Vulnérabilités

Source et contexte: ANSSI — Le « Panorama de la cybermenace 2025 » (publication ANSSI) présente les tendances observées en France et en Europe : menaces persistantes, brouillage entre acteurs étatiques et cybercriminels, et forte pression sur secteurs publics et privés. Niveau de menace et secteurs touchés. En 2025, 3 586 événements de sécurité traités (−18% vs 2024) dont 1 366 incidents (stable). Quatre secteurs concentrent 76% des incidents: éducation & recherche (34%), ministères & collectivités (24%), santé (10%), télécoms (9%). Les frontières entre acteurs étatiques et cybercriminels s’érodent, complexifiant l’imputation et la détection. ...

Source: Anthropic — Contexte: Anthropic détaille une collaboration avec Mozilla où son modèle Claude Opus 4.6 a servi à découvrir et aider à corriger des vulnérabilités dans Firefox, avec publication de correctifs dans Firefox 148.0. 🔍 Découvertes clés: Claude Opus 4.6 a identifié 22 vulnérabilités en deux semaines, dont 14 de haute gravité (près d’un cinquième des vulnérabilités haute gravité remédiées en 2025). Mozilla a expédié des correctifs à des centaines de millions d’utilisateurs dans Firefox 148.0, le reste arrivant dans des versions ultérieures. En février 2026, ces signalements dépassent tout mois individuel de 2025. ...

Selon l’Institut national de test pour la cybersécurité (NTC), dans un communiqué du 26 février 2026, une analyse technique d’un an portant sur ~30 périphériques largement utilisés en Suisse (claviers, casques, webcams, systèmes de conférence) a mis au jour plus de 60 vulnérabilités, dont 13 graves et 3 critiques. Les appareils testés incluaient des produits de fabricants établis comme Logitech, Yealink, Jabra, HP, Eizo et Cherry, notamment utilisés dans des infrastructures critiques. ...

Selon GBHackers Security, de graves vulnérabilités touchent quatre extensions populaires de Visual Studio Code (VS Code), avec un impact sur plus de 128 millions de téléchargements. L’article précise que ces failles incluent trois vulnérabilités référencées: CVE-2025-65715, CVE-2025-65716 et CVE-2025-65717. ⚠️ Elles mettent en lumière les IDE comme maillon faible de la sécurité de la chaîne d’approvisionnement logicielle. Vulnérabilités identifiées CVE Extension Score CVSS Type de vulnérabilité Versions affectées CVE-2025-65717 Live Server 9.1 Exfiltration de fichiers locaux Toutes versions CVE-2025-65715 Code Runner 7.8 Exécution de code à distance (RCE) Toutes versions CVE-2025-65716 Markdown Preview Enhanced 8.8 Exécution JavaScript menant à exfiltration de données Toutes versions N/A Microsoft Live Preview N/A XSS permettant accès aux fichiers IDE < 0.4.16 Le texte souligne que les développeurs stockent fréquemment des données sensibles directement dans l’IDE, telles que des clés API, de la logique métier, des configurations de base de données et parfois des informations clients, ce qui accroît les risques en cas d’exploitation. ...

Selon CyberSecurityNews.com (20 février 2026), l’équipe OX Security Research a identifié trois vulnérabilités critiques dans quatre extensions Visual Studio Code très répandues, confirmées aussi sur les IDE Cursor et Windsurf. Au total, ces extensions cumulent plus de 128 millions de téléchargements, révélant un angle mort de la chaîne d’approvisionnement logicielle: la machine du développeur. • Extensions et vulnérabilités clés CVE-2025-65717 – Live Server (CVSS 9.1, 72M+ téléchargements) : exfiltration de fichiers à distance via la fonctionnalité localhost. Versions affectées: toutes. CVE-2025-65715 – Code Runner (CVSS 7.8, 37M+ téléchargements) : exécution de code à distance (RCE). Versions affectées: toutes. CVE-2025-65716 – Markdown Preview Enhanced (CVSS 8.8, 8.5M+ téléchargements) : exécution JavaScript menant à scan de ports locaux et exfiltration de données. Versions affectées: toutes. (Sans CVE) Microsoft Live Preview (11M+ téléchargements) : XSS en un clic permettant exfiltration complète des fichiers de l’IDE, corrigée discrètement en v0.4.16+ sans attribution publique à OX Security. • Contexte et impact Les extensions d’IDE opèrent avec des permissions proches de l’administrateur, pouvant exécuter du code, lire/modifier des fichiers et communiquer sur le réseau local sans alerter les contrôles classiques. Selon OX Security, une seule extension malveillante ou vulnérable peut suffire à permettre des mouvements latéraux et compromettre une organisation entière. ...

Source et contexte : Dark Reading (article de Robert Lemos, 20 fév. 2026) rapporte les leçons de deux années de recherches menées par Hillai Ben Sasson et Dan Segev (Wiz) sur les failles de l’infrastructure IA, avec une présentation prévue à RSAC en mars. Leur message clé : se concentrer sur les vulnérabilités d’infrastructure plutôt que sur le seul prompt injection, alors que de nouveaux services (ex. MCP) arrivent avec de nombreuses failles sous-jacentes. ...

Source et contexte — Étude académique d’ETH Zurich et de l’Università della Svizzera italiana (USI), avec preuves de concept (PoC), analysant trois gestionnaires de mots de passe cloud (Bitwarden, LastPass, Dashlane) dans un modèle de menace à serveur malveillant. Principaux constats Les auteurs identifient 12 attaques contre Bitwarden, 7 contre LastPass et 6 contre Dashlane (25 au total). La plupart permettent la récupération de mots de passe. Les promesses de « Zero Knowledge »/E2EE ne tiennent pas face à un serveur pleinement malveillant, un modèle jugé réaliste au vu de la valeur des coffres et d’incidents passés. Les vulnérabilités découlent d’anti‑patterns communs : absence d’authentification des clés publiques, mauvaise séparation des clés, hypothèse erronée d’authenticité des chiffrés PKE, compatibilité rétro qui rouvre CBC sans intégrité, intégrité au niveau champ/élément mais pas du coffre entier. Attaques par catégories (exemples marquants) ...

Source: politico.eu (Sam Clark, 28 janvier 2026) Le directeur exécutif de l’ENISA, Juhan Lepassaar, déclare que l’Union européenne « perd ce jeu » face à un volume et une cadence d’attaques sans précédent, et qu’un simple « upgrade » ne suffira pas: il faut un véritable « rethink » des défenses cyber. ⚠️ Le paysage des menaces s’est durci: des cyberattaques ont paralysé des aéroports, perturbé des élections et mis à mal des hôpitaux. La semaine précédente, des experts ont attribué à la Russie une tentative d’attaque contre le réseau électrique de la Pologne, tandis que la Bundesbank allemande a signalé plus de 5 000 attaques par minute. Ces défis surviennent sur fond de guerre aux frontières de l’UE, de montée en puissance technologique de la Chine et de relations plus tendues avec les États-Unis. ...

Selon GCVE (annonce du 7 janvier 2026), le projet dévoile db.gcve.eu, une nouvelle base publique et gratuite d’avis de vulnérabilités destinée à agréger, normaliser et corréler des informations issues d’un large éventail de sources. La plateforme offre une vue unifiée des vulnérabilités en agrégeant des avis provenant de 25+ sources, avec une intégration native des GCVE GNA, une corrélation multi-bases et multi-identifiants, et des enregistrements normalisés et recherchables. Objectif: réduire la fragmentation et améliorer la visibilité sur le paysage global des vulnérabilités. ...

Selon IT-Connect, Veeam a publié des correctifs en ce début janvier 2026 pour quatre vulnérabilités affectant Veeam Backup & Replication 13, issues d’audits internes. Trois d’entre elles permettent une exécution de code à distance (RCE). ⚠️ Détail des failles (CVE, impact, privilèges requis, sévérité, CVSS): CVE-2025-55125: RCE en tant que root via création d’un fichier de configuration de sauvegarde malveillant — Prérequis: Backup/Tape Operator — Élevée, 7.2 CVE-2025-59468: RCE en tant qu’utilisateur postgres via envoi d’un paramètre de mot de passe malveillant — Prérequis: Backup Administrator — Moyenne, 6.7 CVE-2025-59469: Écriture de fichiers arbitraires en tant que root — Prérequis: Backup/Tape Operator — Élevée, 7.2 CVE-2025-59470: RCE en tant qu’utilisateur postgres via des paramètres d’ordre ou d’intervalle malveillants — Prérequis: Backup/Tape Operator — Élevée, 9.0 (CVSS) Pour la CVE-2025-59470, malgré un score CVSS 9.0, Veeam abaisse la sévérité à Élevée car: 1) l’exploitation exige déjà le rôle Operator, conférant de forts privilèges; 2) l’application des bonnes pratiques de sécurité Veeam réduit la probabilité d’exploitation. ...