Menu

Aucun menu défini dans le customizer.

Catégorie : cybersecurite/failles-vulnerabilites

Ajout automatique par WPeMatico

Actus Automatisées, Actus Tech, API, cybersecurite/failles-vulnerabilites, developpement/api-services, gemini, Sciences

Clés API Google – 3000 clés publiques donnent accès à Gemini

Les clés API Google que vous collez dans votre JavaScript pour afficher une carte Maps… hé bien elles ne sont plus si inoffensives. Car depuis que Gemini est entré dans la danse, ces mêmes clés donnent maintenant accès à vos fichiers privés et surtout à votre facture IA.

Et personne ne nous a prévenu…

En gros, Google utilise un format de clé unique, les fameuses AIza..., aussi bien pour Maps et Firebase (public, collé dans le HTML, tout le monde s’en fout) que pour
Gemini
(privé, accès aux fichiers, facturation). Le problème c’est que quand vous activez l’API Gemini sur un projet Google Cloud, TOUTES les clés existantes de ce projet héritent automatiquement de l’accès Gemini. Sans warning, sans notification, sans rien… Ouin !

Actus Automatisées, Actus Tech, Aspirateur robot, cybersecurite/failles-vulnerabilites, DJI, faille, robots-drones-vehicules/robots-robotique, Sciences

Un dev prend le contrôle de milliers d’aspirateurs DJI Romo

Un développeur espagnol vient de prendre le contrôle de plus de 10 000 appareils DJI (dont
7 000 robots aspirateurs Romo
– lien affilié) répartis dans 24 pays… en voulant juste piloter le sien avec une manette PS5.

Oui oui c’est un grand malade ^^.

À la base, Sammy Azdoufal, responsable IA chez Emerald Stay, voulait juste s’amuser avec son aspi alors il a d’abord essayé d’y connecter sa manette DualSense en Bluetooth, et puis il a fini par utiliser Claude Code pour décompiler l’appli mobile DJI (version Android) et reverse-engineerer les protocoles MQTT de DJI. Bien sûr, il lui fallait un token d’auth pour prouver qu’il était bien proprio du Romo et jusque-là, rien de méchant…

Actus Automatisées, Actus Tech, cybersecurite/failles-vulnerabilites, fine-tuning LLM, intelligence-artificielle/actualites-ia, Jailbreak, LLM, Sciences

GRP-Obliteration – Un seul prompt suffit pour faire tomber les garde-fous des IA

Les garde-fous de votre IA locale, ils tiennent à quoi ?

Hé bien, ils tiennent à UN seul prompt mes amis. Oui, UN SEUL ! Des chercheurs de Microsoft viennent de publier
GRP-Obliteration
, une méthode qui désaligne n’importe quel LLM open-source en quelques minutes de fine-tuning… et le mieux, c’est que le modèle garde toute son intelligence après.

Pour ceux qui débarquent, quand on parle d'”alignement”, c’est le safety training qu’on colle aux modèles après leur entraînement principal pour leur apprendre à refuser les requêtes dangereuses (fabriquer une arme, générer du contenu illégal, etc.). Jusqu’ici, on pensait que c’était solidement ancré dans le modèle.

Actus Automatisées, Actus Tech, alertes de sécurité informatique, cybersecurite/actualites-securite, cybersecurite/failles-vulnerabilites, Notepad++, Sciences

Notepad++ – Votre éditeur de texte préféré a été piraté

Si vous utilisez Notepad++, faut que vous sachiez qu’il s’est passé un truc moche. Entre juin et décembre 2025, les serveurs de mise à jour de votre éditeur de texte préféré ont été carrément piratés. Et c’est carrément une opération d’espionnage probablement menée par un groupe parrainé par l’État chinois. Ouin 🥲.

En gros, les attaquants ont réussi à compromettre l’infrastructure de l’ancien hébergeur du projet. Du coup, ils ont pu détourner le trafic de mise à jour pour rediriger certains utilisateurs vers des serveurs malveillants. Ces serveurs envoyaient ensuite des fichiers de mise à jour vérolés au lieu des vrais binaires. C’est le genre de nouvelle qui file des frissons dans le dos quand on sait que des millions de dev utilisent ce logiciel quotidiennement.

Actus Automatisées, Actus Tech, Command & Conquer, cybersecurite/failles-vulnerabilites, Exploitation de failles, faille, Jeux video, Sciences

Command & Conquer : Generals – Un ver attaque ce jeu mort depuis 12 ans

C’est un délire ça ! Je crois que je viens de lire le truc le plus improbable de l’année. Sérieux, vous vous souvenez de Command & Conquer : Generals ? Mais siiii, ce RTS de légende sorti en 2003 bien après C&C et Red Alert !! Hé bien accrochez-vous, car même s’il est techniquement mort depuis la fermeture de GameSpy en 2014, il fait encore parler de lui.

Et pas pour de bonnes raisons. Argh !

Actus Automatisées, Actus Tech, Command & Conquer, cybersecurite/failles-vulnerabilites, Exploitation de failles, faille, Jeux video, Sciences

Command & Conquer : Generals – Un ver attaque ce jeu mort depuis 12 ans

C’est un délire ça ! Je crois que je viens de lire le truc le plus improbable de l’année. Sérieux, vous vous souvenez de Command & Conquer : Generals ? Mais siiii, ce RTS de légende sorti en 2003 bien après C&C et Red Alert !! Hé bien accrochez-vous, car même s’il est techniquement mort depuis la fermeture de GameSpy en 2014, il fait encore parler de lui.

Et pas pour de bonnes raisons. Argh !

Actus Automatisées, Actus Tech, Command & Conquer, cybersecurite/failles-vulnerabilites, Exploitation de failles, faille, Jeux video, Sciences

Command & Conquer : Generals – Un ver attaque ce jeu mort depuis 12 ans

C’est un délire ça ! Je crois que je viens de lire le truc le plus improbable de l’année. Sérieux, vous vous souvenez de Command & Conquer : Generals ? Mais siiii, ce RTS de légende sorti en 2003 bien après C&C et Red Alert !! Hé bien accrochez-vous, car même s’il est techniquement mort depuis la fermeture de GameSpy en 2014, il fait encore parler de lui.

Et pas pour de bonnes raisons. Argh !

accès root, Actus Automatisées, Actus Tech, cve, cybersecurite/actualites-securite, cybersecurite/failles-vulnerabilites, faille critique, Sciences

Telnetd – Une faille vieille de 11 ans est un accès root

Telnet, ça vous dit quelque chose ?

C’est ce vieux protocole réseau non chiffré que nos arrières-arrières-arrières-grands-parents utilisaient pour se connecter à des serveurs distants. C’est un truc que vous pensiez peut-être enterré depuis belle lurette… Hé bien figurez-vous qu’une faille critique vieille de 11 ANS vient d’être découverte dans le serveur telnetd de GNU InetUtils. Et le pire c’est que des hackers l’exploitent déjà activement.

ARGH !

La vulnérabilité en question, baptisée
CVE-2026-24061
, permet de contourner complètement l’authentification et d’obtenir un accès root. Sans putain de mot de passe (!!!!).

actualites-business/gafam-tech, Actus Automatisées, Actus Tech, Bug Bounty, cybersecurite/failles-vulnerabilites, Facebook, Meta, Sciences

XS-Leaks chez Meta – 4 failles pour vous identifier

Youssef Sammouda, un chercheur en sécurité connu sous le pseudo sam0, vient de publier
un article détaillant pas moins de 4 vulnérabilités de type XS-Leaks
qu’il a découvertes chez Meta. Pour vous la faire courte, ce genre de faille permet à un site malveillant de déduire des informations sur vous sans même avoir besoin de pirater quoi que ce soit. Heureusement, tout a été patché depuis !

La première faille concernait Workplace (la version entreprise de Facebook) et son intégration avec Zoom. En gros, un attaquant pouvait créer une page web qui chargeait le callback Zoom de Workplace dans une iframe, et selon que l’utilisateur était connecté ou non à Meta Work, la redirection se comportait différemment. Et là, pouf, l’attaquant savait si vous étiez un utilisateur Meta Work. Pas besoin d’accéder à vos données, juste de mesurer combien de temps met une redirection. Vicieux, non ? Meta a casqué 2 400 dollars pour cette trouvaille.

Actus Automatisées, Actus Tech, cybersecurite/failles-vulnerabilites, NTLM, Sciences, windows/securite-windows

Pourquoi votre vieux serveur Windows est une bombe à retardement, et comment la désamorcer

Les amis, si vous administrez encore des serveurs Windows avec des configurations “d’époque” (qui sentent la naphtaline quoi…), il faut qu’on parle.

Google Cloud (via son équipe Mandiant) vient de sortir un papier assez creepy sur Net-NTLMv1, ce vieux protocole d’authentification qu’on croyait enterré mais qui survit encore dans pas mal d’infrastructures. Verdict implacable : c’est une véritable bombe à retardement !!

BOOM 💥 !

En gros, si vous avez encore du NTLMv1 activé quelque part sur votre réseau, un attaquant positionné sur votre réseau peut récupérer le matériel cryptographique nécessaire pour casser vos comptes. Le problème avec Net-NTLMv1, c’est qu’il s’agit d’un protocole d’authentification challenge-response qui date des années 90. C’était l’époque de Windows NT, de 2Pac et des modems 56k sauf que contrairement à la musique, la sécurité a un peu évolué depuis.