Briefing quotidien des menaces

Faille critique d'authentification manquante et d'injection de code dans Langflow (CVSS 9.3) activement exploitée. Des attaquants non authentifiés peuvent exécuter du code à distance via les endpoints POST /api/v1. L'exploitation a commencé dans les 20 heures suivant la divulgation publique — appliquez le correctif immédiatement.

Oracle a publié une mise à jour de sécurité hors cycle pour une vulnérabilité RCE critique non authentifiée dans Identity Manager et Web Services Manager. Cette publication en dehors du cycle trimestriel régulier de correctifs d'Oracle indique la gravité et le risque d'exploitation potentiel.

La CISA a ordonné à toutes les agences fédérales de corriger une vulnérabilité de gravité maximale dans le Cisco Secure Firewall Management Center d'ici dimanche 22 mars. L'urgence du délai de fin de semaine signale une exploitation active ou imminente.

ConnectWise ScreenConnect a corrigé une vulnérabilité critique exposant les clés machines, permettant potentiellement un accès non autorisé aux sessions de gestion à distance. La dernière version ajoute le chiffrement du stockage et la gestion des clés.

Sansec a découvert une faille critique dans l'API REST de Magento permettant à des attaquants non authentifiés de télécharger des exécutables déguisés (images cachant du code malveillant) pour obtenir une RCE et le détournement de compte. Des milliers de sites Magento ont déjà été touchés dans une campagne de défacement en cours depuis le 27 février.

Le scanner Trivy d'Aqua Security a été compromis pour la deuxième fois en un mois. Les attaquants ont détourné 75 tags dans les GitHub Actions « aquasecurity/trivy-action » et « aquasecurity/setup-trivy » pour voler des secrets CI/CD. Toute pipeline utilisant ces actions pourrait avoir divulgué des identifiants.

Le nouveau malware « Speagle » détourne le logiciel légitime Cobra DocGuard, utilisant des serveurs compromis pour exfiltrer des données tout en masquant le trafic comme de la communication applicative légitime. Une attaque sophistiquée adjacente à la chaîne d'approvisionnement.

L'analyse révèle que 54 programmes tueurs d'EDR abusent de 35 pilotes légitimement signés mais vulnérables pour désactiver la sécurité des endpoints avant de déployer un ransomware. BYOVD (Bring Your Own Vulnerable Driver) est désormais une technique standard du ransomware.

Des hackers ont volé des informations personnelles et de couverture santé dans l'environnement de Navia entre fin décembre 2025 et mi-janvier 2026. 2,7 millions de personnes affectées. Les violations de données dans le secteur de la santé continuent d'être les plus impactantes en volume.

Un homme de Caroline du Nord a été reconnu coupable d'avoir volé des données d'entreprise et d'avoir extorqué 2,5 M$ à une société technologique de Washington D.C. (Brightly Software) — alors qu'il était encore employé comme sous-traitant. La menace interne reste un risque de premier plan.

Michael Smith a plaidé coupable d'avoir utilisé des bots IA pour générer plus de 10 M$ de redevances de streaming frauduleuses sur Spotify, Apple Music, Amazon Music et YouTube Music. Fraude à l'IA à grande échelle.

Les États-Unis, l'Allemagne et le Canada ont démantelé l'infrastructure C2 des botnets AISURU, KimWolf, JackSkid et Mossad (3 millions d'appareils IoT). Ces botnets alimentaient des attaques DDoS record de 31,4 Tbps. Collaboration majeure avec le secteur privé (Akamai, AWS, Cloudflare, Google, Oracle et d'autres).

Les forces de l'ordre internationales ont fermé 373 000 sites du dark web dans le cadre de l'« Opération Alice ». L'une des plus grandes opérations coordonnées de démantèlement d'infrastructures illicites à ce jour.

Le FBI a publié un avertissement indiquant que des acteurs liés aux services de renseignement russes mènent activement des campagnes de phishing contre les utilisateurs de Signal et WhatsApp. Des milliers de comptes de messagerie chiffrée déjà compromis. Les cibles incluent des journalistes, des activistes et des responsables gouvernementaux.

Les États-Unis ont confirmé que le groupe de hackers Handala est lié au gouvernement iranien et ont saisi plusieurs domaines utilisés dans des opérations psychologiques cybernétiques.

Trois individus ont été inculpés pour avoir violé les lois américaines sur le contrôle des exportations en conspirant pour détourner vers la Chine des serveurs IA haute performance assemblés aux États-Unis. Partie de l'escalade de la guerre froide technologique.

Les cybercriminels utilisent l'IA pour générer du phishing personnalisé, des deepfakes et des malwares qui contournent la détection traditionnelle en imitant l'activité normale des utilisateurs. L'analyse comportementale émerge comme la contre-mesure nécessaire — la détection par signatures devient de plus en plus insuffisante.

Apple recommande vivement les mises à jour iOS contre les kits d'exploit web (Coruna, DarkSword) ciblant les appareils obsolètes. Ces kits déclenchent des chaînes d'infection via du contenu web malveillant menant au vol de données.

Google a introduit une période de réflexion obligatoire de 24 heures pour le sideloading d'applications de développeurs non vérifiés sur Android. Partie du mandat de vérification des développeurs annoncé l'année dernière. Équilibre entre ouverture et réduction des arnaques/malwares.

Group-IB a détaillé « The Gentlemen », une nouvelle opération Ransomware-as-a-Service d'environ 20 membres exploitant des vulnérabilités FortiGate. Les groupes RaaS émergents continuent d'abaisser la barrière d'entrée pour les attaques par ransomware.

Levée massive axée sur la gestion des identités et des accès pour les agents IA. Investissement en R&D, expansion du framework IA et mise sur le marché. Signal : le marché considère la sécurité des agents IA comme une catégorie émergente critique.

MVNO axé sur la confidentialité pour les consommateurs, les entreprises et les gouvernements. Répond aux menaces de surveillance et d'interception cellulaire.

Extension des capacités de la plateforme pour l'intégrité de la chaîne d'approvisionnement des firmwares et du matériel.

Surveille le comportement et vérifie l'intention de l'utilisateur pour stopper les attaques en temps réel. Sorti du mode furtif.

Mise à l'échelle de la protection numérique des marques contre le phishing, l'usurpation d'identité et l'abus de marque.

Pour le positionnement de KENSAI :

• Langflow CVE-2026-33017 — exploitée en 20 heures. C'est la proposition de valeur fondamentale de KENSAI : le scan continu détecte ces failles avant les attaquants. Opportunité de contenu pour un article de blog sur la « fenêtre de 20 heures ».
• Magento PolyShell — des milliers de sites e-commerce touchés. Les entreprises européennes réglementées NIS2 utilisant Magento sont des cibles parfaites pour le scanning DAST de KENSAI.
• 54 tueurs d'EDR avec BYOVD — la sécurité des endpoints seule ne suffit pas. L'approche multicouche de KENSAI (DAST + SAST + secrets + infrastructure) est la réponse.
• 282 M$ de financement en sécurité cette semaine — le marché est bouillant. La levée de 120 M$ d'Oasis pour la « gestion des accès agentiques » valide la catégorie sécurité IA que KENSAI occupe.
• Compromission de la chaîne d'approvisionnement Trivy — la sécurité des pipelines CI/CD est un domaine sous-desservi. Potentiel futur module KENSAI.
• Phishing d'État russe sur Signal — la conformité NIS2 exige des communications sécurisées. Angle de contenu pour le marché DACH.