← Retour au blog

Briefing sécurité, 18 avril 2026 : exploitation d’ActiveMQ, zero-days Windows et retombées LSASS

Le briefing sécurité du jour regroupe trois signaux concrets : la CISA a signalé l’exploitation d’Apache ActiveMQ, Huntress voit des zero-days Windows d’élévation de privilèges divulgués dans de vraies intrusions, et Microsoft confirme des boucles de crash LSASS sur certains contrôleurs de domaine patchés.

---

---

1. ActiveMQ est passé de la file de patch à l’exploitation active

La CISA a ajouté CVE-2026-34197 au catalogue KEV après confirmation d’une exploitation active. La faille touche Apache ActiveMQ Classic, provient d’une validation d’entrée insuffisante et permet une exécution de code à distance par un utilisateur authentifié. Apache a corrigé le problème dans les versions 6.2.3 et 5.19.4, mais les brokers exposés restent une cible facile, Shadowserver suivant encore plus de 7 500 systèmes exposés à Internet.

• Patchez immédiatement tous les nœuds ActiveMQ Classic exposés et vérifiez la version réellement exécutée.
• Examinez les logs broker pour toute utilisation suspecte de brokerConfig=xbean:http:// et du transport VM.
• Si un broker est exposé sur Internet et critique pour l’activité, supposez une post-exploitation possible tant que ce n’est pas infirmé.

---

2. Les zero-days Windows divulgués font désormais partie d’intrusions réelles

Huntress observe les techniques BlueHammer, RedSun et UnDefend en conditions réelles. BlueHammer a été patché en avril, mais RedSun et UnDefend n’ont toujours pas de correctifs complets côté éditeur. L’activité observée comprend un utilisateur SSL VPN compromis suivi d’actions interactives de l’attaquant. Ce ne sont donc plus de simples PoC de chercheur sur GitHub.

• Traitez tout accès récent issu d’un VPN comme un possible tremplin d’élévation de privilèges, surtout sur des hôtes Windows avec Defender activé.
• Ne supposez pas que le Patch Tuesday d’avril a tout réglé. Deux techniques exigent encore des contrôles compensatoires et une surveillance étroite.
• Conservez les preuves endpoint avant nettoyage si la désactivation des mises à jour Defender et des actions SYSTEM soudaines apparaissent ensemble.

---

3. Le patching serveur d’avril comporte aussi un piège de disponibilité

Microsoft a confirmé que KB5082063 peut provoquer des crashs LSASS et des boucles de redémarrage sur certains contrôleurs de domaine non Global Catalog dans des environnements de Privileged Access Management. Un déploiement de sécurité routinier peut donc devenir un risque de panne d’identité. Le point critique : une authentification instable peut annuler les bénéfices d’un patch rapide.

• Suspendez le déploiement large sur les contrôleurs de domaine non-GC liés au PAM jusqu’à validation des conditions signalées par Microsoft.
• Faites travailler ensemble les équipes sécurité et identité avant les vagues de patch, car le risque porte maintenant sur l’exploitabilité et la panne d’authentification.
• Préparez rollback et support avant de toucher des contrôleurs de domaine qui gèrent l’authentification dès le démarrage.

---

Ce que les équipes sécurité doivent faire aujourd’hui

1. Terminez d’abord la triage d’urgence ActiveMQ, surtout pour les brokers exposés et les déploiements Classic anciens.
2. Recherchez les artefacts BlueHammer, RedSun et UnDefend partout où un accès VPN récent ou une élévation admin paraît suspecte.
3. Vérifiez si des contrôleurs de domaine PAM sont concernés avant d’étendre le déploiement de KB5082063.
4. Envoyez à la direction une note claire séparant pression d’exploitation et risque d’instabilité des correctifs.

---

Bottom line: Une défense mature, aujourd’hui, consiste à avancer à trois vitesses : patcher le broker exposé, traquer l’implant Windows et ralentir tout déploiement capable de mettre l’identité hors ligne.