Une attaque massive de la chaîne d'approvisionnement compromet des centaines de dépôts Python via des jetons GitHub volés. L'UE impose des sanctions à des acteurs de cybermenace chinois et iraniens. Apple déploie son tout premier correctif de sécurité silencieux en arrière-plan. Le ransomware LeakNet évolue avec l'ingénierie sociale ClickFix et des charges utiles basées sur le runtime Deno. Et aussi : une technique de rendu de police qui aveugle les outils de sécurité IA, des zero-days Chrome corrigés, et une porte dérobée russe ciblant l'Ukraine.
Des jetons GitHub volés sont utilisés pour forcer l'injection (force-push) de code malveillant dans des dépôts Python légitimes. Si votre organisation utilise des paquets Python open source, présumez que vous pourriez être affecté jusqu'à vérification.
La GlassWorm ForceMemo campagne représente l'une des attaques de la chaîne d'approvisionnement les plus sophistiquées de 2026. Des acteurs malveillants ont exploité des jetons d'accès personnels GitHub volés pour injecter des logiciels malveillants obfusqués dans plus de 400 dépôts Python, y compris des applications Django, des bibliothèques de machine learning, et des paquets publiés sur PyPI.
La méthodologie d'attaque est particulièrement insidieuse. Les attaquants utilisent git rebase et des opérations de force-push pour ajouter du code malveillant à setup.py, main.py, et app.py — tout en préservant l'attribution d'auteur et les dates de commit d'origine. Cela signifie qu'une inspection standard via git log ne révélera pas les modifications non autorisées. Les premières injections confirmées remontent au 8 mars 2026, ce qui donne aux attaquants une avance de 10 jours avant une détection généralisée.
.env divulgués, de journaux CI/CD, et de campagnes de phishing ciblant les mainteneurssetup.py, main.py, et app.py dans tous les dépôts Python à la recherche de modifications inattendues depuis le 8 marsLe Conseil de l'Union européenne a imposé des sanctions à 3 entités et 2 individus liés à des cyberattaques ciblant des infrastructures critiques à travers l'Europe. Les parties sanctionnées sont associées à des opérations parrainées par les États chinois et iranien.
Cela marque une escalade significative dans l'utilisation par l'UE de son cadre de sanctions cyber, établi pour la première fois en 2019 mais rarement invoqué. Les entités ciblées sont accusées de mener des campagnes persistantes contre les réseaux énergétiques, les réseaux de télécommunications, et les systèmes gouvernementaux dans plusieurs États membres de l'UE.
Pour les entreprises soumises aux exigences de conformité NIS2 , ce développement renforce la réalité selon laquelle les menaces parrainées par des États ne sont pas hypothétiques. Les sanctions indiquent que les services de renseignement de l'UE disposent d'une attribution à haute confiance — ce qui signifie que les campagnes d'attaque sous-jacentes sont bien documentées et probablement toujours en cours.
Les organisations des secteurs d'infrastructures critiques devraient revoir leurs modèles de menace et s'assurer que leurs plans de réponse aux incidents tiennent compte d'adversaires de niveau étatique. L'article 21 de NIS2 exige spécifiquement des « mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées » — et la barre de ce qui est proportionné vient de s'élever.
Apple a publié sa toute première mise à jour « Background Security Improvements », corrigeant silencieusement une vulnérabilité WebKit répertoriée sous CVE-2026-20643 sur les iPhone, iPad, et Mac — sans nécessiter de mise à niveau complète du système ni de redémarrage de l'appareil.
Il s'agit d'un moment charnière pour la posture de sécurité d'Apple. Le nouveau mécanisme permet à Apple de déployer des correctifs ciblés pour des vulnérabilités activement exploitées en quelques heures plutôt qu'en quelques semaines. La faille WebKit corrigée pourrait permettre l'exécution de code à distance via du contenu web spécialement conçu — un vecteur d'attaque classique de type « drive-by ».
Vérifiez que vos appareils ont reçu la mise à jour en consultant Réglages → Général → Informations pour l'entrée « Background Security Improvements ».
LeakNet combine l'ingénierie sociale avec un runtime non conventionnel pour contourner la détection traditionnelle des terminaux. Les organisations qui s'appuient uniquement sur un antivirus basé sur signatures doivent considérer cela comme une priorité élevée.
Le groupe de ransomware LeakNet a adopté une innovation à deux volets dans ses dernières campagnes. Pour l'accès initial, il déploie l'ingénierie sociale ClickFix — de fausses pages d'erreur de navigateur qui incitent les victimes à coller des commandes malveillantes dans leur terminal ou la boîte de dialogue Exécuter. Une fois à l'intérieur, la charge utile est un chargeur de logiciel malveillant construit sur le runtime Deno.
Deno est un runtime JavaScript/TypeScript légitime créé par l'auteur original de Node.js. En empaquetant ses logiciels malveillants sous forme d'applications Deno, LeakNet obtient plusieurs avantages :
La technique ClickFix continue de se révéler redoutablement efficace contre les employés non techniques qui font implicitement confiance aux avertissements du navigateur. Les formations de sensibilisation à la sécurité doivent spécifiquement traiter ce schéma d'attaque.
Des chercheurs en sécurité ont révélé une nouvelle attaque qui dissimule des commandes malveillantes aux assistants de sécurité alimentés par l'IA en utilisant des astuces de rendu de police dans le HTML. La technique exploite l'écart entre ce que les modèles d'IA « lisent » dans le HTML brut et ce que les humains voient une fois rendu dans un navigateur.
En utilisant des polices web personnalisées qui réassignent les glyphes des caractères, les attaquants peuvent faire apparaître des instructions malveillantes comme du texte anodin aux yeux des modèles d'IA, tout en affichant un contenu entièrement différent aux observateurs humains — ou l'inverse. Cela signifie que les scanners d'e-mails pilotés par l'IA, les analyseurs de contenu web, et les copilotes de sécurité peuvent être systématiquement trompés.
L'attaque utilise des déclarations CSS @font-face avec des correspondances unicode-range personnalisées. Le code source HTML brut contient du texte anodin, mais le rendu affiché — après substitution de police — révèle des commandes cachées, du contenu de phishing, ou des incitations d'ingénierie sociale. Les outils d'IA qui analysent le DOM ou le texte brut ne voient jamais la charge visuelle.
Ceci est un rappel brutal que les outils de sécurité IA ne sont pas une solution miracle. La défense en profondeur reste essentielle, et les organisations ne devraient pas s'appuyer uniquement sur la détection basée sur l'IA pour l'analyse de contenu.
Un nouveau rapport Pentera portant sur 300 RSSI américains révèle une réalité préoccupante : 67 % déclarent avoir une visibilité limitée sur la façon dont les outils d'IA sont utilisés au sein de leur organisation, et aucun répondant n'a déclaré avoir une visibilité totale.
L'adoption de l'IA dépasse la gouvernance de sécurité à un rythme alarmant. Le Shadow AI — l'utilisation non autorisée d'outils d'IA par les employés — crée des angles morts que la surveillance de sécurité traditionnelle ne peut détecter. De ChatGPT aux modèles affinés sur mesure fonctionnant sur des données d'entreprise, la surface d'attaque s'étend plus vite que les équipes de sécurité ne peuvent la cartographier.
Les organisations devraient établir des politiques d'usage de l'IA, mettre en œuvre des contrôles de prévention de perte de données autour des outils d'IA, et créer un inventaire des actifs IA comme étapes fondamentales.
Des acteurs malveillants liés à la Russie déploient une porte dérobée JavaScript capable d'accéder au microphone et à la webcam via des extensions du navigateur Microsoft Edge.
Une campagne attribuée à Laundry Bear (UAC-0190), un groupe de menace lié à la Russie, déploie la porte dérobée DRILLAPP contre des cibles ukrainiennes. L'attaque utilise des documents leurres sur le thème des procédures judiciaires et des organisations caritatives pour inciter les victimes à installer une extension malveillante du navigateur Microsoft Edge.
Une fois installée, DRILLAPP fonctionne comme une porte dérobée basée sur JavaScript dotée de capacités alarmantes :
Bien que ciblant actuellement l'Ukraine, les techniques démontrées par DRILLAPP — en particulier l'espionnage basé sur les extensions de navigateur — représentent un modèle que d'autres acteurs malveillants adopteront inévitablement. Les organisations devraient auditer leurs politiques d'extensions de navigateur et restreindre l'installation aux seules extensions approuvées.
Deux vulnérabilités zero-day sont activement exploitées en conditions réelles. Corrigez immédiatement tous les navigateurs Chrome et basés sur Chromium.
Google a publié des correctifs d'urgence pour deux vulnérabilités activement exploitées dans Chrome :
| CVE | Composant | Type | Gravité |
|---|---|---|---|
| CVE-2026-3909 | Skia (moteur graphique) | Écriture hors limites | Critique |
| CVE-2026-3910 | V8 (moteur JavaScript) | Implémentation inappropriée | Élevée |
La vulnérabilité Skia (CVE-2026-3909) est particulièrement dangereuse — les bugs d'écriture hors limites dans les moteurs graphiques peuvent conduire à une exécution de code à distance via des images ou du contenu web spécialement conçus. La faille V8 (CVE-2026-3910) affecte le moteur JavaScript de Chrome et pourrait permettre une évasion de bac à sable (sandbox) lorsqu'elle est combinée à d'autres vulnérabilités.
Les deux vulnérabilités affectent tous les navigateurs basés sur Chromium, y compris Microsoft Edge, Brave, Opera, et Vivaldi. Mettez à jour tous les navigateurs de votre organisation immédiatement.
| CVE | Produit | Gravité | Statut |
|---|---|---|---|
| CVE-2026-20643 | Apple WebKit (iOS/iPadOS/macOS) | Élevée | Corrigé (mise à jour en arrière-plan) |
| CVE-2026-3909 | Google Chrome (Skia) | Critique | Corrigé — Mettez à jour maintenant |
| CVE-2026-3910 | Google Chrome (V8) | Élevée | Corrigé — Mettez à jour maintenant |
🛡️ Défense de la chaîne d'approvisionnement : L'analyse des dépendances et l'analyse SBOM de KENSAI détectent les paquets compromis dans vos dépendances Python, Node.js, et conteneurs — y compris les charges utiles obfusquées utilisées par GlassWorm ForceMemo.
🔍 Détection des vulnérabilités : Notre analyse continue identifie les CVE connues comme CVE-2026-20643, CVE-2026-3909, et CVE-2026-3910 dans vos applications web et votre infrastructure avant que les attaquants ne puissent les exploiter.
🌐 Sécurité des applications web : Le moteur DAST de KENSAI teste les techniques d'évasion par rendu de police, les pages d'atterrissage ClickFix, et les vecteurs d'attaque par extension de navigateur mis en évidence dans le bulletin d'aujourd'hui.
📋 Conformité NIS2 : Alors que l'UE intensifie les sanctions cyber, démontrer une sécurité proactive grâce à des tests continus est plus important que jamais. KENSAI relie directement ses constats aux exigences de l'article 21 de NIS2.
setup.py, main.py, et app.py à la recherche de modifications inattendues depuis le 8 marsLancez un scan KENSAI gratuit pour vérifier si vos applications web présentent les vulnérabilités évoquées dans le bulletin d'aujourd'hui — y compris les risques liés à la chaîne d'approvisionnement, les navigateurs obsolètes, et les surfaces d'attaque exposées.
Démarrer le scan gratuit →Restez suffisamment en sécurité. Restez vigilant.
🗡️ Équipe Sécurité KENSAI
🛡️ Votre site web est-il sécurisé ?
Découvrez les vulnérabilités avant que les attaquants ne le fassent.
Scannez votre site gratuitement →