Vulnérabilités

Source: politico.eu (Sam Clark, 28 janvier 2026) Le directeur exécutif de l’ENISA, Juhan Lepassaar, déclare que l’Union européenne « perd ce jeu » face à un volume et une cadence d’attaques sans précédent, et qu’un simple « upgrade » ne suffira pas: il faut un véritable « rethink » des défenses cyber. ⚠️ Le paysage des menaces s’est durci: des cyberattaques ont paralysé des aéroports, perturbé des élections et mis à mal des hôpitaux. La semaine précédente, des experts ont attribué à la Russie une tentative d’attaque contre le réseau électrique de la Pologne, tandis que la Bundesbank allemande a signalé plus de 5 000 attaques par minute. Ces défis surviennent sur fond de guerre aux frontières de l’UE, de montée en puissance technologique de la Chine et de relations plus tendues avec les États-Unis. ...

Selon GCVE (annonce du 7 janvier 2026), le projet dévoile db.gcve.eu, une nouvelle base publique et gratuite d’avis de vulnérabilités destinée à agréger, normaliser et corréler des informations issues d’un large éventail de sources. La plateforme offre une vue unifiée des vulnérabilités en agrégeant des avis provenant de 25+ sources, avec une intégration native des GCVE GNA, une corrélation multi-bases et multi-identifiants, et des enregistrements normalisés et recherchables. Objectif: réduire la fragmentation et améliorer la visibilité sur le paysage global des vulnérabilités. ...

Selon IT-Connect, Veeam a publié des correctifs en ce début janvier 2026 pour quatre vulnérabilités affectant Veeam Backup & Replication 13, issues d’audits internes. Trois d’entre elles permettent une exécution de code à distance (RCE). ⚠️ Détail des failles (CVE, impact, privilèges requis, sévérité, CVSS): CVE-2025-55125: RCE en tant que root via création d’un fichier de configuration de sauvegarde malveillant — Prérequis: Backup/Tape Operator — Élevée, 7.2 CVE-2025-59468: RCE en tant qu’utilisateur postgres via envoi d’un paramètre de mot de passe malveillant — Prérequis: Backup Administrator — Moyenne, 6.7 CVE-2025-59469: Écriture de fichiers arbitraires en tant que root — Prérequis: Backup/Tape Operator — Élevée, 7.2 CVE-2025-59470: RCE en tant qu’utilisateur postgres via des paramètres d’ordre ou d’intervalle malveillants — Prérequis: Backup/Tape Operator — Élevée, 9.0 (CVSS) Pour la CVE-2025-59470, malgré un score CVSS 9.0, Veeam abaisse la sévérité à Élevée car: 1) l’exploitation exige déjà le rôle Operator, conférant de forts privilèges; 2) l’application des bonnes pratiques de sécurité Veeam réduit la probabilité d’exploitation. ...

Source: events.ccc.de (Chaos Computer Club) — Le Chaos Communication Congress 2025 (39C3), tenu à Hambourg du 27 au 30 décembre 2025, met en ligne sa playlist complète (vidéo et audio), couvrant technologies, société et utopies, avec un large volet consacré à la sécurité informatique. Points saillants cybersécurité (exemples) 🔒: To sign or not to sign: Practical vulnerabilities in GPG & friends — vulnérabilités pratiques autour de GPG et outils connexes (48 min, 2025‑12‑27). DNGerousLINK: A Deep Dive into WhatsApp 0‑Click Exploits on iOS and Samsung Devices — analyse approfondie d’exploits 0‑click sur WhatsApp (52 min, 2025‑12‑27). Agentic ProbLLMs: Exploiting AI Computer‑Use and Coding Agents — exploitation d’agents IA de type « computer‑use » et codage (58 min, 2025‑12‑28). Bluetooth Headphone Jacking: A Key to Your Phone — détournement de casques Bluetooth pour accéder au téléphone (59 min, 2025‑12‑27). Not To Be Trusted – A Fiasco in Android TEEs — problèmes de confiance dans les environnements d’exécution sécurisés Android (49 min, 2025‑12‑27). Escaping Containment: A Security Analysis of FreeBSD Jails — analyse de sécurité des jails FreeBSD (59 min, 2025‑12‑27). How to render cloud FPGAs useless — sécurité et attaques contre FPGAs dans le cloud (40 min, 2025‑12‑28). A Tale of Two Leaks: How Hackers Breached the Great Firewall of China — récit de deux fuites et contournement de la censure chinoise (31 min, 2025‑12‑27). All my Deutschlandtickets gone: Fraud at an industrial scale — fraude à grande échelle liée aux Deutschlandtickets (60 min, 2025‑12‑27). Don’t look up: There are sensitive internal links in the clear on GEO satellites — liens internes sensibles en clair sur des satellites GEO 🛰️ (38 min, 2025‑12‑28). Autres thèmes de la playlist: en plus de la sécurité, des tracks portent sur le hardware, l’éthique/société/politique, et la science, confirmant l’approche pluridisciplinaire du congrès (ex.: hacking d’électroménager, DSP de synthétiseurs, navigation terrestre dans la Baltique, accès aux décisions de justice, etc.). ...

Lors d’une présentation au 39c3 (Chaos Communication Congress), les chercheurs ont détaillé des vulnérabilités pratiques affectant des utilitaires de signature et de chiffrement largement utilisés, avec un site dédié (gpg.fail) et l’avertissement que la session pourrait contenir des zerodays. Les outils touchés incluent GnuPG, Sequoia PGP, age et minisign. Les failles proviennent principalement de bugs d’implémentation — notamment dans le parsing des formats — et non de défauts dans les primitives cryptographiques. Un exemple cité est la confusion sur les données réellement signées, permettant à un attaquant, sans la clé privée du signataire, d’échanger le texte en clair. ...

Selon BleepingComputer, le concours de hacking Zeroday Cloud à Londres a décerné 320 000 $ à des chercheurs pour des démonstrations de vulnérabilités critiques d’exécution de code à distance (RCE) affectant des composants utilisés dans l’infrastructure cloud. 🏆 Montant total des récompenses : 320 000 $. 🔧 Type de vulnérabilité : RCE (Remote Code Execution). ☁️ Périmètre touché : composants d’infrastructure cloud (non précisés dans l’extrait). 1) Contexte La Zeroday Cloud hacking competition s’est tenue à Londres et constitue la première compétition de sécurité dédiée exclusivement aux systèmes cloud. L’événement est organisé par Wiz Research, en partenariat avec Amazon Web Services (AWS), Microsoft et Google Cloud. Objectif : encourager la recherche offensive responsable en identifiant des vulnérabilités zero-day critiques, notamment des failles de Remote Code Execution (RCE), dans des composants clés du cloud. 2) Résultats globaux 320 000 USD attribués aux chercheurs 11 vulnérabilités zero-day démontrées 85 % de réussite sur 13 sessions de hacking Vulnérabilités affectant des composants centraux de l’écosystème cloud 3) Vulnérabilités mises en évidence Bases de données et observabilité Des failles critiques ont été exploitées dans : ...

Selon Le Monde Informatique (LMI), Gartner appelle les entreprises à bloquer les navigateurs IA comme Atlas (OpenAI) et Comet (Perplexity) en raison de risques de sécurité et de confidentialité, alors même que leur adoption progresse rapidement en milieu professionnel. Gartner souligne la perte de contrôle sur les données sensibles lorsque ces navigateurs envoient l’historique de navigation, le contenu des onglets et des pages vers le cloud pour analyse. Perplexity indique que Comet peut traiter des données locales sur ses serveurs (lecture de texte, e-mails, etc.) pour accomplir les requêtes. Le cabinet avertit que la perte de données sensibles peut être irréversible et difficile à retracer, et que des transactions agentiques erronées posent des questions de responsabilité. ...

Selon The Register (interview publiée le 9 déc. 2025), Joseph Rooke, directeur Risk Insights chez Recorded Future (Insikt Group), met en garde contre une « tempête parfaite » de risques cyber liée à la convergence robotique + IA + besoin sociétal, avec la perspective de « botnets en forme physique » alors que des humanoïdes s’industrialisent (Unitree, Agility, Engineered Arts, BMW, Toyota, Tesla, Hyundai/Boston Dynamics). Des chercheurs (Víctor Mayoral-Vilches, Andreas Makris, Kevin Finisterre) ont publié fin septembre un proof-of-concept détaillant plusieurs vulnérabilités dans l’interface de configuration BLE Wi‑Fi des robots Unitree : clés cryptographiques en dur, contournement d’authentification trivial, injection de commandes non assainies. Le tout est décrit comme « complètement wormable » — des robots compromis peuvent en infecter d’autres à portée BLE — permettant une prise de contrôle totale du dispositif. 🤖⚠️ ...

Source et contexte : Securelist (Kaspersky) publie un rapport trimestriel sur l’évolution des menaces non mobiles au T3 2025, couvrant Windows, macOS et IoT, avec tendances, chiffres clés et campagnes marquantes. 📊 Chiffres globaux Kaspersky a bloqué plus de 389 M d’attaques provenant de ressources en ligne; Web Anti‑Virus a réagi à 52 M d’URLs uniques. File Anti‑Virus a bloqué plus de 21 M d’objets malveillants ou potentiellement indésirables. 2 200+ nouveaux variants de ransomware détectés; ~85 000 utilisateurs ont subi des attaques ransomware; plus de 254 000 utilisateurs ciblés par des mineurs. 🔒 Ransomware : activités, groupes et répression ...

Source : IEEE Security & Privacy (rubrique Last Word, septembre/octobre 2025). Daniel E. Geer, Jr. explore l’idée que la sécurité logicielle entre dans une « ère d’indéterminisme », amplifiée par la complexité des systèmes, les weird machines et l’essor du code généré par IA. L’auteur rappelle que les vulnérabilités se concentrent aux interfaces et que la sécurité n’est pas une propriété composable. En s’appuyant sur les travaux de Bratus et Shubina, il décrit les exploits comme des programmes exploitant des « machines plus riches » émergentes, révélées lorsque les hypothèses des concepteurs sont violées. Des chaînes d’exploitation d’une « complexité impossible » seraient déjà observées, dépassant les approches classiques comme le fuzzing. ...