🔍 Contexte Publié le 23 juillet 2026 par Oren Yomtov (Principal Security Researcher, Accomplish), cet article technique détaille une chaîne d’exploitation baptisée SharedRoot affectant Claude Cowork, l’environnement d’exécution d’agents IA d’Anthropic pour macOS. La vulnérabilité a été signalée à Anthropic, qui l’a classée « Informative ». 🧱 Architecture de l’environnement ciblé Claude Cowork exécute les agents dans une VM Linux via le framework Apple Virtualization, avec : Un utilisateur de session non privilégié par session Un filtre seccomp Un daemon root (coworkd) gérant les montages de dossiers Le système de fichiers hôte entier (/) monté en lecture-écriture dans la VM à /mnt/.virtiofs-root, accessible uniquement par root dans le guest ⛓️ Chaîne d’exploitation SharedRoot Obtention de capacités : L’utilisateur non privilégié appelle unshare pour créer un namespace utilisateur (feature kernel non désactivée), obtenant CAP_NET_ADMIN à l’intérieur Chargement du module vulnérable : Avec CAP_NET_ADMIN, configuration d’une action tc utilisant le module act_pedit, autoloadé par le kernel via netlink (autorisé par le filtre seccomp permissif) Primitive d’écriture : Exploitation de CVE-2026-46331 (« pedit COW », bug Ubuntu public de juin 2026) permettant d’empoisonner le cache de pages d’un binaire en lecture seule sans modifier les octets sur disque Escalade vers guest-root : coworkd (root, non durci) ré-exécute le binaire helper empoisonné ; comme le processus exécutant est déjà root, NoNewPrivs ne s’applique pas Évasion de la VM : Guest-root accède à /mnt/.virtiofs-root — l’intégralité du système de fichiers hôte macOS — en lecture/écriture, sans aucune invite de permission 🎯 Impact Accès en lecture/écriture à l’ensemble du système de fichiers macOS de l’utilisateur connecté Exfiltration possible de clés SSH, credentials cloud, et tout fichier accessible par le compte utilisateur Exploitation déclenchée par un simple message dans une session Cowork avec un dossier connecté 🔐 Quatre décisions de conception identifiées comme défaillances Namespaces utilisateur non privilégiés activés : apparmor_restrict_unprivileged_userns=1 aurait bloqué la première étape Filtre seccomp en liste noire permissive : Un filtre en liste blanche refusant unshare, setns, clone3 et AF_NETLINK aurait bloqué la chaîne Autoload de modules non nécessaires : L’utilisation de install act_pedit /bin/false (pattern déjà appliqué par Cowork pour un autre module) aurait empêché le chargement de act_pedit Montage du système de fichiers hôte entier : Scoper le montage aux seuls dossiers connectés aurait contenu l’impact même avec guest-root 📌 Statut et mitigation Anthropic a classé le rapport « Informative » (CVE dans la fenêtre de 30 jours du programme). Cowork utilise désormais l’exécution cloud par défaut, ce qui rend ce vecteur d’évasion local inapplicable dans cette configuration. ...

📊 Contexte Sophos publie la septième édition de son rapport annuel State of Ransomware, basé sur une enquête indépendante menée par Vanson Bourne au T1 2026 auprès de 2 158 responsables IT et cybersécurité dans 17 pays, dont les organisations avaient été victimes de ransomware dans les 12 mois précédents. 🎯 Vecteurs d’attaque principaux Le changement majeur de cette édition concerne les causes techniques des attaques : Emails malveillants : 26% (nouveau n°1) Phishing : 24% (nouveau n°2) Credentials compromis : 23% Vulnérabilités exploitées : 18% (en baisse de 14 points par rapport à 2025) 79% des attaques ont débuté par une approche basée sur l’identité (compromission ou abus de credentials). ...

🗓️ Contexte Article publié le 23 juillet 2026 par The Guardian. Il relate une affaire judiciaire en cours aux États-Unis impliquant l’utilisation de GrapheneOS, un système d’exploitation mobile open-source axé sur la vie privée, dans le cadre de poursuites fédérales contre un militant du mouvement anti-Cop City. 📋 Faits principaux Sam Tunick, résident d’Atlanta, a été intercepté le 24 janvier 2025 à l’aéroport Hartsfield-Jackson d’Atlanta à son retour de République Dominicaine. Les autorités fédérales l’avaient préalablement inscrit sur une liste de surveillance terroriste en raison de son association présumée avec le mouvement contre le centre d’entraînement policier « Cop City ». Trois heures avant son arrivée, un agent de la sécurité intérieure avait diffusé un email contenant son nom et sa photo, mentionnant une enquête pour « activités terroristes suspectées », transmis à la CBP et au FBI. Lors de l’interrogatoire, les agents ont demandé à plusieurs reprises à Tunick de déverrouiller son téléphone, menaçant de le saisir en cas de refus. Lorsqu’il a finalement fourni le code d’accès, l’écran est devenu noir, a clignoté plusieurs fois et le téléphone a semblé redémarrer — comportement caractéristique de la fonction d’effacement de GrapheneOS. Tunick a demandé à parler à un avocat quatre fois sans succès. Aucun mandat n’a été présenté et ses droits ne lui ont pas été lus. ⚖️ Enjeux juridiques Le DOJ invoque un statut fédéral peu connu criminalisant la destruction de biens pour empêcher leur saisie. La défense a déposé une motion pour suppression des preuves, arguant de violations des droits constitutionnels. La décision du juge est attendue au plus tôt fin octobre 2026. L’interrogatoire centré sur des images pédopornographiques est qualifié de prétexte par la défense pour investiguer les liens de Tunick avec le mouvement anti-Cop City. 🌍 Dimension internationale En Catalogne (Espagne), la police profile les utilisateurs de Google Pixel en supposant qu’ils ont GrapheneOS installé, les assimilant à des trafiquants de drogue ou membres de gangs. En France et en Espagne, des autorités ont été confrontées à des difficultés pour accéder aux téléphones de journalistes, avocats et opposants politiques utilisant GrapheneOS. 🔍 Réactions d’experts Christophe Boutry (expert cybersécurité et surveillance, France) : l’affaire « envoie le message que GrapheneOS est criminel par défaut ». Bill Buddington (Electronic Frontier Foundation) : aucun précédent similaire connu. 📌 Nature de l’article Article de presse généraliste à forte dimension CTI et cyberlégislation, documentant la première utilisation connue d’un statut fédéral américain contre l’usage d’un OS mobile privacy-focused, avec des implications pour la criminalisation des outils de protection de la vie privée. ...

🔍 Contexte Le CERT-UA a publié le 21 juillet 2026 une analyse technique détaillant une évolution significative des tactiques du cluster de cybermenaces UAC-0099, observée depuis mi-été 2026. 🎯 Vecteur d’infection La chaîne d’infection débute par un email de phishing contenant une image cliquable redirigeant via un service de raccourcissement d’URL vers un fichier ZIP malveillant (ex : Додатки до розпорядження.zip). L’archive contient un script VBS à double extension (ex : Заводський район.pdf .vbs) avec des espaces intentionnels pour masquer l’extension réelle. Ce script : ...

🏛️ Contexte Le 22 juillet 2026, la CISA, le FBI, la NSA, l’EPA, le DOE, le CNMF et le Département du Trésor ont publié une mise à jour de l’advisory AA26-097A (initialement publié le 7 avril 2026) concernant l’exploitation active de PLCs (automates programmables industriels) exposés sur internet par des acteurs APT affiliés à l’Iran. 🎯 Acteurs et ciblage Les agences attribuent cette activité à un groupe APT affilié à l’Iran, lié à l’IRGC Cyber Electronic Command (CEC). Ce groupe est rapproché des CyberAv3ngers (alias Shahid Kaveh Group, Hydro Kitten, Storm-0784, Bauxite, UNC5691, etc.), déjà responsables d’attaques similaires en novembre 2023 contre des PLCs Unitronics. ...

📰 Source : The Record Media — Date : 22 juillet 2026 — Contexte : Mise à jour d’une advisory fédérale américaine initialement publiée en avril 2026 par la CISA, le FBI et l’EPA concernant des attaques sur des systèmes OT exposés sur Internet. 🎯 Élargissement du périmètre ciblé L’advisory initiale portait sur les automates programmables (PLC) des fabricants Rockwell Automation et Allen-Bradley. La révision du 22 juillet 2026 étend la portée aux équipements de Schneider Electric, Siemens, et potentiellement d’autres fabricants de PLC. ...

🔍 Contexte Rapport publié le 23 juillet 2026 par Unit 42 (Palo Alto Networks) sur la base de l’URL https://unit42.paloaltonetworks.com/russian-webmail-espionage. L’article documente une campagne de cyberespionnage active, désignée CL-STA-1114, attribuée à un acteur russophone également suivi sous les noms Void Blizzard et LAUNDRY BEAR par d’autres éditeurs. 🎯 Ciblage La campagne cible des organisations dans les secteurs suivants : Gouvernements Défense Transport Finance Les régions concernées incluent les États membres de l’OTAN, l’Ukraine, les pays de la CEI (Communauté des États Indépendants) et l’Afrique. ...

🔍 Contexte L’Acronis Threat Research Unit (TRU) a publié le 21 juillet 2026 une analyse technique détaillée d’une campagne active du malware Lampion, ciblant principalement les utilisateurs portugais. Lampion est une famille de malware bancaire brésilien, dérivée de la lignée ChePro, documentée pour la première fois en décembre 2019. 🎣 Vecteur initial : phishing financier Les attaquants diffusent des emails de phishing se faisant passer pour des communications financières ou administratives légitimes. Les leurres incluent de faux reçus de paiement (« comprovativo ») et abusent de la marque SAPO, portail internet portugais opéré par Altice Portugal. Les pièces jointes sont des archives ZIP contenant des fichiers HTML fortement obfusqués (~1,3 Mo), artificiellement gonflés pour contourner la détection statique. ...

🎯 Contexte Source : Ransom-ISAC, publié le 22 juillet 2026. À partir du 20 juillet 2026, Ransom-ISAC a commencé à observer une campagne d’extorsion de données attribuée à des affiliés du groupe Cl0p ransomware (alias Graceful Spider, Chubby Scorpius, FIN11, Lace Tempest), ciblant des déploiements exposés sur Internet de PTC Windchill et FlexPLM. 🔗 Chaîne d’exploitation La campagne repose sur un enchaînement de deux vulnérabilités : Divulgation d’informations WSDL FlexPLM (pré-authentification) Faille du servlet de connexion Windchill permettant une exécution de code à distance (RCE) non authentifiée Cette chaîne aboutit au déploiement de webshells JSP sur les systèmes compromis et à l’exfiltration de données. ...

📰 Source : BleepingComputer, publié le 22 juillet 2026 Contexte La Corée du Sud a divulgué publiquement une violation de données affectant l’Académie diplomatique nationale (National Diplomatic Academy). La plateforme d’éducation en ligne ciblée avait été mise en place en 2022 pour soutenir la formation à distance durant la pandémie de COVID-19, et est depuis utilisée pour la formation du personnel gouvernemental et la vidéoconférence. Déroulement de l’incident 🗓️ Début de la compromission : avril 2025, via l’exploitation d’une vulnérabilité sur le serveur de l’Académie 🗓️ Durée de l’accès non détecté : 10 mois (avril 2025 – février 2026) 🔍 Découverte : février 2026, par le National Intelligence Service (NIS) de Corée du Sud, qui a alerté le ministère 📢 Divulgation publique : 22 juillet 2026, soit 5 mois après la découverte Données exposées Les informations suivantes ont été compromises pour les employés actuels et anciens du ministère des Affaires étrangères (MFA) : ...