VeilleTech — 2026-09-28

01 SÉCURITÉ Faille

NetScaler : deux failles exploitées avant le correctif

The Hacker News27 septembre3 min de lecture

Citrix confirme que deux failles critiques de NetScaler ADC et NetScaler Gateway, CVE-2026-88771 et CVE-2026-88772 (CVSS 9,5), ont été exploitées avant tout correctif public. L'une touche toutes les installations, l'autre toute passerelle dont DTLS n'a pas été coupé, et les builds qui corrigeaient la faille d'août restent vulnérables. Mettre à jour ne suffit pas : l'appareil doit être examiné comme potentiellement compromis.

CVE-2026-88771 (commandes sans authentification, toutes installations) et CVE-2026-88772 (débordement via DTLS, actif par défaut en VPN), CVSS v4 9.5, au KEV de la CISA depuis le 27/09
Corrigé en 14.1-73.37 et 13.1-64.23 (FIPS : 14.1-73.37 FIPS, 13.1-37.279) ; les builds d'août 14.1-73.32 et 13.1-63.21 restent vulnérables
Ni contournement ni indicateur de compromission : garder les preuves, changer les secrets de l'appareil, sortir l'administration d'internet

Patché en août ne veut pas dire patché aujourd'hui.

Lire la fiche Source

02 SÉCURITÉ Faille

LuaRocks : un rockspec en bytecode a pris le serveur

LuaRocks27 septembre3 min de lecture

Le registre LuaRocks.org a été compromis à plusieurs reprises entre le 9 juillet et le 20 août 2026 : un rockspec envoyé sous forme de bytecode LuaJIT sortait du bac à sable et exécutait du code sur le serveur. Les mainteneurs n'ont trouvé aucun paquet existant modifié, mais considèrent la base entière comme lue. Clés API, sessions et secrets 2FA ont été révoqués : chaque utilisateur a des gestes à faire.

Paquets de l'attaquant, publiés le 07/08 puis retirés : `bcrcewon`, `7e0b94029db0`, `7e0b9402f9c8` — une machine qui les a installés est compromise
À refaire : clé API, connexion, mot de passe, 2FA ; client LuaRocks en 3.12 ou plus (3.11.1 et antérieurs exécutent le bytecode sous LuaJIT et Lua 5.1)
Cause : `loadstring` acceptait le bytecode, que LuaJIT ne vérifie pas ; corrigé le 26/09 (mode texte seul, rejet de l'octet `\27` en tête)

Un bac à sable qui cache les noms ne cache pas la mémoire.

Lire la fiche Source

VeilleTech — feed du lundi 28 septembre