Source : billet de blog personnel (février 2026). Contexte : un instructeur de plongée et ingénieur plateforme relate la découverte (avril 2025) d’une faille critique d’authentification sur le portail membres d’un grand assureur de plongée immatriculé à Malte, puis son parcours de divulgation coordonnée et la réponse juridique reçue. • La vulnérabilité reposait sur des identifiants utilisateur numériques séquentiels utilisés pour la connexion et un mot de passe par défaut statique non imposé au changement lors de la première connexion, sans limitation de débit, verrouillage de compte ni MFA. Cela permettait d’accéder aux données personnelles (nom, adresse, email, téléphone, date de naissance) d’utilisateurs, y compris de mineurs. Le chercheur a confirmé le minimum nécessaire et a cessé ses vérifications. Divulgation initiale le 28 avril 2025 avec embargo de 30 jours (jusqu’au 28 mai 2025). ...

Selon CyberSecurityNews.com (20 février 2026), l’équipe OX Security Research a identifié trois vulnérabilités critiques dans quatre extensions Visual Studio Code très répandues, confirmées aussi sur les IDE Cursor et Windsurf. Au total, ces extensions cumulent plus de 128 millions de téléchargements, révélant un angle mort de la chaîne d’approvisionnement logicielle: la machine du développeur. • Extensions et vulnérabilités clés CVE-2025-65717 – Live Server (CVSS 9.1, 72M+ téléchargements) : exfiltration de fichiers à distance via la fonctionnalité localhost. Versions affectées: toutes. CVE-2025-65715 – Code Runner (CVSS 7.8, 37M+ téléchargements) : exécution de code à distance (RCE). Versions affectées: toutes. CVE-2025-65716 – Markdown Preview Enhanced (CVSS 8.8, 8.5M+ téléchargements) : exécution JavaScript menant à scan de ports locaux et exfiltration de données. Versions affectées: toutes. (Sans CVE) Microsoft Live Preview (11M+ téléchargements) : XSS en un clic permettant exfiltration complète des fichiers de l’IDE, corrigée discrètement en v0.4.16+ sans attribution publique à OX Security. • Contexte et impact Les extensions d’IDE opèrent avec des permissions proches de l’administrateur, pouvant exécuter du code, lire/modifier des fichiers et communiquer sur le réseau local sans alerter les contrôles classiques. Selon OX Security, une seule extension malveillante ou vulnérable peut suffire à permettre des mouvements latéraux et compromettre une organisation entière. ...

Selon Iru Threat Intelligence (Calvin So), publié le 19 février 2026, des chercheurs ont analysé une campagne de « loader » macOS diffusée massivement via des DMG se faisant passer pour des plugins audio crackés. La campagne met en œuvre un loader multi‑étapes livré par des DMG non signés contenant un binaire Mach‑O (« Meta Installer ») et un script Bash. Le binaire (x86_64, ciblant Intel et potentiellement Apple Silicon via Rosetta) lit un Installer.plist pointant vers un C2 pour récupérer des charges utiles. Pour contourner Gatekeeper/XProtect, les opérateurs recourent à des chaînes en plusieurs étapes avec des scripts obfusqués et des leurres ClickFix (fenêtre navigateur incitant l’utilisateur à copier/coller des commandes), transformant l’utilisateur en exécuteur du code malveillant. ...

Selon un FLASH TLP:CLEAR du FBI daté du 19 février 2026, les autorités constatent une augmentation notable des incidents de jackpotting d’ATM aux États-Unis, avec diffusion d’indicateurs de compromission (IOCs) et de recommandations de mitigation. 🚨 Synthèse de la menace Plus de 1 900 incidents de jackpotting d’ATM recensés depuis 2020, dont plus de 700 en 2025 pour plus de 20 M$ de pertes. Des malwares, notamment la famille Ploutus, ciblent les ATM pour forcer la distribution d’espèces sans transaction légitime. Les attaques visent les machines (et non les comptes clients) et se déroulent très rapidement, souvent détectées après coup. 🧪 Détails techniques clés ...

Source: billet de blog de Filippo Valsorda (filippo.io), publié le 20 février 2026. Contexte: retour d’expérience sur la gestion des vulnérabilités et des mises à jour de dépendances dans l’écosystème Go, avec un cas concret lié à un correctif cryptographique. — • L’auteur affirme que Dependabot génère une forte charge d’alertes inutiles (faux positifs, scores CVSS fantaisistes, « compatibilité » alarmiste), en particulier pour Go. Exemple à l’appui: après un correctif de sécurité publié pour filippo.io/edwards25519 (méthode Point.MultiScalarMult), Dependabot a ouvert des milliers de PRs vers des dépôts non affectés, y compris un faux avertissement pour le dépôt Wycheproof qui n’importait que le sous-paquet non concerné (filippo.io/edwards25519/field). ...

Selon GNT, face à l’explosion des signalements d’appels frauduleux en 2025, l’Arcep impose depuis le 1er janvier 2026 une authentification obligatoire des numéros par les opérateurs, afin de lutter contre l’usurpation (spoofing) et le démarchage abusif. La mesure force les opérateurs (Orange, Free, etc.) à certifier l’origine de chaque appel. Les appels non authentifiables sont marqués comme suspects, instaurant un filtrage à la source qui élimine une grande partie des appels robots avant la sonnerie. Cette contrainte rend le démarchage illégal plus complexe et moins rentable. ...

Selon Frandroid, sur la base d’une enquête de Cybernews, un prestataire d’identité très utilisé par les banques et fintechs, IDMerit, a laissé accessible une base MongoDB non protégée contenant des données KYC. L’exposition concerne environ 1 milliard d’individus dans le monde, dont près de 52 millions en France. 🔓 Le 11 novembre 2025, des chercheurs de Cybernews découvrent une instance MongoDB d’environ 1 To accessible à quiconque, sans mot de passe ni pare-feu. IDMerit est alerté et sécurise l’accès le lendemain. Il ne s’agit pas d’un piratage, mais d’une exposition due à une configuration ouverte; la durée d’exposition et les accès éventuels restent inconnus. Les chercheurs rappellent que des crawlers peuvent aspirer une base non protégée en 24 h. ...

Selon Help Net Security (19 février 2026), l’état-major polonais a décidé d’interdire l’entrée des voitures fabriquées en Chine sur les sites militaires sensibles, à la suite d’une analyse de risque portant sur l’intégration croissante des systèmes numériques dans les véhicules et le risque d’acquisition et d’utilisation non contrôlées de données. 🚗🔒 Les nouvelles règles interdisent aussi de connecter des téléphones officiels aux systèmes d’infodivertissement des voitures d’origine chinoise. Elles s’appliquent également aux autres véhicules motorisés équipés d’appareils intégrés ou additionnels capables d’enregistrer la position, l’image ou le son. ...

Selon le blog de Let’s Encrypt (Samantha Frank, 18 février 2026), l’autorité met en œuvre un nouveau type de défi ACME, DNS-PERSIST-01, basé sur un brouillon IETF et aligné avec le bulletin CA/B Forum SC-088v3 adopté en octobre 2025. DNS-01 exige une preuve de contrôle répétée à chaque émission/renouvellement via un enregistrement TXT temporaire sous _acme-challenge.<domaine>. Cela implique des délais de propagation DNS, des mises à jour fréquentes et la distribution de crédentiels d’écriture DNS dans les chaînes d’automatisation. ...

Selon l’annonce du projet « LSA Whisperer BOF » (port de l’outil LSA Whisperer de SpecterOps), ce module apporte aux C2 des capacités d’accès aux paquets d’authentification Windows via l’API légitime LsaCallAuthenticationPackage, sans lecture mémoire ni handle sur LSASS, y compris lorsque PPL et Credential Guard sont activés. 🔧 Capacités principales par module: MSV1_0: récupération de clés DPAPI (classiques et « strong »), génération de réponses NTLMv1 avec défi choisi. Kerberos: liste des tickets, dump de tickets (blobs .kirbi en base64 avec clés de session), purge sélective par nom de serveur. CloudAP: extraction de cookies SSO (Entra ID/Azure AD, device, AD FS) et informations cloud (statut TGT/DPAPI). 🛠️ Architecture et intégration: ...