Bug Bounty

Source et contexte — Truffle Security Co. publie un billet invité de Luke Marshall détaillant un scan exhaustif d’environ 5,6 millions de dépôts publics GitLab Cloud (initialisé le 10/09/2025) à l’aide de TruffleHog, qui a permis d’identifier 17 430 secrets « live » vérifiés et de récolter plus de 9 000 $ en primes, pour un coût d’infrastructure d’environ 770 $ et une durée d’exécution d’un peu plus de 24 h. ...

Source: Apple Security Research (10 octobre 2025). Apple présente une mise à jour majeure de son programme Apple Security Bounty, visant à stimuler la recherche sur les surfaces d’attaque critiques de ses plateformes, dans un contexte de menaces dominées par les chaînes d’exploits de type spyware mercenaire. 💰 Récompenses record: le plafond passe à 2 M$ pour les chaînes d’exploits « zero‑click » comparables aux attaques de spyware mercenaire, avec des bonus (contournement de Lockdown Mode, bugs sur versions bêta) pouvant porter la prime totale à plus de 5 M$. Augmentations notables: 100 000 $ pour un contournement complet de Gatekeeper sans interaction, 1 M$ pour un accès iCloud non autorisé à large portée. Les catégories s’élargissent: échappatoires sandbox WebKit one‑click jusqu’à 300 000 $, et exploits de proximité sans fil (toutes radios) jusqu’à 1 M$. ...

L’article de Bleeping Computer rapporte que Microsoft a versé un montant record de 17 millions de dollars cette année à des chercheurs en sécurité dans le cadre de son programme de bug bounty. Ce programme a permis de rémunérer 344 chercheurs répartis dans 59 pays, soulignant l’engagement de Microsoft à collaborer avec la communauté de la cybersécurité pour identifier et corriger les vulnérabilités dans ses produits. Les chercheurs ont contribué à la sécurité des produits Microsoft en signalant des failles de sécurité potentielles, ce qui permet à l’entreprise de renforcer ses défenses avant que ces vulnérabilités ne soient exploitées par des acteurs malveillants. ...

Selon un article de TechCrunch, l’industrie de la cybersécurité est confrontée à un problème croissant de rapports de vulnérabilité générés par intelligence artificielle (IA) qui sont souvent faux ou trompeurs. Les experts du secteur, comme Vlad Ionescu de RunSybil, soulignent que ces rapports, bien que techniquement convaincants, ne révèlent souvent aucune vulnérabilité réelle. Les modèles de langage (LLM) créent des détails techniques fictifs, ce qui complique le travail des professionnels de la sécurité. ...

Lors du Pwn2Own Berlin 2025, un événement de hacking se déroulant durant la conférence OffensiveCon, des chercheurs en sécurité ont démontré des exploits de failles zero-day sur divers produits. Nguyen Hoang Thach de STARLabs SG a réalisé un exploit d’overflow d’entier sur VMware ESXi, remportant 150 000 $. Dinh Ho Anh Khoa de Viettel Cyber Security a gagné 100 000 $ en exploitant une chaîne d’exploits combinant un contournement d’authentification et une désérialisation non sécurisée sur Microsoft SharePoint. ...