La faille Smart Slider WordPress expose 800K sites, triple vulnérabilité LangChain IA divulgue des secrets, l'attaque steganographique WAV TeamPCP Telnyx s'intensifie, l'alerte CISA PTC Windchill mobilise la police allemande, violation Hightower touche 130K

Une vulnérabilité critique de lecture de fichiers dans le plugin WordPress Smart Slider 3 expose 800 000 sites au vol d'identifiants. Trois failles LangChain et LangGraph menacent les déploiements IA d'entreprise par exfiltration de fichiers et injection SQL. TeamPCP intensifie sa campagne supply chain en backdoorant le paquet PyPI Telnyx avec de la stéganographie WAV. CISA signale une vulnérabilité critique PTC Windchill ayant mobilisé la police allemande. La violation de données Hightower Holding expose les numéros de sécurité sociale de 130 000 personnes.

1. La faille du plugin WordPress Smart Slider 3 expose 800 000 sites au vol d'identifiants

Une vulnérabilité dans l'un des plugins de slider WordPress les plus populaires a mis des centaines de milliers de sites web en danger de prise de contrôle complète. La faille, identifiée comme CVE-2026-3098, affecte Smart Slider 3 — un plugin de carrousel glisser-déposer actif sur plus de 800 000 installations WordPress.

Découverte par le chercheur Dmitrii Ignatyev et validée par Wordfence, la vulnérabilité provient de vérifications de capacités manquantes dans les actions d'export AJAX du plugin. La fonction actionExportAll ne valide ni le type ni la source des fichiers.

Pourquoi c'est pire qu'il n'y paraît

• Exposition de wp-config.php : Les attaquants peuvent lire les identifiants de base de données, les clés d'authentification et les salts
• Contournement du nonce : Les utilisateurs authentifiés peuvent obtenir des nonces valides
• Faible barrière : Un compte abonné suffit — aucun privilège administrateur requis
• Échelle : Au moins 500 000 sites restent vulnérables

Perspective KENSAI

Les vulnérabilités des plugins WordPress restent l'un des vecteurs d'attaque les plus fiables sur Internet. Le scan d'applications web de KENSAI identifie les plugins obsolètes et les CVE connus dans toute votre infrastructure web.

2. Triple vulnérabilité LangChain & LangGraph menace les déploiements IA d'entreprise

Trois vulnérabilités de sécurité dans LangChain et LangGraph pourraient exposer les données d'entreprise via trois chemins d'attaque indépendants. Avec des téléchargements hebdomadaires combinés dépassant 84 millions, le rayon d'explosion est énorme.

La triple menace

• CVE-2026-34070 : Accès aux fichiers arbitraires via l'API de chargement de prompts sans validation
• CVE-2025-68664 : Désérialisation de données non fiables fuitant clés API et secrets d'environnement
• CVE-2025-67644 : Injection SQL via les clés de filtre de métadonnées dans l'implémentation SQLite de LangGraph

Perspective KENSAI

Les frameworks IA deviennent une infrastructure critique, portant les mêmes classes de vulnérabilités classiques que les applications web depuis des décennies. Le scan de dépendances de KENSAI aide à identifier les versions vulnérables.

3. TeamPCP backdoore le paquet Telnyx PyPI avec stéganographie WAV

L'acteur prolifique de la chaîne d'approvisionnement TeamPCP a encore frappé — compromettant cette fois le SDK Python officiel Telnyx sur PyPI, un paquet avec plus de 740 000 téléchargements mensuels.

La technique de stéganographie WAV

• Étape 1 : Code malveillant dans telnyx/_client.py déclenché automatiquement à l'import
• Étape 2 : Téléchargement d'un fichier WAV — la charge utile est cachée dans les trames audio avec chiffrement XOR
• Étape 3 : Exécution en mémoire, collecte de clés SSH, tokens cloud, wallets crypto et credentials
• Mouvement latéral Kubernetes : Énumération des secrets de cluster et déploiement de pods privilégiés

Perspective KENSAI

La nature en cascade des attaques supply chain est le défi sécuritaire déterminant de 2026. Le monitoring continu de KENSAI identifie l'exposition supply chain dans votre arbre de dépendances.

4. CISA signale la vulnérabilité critique PTC Windchill — Police allemande mobilisée

Dans une mesure extraordinairement rare, la police allemande a physiquement rendu visite à des organisations pour les avertir d'une vulnérabilité critique dans le logiciel PLM Windchill de PTC — un système largement utilisé dans l'industrie manufacturière, automobile, aérospatiale et de défense.

• Avertissements physiques de la police : Une mesure quasi sans précédent réservée aux menaces les plus critiques
• Listage CISA KEV : Les agences fédérales doivent patcher dans les délais prescrits
• Coordination transfrontalière : La réponse simultanée USA-Allemagne suggère un partage de renseignements

Perspective KENSAI

Le scan d'infrastructure de KENSAI identifie les interfaces de gestion exposées et les logiciels d'entreprise non patchés — y compris les systèmes PLM industriels.

5. Violation de données Hightower Holding expose 130 000 personnes

La société financière Hightower Holding a divulgué une violation de données affectant environ 130 000 personnes. Les données compromises incluent noms, numéros de sécurité sociale et numéros de permis de conduire.

• Noms — Noms légaux complets
• Numéros de sécurité sociale — La donnée la plus précieuse pour les voleurs d'identité
• Numéros de permis de conduire — Souvent utilisés comme vérification d'identité secondaire

Perspective KENSAI

Les tests de pénétration automatisés de KENSAI identifient l'exposition réseau et les contrôles d'accès mal configurés qui permettent des violations de cette ampleur.

Résumé quotidien Recherche & Produits