Le constat de ce matin est d’une brutalité limpide. Les attaquants ne gagnent pas parce que les défenseurs manquent de tableaux de bord, mais parce que trop de surfaces d’administration restent accessibles, trop de frontières de confiance sont imaginaires et trop d’équipes corrigent le problème à la une sans fermer le plan de contrôle.
Le signal le plus net aujourd’hui est la convergence des chemins d’attaque modernes. Flowise est exploité activement, les contrôles d’autorisation de Docker peuvent encore être contournés lorsque les hypothèses sont mauvaises, des acteurs étatiques détournent le DNS depuis des équipements périphériques bon marché, des opérateurs liés à l’Iran ciblent les technologies opérationnelles et des clients Snowflake sont entraînés dans une affaire de jetons tiers. Ajoutez les 21 milliards de dollars de pertes liées à la cybercriminalité annoncés par le FBI : les interfaces d’administration accessibles restent encore la cible la plus rentable.
Selon VulnCheck, des attaquants exploitent désormais CVE-2025-59528, une faille de gravité maximale dans le nœud CustomMCP de Flowise qui peut permettre l’exécution arbitraire de JavaScript et l’accès au système. Les publications disponibles font état de 12 000 à 15 000 instances Flowise exposées en ligne. Si votre équipe a laissé Flowise accessible depuis Internet sans correctif, traitez la situation comme un incident, pas comme une mise à jour ordinaire.
La correction incomplète apportée par Docker à un ancien défaut des plugins d’autorisation permet à une requête API surdimensionnée et spécialement conçue de contourner l’inspection du corps, puis de créer un conteneur privilégié ayant accès au système de fichiers de l’hôte. Le risque est sérieux, car beaucoup d’équipes considèrent les plugins AuthZ comme leur ultime garde-fou. Ils ne le sont pas. Si Docker fait partie de votre plan de contrôle IA ou CI, installez la version 29.3.1 et cessez de vous fier à des couches de politiques que vous n’avez pas réellement mises à l’épreuve.
Microsoft, Black Lotus Labs et les autorités britanniques ont attribué à APT28 des compromissions de routeurs ayant modifié les paramètres DNS d’équipements SOHO et permis des interceptions de type adversary-in-the-middle sur les trafics web et de messagerie. La campagne aurait culminé à plus de 18 000 adresses IP dans 120 pays. C’est un rappel brutal : les équipements périphériques des agences et des télétravailleurs restent un point faible de l’identité d’entreprise.
Les agences américaines ont averti que des acteurs affiliés à l’Iran ciblaient des PLC exposés à Internet, notamment des équipements Rockwell et Allen-Bradley, tandis que certains systèmes Siemens sont également concernés. Des organisations municipales et des opérateurs des secteurs de l’eau, de l’assainissement et de l’énergie ont déjà subi des perturbations opérationnelles et des pertes financières. Si un PLC ou une IHM est encore directement exposé à Internet, ce n’est pas de la transformation numérique : c’est une faute opérationnelle.
BleepingComputer rapporte qu’une compromission chez un fournisseur présumé d’intégration SaaS a permis le vol de jetons, puis l’exfiltration de données dans plusieurs entreprises. Les clients Snowflake ont subi l’essentiel des dommages et des tentatives visant Salesforce ont également été observées. La leçon est claire : les partenaires analytiques, les fournisseurs de détection d’anomalies et les intégrations fondées sur des jetons font partie de votre surface d’attaque, que les achats apprécient ou non ce constat.
Corrigez ou isolez immédiatement Flowise et Docker, examinez les services MCP et les outils de création IA exposés, verrouillez l’administration des routeurs et les modifications DNS, retirez les systèmes de contrôle OT de toute exposition directe à Internet, puis renouvelez les jetons d’intégration tiers tout en examinant les journaux d’audit Snowflake et Salesforce. C’est le bon moment pour éliminer les hypothèses fragiles avant que les attaquants ne les monétisent.
Transformez le signal du jour en action.
KENSAI aide les équipes de sécurité à valider les surfaces exposées, à mettre les contrôles à l’épreuve et à repérer les failles de confiance que les attaquants monétisent en premier.
Lancer votre scan gratuit →