# Sophos découvre un rootkit en mémoire sur des F5 BIG-IP > Sophos a découvert un rootkit Linux en mémoire sur des F5 BIG-IP APM, tandis que des failles Cisco FMC sont exploitées activement. Type : Actualité IA · Catégorie : Secteur · Publié le 2026-09-14 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/sophos-decouvre-un-rootkit-linux-sur-des-f5-big-ip-apm Tags : cybersécurité, rootkit, f5, cisco, vulnérabilités, levee-de-fonds --- ## En résumé - Sophos a identifié un rootkit Linux sur des appareils F5 BIG-IP APM compromis. - Des attaquants exploitent activement deux vulnérabilités de Cisco Secure Firewall Management Center. - N-able a publié un correctif d’urgence pour une exécution de code à distance sur N-central. **Le signal :** Sophos a identifié un rootkit Linux qui dissimule un web shell en mémoire sur des appareils F5 BIG-IP APM. **Sophos a découvert** un rootkit Linux sur des appareils F5 BIG-IP APM compromis. Le malware évite d’écrire un web shell sur le disque. Il le dissimule directement en mémoire. F5 BIG-IP APM applique des politiques d’accès pour protéger des applications, des interfaces de programmation et des données. Ces appareils sont principalement utilisés par des entreprises, des institutions financières, des agences gouvernementales et des organisations publiques. La découverte figure parmi les faits marquants recensés par [Help Net Security](https://www.helpnetsecurity.com/2026/09/13/week-in-review-linux-rootkit-deployed-on-f5-big-ip-apm-devices-cisco-fmc-bugs-exploited/) le 13 septembre 2026. La présence en mémoire complique la détection par les contrôles recherchant des fichiers persistants sur les systèmes compromis. **[Cisco](/signal-ia/actu/cisco-fait-bondir-ses-revenus-de-securite-de-14-pourcent) FMC est ciblé** par des attaquants étatiques et motivés financièrement. Ils exploitent activement CVE-2026-20079, une vulnérabilité critique permettant de contourner l’authentification. Cisco Secure Firewall Management Center centralise la gestion de plusieurs pare-feu Cisco Secure sur un réseau. Une seconde faille, CVE-2026-20316, est également citée dans le bilan hebdomadaire. Les attaques concernent donc une console qui supervise plusieurs dispositifs de sécurité. Cette exposition augmente la portée potentielle d’un accès obtenu sur la plateforme de gestion. Les exploitations sont attribuées à des acteurs soutenus par un État et à des groupes liés aux rançongiciels. Le sujet est également repris dans [le récapitulatif de sécurité](https://www.helpnetsecurity.com/2026/09/13/week-in-review-linux-rootkit-deployed-on-f5-big-ip-apm-devices-cisco-fmc-bugs-exploited/). ## Deux failles Cisco sont exploitées Les [vulnérabilités](/signal-ia/actu/a-black-hat-lia-cristallise-les-craintes-cyber) concernées sont CVE-2026-20079, classée critique en raison du contournement d’authentification, et CVE-2026-20316, également signalée dans le bilan du 13 septembre 2026. **N-able a corrigé** une autre vulnérabilité exploitée dans la nature. La faille CVE-2026-86218 touche N-central, une solution de supervision et de gestion à distance populaire auprès des fournisseurs de services gérés. N-able la décrit comme une vulnérabilité critique permettant une exécution de code à distance avant authentification sur le serveur N-central. L’entreprise a publié un correctif d’urgence. Le cas ajoute une plateforme d’administration à la série d’équipements exposés recensés pendant la semaine. Les équipes utilisant N-central doivent donc intégrer cette mise à jour dans leurs opérations de correction. La vulnérabilité concerne directement le serveur qui fournit la fonction de gestion à distance. **D’autres intrusions ont émergé** dans des produits d’administration et d’accès. CERT Polska a observé l’exploitation de failles RouterOS contre des appareils MikroTik dont le service SSH était accessible depuis Internet. Six vulnérabilités ont été découvertes dans RouterOS. Deux d’entre elles permettent, combinées, de prendre le contrôle complet d’un appareil sans authentification. Les chercheurs ont nommé cette chaîne d’exploitation MikroTrick. ConnectWise a aussi confirmé une faille de transfert de fichiers dans les sessions ScreenConnect Remote Access Support et Access. La recommandation publiée consiste à désactiver les transferts de fichiers pour les techniciens jusqu’à la disponibilité d’un correctif. Ces incidents touchent des outils placés au cœur des opérations techniques. La recommandation de CERT Polska vise donc en priorité les appareils MikroTik exposant SSH sur Internet, tandis que ConnectWise conseille une mesure de restriction temporaire dans ScreenConnect. ## Les outils d’administration restent exposés Le bilan hebdomadaire du 13 septembre 2026 cite ainsi F5 BIG-IP APM, Cisco FMC, N-central, RouterOS et ScreenConnect parmi les plateformes d’administration ou d’accès touchées par des compromissions ou des exploitations actives. **Les agents d’IA progressent** aussi dans les attaques informatiques. Google Threat Intelligence Group indique qu’ils automatisent notamment la recherche de vulnérabilités, la collecte d’identifiants et le dépannage. GreyNoise a par ailleurs rapporté qu’un acteur avait construit un exploit fonctionnel pour PaperCut, puis confié à des agents d’IA une grande partie des intrusions dans des centaines d’organisations. Gartner prévoit que 70 % des grands centres opérationnels de sécurité testeront des agents d’IA d’ici 2028. Selon cette prévision, 15 % seulement obtiendront des gains mesurables sans évaluation structurée. Ces éléments relient l’exposition des outils administratifs à une [automatisation](/signal-ia/actu/deepseek-pilote-des-cyberattaques-autonomes-selon-unit-42) croissante des opérations offensives.