← Retour au blog

Briefing sécurité, 15 avril 2026 : Patch Tuesday, extensions Chrome malveillantes et dérive des accès

Le briefing sécurité du jour suit trois histoires concrètes : le Patch Tuesday d’avril de Microsoft, une campagne de plus de 100 extensions Chrome malveillantes et des défaillances de gouvernance des accès chez Kraken et McGraw-Hill.

---

---

1. Le Patch Tuesday de Microsoft est massif, et un zero-day SharePoint était déjà exploité

Microsoft a publié des correctifs pour 167 vulnérabilités en avril 2026, dont deux zero-days. L’une d’elles, une vulnérabilité d’usurpation sur SharePoint Server, était déjà exploitée dans la nature. Microsoft a aussi corrigé des RCE critiques dans Office et un problème d’élévation de privilèges dans Defender via la plateforme antimalware.

• Patcher d’abord les systèmes SharePoint exposés et les environnements très dépendants d’Office.
• Ne pas déclarer le cycle terminé tant que les exceptions, copies de préproduction et nœuds d’administration ne sont pas réconciliés.
• Vérifier l’exposition réelle après patch au lieu de se fier à la fermeture des tickets.

---

2. Plus de 100 extensions Chrome ont transformé le navigateur en surface de vol d’identité

Les chercheurs de Socket ont relié plus de 100 extensions malveillantes du Chrome Web Store à une campagne coordonnée. Elles auraient volé des jetons OAuth2 Google, collecté des données de compte, détourné des sessions Telegram Web et récupéré des commandes à distance en arrière-plan. Ce n’est pas un simple risque d’extension. C’est un abus d’identité, de session et de confiance dans un environnement déjà authentifié.

• Auditer aujourd’hui les extensions installées sur les postes gérés.
• Révoquer sessions et jetons en cas de soupçon d’abus via extension.
• Traiter le navigateur comme une partie du plan de contrôle de l’identité.

---

3. Kraken et McGraw-Hill rappellent que les accès internes et tiers cassent encore les récits trop propres

Kraken affirme qu’un groupe d’extorsion menace de publier des vidéos de systèmes internes après un accès inapproprié par des employés du support ayant exposé des données limitées de support client touchant environ 2 000 comptes. McGraw-Hill a indiqué séparément que des attaquants avaient accédé à des données internes limitées via une mauvaise configuration d’une page hébergée par Salesforce, tandis que ShinyHunters revendiquait un butin bien plus important. Le périmètre exact diffère, mais le schéma est identique : les flux de support et les systèmes métiers hébergés conservent souvent plus de confiance que les équipes ne l’imaginent.

• Limiter par défaut dans le temps les accès support et prestataires.
• Examiner les pages hébergées, outils de support et chemins d’administration tiers pendant la réponse à incident.
• Considérer même une “exposition limitée” comme un risque d’extorsion et de réputation.

---

Ce que les équipes sécurité doivent faire aujourd’hui

1. Prioriser d’abord les actifs Microsoft exploités et exposés vers l’extérieur.
2. Lancer un balayage des extensions et un plan de révocation de sessions pour les utilisateurs à risque.
3. Auditer les accès support, fournisseurs et administrateurs SaaS avec responsables et dates d’expiration.
4. Produire une mise à jour exécutive unique couvrant patchs, abus d’identité dans le navigateur et accès tiers.

---

Bottom line: Toutes les histoires du jour pointent vers la même vérité opérationnelle. Les attaquants gagnent dans l’écart entre contrôle nominal et contrôle vérifié, entre “patché” et réellement corrigé, entre “connecté” et réellement digne de confiance, entre “accès temporaire” et privilège qui traîne.