Authentification

🔍 Contexte Le CERT/CC (Carnegie Mellon University) a publié le 6 juillet 2026 la note de vulnérabilité VU#213560 concernant la découverte d’une backdoor d’authentification cachée dans plusieurs versions du firmware de routeurs et équipements réseau Tenda. 🛠️ Description technique Le binaire du serveur web /bin/httpd contient une fonction login() qui, en cas d’échec de l’authentification normale (basée sur MD5), invoque GetValue("sys.rzadmin.password") pour récupérer un mot de passe alternatif depuis la configuration de l’appareil. Une comparaison en clair via strcmp() est ensuite effectuée entre le mot de passe fourni par l’utilisateur et cette valeur. En cas de correspondance, un accès administrateur (role=2) est accordé avec création d’une session valide. ...

📰 Source : TechCrunch — 24 juin 2026 Le chercheur en sécurité Scott Helme a lancé le site whynopasskeys.com, dont l’objectif est de nommer publiquement les entreprises qui ne proposent pas encore les passkeys comme option d’authentification à leurs utilisateurs. 🔐 Contexte technique : Les passkeys sont désormais considérées comme le standard de sécurité de référence pour la protection des comptes. Elles sont générées par l’appareil de l’utilisateur, liées à ce terminal et au site concerné, et peuvent s’appuyer sur la biométrie (Face ID, Touch ID) ou une clé de sécurité physique. Elles sont stockables dans un gestionnaire de mots de passe et résistent au phishing et au vol de credentials. ...

🔍 Contexte Publié le 7 mai 2026 sur le blog officiel de Kaspersky, cet article présente une mise à jour de l’étude conduite en 2024 sur la robustesse des mots de passe réels. L’analyse porte sur 231 millions de mots de passe uniques extraits de fuites dark web entre 2023 et 2026, obtenus via le service Digital Footprint Intelligence de Kaspersky. 📊 Résultats clés Les tests ont été conduits avec un GPU RTX 5090 sur des hachages MD5. Les résultats comparatifs 2024 vs 2026 sont les suivants : ...

🏛️ Contexte Publié le 23 avril 2026 par The Register, cet article rapporte une annonce officielle du National Cyber Security Centre (NCSC) britannique lors de sa conférence annuelle CYBERUK. Il s’agit de la première fois que l’agence recommande explicitement d’abandonner les mots de passe au profit des passkeys. 🔑 Contenu de la recommandation Le NCSC a publié un rapport technique concluant que les passkeys sont « au moins aussi sécurisés, et généralement plus sécurisés » qu’une combinaison mot de passe + vérification en deux étapes (2SV). La nouvelle guidance officielle stipule que les mots de passe ne doivent plus être utilisés là où les passkeys sont disponibles. ...

🔐 Contexte Publié le 16 avril 2026 sur netcost-security.fr, cet article rapporte la publication par Cisco de mises à jour de sécurité corrigeant quatre vulnérabilités critiques dans deux de ses produits majeurs : Webex Services et Identity Services Engine (ISE). 🚨 Vulnérabilité principale : CVE-2026-20184 (Webex Services) Produit affecté : Cisco Webex Services, via l’intégration SSO (Single Sign-On) avec le Control Hub Type de faille : Authentification inappropriée Impact : Un attaquant distant, sans privilèges, peut usurper l’identité de n’importe quel utilisateur en fournissant un jeton SAML modifié Accès obtenu : Accès non autorisé aux services légitimes Cisco Webex Action requise des clients : Les utilisateurs SSO doivent mettre à jour leur certificat SAML auprès de leur fournisseur d’identité (IdP) dans le Control Hub pour éviter toute interruption de service ⚠️ Vulnérabilités critiques : CVE-2026-20147, CVE-2026-20180, CVE-2026-20186 (ISE) Produit affecté : Cisco Identity Services Engine (ISE) Impact : Exécution de commandes arbitraires sur le système d’exploitation sous-jacent Prérequis : Exploitation nécessitant des privilèges administratifs 📋 Autres correctifs Dix failles de gravité moyenne ont également été corrigées, permettant potentiellement : ...

Selon BleepingComputer, Microsoft annonce qu’il désactivera par défaut le protocole d’authentification NTLM, âgé de 30 ans, dans les prochaines versions de Windows. Ce changement est motivé par des vulnérabilités de sécurité qui exposent les organisations à des cyberattaques. Points clés 📝 Protocole concerné : NTLM (30 ans) Changement : désactivation par défaut 🚫 Motif : vulnérabilités de sécurité exposant les organisations à des cyberattaques ⚠️ Périmètre : prochaines versions de Windows Cette décision vise à réduire l’exposition liée à NTLM, compte tenu de ses faiblesses historiques, en le retirant de la configuration par défaut des futures versions du système. ...

Source: space.com (article de Tereza Pultarova). Un article rapporte qu’AISLE, une start-up californienne, a identifié une vulnérabilité dans le logiciel de sécurité CryptoLib, utilisé pour protéger les communications sol–satellite de la NASA, et indique que son IA a détecté et corrigé la faille en quatre jours. Selon AISLE, la faille réside dans le système d’authentification de CryptoLib et « transforme une configuration d’authentification de routine en arme ». Un attaquant pourrait injecter des commandes arbitraires s’exécutant avec pleins privilèges. Les chercheurs précisent que la vulnérabilité aurait perduré environ trois ans et qu’elle « menace des milliards de dollars d’infrastructures spatiales » et les missions scientifiques associées. 🔐⚠️ ...

Selon l’extrait d’actualité, le ministère de l’Intérieur (Beauvau) a reconnu le 11 décembre au soir des activités suspectes ciblant des serveurs de messagerie. Intrusion sur les systèmes de messagerie du ministère de l’Intérieur français 1. Découverte de l’incident Le 11 décembre 2025 au soir, le ministère de l’Intérieur a confirmé avoir détecté des activités suspectes ciblant ses serveurs de messagerie. L’information a été révélée initialement par INF La Rochelle puis officiellement confirmée par Beauvau. ...

Selon BleepingComputer, Microsoft indique faire respecter l’authentification multifacteur (MFA) pour les connexions au portail Azure sur tous les tenants depuis mars 2025. Mesure annoncée : application obligatoire de la MFA pour les connexions au portail Azure. 🔐 Portée : tous les tenants Azure sont concernés. Temporalité : mesure effective depuis mars 2025. Concrètement, la connexion au portail Azure requiert désormais une étape supplémentaire d’authentification (MFA) pour l’ensemble des organisations, au-delà du mot de passe. Après avoir terminé le déploiement pour les connexions au portail Azure, la société commencera à appliquer l’authentification multifacteur sur Azure CLI, PowerShell, SDK et API en octobre 2025 afin de protéger les comptes des utilisateurs contre les attaques. ...

Le blog d’Expel a publié une mise à jour importante concernant une erreur dans un article sur une attaque de phishing, initialement publié le 17 juillet 2025. L’article original affirmait qu’une nouvelle forme d’attaque de phishing permettait à un attaquant de contourner une connexion protégée par une clé FIDO en utilisant une authentification cross-device, même sans proximité avec le dispositif authentifiant. Cependant, après consultation avec la communauté de la sécurité, Expel a reconnu que cette affirmation était incorrecte. ...