Monde

Selon BleepingComputer, une vulnérabilité d’injection SQL affecte Ally, un plugin WordPress d’Elementor dédié à l’accessibilité et l’ergonomie web, comptant plus de 400 000 installations. Cette faille pourrait être exploitée sans authentification pour dérober des données sensibles. ⚠️ P## Vulnérabilité SQL injection dans le plugin WordPress Ally (Elementor) Résumé Une vulnérabilité SQL injection critique affecte le plugin Ally, un module WordPress développé par Elementor pour améliorer l’accessibilité des sites web. CVE : CVE-2026-2413 Gravité : élevée Installations : plus de 400 000 sites WordPress Sites encore vulnérables : plus de 250 000 La faille permet à un attaquant non authentifié d’exécuter des requêtes SQL malveillantes et d’extraire des données sensibles de la base de données. ...

Selon Salesforce, des attaquants ciblent des sites basés sur Experience Cloud mal configurés, exposant des données à des utilisateurs invités au-delà de ce qui était prévu, tandis que le gang d’extorsion ShinyHunters affirme exploiter activement un nouveau bug pour voler des données depuis des instances. ⚠️ Salesforce Experience Cloud : campagne de vol de données liée à des sites mal configurés Résumé Salesforce a publié une alerte sur une campagne visant des sites Experience Cloud exposés publiquement et mal configurés, où le profil guest user donne accès à plus de données que prévu. L’activité vise notamment l’endpoint /s/sfsites/aura et s’appuie sur une version modifiée de l’outil AuraInspector, initialement développé par Mandiant pour auditer les permissions. Salesforce affirme qu’il ne s’agit pas d’une vulnérabilité native de la plateforme, mais d’un problème de configuration client. ...

Selon BleepingComputer, WhatsApp a commencé le déploiement de comptes gérés par les parents pour les préadolescents, offrant aux parents et tuteurs davantage de contrôle sur les interactions des jeunes utilisateurs. • La plateforme introduit des comptes gérés par les parents destinés aux préadolescents. • Les parents/tuteurs peuvent décider qui est autorisé à contacter ces comptes. • Ils peuvent également contrôler quels groupes les jeunes peuvent rejoindre. Cette annonce présente une mise à jour de produit axée sur la sécurité et la protection des mineurs au sein du service de messagerie. ...

Selon SentinelOne (billet de blog DFIR), plusieurs incidents début 2026 montrent des FortiGate compromis servant de point d’entrée pour des mouvements latéraux profonds dans Active Directory, avec exploitation de failles SSO corrigées par Fortinet et carences de logs compliquant l’attribution. • Vulnérabilités et accès initial: exploitation de CVE-2025-59718 et CVE-2025-59719 (SSO ne validant pas les signatures cryptographiques) et de CVE-2026-24858 (FortiCloud SSO), permettant un accès administrateur non authentifié. Des acteurs tentent aussi des connexions avec identifiants faibles. Une fois sur l’appliance, l’attaque consiste à extraire la configuration via la commande show full-configuration et à déchiffrer les identifiants AD/LDAP, les fichiers de configuration FortiOS étant chiffrés de façon réversible. Le délai entre compromission périmétrique et action réseau a varié de 2 mois à quasi immédiat. ...

Source: VulnCheck — Exploit Intelligence Report 2026. Ce rapport rétrospectif et chiffré dresse le panorama de l’exploitation des vulnérabilités en 2025 (500+ sources, 2 douzaines d’indices VulnCheck), en priorisant l’exploitation in‑the‑wild, la maturité des exploits et le comportement des attaquants. Chiffres clés et tendances 48 174 CVE publiées en 2025 (83% avec identifiant 2025) ; ~1% exploitées in‑the‑wild à fin 2025. 14 400+ exploits pour des CVE 2025 (+16,5% YoY), mais >98% restent des PoC non weaponized ; 417 exploits weaponized (majoritairement privés/commerciaux). 884 vulnérabilités ajoutées au VulnCheck KEV en 2025 (47,7% avec identifiant 2025) ; 28,96% exploitées le jour de la publication CVE ou avant. Ransomware: 39 CVE 2025 attribuées, 56,4% découvertes via exploitation zero‑day ; 1/3 sans exploit public/commercial au 01/2026. Montée du bruit IA: prolifération de faux/faux‑positifs PoC générés par IA, contaminant l’écosystème (ex: premiers PoC React2Shell non fonctionnels largement relayés). Vulnérabilités phares 2025 ...

Source: Anthropic — Contexte: Anthropic détaille une collaboration avec Mozilla où son modèle Claude Opus 4.6 a servi à découvrir et aider à corriger des vulnérabilités dans Firefox, avec publication de correctifs dans Firefox 148.0. 🔍 Découvertes clés: Claude Opus 4.6 a identifié 22 vulnérabilités en deux semaines, dont 14 de haute gravité (près d’un cinquième des vulnérabilités haute gravité remédiées en 2025). Mozilla a expédié des correctifs à des centaines de millions d’utilisateurs dans Firefox 148.0, le reste arrivant dans des versions ultérieures. En février 2026, ces signalements dépassent tout mois individuel de 2025. ...

Selon The Verge, DJI a décidé de récompenser de 30 000 $ le chercheur Sammy Azdoufal après la mise en lumière d’un accès à un réseau d’environ 7 000 aspirateurs robots Romo, tout en précisant avoir déjà corrigé une faille de visualisation de flux vidéo sans PIN et en préparer d’autres correctifs. • Paiement et attribution 🎁 — DJI confirme avoir « récompensé » un chercheur (sans le nommer) et, d’après l’email partagé avec The Verge, versera 30 000 $ pour une seule découverte, sans préciser laquelle. Ce développement intervient après la révélation mi-février d’un accès à des milliers de Romo permettant d’observer l’intérieur de foyers. ...

Selon Computer Weekly, citant le rapport de la Google Threat Intelligence Group (GTIG) « Look what you made us patch: 2025 zero-days in review », les fournisseurs de surveillance commerciale (CSV) ont dépassé les acteurs étatiques dans l’exploitation initiale des zero-days en 2025. Sur 42 zero-days uniques suivis où la première exploitation a été attribuée, 15 l’ont été à des CSV, 12 à des acteurs étatiques (dont 7 liés à la Chine), et 9 à des cybercriminels motivés financièrement. GTIG relève en plus 3 zero-days « probablement » exploités par la Chine, et 1 à l’intersection crime/État. Les CSVs renforcent leur OPSEC tout en élargissant l’accès aux exploits zero-day à davantage d’acteurs; le cas Intellexa est cité pour l’adaptation continue de ses opérations et de son outilset. ...

Cette publication présente Neko, un navigateur virtuel auto‑hébergé diffusant un environnement Linux via WebRTC, axé sur la sécurité, la confidentialité et la collaboration. • Neko fournit un navigateur/desktop virtuel tournant dans Docker (ou sur l’hôte), accessible depuis n’importe où, avec multi‑accès simultané, contrôle partagé, audio/vidéo synchronisés et un flux WebRTC fluide. Il peut exécuter un navigateur, des applications Linux (ex. VLC) ou un desktop complet (XFCE, KDE). 🐱 • Cas d’usage principaux: watch parties 🎬, présentations interactives (contrôle par d’autres), collaboration (co‑browsing, debug), support/enseignement, et intégration dans des apps web (alternative open source à Hyperbeam API). Des rooms peuvent être gérées via « neko-rooms ». ...

Selon BleepingComputer, des acteurs de la menace liés au rançongiciel, suivis sous le nom Velvet Tempest, emploient la technique ClickFix et des utilitaires Windows légitimes pour déployer le malware DonutLoader et la porte dérobée CastleRAT. Velvet Tempest utilise ClickFix pour déployer DonutLoader et CastleRAT Contexte Le groupe cybercriminel Velvet Tempest (également suivi sous DEV-0504) a été observé utilisant la technique ClickFix et des outils Windows légitimes pour déployer les malwares DonutLoader et CastleRAT. ...