Menu

Aucun menu défini dans le customizer.

Catégorie : faille de sécurité

Ajout automatique par WPeMatico

Actus Automatisées, Actus Tech, Cybersécurité, cybersecurite/hacking-pentest, éditorial, faille de sécurité, hacking, Sciences

Pentest sauvage à base d’IA, que dit la loi ?

Benjamin Code

, le développeur préféré de votre développeur préféré, a reçu ce week-end un e-mail d’achat bidon avec le mot pentester dedans. En grattant un petit peu, il a découvert que quelqu’un s’amusait à trifouiller l’un de ses SaaS sans le prévenir.

Visiblement, c’est un autre créateur,

Melvyn

(melvynx), qui lui propose des formations autour de l’IA, qui pour les besoins d’une vidéo a fait tourner Kimi 3 en mode “hack” afin de poutrer certains sites dans le but d’utiliser les services gratuitement.

Actus Automatisées, Actus Tech, Chiffrement, cve, cybersecurite/failles-vulnerabilites, faille de sécurité, robots-drones-vehicules/robots-robotique, Sciences

Unitree – Le firmware que personne ne signe

Le 26 février dernier, lors d’une réunion d’Austin Hackers Anonymous au Texas, le chercheur Andreas Makris a fait la démo d’un outil qui permet de générer de faux firmwares Unitree, que le robot avale sans broncher comme s’ils sortaient de l’usine de Hangzhou…

Car oui, Mesdames et Messieurs, les robots Unitree ne sont pas capables de déterminer si le firmware avec lequel ils se mettent à jour a été créé par Unitree ou par quelqu’un d’autre.

Actus Automatisées, Actus Tech, cryptomonnaie, Cybersécurité, cybersecurite/actualites-securite, cybersecurite/failles-vulnerabilites, faille de sécurité, Sciences

Tangem – La faille laser qui condamne votre carte crypto à vie

Vous voyez le principe du wallet crypto au format carte bancaire ?

Ça se compose d’une puce, d’un code, et de vos précieuses clés privées cryptos planquées dedans. Et bah figurez-vous que Baptistin Boilot, un chercheur de chez Ledger Donjon, vient de montrer qu’avec un laser, un scalpel et une sacrée dose de patience, on peut imposer un nouveau code à une carte Tangem sans jamais connaître l’ancien. C’est en tout cas
la démonstration que vient de publier
son labo, et le plus dingue, c’est que ça se joue sur un secure element Samsung certifié EAL6+, autrement dit le très haut du panier en matière de puces sécurisées.

Actus Automatisées, Actus Tech, cryptomonnaie, Cybersécurité, cybersecurite/actualites-securite, cybersecurite/failles-vulnerabilites, faille de sécurité, Sciences

Tangem – La faille laser qui condamne votre carte crypto à vie

Vous voyez le principe du wallet crypto au format carte bancaire ?

Ça se compose d’une puce, d’un code, et de vos précieuses clés privées cryptos planquées dedans. Et bah figurez-vous que Baptistin Boilot, un chercheur de chez Ledger Donjon, vient de montrer qu’avec un laser, un scalpel et une sacrée dose de patience, on peut imposer un nouveau code à une carte Tangem sans jamais connaître l’ancien. C’est en tout cas
la démonstration que vient de publier
son labo, et le plus dingue, c’est que ça se joue sur un secure element Samsung certifié EAL6+, autrement dit le très haut du panier en matière de puces sécurisées.

Actus Automatisées, Actus Tech, Cybersécurité, cybersecurite/failles-vulnerabilites, faille de sécurité, IA générative, intelligence-artificielle/ia-developpement, Sciences

JaiLIP – L’image piégée qui débride les IA qui voient

Md Jueal Mia et Hadi Amini, deux chercheurs de
Florida International University
, ont mis au point une méthode qu’ils ont baptisée JaiLIP qui permet de forger une image capable de contourner les gardes fous des LLM pour les jailbreaker.

Pour cela, ils utilise 2 techniques en simultanée. La première dit à l’image « reste identique à l’originale, qu’aucun humain ne voie la moindre différence » et la seconde dit « pousse le modèle à cracher la réponse interdite ». Ainsi, en poussant ces 2 curseurs d’un coup, ils obtiennent une photo qui au premier abord a l’air normale mais qui fait dérailler les modèles IA.

Actus Automatisées, Actus Tech, Android, cve, cybersecurite/actualites-securite, faille de sécurité, Samsung, Sciences

Samsung KNOX – Le bouclier qui ouvrait le kernel des Galaxy

Samsung nous vend KNOX comme le gros cadenas de nos smartphones Galaxy mais il semblerait que ce soit un gros fail. Si vous ne connaissez pas encore KNOX, c’est la couche maison de Samsung qui garde un oeil sur tout ce qui tourne dans le téléphone afin de nous PROTÉGER (retenez bien ce mot c’est important…lol).

Et bien je vous le donne dans le mille mes petits Emile, des chercheurs de LucidBit Labs viennent de prouver l’exact inverse à cause d’une faille logée dans KNOX lui-même, qui est resté grande ouvert durant ces 8 dernières années. C’est la CVE-2026-20971, notée 7.8 sur l’échelle CVSS et elle concerne à peu près tous les Galaxy sortis depuis le S9.

actualites-business, Actus Automatisées, Actus Tech, cybersecurite/failles-vulnerabilites, faille de sécurité, FIFA, hacking éthique, Sciences

FIFA – Un hacker pouvait rickroller le Mondial 2026 en direct

Avis aux fans de foot parmi vous qui comptent regarder cette Coupe du Monde 2026, j’ai une bonne et une mauvaise nouvelle à vous annoncer ! Non, je déconne, je n’ai que des mauvaises nouvelles à vous annoncer !

La première, c’est qu’un chercheur en sécurité qui se fait appeler BobDaHacker s’est inscrit comme agent de joueurs sur la plateforme publique de la FIFA, et s’est retrouvé, quelques clics plus tard, à prendre possession des commandes de TOUS LES FLUX caméra de la Coupe du Monde ! Oui, tous ces flux en direct diffusés sur toutes les chaînes du monde.

Actus Automatisées, Actus Tech, cve, Cybersécurité, cybersecurite/failles-vulnerabilites, faille de sécurité, intelligence-artificielle/ia-developpement, Sciences

BadHost – Un caractère et votre agent IA passe à l’ennemi

Les chercheurs de
X41 D-Sec
viennent de divulguer une faille critique baptisée BadHost (CVE-2026-48710) dans Starlette, le framework Python qui sert de fondation à FastAPI,
vLLM
,
LiteLLM
et une grande partie des serveurs MCP basés sur FastAPI.

325 millions de téléchargements par semaine, et il suffit d’injecter un seul caractère dans le header HTTP “Host” pour contourner les contrôles d’accès path-based qui lisent “request.url.path” dont autant dire que beaucoup de déploiements d’agents IA en production tournent en ce moment avec une porte d’entrée très mal verrouillée.

Actus Automatisées, Actus Tech, API, Cloud, cybersecurite/failles-vulnerabilites, developpement/api-services, faille de sécurité, Sciences

Les clés API Google encore en vie même après leur suppression

Vous supprimez une clé API Google
qui a fuité
, et l’interface vous confirme que c’est bien réglé, que la clé ne fonctionne plus. Alors vous commencez à vous détendre en vous disant que vous avez bien fait votre boulot.

BAH NAN !

Car vous ne le savez pas, mais cette clé va continuer de fonctionner encore durant 23 minutes. C’est en tout cas ce qu’ont mesuré les chercheurs d’Aikido Security en testant ce truc tout bête de révoquer une clé, puis de taper sur l’API en boucle pour voir quand ça s’arrêtait vraiment.