🚨 Cyberveille du 25-02-2026 : Edge exploité, IAM siphonné, ransom en embuscade

Aujourd’hui, dans notre cyberveille, on a le combo qui coûte cher : exploitation active sur de l’edge (Cisco Catalyst SD-WAN / CVE-2026-20127 + directive CISA), KEV sur un produit de transfert de fichiers (FileZen / CVE-2026-25108), fuites + extorsion à la chaîne (ShinyHunters), et une piqûre de rappel : l’identité (SSO/MFA/OAuth/tokens) reste la porte d’entrée préférée, surtout quand les dev ouvrent des repos “pas sûrs” (Claude Code).

🧨 TL;DR

Priorité 0 — Cisco Catalyst SD-WAN (CVE-2026-20127) : exploitation active + directive CISA → patch / hunt / durcissement immédiat. CISA
Priorité 0 — FileZen (CVE-2026-25108) : ajouté KEV (exploitation active) → patch + vérif compromission. CISA
Fuites/Extorsion — ShinyHunters : CarGurus (>12M) + Wynn (données employés) → renforcer SSO/helpdesk/MFA résistant AiTM. BleepingComputer
Ransomware — Lazarus + Medusa : acteur étatique qui fait de l’extorsion → surveiller TTP, surtout orgs exposées. Broadcom
IAM/Dev — Claude Code (CVE-2025-59536, CVE-2026-21852) : RCE + exfil de clés API via configs projet → “repo non fiable = machine compromise”. Check Point Research

🗞️ À la une

1) Cisco Catalyst SD-WAN : la prod se fait piller (CVE-2026-20127)

Cisco confirme une exploitation active sur Catalyst SD-WAN, au point que CISA sort une Emergency Directive (ED 26-03) : c’est le signal officiel “ce n’est plus théorique”. Mini-synthèse : si tu as du SD-WAN exposé/administré à distance, tu dois corriger + chasser des traces (comptes, config, peers/contrôleurs, accès management) et durcirl’admin plane (segmentation, restriction IP, MFA, logs).

2) ShinyHunters : fuites massives + pression business (CarGurus / Wynn)

Le même acteur est cité sur des cas à gros volume et forte pression médiatique. Mini-synthèse : extorsion + publication reste un modèle rentable, et la trajectoire la plus fréquente derrière ces cas, c’est l’identité (vol de creds, social engineering, SSO mal verrouillé, helpdesk contourné). Ce n’est pas “juste de la fuite”, c’est un risque d’accès persistant si l’IAM n’est pas assaini.

3) Lazarus : quand l’APT recycle du ransomware (Medusa)

Symantec/Broadcom documente un usage de Medusa ransomware par Lazarus. Mini-synthèse : ça brouille les lignes “APT vs cybercrime” et ça augmente la probabilité d’impacts opérationnels (chiffrement + extorsion) en plus des objectifs habituels (accès, collecte).
A lire aussi : Lazarus Group : les pickpockets de Pyongyang en costard-cravate numérique

🧱 Vulnérabilités

🔥 Cisco Catalyst SD-WAN — CVE-2026-20127 (exploitation active)

Vulnérabilité activement exploitée ; le niveau d’alerte est élevé (CERT-FR + CISA).
Actions concrètes : patch/upgrade (ou migration si versions non supportées), hunt (artefacts de compromission, changements de config, nouveaux peers/contrôleurs, comptes admin), durcissement admin plane + restriction réseau.

🔥 Soliton Systems K.K. FileZen — CVE-2026-25108 (KEV / exploitation active)

OS command injection ajouté au catalogue KEV, donc exploitation confirmée dans la nature.
Actions concrètes : patch, vérifier exposition (publication/accès), revue des comptes et journaux, recherche de commandes/process anormaux et d’IOCs.

🧨 SolarWinds Serv-U — CVE-2025-40538 / CVE-2025-40539 / CVE-2025-40540 / CVE-2025-40541 (critiques)

Série de failles critiques permettant de finir en exécution privilégiée (root) selon les CVE et le contexte.
Actions concrètes : appliquer la version corrigée, limiter exposition, surveiller création d’admins, exécutions inattendues, et accès aux interfaces d’admin.

⚙️ Zyxel — CVE-2025-13942 (UPnP command injection)

Commande injectée via UPnP → exécution de commandes OS si conditions d’exposition/config réunies.
Actions concrètes : patch firmwares concernés, désactiver UPnP quand possible, bloquer exposition WAN, inventorier les modèles.

🧪 Claude Code (Anthropic) — CVE-2025-59536 & CVE-2026-21852 (IAM/dev : tokens en clair, RCE via repo)

Check Point montre que des configs projet peuvent déclencher de l’exécution (hooks/MCP) et exfiltrer des clés API avant même que l’utilisateur comprenne ce qu’il valide. Traduction : “tu clones un repo piégé, tu donnes ta machine et tes secrets”.
Actions concrètes : politiques “trusted repos only”, sandbox/devcontainer, rotation & scopes courts des tokens, secrets scanning, egress control, et revue des configs outillages IA en entreprise.

🧟 Menaces

🧨 RANSOM — Lazarus + Medusa ransomware (extorsion)

Lazarus utiliserait Medusa pour de l’extorsion : c’est du ransomware comme levier géopolitique/opérationnel.
Actions concrètes : surveiller TTP, durcir accès initiaux (VPN/edge/IAM), segmentation, backups testés (restauration), détection exfil (DNS/HTTP, stockage cloud).

🧾 LEAK/EXTORT — CarGurus : ShinyHunters publie après extorsion (>12M)

Fuite massive et publication ; le dataset contient des éléments pouvant faciliter la fraude et l’ingénierie sociale.
Actions concrètes : rotation/invalidations (mots de passe si réutilisation), contrôles anti-credential stuffing, durcissement MFA, surveillance des connexions anormales et des tokens.

🧾 LEAK/EXTORT — Wynn Resorts : vol de données employés (ShinyHunters)

Wynn confirme l’accès non autorisé à des données employés ; un récit “données supprimées” côté attaquant ne vaut aucune garantie.
Actions concrètes : réponse incident (scopes, logs, forensics), surveillance d’usages frauduleux, protection renforcée sur IAM/HR/helpdesk (vishing).

🎣 PHISH/IAM — Diesel Vortex : logistique & fret (52 domaines, creds volés)

Campagne structurée (depuis 2025) avec phishing crédible et vol de credentials sur des plateformes critiques du secteur.
Actions concrètes : blocage domaines/typos, durcissement MFA, détection d’auth anormales, surveillance règles mail et redirections, sensibilisation ciblée métiers “transport/logistique”.

☁️ CLOUD/APT — UNC2814 / “GRIDTIDE” : abus SaaS/API pour se camoufler

Campagne d’espionnage (télécoms/gouvernements) avec utilisation d’outils et artefacts SaaS pour se fondre dans le trafic normal.
Actions concrètes : logs SaaS/API centralisés, détection d’API calls inhabituels, gouvernance des clés/jetons, moindre privilège, contrôle des projets cloud et artefacts partagés (feuilles, scripts, comptes).

🧿 PHISH — 1Campaign : “Google Ads malveillantes as-a-service”

Service criminel qui aide à garder des pubs malveillantes en ligne via cloaking/évasion — utile pour phishing, scams, drainer crypto.
Actions concrètes : politique “pas de clic sur résultats sponsorisés”, filtrage DNS/URL, durcissement navigateur, détection redirections, formation ciblée.

🏛️ Réglementaire

👶 REG — UK ICO : Reddit sanctionné (£14.47m) pour l’âge et les données enfants

L’ICO reproche l’absence de mécanisme robuste d’assurance d’âge et des manquements DPIA, avec collecte/traitement non licite pour les <13 ans.
Implication : la conformité “en théorie” ne passe plus — les régulateurs attendent des contrôles effectifs (âge, minimisation, DPIA, sécurité by design).

🧊 À suivre

CERT-FR : lots de bulletins (GitLab, VMware, Trend Micro, Mozilla, Synology…) → à intégrer à la routine patch mensuelle/hebdo selon exposition.
Guidances CISA : documents de hunt/hardening SD-WAN — utiles pour structurer investigation & durcissement.

🔗 Sources

🚨 Cyberveille du 25-02-2026 : Edge exploité, IAM siphonné, ransom en embuscade

Partager cet article : Twitter LinkedIn WhatsApp

🖋️ Publié sur SecuSlice.com