Le Patch Tuesday de Microsoft de mars 2026 corrige 84 vulnérabilités dont 2 zero-days publics. Des hacktivistes iraniens revendiquent l'effacement de plus de 200 000 appareils chez le géant medtech Stryker. Des pare-feux FortiGate exploités pour voler des identifiants AD/LDAP. Le navigateur IA de Perplexity piégé en phishing en moins de 4 minutes. Plus : le botnet KadNap, des attaques de la chaîne d'approvisionnement npm, l'exploitation de la RCE n8n, la répression des arnaques par Meta, le rachat de Wiz par Google pour 32 Md$, et le tueur d'EDR BlackSanta ciblant les RH.
Le Patch Tuesday de Microsoft de mars 2026 corrige 84 failles de sécurité : 8 critiques, 76 importantes. Deux vulnérabilités ont été divulguées publiquement avant la disponibilité des correctifs. Toutes les entités régulées par NIS2 doivent prioriser un déploiement immédiat.
Microsoft a publié sa mise à jour de sécurité de mars 2026, corrigeant 84 vulnérabilités à travers l'écosystème Windows. La répartition révèle une forte proportion d'élévation de privilèges — un indicateur clair que les attaquants se concentrent sur le mouvement latéral post-compromission.
| Catégorie | Nombre | Niveau de risque |
|---|---|---|
| Élévation de privilèges | 46 | Élevé — permet le mouvement latéral |
| Exécution de code à distance | 18 | Critique — permet un accès initial |
| Divulgation d'informations | 10 | Moyen — permet la reconnaissance |
| Usurpation | 4 | Moyen |
| Déni de service | 4 | Moyen |
| Contournement de fonctionnalité de sécurité | 2 | Élevé |
CVE-2026-26127 (CVSS 7,5) — une vulnérabilité de déni de service dans .NET divulguée publiquement avant le correctif. Les attaquants peuvent faire planter des services basés sur .NET à distance, impactant la disponibilité des applications web et API construites sur ce framework.
CVE-2026-21262 (CVSS 8,8) — une vulnérabilité d' élévation de privilèges dans SQL Server. Avec un score CVSS élevé et une divulgation publique, ceci est particulièrement dangereux pour les organisations exploitant SQL Server en production. Un attaquant authentifié pourrait obtenir des privilèges d'administrateur de base de données.
De plus, Microsoft a corrigé 10 vulnérabilités Chromium/Edge séparément, portant la charge totale de remédiation à 94 correctifs pour ce cycle.
L'entreprise de technologie médicale Stryker a été ciblée par Handala, un groupe hacktiviste pro-palestinien lié à l'Iran, avec un malware de type wiper. Le groupe revendique avoir effacé plus de 200 000 appareils. Si confirmée, il s'agirait de l'une des attaques wiper les plus dévastatrices contre le secteur de la santé à ce jour.
Stryker — une entreprise Fortune 500 de technologie médicale fabriquant des équipements chirurgicaux, des implants et des infrastructures hospitalières — a été frappée par une attaque wiper destructrice. Le groupe hacktiviste Handala, lié aux intérêts de l'État iranien, revendique la responsabilité et allègue que plus de 200 000 appareils du réseau de Stryker ont été effacés.
Cette attaque comporte des implications énormes pour la sécurité des patients. Les produits de Stryker sont intégrés dans les salles d'opération, les unités de soins intensifs et les systèmes de planification chirurgicale dans le monde entier. Une perturbation de leurs systèmes internes pourrait entraîner des retards dans les mises à jour des appareils, des chaînes d'approvisionnement altérées et une sécurité produit compromise.
Au titre de NIS2, la santé est classée comme un secteur essentiel. Les fabricants de dispositifs médicaux et leurs chaînes d'approvisionnement font face à des exigences de cybersécurité obligatoires. Cette attaque illustre exactement pourquoi :
Si votre organisation utilise des produits Stryker, contactez immédiatement votre représentant de compte Stryker pour comprendre l'impact sur les mises à jour produit, les services de support et la continuité de la chaîne d'approvisionnement. Documentez cette évaluation dans le cadre de vos obligations de gestion des risques de chaîne d'approvisionnement NIS2.
SentinelOne a découvert une campagne exploitant les appareils NGFW FortiGate pour compromettre des réseaux et extraire des fichiers de configuration contenant des identifiants de comptes de service Active Directory et LDAP. Les cibles incluent la santé, les administrations publiques et les fournisseurs de services gérés.
Des chercheurs en sécurité de SentinelOne ont découvert une campagne systématique ciblant les pare-feux nouvelle génération FortiGate de Fortinet. Les attaquants exploitent des vulnérabilités dans ces appareils pour extraire des fichiers de configuration, qui contiennent des identifiants de comptes de service en clair ou récupérables pour l'intégration AD/LDAP.
L'ironie est dévastatrice : les appareils mêmes déployés pour protéger les réseaux sont utilisés pour les compromettre. Une fois que les attaquants obtiennent les identifiants AD/LDAP depuis les configurations FortiGate, ils obtiennent un accès privilégié à l'ensemble de l'environnement Active Directory.
Les chercheurs de Guardio ont démontré que le navigateur IA Comet de Perplexity peut être manipulé pour mener une attaque de phishing en moins de 4 minutes, exploitant une vulnérabilité qu'ils ont surnommée « Agentic Blabbering ».
Les chercheurs en sécurité de Guardio Labs ont publié une preuve de concept dévastatrice montrant comment Comet de Perplexity — un navigateur web alimenté par l'IA — peut être piégé pour exécuter une arnaque de phishing. L'attaque exploite une faille de conception fondamentale des navigateurs IA : leur tendance à narrer leurs actions, ce qui abaisse involontairement les garde-fous de sécurité.
La technique, surnommée « Agentic Blabbering » , fonctionne parce que les navigateurs IA sont conçus pour expliquer ce qu'ils font. Les attaquants conçoivent des prompts qui exploitent cette nature conversationnelle, trompant l'IA pour qu'elle traite des instructions malveillantes comme des tâches de navigation légitimes. Résultat : le navigateur IA lui-même devient le vecteur de phishing.
Black Lotus Labs de Lumen a découvert la campagne de malware KadNap ciblant les routeurs Asus, construisant un botnet proxy de plus de 14 000 appareils infectés. Le malware utilise un protocole DHT Kademlia personnalisé pour un commandement et contrôle résilient.
Une nouvelle souche de malware surnommée KadNap cible les routeurs Asus grand public et petites entreprises, Black Lotus Labs de Lumen identifiant plus de 14 000 appareils infectés — dont 60 % situés aux États-Unis. Le malware transforme les routeurs compromis en nœuds d'un botnet proxy, permettant aux attaquants d'acheminer du trafic malveillant via des adresses IP résidentielles et professionnelles légitimes.
L'utilisation par KadNap d'un protocole DHT (Distributed Hash Table) Kademlia personnalisé le rend particulièrement difficile à perturber. Contrairement aux botnets traditionnels avec un commandement et contrôle centralisé, l'architecture décentralisée de KadNap signifie qu'il n'y a pas de serveur unique à neutraliser.
Une nouvelle vague d'attaques de chaîne d'approvisionnement surnommée PhantomRaven a implanté 88 paquets malveillants sur le registre npm, conçus pour exfiltrer des données depuis les machines des développeurs JavaScript et les environnements CI/CD.
La campagne PhantomRaven représente une attaque sophistiquée de la chaîne d'approvisionnement logicielle ciblant l'écosystème npm. Les 88 paquets malveillants identifiés utilisent des techniques de typosquatting et de confusion de dépendances pour inciter les développeurs à installer des bibliothèques piégées qui exfiltrent des variables d'environnement, des clés SSH et des jetons API.
Pour les organisations construisant des applications web et des microservices, il s'agit d'une menace directe pour l'intégrité du code et la sécurité du pipeline CI/CD. Un seul poste de développeur compromis peut conduire à des builds de production empoisonnés.
npm audit, et envisager un proxy de registre privéLa CISA a ajouté une vulnérabilité d'exécution de code à distance activement exploitée dans la plateforme d'automatisation de workflows n8n à son catalogue Known Exploited Vulnerabilities (KEV), ordonnant aux agences fédérales de corriger immédiatement.
La plateforme d'automatisation n8n — largement utilisée pour l'orchestration de workflows, l'intégration d'API et la gestion de pipelines de données — présente une vulnérabilité RCE critique activement exploitée dans la nature. L'inclusion par la CISA dans le catalogue KEV signifie que ce n'est pas théorique — les attaquants exploitent cette faille en ce moment même.
Les instances n8n sont souvent déployées avec un large accès aux systèmes internes, ce qui en fait des cibles de grande valeur. Une instance n8n compromise pourrait donner aux attaquants accès aux bases de données connectées, aux API, aux services cloud et aux applications internes.
Dans une opération d'application de la loi significative, Meta a désactivé plus de 150 000 comptes liés à des centres d'arnaque d'Asie du Sud-Est — principalement des opérations de pig-butchering et d'arnaque romantique. La police royale thaïlandaise a arrêté 21 individus lors de raids coordonnés, soutenue par les autorités de 11 pays.
Bien qu'il s'agisse d'une évolution positive pour la sécurité des plateformes, l'ampleur même — 150 000 comptes — souligne à quel point ces opérations se sont profondément enracinées. Pour les organisations, l'enseignement clé est que la compromission de messagerie professionnelle (BEC) et les attaques d'ingénierie sociale proviennent souvent de la même infrastructure criminelle.
Google a officiellement finalisé son acquisition de Wiz pour 32 milliards de dollars, la start-up de sécurité cloud devenue l'une des entreprises de cybersécurité à la croissance la plus rapide de l'histoire. Wiz continuera d'opérer comme une marque indépendante au sein de Google Cloud, maintenant sa plateforme de sécurité multi-cloud fonctionnant sur AWS, Azure et GCP.
Cet accord redessine le paysage de la sécurité cloud. Avec la plateforme de protection des applications cloud-native (CNAPP) de Wiz intégrée à Google Cloud, les organisations font désormais face à des décisions stratégiques concernant la dépendance à un fournisseur et la sécurité multi-cloud.
| Considération | Impact |
|---|---|
| Neutralité multi-cloud | Wiz s'engage à rester multi-cloud, mais la propriété de Google crée des préoccupations à long terme sur la parité de fonctionnalités AWS/Azure |
| Tarification | Les moyens financiers de Google pourraient initialement stimuler une tarification compétitive, mais la consolidation mène souvent à des hausses de prix |
| Souveraineté des données | Les entités régulées par le RGPD/NIS2 devraient revoir leurs accords de traitement des données à mesure que Wiz s'intègre à l'infrastructure Google Cloud |
| Évaluation d'alternatives | C'est le moment d'évaluer des alternatives (Orca, Lacework, Prisma Cloud) pour éviter la dépendance à un fournisseur unique |
Un acteur de menace russophone cible les départements RH avec un malware livrant BlackSanta — un tueur d'EDR capable de désactiver l'antivirus et la détection de point de terminaison au niveau du noyau avant de déployer sa charge utile finale.
La campagne BlackSanta est particulièrement insidieuse car elle cible les départements RH — des équipes qui ouvrent régulièrement des pièces jointes d'expéditeurs inconnus (CV, lettres de motivation, factures). La chaîne d'attaque livre un tueur d'EDR opérant au niveau du noyau, désactivant les outils de sécurité avant que la charge utile principale (probablement un ransomware ou un infostealer) ne se déclenche.
Cette technique — Bring Your Own Vulnerable Driver (BYOVD) — exploite des pilotes noyau signés légitimes pour désactiver les produits de sécurité. Une fois l'EDR neutralisé, l'attaquant a le champ libre sur le système.
KENSAI surveille en continu votre infrastructure face aux dernières vulnérabilités, les associe aux exigences de conformité NIS2, DORA et RGPD, et génère des rapports prêts pour l'audit — le tout alimenté par le renseignement sur les menaces par IA.
Démarrez votre scan de sécurité gratuit →Restez correctement corrigés et vigilants,
L'équipe de renseignement sur les menaces KENSAI
Briefing de sécurité quotidien alimenté par le renseignement sur les menaces par IA. Publié chaque jour à 06h00 CET.
🛡️ Votre site web est-il sécurisé ?
Découvrez les vulnérabilités avant que les attaquants ne le fassent.
Scannez votre site gratuitement →