usurper une application Microsoft et voler des jetons
• Microsoft a corrigé cette vulnérabilité d'élévation de privilèges notée 8,6 au CVSS

Description :

Des chercheurs d'Enclave ont découvert une vulnérabilité dans Microsoft Authenticator pour Android, référencée CVE-2026-80097 (CVSS 8.6) et corrigée par Microsoft. Une activité Android exportée permettait à une application malveillante, sans aucune permission, de se faire passer pour une application Microsoft légitime comme Teams. La validation de l'URI de redirection vérifiait le paquet revendiqué sans confirmer l'application appelante réelle, ce qui permettait de récupérer en clair des jetons d'accès, d'actualisation et d'identité.

Pourquoi c'est important :

Cette faille illustre le risque que représentent les mécanismes d'authentification déléguée sur mobile, où un contrôle insuffisant compromet l'ensemble des jetons d'un compte professionnel. En usurpant Microsoft Teams, un attaquant pouvait obtenir des permissions déléguées sur Microsoft Graph donnant accès à la messagerie, au calendrier, aux fichiers, à SharePoint et aux conversations.

Kali Linux 2026.3 : six nouveaux outils de pentest et des mises à jour majeures

Points Clés :

• Six nouveaux outils de test d'intrusion rejoignent les dépôts, dont dalfox, katana et rustscan
• Le noyau Linux passe à la version 7.1.5.kali et l'environnement KDE Plasma 6.7 est intégré
• NetHunter gagne l'accès NFC, la prise en charge de KernelSU et de nouveaux appareils

Description :

L'équipe de Kali Linux a publié le 26 octobre 2026 la version 2026.3, troisième sortie de l'année, avec 126 paquets mis à jour. Cette version ajoute six outils de pentest, modernise les scripts de construction d'images désormais exécutables dans un conteneur Docker ou Podman, et intègre KDE Plasma 6.7. NetHunter, la plateforme mobile, améliore sa compatibilité avec les anciens noyaux et étend ses capacités, notamment le wardriving sur montre TicWatch Pro 3.

Pourquoi c'est important :

Kali Linux reste la distribution de référence pour les professionnels de la sécurité offensive, et chaque version élargit leur boîte à outils. La refonte des scripts de construction facilite la création d'images personnalisées, un besoin courant des équipes de test. Les progrès de NetHunter, comme le NFC ou le wardriving sur montre, déplacent enfin une partie des évaluations sans fil vers des équipements mobiles et discrets.

Avant de partir, j'ai 2 (petits) services à te demander :

1. Réponds à ce mail avec ton avis/ressenti sur cette édition. C'est toujours un plaisir de pouvoir échanger avec toi sur ces sujets, je réponds à tout le monde ! Tu peux aussi donner ton avis en cliquant sur les boutons ci-dessous.
2. Si tu as trouvé cette newsletter utile, partage-la à tes proches. C'est ce qui m'aide le plus à la faire grandir.

Bon jeudi à toi !