← Retour au blog

Briefing sécurité, 17 avril 2026 : action Cisco Webex, botnet PowMix et sabotage OT ZionSiphon

Le briefing sécurité d’aujourd’hui suit trois signaux concrets : le correctif Webex SSO de Cisco qui exige encore une action client, le botnet PowMix de Talos visant la main-d’œuvre tchèque avec un C2 furtif, et la logique de sabotage OT de ZionSiphon contre le chlore et la pression dans le secteur de l’eau.

---

---

1. Cisco a corrigé Webex, mais les clients ont encore du travail

Cisco a corrigé CVE-2026-20184 dans Webex Services, une faille de validation de certificat dans l’intégration SSO avec Control Hub qui pourrait permettre à un attaquant non authentifié d’usurper des utilisateurs. Le correctif côté service ne suffit pas : les organisations qui utilisent le SSO doivent aussi téléverser un nouveau certificat SAML pour leur fournisseur d’identité afin d’éviter une interruption et de fermer réellement la faille.

• Identifier tous les tenants Webex utilisant le SSO et confirmer que le nouveau certificat est bien déployé.
• Traiter les métadonnées IdP et le renouvellement de certificat comme un travail de sécurité, pas seulement d’administration.
• Vérifier si des comptes de collaboration à haut niveau de confiance présentent des accès ou des schémas de jetons inhabituels.

---

2. PowMix montre à quel point les campagnes de phishing se fondent mieux dans le bruit

Cisco Talos a révélé PowMix, un botnet auparavant non documenté, actif au moins depuis décembre 2025 et visant les travailleurs en République tchèque. Le malware utilise des intervalles de beacon aléatoires, cache ses battements chiffrés dans des chemins d’URL ressemblant à du trafic REST API, et peut mettre à jour dynamiquement son domaine C2. Talos a aussi observé des recouvrements tactiques avec l’activité ZipLine et une infrastructure C2 hébergée sur Heroku.

• Prévenir les équipes RH, juridiques, recrutement, finance et logistique que des leurres de conformité font partie de la campagne.
• Chasser les tâches planifiées suspectes, les loaders PowerShell et les communications sortantes liées à Heroku.
• Ne pas dépendre uniquement de détections basées sur un timing statique des beacons. PowMix a été conçu pour contourner ce raccourci.

---

3. ZionSiphon est un tir d’avertissement pour les opérateurs de l’eau et du dessalement

Les chercheurs indiquent que l’échantillon actuel de ZionSiphon est cassé par un défaut de validation, mais l’intention est limpide et inquiétante. Le malware recherche des plages IP israéliennes et des logiciels de traitement de l’eau, puis tente de modifier la dose de chlore, l’état des vannes, l’état des pompes et la pression d’osmose inverse. Il contient aussi une propagation par USB, importante dans des environnements industriels encore dépendants des supports amovibles.

• Revoir maintenant les contrôles sur médias amovibles et la supervision des postes d’ingénierie OT, avant qu’une variante fonctionnelle n’apparaisse.
• Vérifier que toute modification de chlore, de pression ou de pompe génère une alerte visible et infalsifiable.
• Considérer qu’un malware ICS précoce reste important dès lors que sa logique de sabotage est claire.

---

Ce que les équipes sécurité doivent faire aujourd’hui

1. Terminer la rotation des certificats Cisco Webex SSO et la vérifier, pas seulement le statut du correctif fournisseur.
2. Briefer ensemble les équipes e-mail, identité et endpoint sur les leurres PowMix et les chaînes PowerShell.
3. Pour les opérateurs OT, tester si des changements non autorisés sur le chlore ou la pression seraient détectés assez vite pour compter.
4. Donner à la direction une mise à jour simple reliant la confiance collaboration, le phishing des salariés et le sabotage industriel dans une même image de risque.

---

Bottom line : La leçon la plus forte du jour est simple : les attaquants se moquent de savoir si la faiblesse vit dans l’identité, le workflow utilisateur ou le contrôle de processus physique. Si cela transporte de la confiance, c’est une cible.