La CISA signale des exploits actifs dans les failles OpenSSH, GPUStack et IBM

L'Agence américaine de la cybersécurité et de la sécurité des infrastructures (CISA) a mis à jour lundi son catalogue des vulnérabilités connues et exploitées (KEV) avec quatre failles de haute gravité affectant des composants d'infrastructure largement utilisés. L'agence cite des preuves d'exploitation active pour des vulnérabilités dans OpenBSD OpenSSH, GPUStack, SignalWire FreeSWITCH et IBM Aspera Faspex. Cette mise à jour constitue une directive urgente pour les agences fédérales et un avertissement sévère pour les équipes du secteur privé gérant ces systèmes.

Ce qui s'est passé

L'ajout par la CISA au catalogue KEV met en lumière des menaces immédiates plutôt que des risques théoriques. L'entrée la plus notable est CVE-2026-123158, connue sous le nom de SSHole, qui affecte OpenBSD OpenSSH fonctionnant sur Linux. Depuis le 6 novembre 2026, les firmes de sécurité ont enregistré 22 tentatives d'exploitation provenant de 14 adresses IP uniques. GreyNoise a détecté la première tentative contre son réseau de honeypots le 7 novembre à 00h46 UTC. Bien que Defused Cyber ait noté que l'activité n'est pas encore généralisée, les actions post-exploitation confirmées indiquent une intention sérieuse. Les attaquants effectuent des reconnaissances, interrogent les services de métadonnées cloud et tentent de lire les hachages de mots de passe et les clés SSH root.

Les trois autres vulnérabilités portent également des scores CVSS critiques de 9,8, à l'exception de SSHole qui est évaluée à 8,1. CVE-2026-102895 dans GPUStack permet un accès administratif non authentifié, permettant aux attaquants de modifier les modèles, de créer des clés API persistantes et d'exécuter du code. Cette faille a été corrigée en juillet 2026 après des rapports d'exploitation dans la nature. CVE-2026-116779 dans SignalWire FreeSWITCH permet l'injection de code, entraînant la divulgation d'identifiants et l'exécution arbitraire de commandes, avec un correctif publié en octobre 2026. Enfin, CVE-2026-123218 dans IBM Aspera Faspex permet aux utilisateurs authentifiés de contourner les vérifications d'autorisation pour une élévation de privilèges, corrigée en novembre 2026.

L'analyse post-exploitation révèle des tactiques sophistiquées. Dans certains cas, un acteur de menace surnommé GT10 a déployé TAC Agent, un outil de command-and-control basé sur Python. Cet agent exécute des commandes shell, énumère les répertoires et transfère des fichiers. WatchTowr a également observé que la faille OpenSSH était utilisée pour le recrutement de botnets et des opérations de minage de cryptomonnaies. Les agences du Federal Civilian Executive Branch doivent appliquer les correctifs avant le 12 novembre 2026, mais la fenêtre pour toutes les organisations se referme rapidement.

Comment cela fonctionne

La vulnérabilité SSHole provient d'un code de statut ou d'une valeur de retour inattendu dans le processus d'authentification OpenSSH sur les systèmes Linux. Cette erreur logique permet aux attaquants de contourner entièrement les mécanismes d'authentification, leur accordant un accès sans identifiants valides. Une fois à l'intérieur, les attaquants modifient le fichier authorized_keys SSH pour maintenir un accès persistant, garantissant qu'ils peuvent revenir même si les points d'entrée initiaux sont fermés. Ils ciblent également les services de métadonnées cloud pour collecter les secrets d'environnement et les identifiants.

Dans GPUStack, la faille d'authentification incorrecte permet aux utilisateurs non authentifiés d'envoyer des requêtes POST spécifiques à l'endpoint /v2/inference-backends/from-yaml. Cette action accorde des privilèges administratifs, permettant la création de clés API persistantes et l'exposition des secrets des workers et des fournisseurs cloud. Pour IBM Aspera Faspex, le problème réside dans une gestion incorrecte de l'autorisation. Un utilisateur authentifié peut concevoir un message spécifique que le système ne valide pas correctement, escaladant ainsi ses privilèges au-delà de son rôle prévu. Ces mécanismes reposent sur des erreurs d'implémentation subtiles plutôt que sur des ruptures cryptographiques complexes, ce qui les rend difficiles à détecter sans tests rigoureux.

Détails clés

• CVE-2026-123158 (SSHole) : Affecte OpenBSD OpenSSH sur Linux ; permet le contournement de l'authentification via des codes de statut inattendus ; corrigé en novembre 2026.
• CVE-2026-102895 : Affecte GPUStack ; permet l'accès admin non authentifié et l'exécution de code ; corrigé en juillet 2026.
• CVE-2026-116779 : Affecte SignalWire FreeSWITCH ; permet l'injection de code et la divulgation d'identifiants ; corrigé en octobre 2026.
• CVE-2026-123218 : Affecte IBM Aspera Faspex ; permet l'élévation de privilèges via des messages conçus ; corrigé en novembre 2026.
• Menaces actives : L'acteur GT10 déploie TAC Agent pour la persistance ; watchTowr signale l'utilisation de botnets et de minage de crypto.
• Date limite : Les agences fédérales doivent patcher avant le 12 novembre 2026.

Pourquoi c'est important

Pour les équipes d'ingénierie, la présence de ces failles dans le catalogue KEV fait passer la priorité de la maintenance routine à la réponse d'urgence. OpenSSH est un composant fondamental pour la gestion des serveurs distants, ce qui signifie que presque toute infrastructure basée sur Linux est potentiellement exposée. Le fait que les attaquants modifient déjà les fichiers authorized_keys suggère qu'ils visent une persistance à long terme plutôt que des attaques éclair. Cela rend la détection plus difficile, car les alertes de connexion standard peuvent ne pas se déclencher si l'attaquant utilise une authentification par clé apparemment valide après la brèche initiale.

La vulnérabilité GPUStack est particulièrement pertinente pour les équipes IA et ML qui comptent sur ce package pour gérer les backends d'inférence. L'accès administratif non authentifié signifie que les attaquants peuvent altérer les configurations des modèles ou voler les secrets des fournisseurs cloud stockés dans l'environnement. Étant donné que les correctifs étaient disponibles il y a des mois pour certaines de ces questions, l'exploitation continue souligne un fossé entre la disponibilité des patches et leur déploiement. Les équipes doivent vérifier non seulement que les correctifs existent, mais aussi qu'ils sont appliqués sur toutes les instances, y compris celles des environnements de staging ou hérités.

Ce que vous pouvez faire

• Patchez immédiatement OpenSSH vers la dernière version publiée en novembre 2026 pour atténuer la vulnérabilité SSHole.
• Mettez à jour GPUStack vers la version corrigée en juillet 2026 et faites pivoter toutes les clés API administratives et les secrets des fournisseurs cloud.
• Appliquez le correctif d'octobre 2026 pour SignalWire FreeSWITCH et auditez les logs de contrôle d'appel pour des modifications non autorisées.
• Mettez à niveau IBM Aspera Faspex vers le niveau de patch de novembre 2026 et examinez les attributions de privilèges utilisateurs pour des anomalies.
• Surveillez les modifications apportées aux fichiers authorized_keys SSH et interrogez les logs des services de métadonnées cloud pour des modèles d'accès inhabituels.
• Scannez les indicateurs de compromission liés à TAC Agent, tels que des processus Python inattendus ou des activités d'énumération de répertoires.