Edition 21

Exploité : oui, en tant que zero-day, avant que vous en ayez entendu parler. Exposé : uniquement là où l'interface de gestion est accessible depuis l'extérieur. Touche : le dispositif qui fait respecter votre périmètre, au niveau root. Verdict : quelques heures si cette interface répond depuis Internet, quelques jours derrière un jump box. Et notez ce que le score a produit ici. 8.6 est Élevé, ce qui dans la plupart des politiques accorde 30 jours, tandis que la CISA a accordé trois jours aux agences fédérales. Si votre tableau de SLA avait été le seul paramètre, vous auriez planifié une prise de contrôle active d'un pare-feu en novembre. La mesure compensatoire ne coûte rien et Palo Alto la recommande depuis des années : retirez ce soir l'interface de gestion d'Internet, puis patchez selon votre propre calendrier.

Exploité : oui, quatre jours avant la divulgation. Exposé : tout ce qui sert des requêtes web via PHP, ce qui pour la plupart des organisations signifie le site marketing que personne ne possède. Touche : exécution de code en tant que compte web, sur l'hôte. Verdict : quelques heures, et pour être honnête, votre fenêtre s'était fermée avant même que l'avis existe. Deux enseignements à retenir au-delà du patching. Apache mod_php a été validé pour une exécution de code complète sur une configuration par défaut, commencez donc par là. Et si une partie de votre parc tourne encore sous PHP 8.1 ou antérieur, aucun correctif ne viendra, ce qui en fait une décision d'acceptation du risque avec un responsable identifié, et non une tâche de patching.

Exploité : aucun rapport. Exposé : tout service qui décompresse du Brotli qu'il n'a pas lui-même créé, ce qui concerne plus de services que vous ne le pensez. Touche : le runtime sous vos applications. Verdict : quelques jours, sur votre circuit d'urgence habituel. Ce qui fait mal, c'est la distribution. Chaque conteneur construit sur une image de base node antérieure au 21 octobre porte cette faille ; le correctif implique donc une reconstruction et un redéploiement sur l'ensemble du parc, et non une simple mise à jour de paquet sur un hôte. Cette version a également embarqué discrètement la révocation de confiance des certificats évoquée au point suivant, ce qui constitue la preuve la plus claire que votre trust store vit à l'intérieur de vos dépendances.

Exploité : aucun abus confirmé, bien que personne ne puisse rendre compte de dix-sept mois. Exposé : pas vos navigateurs, qui ont été corrigés en quelques heures. Touche : la confiance elle-même, partout où vous validez un certificat en dehors d'un navigateur. Verdict : celui-ci n'a pas d'échéance parce qu'il n'a pas de patch, et c'est précisément pourquoi c'est le plus difficile. Vos conteneurs, vos appliances, vos keystores Java et chaque environnement Python embarquant sa propre copie de certifi possèdent chacun un trust store que quelqu'un doit mettre à jour. Curl, certifi, Node.js, Go et l'écosystème Rust ont tous publié séparément la révocation de confiance. La question à laquelle votre organisation doit répondre est : où accordez-vous confiance aux autorités de certification, et qui peut modifier cela partout à la fois. La plupart des organisations ne peuvent pas répondre à la première moitié. Un détail qui mérite réflexion : Helme indique qu'un agent IA a recouvré les clés pour lui à partir d'une seule invite.

Vous n'avez pas patché votre chemin à travers cette semaine. Vous avez choisi, ou quelqu'un a choisi à votre place. Alors consignez le choix par écrit. Un responsable nommé, la raison, la mesure compensatoire s'il en existe une, et une date pour le réexaminer. Une vulnérabilité différée avec une signature est une décision de risque. Sans signature, c'est une omission que vous devrez expliquer plus tard ; et après huit jours comme ceux-ci, il y aura beaucoup à expliquer. J'ai rédigé l'argumentation complète, notamment pourquoi les scores n'ont rien décidé et pourquoi la plupart des politiques de patching auraient classé le vecteur ransomware comme un travail de second rang. Lien ci-dessus. La version courte : vos scanners étaient identiques à ceux de tout le monde cette semaine. Ce qui a différencié les organisations, c'est de savoir qui était habilité à décider.