← Back to Blog

Briefing sécurité, 11 avril 2026 : attaque supply chain chez CPUID, PLC Rockwell exposés, piratage de paie, RCE Marimo et chiffrement Gmail sur mobile

Le signal de ce matin est moche et familier : outils de confiance, systèmes industriels exposés, sessions volées et exploitation quasi immédiate. Le seul point positif est que l’e-mail sécurisé par défaut devient enfin un peu plus praticable sur mobile.

---

---

1. La chaîne de téléchargement de CPUID a été empoisonnée

Des attaquants ont compromis une API secondaire de CPUID pendant environ six heures et ont remplacé les liens de téléchargement officiels afin de rediriger les utilisateurs de CPU-Z et HWMonitor vers un installeur HWiNFO trojanisé. Les chercheurs décrivent le malware comme multi-étapes, fortement obfusqué et probablement orienté vol d’informations. CPUID affirme que ses binaires originaux signés n’ont pas été modifiés, mais la frontière de confiance a déjà été cassée, et c’est bien le vrai problème.

• Vérifiez les hachages et signatures même pour les utilitaires officiels.
• Surveillez les lancements d’installateurs inattendus depuis les chemins d’outils matériels.
• Passez en revue les détections liées aux échantillons HWiNFO trojanisés.

---

2. Près de 4 000 PLC Rockwell américains restent exposés en ligne

Les agences fédérales ont averti que des acteurs liés à l’Iran ciblent depuis mars des PLC Rockwell Automation et Allen-Bradley, provoquant des perturbations et manipulant les écrans HMI et SCADA. Censys a ensuite recensé 5 219 hôtes exposés dans le monde, dont 3 891 aux États-Unis. Ce n’est pas juste une mauvaise statistique. C’est une invitation permanente.

• Placez les PLC derrière des pare-feu ou retirez-les d’Internet.
• Examinez les journaux OT pour repérer des accès étrangers et un trafic suspect sur les ports OT.
• Imposez la MFA et désactivez les services distants inutilisés sur les chemins OT.

---

3. Storm-2755 vole les salaires, pas seulement l’accès aux boîtes mail

Selon Microsoft, Storm-2755 a utilisé des pages de phishing Microsoft 365 en adversary-in-the-middle, le vol de cookies de session, des règles de boîte de réception cachées et l’ingénierie sociale sur le dépôt direct pour détourner la paie d’employés canadiens. La leçon est simple : une MFA héritée ne vous sauve pas quand l’attaquant vole la session authentifiée.

• Faites passer les utilisateurs RH et paie à une MFA résistante au phishing.
• Recherchez les règles de messagerie qui masquent les e-mails de dépôt direct et de banque.
• Révoquez rapidement les jetons volés et réinitialisez les méthodes d’authentification après suspicion de compromission.

---

4. Marimo CVE-2026-39987 a été exploité presque immédiatement

Sysdig a observé l’exploitation de la faille RCE pré-authentifiée de Marimo dans les 9 heures et 41 minutes suivant sa divulgation publique. Le bug se trouvait dans l’endpoint WebSocket /terminal/ws, qui sautait l’authentification et offrait aux attaquants un shell interactif sur les instances exposées. C’est la nouvelle norme : les fenêtres entre divulgation et exploitation s’effondrent.

• Mettez Marimo à jour vers une version corrigée immédiatement.
• Retirez d’Internet les environnements de notebooks exposés.
• Considérez que les fenêtres de sécurité entre advisory et patch ont disparu pour les services exposés.

---

5. Le chiffrement de bout en bout de Gmail arrive enfin sur mobile

Google indique que le chiffrement de bout en bout de Gmail est désormais disponible sur Android et iOS pour les utilisateurs enterprise, permettant de lire et rédiger des messages protégés sur mobile sans outils supplémentaires. Cela ne résout ni la compromission d’identité ni le vol d’endpoint, mais cela réduit l’excuse habituelle selon laquelle l’e-mail sécurisé serait trop pénible pour les usages réels.

• Activez l’E2EE là où des données réglementées sont traitées régulièrement.
• Associez le mail chiffré à la confiance des appareils et à des contrôles d’identité solides.
• Expliquez aux équipes ce que le chiffrement protège, et ce qu’il ne protège pas.

---

Ce que les équipes sécurité doivent faire aujourd’hui

1. Auditer les chemins de distribution des logiciels de confiance.
2. Isoler ou retirer les actifs OT exposés sur Internet.
3. Durcir les flux d’identité RH et paie.
4. Corriger les outils développeurs exposés dès le jour de divulgation.
5. Étendre la messagerie mobile sécurisée pour les équipes sensibles.

---

Sources tracked for this briefing: Sources suivies pour ce briefing : BleepingComputer, The Hacker News et des rapports d’agences fédérales ou d’éditeurs publiés du 10 au 11 avril 2026.