Menu

Aucun menu défini dans le customizer.

Catégorie : cybersecurite/failles-vulnerabilites

Ajout automatique par WPeMatico

actualites-business/insolite-wtf, Actus Automatisées, Actus Tech, API, cybersecurite/failles-vulnerabilites, donnees personnelles, faille de sécurité, Sciences

Click to Pray – Le Vatican a mis 6 mois à lire ses mails

a série « la religion c’est que des problèmes », voici un épisode que je n’avais pas vu venir. Click to Pray, l’application de prière officielle du Pape, a servi gratos les noms, les adresses mail et les dates de naissance de ses 719 517 inscrits à qui voulait bien les demander.

C’est le chercheur

BobDaHacker

qui a signalé le trou début janvier et si vous savez compter, oui oui, il a bien fallu 6 mois pour que quelqu’un daigne le boucher. Que voulez-vous, les voies du Seigneur sont impénétrables et visiblement sa boîte mail aussi.

Actus Automatisées, Actus Tech, cve, cybersecurite/actualites-securite, cybersecurite/failles-vulnerabilites, email, espionnage, Sciences

Zimbra pas à jour ? Un APT russe lit peut-être déjà vos mails

Hier, le 23 juillet 2026, la CISA, la NSA et le FBI ont sorti une alerte conjointe avec une douzaine d’agences alliées, et pour une fois leur message est assez court : Si vous auto-hébergez un serveur de messagerie Zimbra pas à jour, considérez que des espions russes lisent peut-être déjà vos mails !!

Voilà, le groupe s’appelle Laundry Bear (aussi connu sous le nom Void Blizzard chez Microsoft, ou TA488 chez Proofpoint), il est lié à l’État russe, et il exploite une faille connue de Zimbra depuis juillet 2025.

Actus Automatisées, Actus Tech, Cybersécurité, cybersecurite/actualites-securite, cybersecurite/failles-vulnerabilites, GitHub, PyPI, Sciences

PyPI verrouille vos vieilles releases contre les tokens volés

Bonne nouvelle pour tous ceux qui balancent du code sur PyPI. L’index officiel des paquets Python refuse désormais tout nouveau fichier ajouté à une release qui a plus de 14 jours. Le correctif vient de Seth Larson, développeur sécurité en résidence à la Python Software Foundation, et il colmate un trou que personne n’avait encore exploité sur PyPI… mais qui traînait là, grand ouvert.

Jusqu’ici, un mainteneur pouvait ajouter un fichier à n’importe quelle release, même sortie il y a 3 ans. Pratique pour livrer une nouvelle wheel, dangereux si un token de publication se fait voler. Un attaquant avec vos clés pouvait glisser un binaire vérolé dans une version stable que tout le monde télécharge depuis des lustres, sans déclencher la moindre alerte. Larson le dit sans détour : si ça n’a pas encore été abusé, c’est juste que les pirates n’avaient pas réalisé que c’était possible.

Actus Automatisées, Actus Tech, Chiffrement, cve, cybersecurite/failles-vulnerabilites, faille de sécurité, robots-drones-vehicules/robots-robotique, Sciences

Unitree – Le firmware que personne ne signe

Le 26 février dernier, lors d’une réunion d’Austin Hackers Anonymous au Texas, le chercheur Andreas Makris a fait la démo d’un outil qui permet de générer de faux firmwares Unitree, que le robot avale sans broncher comme s’ils sortaient de l’usine de Hangzhou…

Car oui, Mesdames et Messieurs, les robots Unitree ne sont pas capables de déterminer si le firmware avec lequel ils se mettent à jour a été créé par Unitree ou par quelqu’un d’autre.

7zip, Actus Automatisées, Actus Tech, cybersecurite/failles-vulnerabilites, faille, Sciences, windows/logiciels-windows

7-Zip : un simple fichier piégé peut faire tourner du code sur votre PC

7-Zip, le logiciel de compression gratuit installé sur des centaines de millions de PC pour ouvrir un zip ou un 7z, traîne une faille par laquelle une archive piégée peut lancer du code sur votre machine à la seconde où vous l’ouvrez.

La faille porte le doux nom de CVE-2025-14266 et se niche dans la façon dont 7-Zip décompresse les archives au format XZ, très courant sous Linux mais qu’on croise un peu partout.

Actus Automatisées, Actus Tech, Cybersécurité, cybersecurite/failles-vulnerabilites, faille, GPT, intelligence-artificielle/actualites-ia, Sciences

Les IA d’OpenAI ont piraté Hugging Face pour tricher à un test

Le pirate qui a mis à genoux la prod de Hugging Face voulait juste tricher à son examen, voilà ce qu’OpenAI a reconnu hier. Les agents qui se sont promenés durant tout un week-end dans les clusters de la plateforme, c’étaient leurs modèles à eux, GPT-5.6 Sol et un modèle pré-release encore plus balèze, fonctionnant en mode « refus cyber réduits à des fins d’évaluation ».

Le point de départ c’est

ExploitGym

, contenant 898 vraies vulnérabilités piochées dans des programmes userspace, dans le moteur JavaScript V8 de Google et dans le noyau Linux. On colle l’agent devant un input qui fait planter un programme, et on regarde s’il arrive à en tirer un exploit qui marche.

Actus Automatisées, Actus Tech, Borne de recharge, cve, Cybersécurité, cybersecurite/failles-vulnerabilites, robots-drones-vehicules/voitures-electriques, Sciences

Bornes de recharge – Un SSH root au bout du câble CCS2

Le gros câble que vous branchez sur votre voiture électrique, celui qu’il faut soulever à deux mains et qui pèse le poids d’un âne mort, dispose de 2 choses : Du courant, et un réseau. Lionel Richard Saposnik, chercheur chez SaiFlow, a eu la curiosité d’aller voir ce qui traîne sur ce réseau-là et vous allez voir, c’est pas triste…

Quand vous clipsez le pistolet dans la trappe, votre bagnole et la borne montent une liaison IPv6 entre elles, par courant porteur, sur deux broches du connecteur CCS2. Elles se causent en respectant la norme

ISO 15118

pour négocier vos ampères, votre tension, le prix de votre kWh.

Actus Automatisées, Actus Tech, cve, cybersecurite/failles-vulnerabilites, developpement/web-developpement, faille, RCE, Sciences

WP2Shell – La faille qui permet de pirater WordPress sans aucun plugin

Vous avez un site sous WordPress ? Alors lâchez tout ce que vous faites deux minutes, parce que là c’est du sérieux !!

Cette nouvelle attaque baptisée WP2Shell permet de compromettre une installation Wordpress sans passer par le moindre plugin. Heureusement, un patch est sorti en urgence le 17 juillet !

En temps normal, quand une alerte sécu tombe sur WordPress, le fautif c’est un

plugin tiers vérolé

, un truc installé un soir de flemme et oublié depuis des lustres. Mais cette fois, rien de tout ça puisque le trou de sécu se trouve dans le cœur de WordPress lui-même.

Actus Automatisées, Actus Tech, cybersecurite/failles-vulnerabilites, intelligence-artificielle/actualites-ia, Microsoft Patch Tuesday, Sciences, Windows, windows11

Microsoft bat son record avec 570 failles corrigées en un mois, et c’est son IA qui les déterre

Il y a des chiffres qui en disent long sur l’état d’un logiciel, et celui-ci en fait clairement partie. Microsoft vient de corriger 570 failles de sécurité d’un seul coup lors de son dernier Patch Tuesday, ce rendez-vous mensuel où l’éditeur rebouche les trous de ses programmes, et jamais encore il n’avait sorti un paquet de correctifs aussi monstrueux, presque le triple d’un mois précédent qui battait pourtant déjà tous les records.

actualites-business/legislation-juridique, Actus Automatisées, Actus Tech, cybersecurite/failles-vulnerabilites, identité numérique, Réseaux sociaux, Sciences, vie-privee-anonymat

La vérif d’âge de l’Europe ridiculisée par une extension Chrome

Bon, vous le savez, l’Europe tient absolument à savoir votre âge, avant de vous laisser scroller librement sur le net. Alors pour cela, ils ont mis au point une application qui permet de prouver votre âge et qui nous est proposée comme simple à utiliser et respectueuse de notre vie privée.

Mais ça c’était sans compter sur

Paul Moore

, chercheur en sécurité, qui vient à nouveau de l’éclater à l’aide d’une simple extension Chrome…