Posts

🔍 Contexte Le 28 octobre 2026, l’équipe de sécurité Drupal a publié l’avis de sécurité SA-CONTRIB-2026-254 concernant le module Commerce Core (nom machine : commerce), utilisé pour la vente de biens et services via Drupal. ⚠️ Vulnérabilité Type : Access bypass (contournement d’accès) Criticité : Highly critical — score 21/25 (AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All) CVE : CVE-2026-118539 Versions affectées : < 2.41 et >= 3.0.0 < 3.3.13 Le module ne protège pas suffisamment certaines routes et champs d’entités, permettant un contournement d’accès susceptible d’avoir un impact financier direct sur les vendeurs. ...

Selon ENISA (Agence de l’Union européenne pour la cybersécurité), ce document v1.1 publié en mars 2026 fournit un avis technique pour sécuriser la consommation de paquets dans les écosystèmes logiciels (npm, pip, Maven, etc.), en couvrant les risques, les menaces supply chain et des recommandations opérationnelles pour les développeurs. • Panorama des risques et du contexte Le guide distingue deux grandes familles de risques: vulnérabilités inhérentes aux paquets (mauvaises pratiques de codage, projets abandonnés) et attaques de la supply chain (insertion de paquets malveillants, compromission de paquets légitimes, typosquatting, namespace/dependency confusion). Il illustre l’ampleur potentielle via des exemples concrets (ex.: incident npm touchant des paquets à très fort volume de téléchargements; vulnérabilité critique React CVE-2025-55182) et rappelle l’effet de cascade sur des millions de projets. • Menaces supply chain mises en avant ⚠️ ...

Source : GitGuardian (blog), en collaboration avec Google — résultats présentés à Real World Crypto (RWC) 2026 à Taipei. L’étude analyse à l’échelle d’Internet l’impact réel des fuites de clés privées en reliant des clés exposées publiquement aux certificats TLS via Certificate Transparency (CT). • Portée et risque 🔐: Depuis 2021, environ 1 M de clés privées uniques ont été détectées sur GitHub et DockerHub. En s’appuyant sur l’infrastructure CT de Google, les chercheurs ont associé >40 000 clés à 140 000 certificats TLS. Au septembre 2025, 2 622 certificats restaient valides, dont >900 protégeant des Fortune 500, des établissements de santé et des agences gouvernementales. Les fuites de clés TLS permettent l’usurpation de sites, l’interception/manipulation de données et potentiellement la décryption de communications passées si la PFS n’était pas généralisée. ...

📄 Source : arXiv (arXiv:2610.39807), soumis le 29 octobre 2026, présenté à l’AISec Workshop ‘26 dans le cadre d’ACM CCS 2026 (La Haye, Pays-Bas). Auteurs : Hicham Hammouchi et Gabriele Lenzini. 🎯 Contexte Les infrastructures d’inférence IA — stacks de serving de LLM, APIs d’inférence commerciales, bases de données vectorielles, passerelles d’orchestration d’agents — sont désormais exposées sur l’internet public et indexées par des scanners automatisés en quelques heures après leur déploiement. Les frameworks honeypot existants ont été conçus pour des services réseau conventionnels et ne sont pas adaptés à cette nouvelle surface d’attaque. ...

Selon SentinelOne (billet de blog DFIR), plusieurs incidents début 2026 montrent des FortiGate compromis servant de point d’entrée pour des mouvements latéraux profonds dans Active Directory, avec exploitation de failles SSO corrigées par Fortinet et carences de logs compliquant l’attribution. • Vulnérabilités et accès initial: exploitation de CVE-2025-59718 et CVE-2025-59719 (SSO ne validant pas les signatures cryptographiques) et de CVE-2026-24858 (FortiCloud SSO), permettant un accès administrateur non authentifié. Des acteurs tentent aussi des connexions avec identifiants faibles. Une fois sur l’appliance, l’attaque consiste à extraire la configuration via la commande show full-configuration et à déchiffrer les identifiants AD/LDAP, les fichiers de configuration FortiOS étant chiffrés de façon réversible. Le délai entre compromission périmétrique et action réseau a varié de 2 mois à quasi immédiat. ...

📅 Publié le 02/11/2026, cet article est la documentation officielle du projet open source SpikeStrip, hébergé sur GitHub par Arcanum-Sec. 🎯 Contexte et objectif SpikeStrip est un outil défensif expérimental conçu pour perturber les agents IA d’automatisation de tests de sécurité, notamment les forks publics d’ARTEX. Il insère des commentaires-leurres réversibles dans des fichiers .html, .htm, .js, .mjs et .cjs afin de rediriger, distraire ou saturer ces agents lors de leurs évaluations. ...

🎯 Contexte Publié sur GitHub (nishikawaakira/waf-dojo), WAF Dojo est un projet open source de formation pratique à AWS WAF (Web Application Firewall). Il s’adresse aux équipes de sécurité souhaitant acquérir des compétences opérationnelles en configuration de règles WAF à travers une approche ludique et compétitive. 🏗️ Architecture et fonctionnement Chaque joueur dispose de son propre environnement AWS isolé comprenant : ALB (Application Load Balancer) avec un Web ACL dédié Lambda pour la génération de trafic (trafficgen), l’application cible (targetapp) et l’API de jeu (gameapi) DynamoDB pour le stockage des scores et des sessions CloudFront avec un Web ACL distinct pour l’inspection de corps jusqu’à 64 KB La plateforme utilise uTLS pour générer des ClientHellos TLS variés (Chrome, Firefox, Safari, outils d’attaque) afin de pratiquer la détection par empreinte JA4. ...

Selon SECTØR (Flare), l’acteur russophone « Snow », actif sur le forum XSS depuis août 2023, vend et opère des outils offensifs visant les entreprises, dont un pipeline distribué de découverte/attaque de VPN et un « Active Directory Dumper v2.0 ». • Profil et activité: « Snow » a publié 526 messages sur XSS, démontre une forte expertise technique (malware, architecture système, pentest, sécurité d’entreprise) et une motivation principalement financière (vente d’outils, contenus techniques pour soigner sa réputation). Les outils et techniques visent des organisations mondiales, particulièrement aux États‑Unis, en Europe et autres économies « Tier‑1 ». ...

KrebsOnSecurity publie un article sur les assistants/agents basés sur l’IA 🤖, décrits comme des programmes autonomes capables d’accéder à l’ordinateur de l’utilisateur, à ses fichiers et à ses services en ligne, et d’automatiser quasiment n’importe quelle tâche. Les assistants IA autonomes : nouvelle surface d’attaque majeure pour les organisations Contexte Les assistants IA autonomes (“AI agents”) connaissent une adoption rapide auprès des développeurs et des équipes IT. Ces agents peuvent : ...

Source : monxresearch-sec (GitHub Pages). Contexte : publication technique du 8 mars 2026 documentant la compromission supply-chain d’une extension Chrome « Featured » (ShotBird) transformée en canal de commande/contrôle et en tremplin vers une compromission hôte Windows. Nature de l’attaque : compromission de chaîne d’approvisionnement d’une extension Chrome suivie d’abus en navigateur (injection de fausses mises à jour, capture de formulaires) et pivot vers l’hôte via un faux installeur. L’extension (ID: gengfhhkjekmlejbhmmopegofnoifnjp) aurait changé d’opérateur fin 2025-début 2026, puis a commencé à baliser vers une infra attaquante, exécuter des scripts de tâches distants, supprimer des en-têtes de sécurité, et pousser des scénarios de mise à jour factices. ...