Menu

Aucun menu défini dans le customizer.

Catégorie : cybersecurite/failles-vulnerabilites

Ajout automatique par WPeMatico

Actus Automatisées, Actus Tech, Arch Linux, aur, cybersecurite/failles-vulnerabilites, cybersecurite/malwares-menaces, linux-open-source/distributions-linux, Sciences

AUR Arch Linux – 400 paquets vérolés, êtes-vous touché ?

Si vous tournez sous Arch Linux et que vous piochez vos paquets dans l’AUR, lâchez ce que vous faites 2 minutes et lisez mon article. Car plus de 400 paquets de l’Arch User Repository ont été vérolés ce 11 juin, et le truc qu’ils embarquent ne rigole pas du tout. En effet, des chercheurs de
Sonatype
ont repéré une campagne baptisée Atomic Arch où un seul attaquant a réussi à glisser un stealer (un voleur d’identifiants quoi) dans des centaines de paquets d’un coup.

Actus Automatisées, Actus Tech, Bitlocker, Cybersécurité, cybersecurite/failles-vulnerabilites, faille, Sciences, windows/securite-windows

GreatXML – BitLocker contourné en quelques clics via WinRE

BitLocker, je le rappelle c’est quand même le truc censé protéger vos données en cas de vol de votre bécane. Sauf que voilà, la théorie et Redmond, ça fait parfois deux… Le chercheur en sécurité Chaotic Eclipse (déjà
à l’origine de BlueHammer
) vient de balancer une nouvelle vulnérabilité zero-day baptisée
GreatXML
, qui réduit cette promesse en miettes.

Le truc tourne autour de la façon dont Windows Recovery Environment (WinRE) traite les fichiers de configuration lors du démarrage. Plus précisément, la faille exploite des résidus laissés par l’outil d’analyse hors ligne de Microsoft Defender.

Actus Automatisées, Actus Tech, Anthropic, Claude, cybersecurite/failles-vulnerabilites, Fable5, intelligence-artificielle/actualites-ia, Sciences

Anthropic met entre toutes les mains un modèle qu’elle jugeait trop dangereux à publier il y a deux mois

Voilà autre chose dites donc. En avril, Anthropic, le concurrent direct d’OpenAI et créateur de l’assistant Claude, dévoilait Mythos, un modèle d’intelligence artificielle tellement doué pour dénicher et exploiter des failles informatiques que l’entreprise avait préféré ne pas le diffuser. Il restait réservé à une poignée d’organisations de cyberdéfense triées sur le volet.

Deux mois plus tard, ce même moteur arrive chez le grand public sous le nom de Claude Fable 5.

Actus Automatisées, Actus Tech, cybersecurite/failles-vulnerabilites, cybersecurite/malwares-menaces, GitHub, miasma, Microsoft, Sciences

GitHub désactive 73 dépôts Microsoft en 105 secondes pour stopper le ver Miasma

GitHub a désactivé 73 dépôts appartenant à Microsoft en l’espace de 105 secondes, le temps de couper la propagation d’un ver baptisé Miasma.

Un ver, vous le savez, c’est ce genre de logiciel malveillant qui se recopie tout seul d’un projet à l’autre, sans la moindre intervention humaine. Celui-là s’attaque directement aux développeurs, et plus précisément à leurs outils.

Tout est parti du dépôt Azure/durabletask. Un compte de contributeur compromis y a poussé un commit piégé, qui déposait au passage quelques fichiers de configuration. Anodin, en apparence.

Actus Automatisées, Actus Tech, chatgpt, confinement, cybersecurite/failles-vulnerabilites, intelligence-artificielle/actualites-ia, OpenAI, Sciences

OpenAI ajoute un “mode confinement” à ChatGPT pour bloquer les injections de prompt

ChatGPT a gagné un réglage qui ne plaira pas à tout le monde. Un “mode confinement”, Lockdown Mode dans le texte, qui débranche volontairement une partie des fonctions de l’assistant pour réduire le risque de fuite de données vers l’extérieur.

L’ennemi, ici, porte un nom : l’injection de prompt. Le principe de cette attaque est plutôt vicieux, puisqu’un pirate planque des instructions dans une page web ou dans un document anodin, et qu’au moment où ChatGPT lit ce contenu pour vous répondre, il avale ces ordres cachés et les exécute sans que rien ne s’affiche à l’écran.

Actus Automatisées, Actus Tech, Catalyssdwan, Cisco, CVE-2026-20245, cybersecurite/actualites-securite, cybersecurite/failles-vulnerabilites, Sciences

Encore un zero-day chez Cisco, exploité en ce moment même et toujours sans correctif

Le Catalyst SD-WAN Manager de Cisco, anciennement appelé vManage, c’est la salle de contrôle depuis laquelle une grande entreprise règle, surveille et met à jour à distance le réseau entier qui relie ses dizaines d’agences, usines ou boutiques entre elles, et c’est ce logiciel très sensible qui se retrouve aujourd’hui troué par une faille déjà exploitée dans la nature.

Le pire ? Aucun correctif.

Référencée CVE-2026-20245 et notée 7,8 sur 10 sur l’échelle CVSS, le barème qui classe la dangerosité des failles de zéro à dix, la vulnérabilité permet à un attaquant déjà titulaire d’un compte d’administrateur réseau, le profil baptisé netadmin chez Cisco, de téléverser un fichier piégé que le logiciel contrôle mal, puis d’exécuter ses propres commandes en root, c’est-à-dire avec les pleins pouvoirs sur la machine.

Actus Automatisées, Actus Tech, Anthropic, Claude, cryptomonnaie, cybersecurite/failles-vulnerabilites, intelligence-artificielle/actualites-ia, Sciences

Zcash – Une IA déniche en 24h une faille vieille de 4 ans

Un chercheur en sécurité, Taylor Hornby, a lâché Claude Opus 4.8 sur le code de Zcash et 24 heures plus tard, le modèle lui a déniché une faille bien planquée là depuis 4 ans qui avait échappé aux auditeurs !

Et ce qu’elle permet de faire pique un peu (ouille ouille ^^) ! Car je vous rappelle que Zcash, c’est la cryptomonnaie taillée pour l’anonymat, où les transactions sont chiffrées et validées par des preuves mathématiques (le fameux “zero-knowledge” dont je vous ai déjà parlé). Sauf que dans son pool de confidentialité le plus récent, baptisé Orchard, une vérification censée s’assurer que les transactions étaient légitimes… ne vérifiait en fait rien du tout ! En clair, vous pouviez fabriquer du ZEC à partir de rien.

Actus Automatisées, Actus Tech, Bluetooth, Creative, cybersecurite/failles-vulnerabilites, faille, hardware-diy/peripheriques, Sciences

Votre enceinte USB peut être piratée par un voisin

Un chercheur en sécurité a réussi à prendre le contrôle d’un ordinateur en passant par une simple enceinte branchée en USB, à distance, et sans jamais s’approcher de la machine.

L’appareil en question est la Sound Blaster Katana V2X, une barre de son vendue autour de 280 euros par Creative Technologies, le fabricant singapourien d’accessoires audio bien connu des joueurs. Elle se branche aussi bien sur un PC, un Mac ou un Linux, en USB comme en Bluetooth. Je la connais d’ailleurs plutôt bien,
puisque je l’ai testée sur Mac4ever
.

Actus Automatisées, Actus Tech, clavier, cybersecurite/failles-vulnerabilites, faille, libinout, linux-open-source, Sciences

Libinput corrige une faille qui transformait une fausse manette en accès root

La bibliothèque libinput est passée en version 1.31.2, et pas pour ajouter des fonctions, mais pour boucher un trou de sécurité plutôt vilain. C’est elle qui gère vos périphériques d’entrée (clavier, souris, pavé tactile, manette) sur la quasi-totalité des Linux modernes, aussi bien sous Wayland que sous l’ancien serveur graphique X.Org.

Autant dire qu’elle tourne sur presque toutes les machines de bureau sous Linux, des plus grand public aux plus pointues.

Actus Automatisées, Actus Tech, Apache, CVE-2026-49975, cybersecurite/failles-vulnerabilites, DDOS, linux-open-source/administration-serveur, Sciences

HTTP/2 Bomb : une mini-requête suffit pour faire tomber nginx, Apache ou IIS

Il y a des failles qui réclament un arsenal de hacker chevronné, et puis il y a HTTP/2 Bomb, qui se contente de quelques kilo-octets pour faire vaciller des serveurs parmi les plus utilisés de la planète. Dévoilée le 2 juin sous la référence CVE-2026-49975, elle s’attaque à HTTP/2, le protocole qui transporte une bonne partie des pages que vous consultez chaque jour.

Le résultat ressemble à une mauvaise blague. Une poignée d’octets envoyés au bon endroit, et la mémoire vive du serveur se met à enfler jusqu’à engloutir des dizaines de gigaoctets en quelques secondes, jusqu’à ce que la machine ne réponde plus à personne.