← Retour au blog

Briefing sécurité, 21 avril 2026 : RCE SGLang, usurpation sur Microsoft Teams et malware OT ZionSiphon

Le paysage de menace de ce matin montre des flux de travail de confiance devenus hostiles. Le serving de modèles IA peut devenir de la RCE, les outils de collaboration deviennent des rampes de social engineering, et les malwares OT se rapprochent du sabotage réel.

---

---

1. Une faille critique de SGLang transforme des fichiers GGUF malveillants en RCE

The Hacker News a mis en avant CVE-2026-5760, un problème critique d’injection de commandes dans le point de terminaison de reranking de SGLang. Un fichier GGUF spécialement conçu peut déclencher l’exécution de code arbitraire dans le contexte du service SGLang. Si votre pile IA importe, teste ou sert des artefacts tiers, ce n’est pas un problème de niche, c’est un problème de production.

• Traitez les fichiers de modèles et les endpoints de serving comme des entrées non fiables.
• Patchez ou isolez les déploiements SGLang qui exposent le reranking ou le chargement automatique de modèles.
• Vérifiez qui peut téléverser, échanger ou récupérer des artefacts GGUF dans votre pipeline IA.

---

2. Microsoft indique que Teams est de plus en plus utilisé pour des attaques d’usurpation du helpdesk

BleepingComputer rapporte que des attaquants abusent de la collaboration externe dans Microsoft Teams puis s’appuient sur des outils d’administration légitimes pour l’accès et le mouvement latéral. Cela fonctionne parce que les employés s’attendent déjà à des échanges de support dans le chat.

• Réduisez l’accès externe à Teams là où l’activité le permet.
• Expliquez au personnel que le “support IT dans le chat” est désormais un schéma d’attaque réel.
• Exigez une vérification hors bande avant les réinitialisations de mots de passe, l’enrôlement des appareils ou les changements MFA.

---

3. ZionSiphon montre que les malwares OT continuent de sonder les opérations du secteur de l’eau

The Hacker News a aussi couvert ZionSiphon, un malware observé contre des systèmes israéliens de traitement de l’eau et de dessalement, avec persistance, altération locale, scan de services OT et logique orientée sabotage autour du chlore et de la pression. Le fait qu’il semble encore inachevé est précisément la raison d’agir maintenant.

• Segmentez OT et IT assez fortement pour empêcher qu’une compromission bureautique dérive vers le contrôle de processus.
• Recherchez des scans inhabituels du sous-réseau local, la propagation par USB et des changements de configuration près des contrôleurs.
• Testez les playbooks d’incident pour l’eau, les utilities et les environnements où le cyber peut devenir un enjeu de sécurité physique.

---

Ce que les équipes sécurité doivent faire aujourd’hui

1. Inventoriez toute utilisation de SGLang et patchez ou isolez d’abord les services d’inférence ou de reranking exposés.
2. Examinez la fédération Teams, les politiques de chat externe et les conversations récentes de type helpdesk.
3. Demandez aux équipes OT et facilities s’il existe des anomalies récentes côté contrôleurs, sous-réseaux ou supports USB.
4. Expliquez à la direction le fil rouge : les workflows de confiance, pas seulement les systèmes exposés, sont désormais la première ligne.

---

Bottom line: En clair : les attaquants d’aujourd’hui n’entrent pas seulement par des trous évidents. Ils empruntent des fichiers de modèles, des workflows de chat et des outils opérationnels encore considérés comme familiers et sûrs. Cette hypothèse doit disparaître.