Briefing sécurité, 1er mai 2026 : alerte Windows de la CISA, attaque supply chain SAP/PyTorch, 0-day cPanel, Copy Fail et RCE Gemini CLI

La leçon de ce matin est sale et familière : dès que des chemins d’admin ou de développement réputés sûrs sont empoisonnés, les attaquants n’ont plus besoin d’élégance pour faire des dégâts.

---

---

1. L’ordre de patch Windows de la CISA signifie que ce dossier ne relève plus du backlog

BleepingComputer indique que la CISA a ajouté une faille Windows activement exploitée à son catalogue KEV et a imposé une échéance aux agences fédérales. Le signal est limpide : si la CISA force un mouvement d’urgence, les équipes entreprise doivent supposer que les attaquants disposent déjà d’une exploitation concrète.

• Remontez d’abord l’état de patch des systèmes Windows exposés, administratifs et très privilégiés.
• Cherchez des traces d’exploitation pendant le patching, pas après.
• Les exceptions non patchées doivent avoir un responsable nommé aujourd’hui.

---

2. L’affaire SAP npm était déjà grave ; le rebond sur PyTorch Lightning prouve que la campagne s’étend

The Hacker News rapporte que les versions malveillantes 2.6.2 et 2.6.3 de PyTorch Lightning publiées le 30 avril sont liées à la même activité Mini Shai-Hulud qui a touché des paquets npm liés à SAP. Les charges volent des secrets GitHub, npm, SSH, cloud, Kubernetes et CI. Chaque poste développeur ou runner touché doit donc être traité comme un incident.

• Supprimez immédiatement les versions SAP et PyTorch compromises puis faites tourner tous les secrets exposés.
• Passez en revue les workflows de publication et les droits de tokens CI.
• Cadrez aussi les laptops dev, runners auto-hébergés et systèmes d’artefacts.

---

3. cPanel et WHM restent en mode incendie réel

BleepingComputer et The Register décrivent le bypass d’authentification cPanel/WHM comme critique, exploité et assez grave pour déclencher des correctifs d’urgence. Ce type de faille mène directement à des sites, boîtes mail, bases de données et parfois à toute une flotte d’hébergement.

• Patchez cPanel et WHM maintenant et vérifiez la build installée.
• Réduisez l’exposition des ports d’administration pendant la vérification.
• Examinez les journaux d’auth et les changements admin depuis fin février si l’hôte était exposé.

---

4. Copy Fail rappelle pourquoi “local seulement” est une triage paresseuse

The Register et The Hacker News décrivent Copy Fail (CVE-2026-31431) comme une élévation locale de privilèges Linux qui transforme un petit foothold en root sur les grandes distributions. C’est crucial dès qu’un code peu fiable peut déjà tourner localement : CI, serveurs partagés, bastions, conteneurs au noyau partagé.

• Priorisez les correctifs noyau sur les workers CI, serveurs multi-tenant et hôtes Linux similaires.
• Réévaluez les footholds actifs et accès suspects récents.
• Surveillez les altérations autour des binaires setuid et autres transitions vers root.

---

5. Le correctif Gemini CLI de Google ferme un CVSS 10, mais peut casser l’automatisation

The Register et The Hacker News rapportent que Google a corrigé une faille d’exécution de commandes à sévérité maximale dans Gemini CLI et son workflow GitHub Actions associé, avec aussi des problèmes Cursor menant à de l’exécution de code. C’est pénible pour l’exploitation, mais laisser un chemin d’exécution hôte ouvert serait pire.

• Mettez rapidement à jour Gemini CLI puis retestez immédiatement les jobs CI/CD.
• Examinez l’automatisation qui charge de la configuration depuis des dépôts ou du contenu contrôlé par PR.
• Traitez les outils agents et dev comme tout autre chemin de code build-time.

KENSAI publie des briefings sécurité quotidiens centrés sur les chemins exploitables, l’impact opérationnel et les actions concrètes pour les défenseurs.