Recherche quotidienne en sécurité

Scanner Trivy compromis — CanisterWorm se propage à 47 paquets npm

Le scanner de vulnérabilités Trivy d'Aqua Security a été compromis une deuxième fois en un mois. Le groupe de menace TeamPCP a détourné 75 tags GitHub Action dans aquasecurity/trivy-action et aquasecurity/setup-trivy, injectant un malware de vol d'identifiants dans les pipelines CI/CD. Une attaque consécutive a déployé CanisterWorm, un ver auto-propagé qui a infecté 47 paquets npm dans @EmilGroup, @opengov et d'autres scopes. Le ver utilise des canisters blockchain Internet Computer Protocol (ICP) comme résolveurs C2 dead-drop — le premier cas documenté de cette technique — rendant le démantèlement extrêmement difficile. Persistance via des services systemd se faisant passer pour des outils PostgreSQL.

Sources : The Hacker News · BleepingComputer

Magento PolyShell — Téléchargement non authentifié & RCE via l'API REST

Sansec a découvert une faille critique dans l'API REST de Magento permettant à des attaquants non authentifiés de télécharger des exécutables arbitraires déguisés en images, obtenant l'exécution de code à distance et la prise de contrôle de comptes. Baptisée PolyShell, l'attaque exploite le traitement des fichiers image. Aucune exploitation publique observée pour l'instant, mais des milliers de sites Magento subissent déjà une campagne de défacement séparée commencée le 27 février.

Sources : The Hacker News · SecurityWeek

CVE-2026-21992 — RCE non authentifiée dans Oracle Identity Manager

Oracle a publié un correctif d'urgence hors bande pour une vulnérabilité critique d'exécution de code à distance non authentifiée dans Identity Manager et Web Services Manager. Aucune authentification requise pour l'exploitation. Oracle a demandé un correctif immédiat.

Source : The Hacker News

CVE-2026-20131 — Cisco Secure Firewall Management Center (Sévérité maximale)

CISA a ordonné à toutes les agences fédérales de corriger cette vulnérabilité de sévérité maximale dans Cisco FMC avant aujourd'hui, le 22 mars. Les détails indiquent qu'elle pourrait permettre une compromission complète du système. Ajoutée au catalogue des vulnérabilités exploitées connues de CISA.

Source : BleepingComputer

CVE-2026-33017 — RCE non authentifiée Langflow (Exploitée en 20 heures)

Faille critique d'authentification manquante et d'injection de code dans Langflow (outil populaire de création de workflows IA). Les acteurs malveillants ont armé la vulnérabilité en 20 heures après la divulgation publique via le point d'accès POST /api/v1. Illustre la fenêtre de déploiement des correctifs qui se réduit.

Source : The Hacker News

CISA ajoute Apple, Craft CMS, Laravel Livewire au catalogue KEV

Cinq vulnérabilités supplémentaires ajoutées au catalogue KEV de CISA avec une date limite de correction au 3 avril 2026. Inclut CVE-2025-31277 (Apple, CVSS 8.8) ainsi que des failles dans Craft CMS et Laravel Livewire. Toutes confirmées sous exploitation active.

Source : The Hacker News

CVE-2025-32975 — Exploitation de Quest KACE dans le secteur éducatif

Vulnérabilité critique dans l'appliance de gestion de systèmes Quest KACE potentiellement exploitée contre des cibles du secteur éducatif. Les organisations utilisant Quest KACE doivent corriger immédiatement.

Source : SecurityWeek

FBI/CISA : les services de renseignement russes ciblent massivement Signal & WhatsApp

Le FBI et la CISA ont publié un avis conjoint avertissant que les services de renseignement russes mènent des campagnes massives de phishing contre les utilisateurs de Signal et WhatsApp. Les cibles incluent des responsables gouvernementaux américains actuels et anciens, du personnel militaire, des personnalités politiques et des journalistes. Des milliers de comptes déjà compromis. Après l'accès, les acteurs consultent les messages, volent les contacts, usurpent l'identité des victimes et enchaînent d'autres attaques de phishing depuis des identités de confiance. Le directeur du FBI Kash Patel a confirmé la campagne sur X.

Sources : The Hacker News · BleepingComputer

Les États-Unis confirment le lien de Handala avec le gouvernement iranien

Le gouvernement américain a saisi plusieurs domaines utilisés par Handala, confirmant son lien avec le gouvernement iranien. Le groupe menait des opérations psychologiques cyber-activées. Les domaines ont été démantelés dans un effort coordonné.

Source : SecurityWeek

3 hommes inculpés pour contrebande de matériel IA vers la Chine

Trois individus inculpés pour violation des lois américaines sur le contrôle des exportations, ayant conspiré pour détourner d'importantes quantités de serveurs IA haute performance assemblés aux États-Unis vers la Chine.

Source : SecurityWeek

Le DoJ démantèle des botnets IoT de 3M d'appareils — DDoS record de 31,4 Tbps

Le département de la Justice américain, avec les autorités canadiennes et allemandes, a démantelé l'infrastructure C2 des botnets AISURU, Kimwolf, JackSkid et Mossad — contrôlant collectivement plus de 3 millions d'appareils IoT infectés (DVR, téléviseurs connectés, décodeurs). Ces botnets ont lancé des attaques DDoS record atteignant 31,4 Tbps. Une vaste coalition du secteur privé a participé (Akamai, AWS, Cloudflare, Google, Oracle, PayPal, etc.). Les suspects incluent un Canadien de 23 ans et un Allemand de 15 ans. Aucune arrestation annoncée.

Source : The Hacker News

Violation de données Navia — 2,7 millions de personnes touchées

Entre fin décembre 2025 et mi-janvier 2026, des pirates ont dérobé des informations personnelles et de couverture santé dans l'environnement de Navia, impactant 2,7 millions d'individus. Données de santé et d'avantages sociaux compromises.

Source : SecurityWeek

Des milliers de sites Magento victimes d'une campagne de défacement en cours

Une campagne massive de défacement lancée le 27 février a touché des milliers de sites e-commerce basés sur Magento, ciblant des marques mondiales et même des services gouvernementaux. Combinée à la nouvelle vulnérabilité PolyShell, les opérateurs Magento font face à un paysage de menaces sérieux.

Source : SecurityWeek

Alertes Microsoft Azure Monitor détournées pour du callback phishing

Des attaquants détournent les alertes Microsoft Azure Monitor pour envoyer des e-mails de callback phishing en se faisant passer pour l'équipe sécurité Microsoft. Les e-mails alertent sur des frais non autorisés, incitant les victimes à appeler des numéros contrôlés par les attaquants.

Source : BleepingComputer

Google Android « Advanced Flow » — Délai de 24h pour le sideloading

Google a annoncé un nouveau mécanisme de sideloading pour Android : les applications de développeurs non vérifiés nécessitent désormais un délai obligatoire de 24 heures avant l'installation. Partie intégrante du mandat de vérification des développeurs pour réduire la distribution de malwares et d'applications frauduleuses.

Source : The Hacker News

Opération Alice — 373 000 sites du dark web fermés

Une opération internationale de forces de l'ordre a fermé plus de 373 000 sites du dark web proposant de faux paquets de matériel illégal.

Source : BleepingComputer

Le Royaume-Uni durcit les obligations de signalement des incidents cyber

Le Royaume-Uni renforce les obligations de signalement des incidents cyber pour les organisations, rejoignant la tendance NIS2 de l'UE vers des exigences plus strictes de divulgation des violations.

Source : SecurityWeek

Oasis Security — 120 M$ pour la gestion d'accès agentique

Expansion R&D pour la gestion d'accès aux frameworks IA et mise à l'échelle go-to-market.

Cape — 100 M$ pour la sécurité cellulaire

MVNO axé sur la confidentialité pour les consommateurs, les entreprises et les gouvernements.

Eclypsium — 25 M$ pour la sécurité de la chaîne d'approvisionnement des appareils

Expansion des capacités de la plateforme de sécurité firmware et chaîne d'approvisionnement.

1stProtect — 20 M$ (sortie de mode furtif) pour la sécurité des endpoints

Surveillance comportementale et vérification de l'intention utilisateur pour stopper les attaques en temps réel.

Allure Security — 17 M$ pour la protection de marque en ligne

Expansion de la plateforme de protection de marque numérique.

Tendances clés cette semaine

1. Accélération des attaques sur la chaîne d'approvisionnement : Trivy/CanisterWorm montre que les attaquants enchaînent les compromissions — une brèche mène à des vers auto-propagés à travers des écosystèmes entiers. Le C2 basé sur la blockchain (canisters ICP) rend le démantèlement quasi impossible.

2. Le délai d'exploitation s'effondre : Langflow CVE-2026-33017 a été exploitée dans les 20 heures suivant la divulgation. La fenêtre de correction est effectivement nulle pour les services exposés sur Internet.

3. Sophistication croissante du phishing assisté par IA : L'analyse comportementale devient essentielle alors que l'IA génère du phishing personnalisé contournant la détection classique. Les attaques AITM par navigateur et les techniques ClickFix provoquent des violations majeures.

4. Ciblage étatique des applications de messagerie : Les services de renseignement russes mènent des campagnes à échelle industrielle contre la messagerie chiffrée (Signal, WhatsApp). Les chaînes de confiance sont exploitées — les comptes compromis servent au phishing des contacts.

5. L'échelle des botnets IoT atteint le niveau d'infrastructure : 31,4 Tbps de capacité DDoS depuis des appareils grand public compromis. Même après les démantèlements, la population d'appareils infectés persiste.

6. Le durcissement réglementaire continue : Le Royaume-Uni adopte des mandats de signalement de type NIS2. La charge de conformité augmente pour les organisations UE/UK.

Ce que cela signifie pour les clients KENSAI

Surveillance de la chaîne d'approvisionnement : La compromission Trivy/npm renforce l'importance du scan continu des dépendances. L'analyse SBOM et les vérifications de dépendances de KENSAI détectent exactement ces schémas.

Urgence de la gestion des correctifs : Avec des fenêtres d'exploitation de CVE réduites à quelques heures (Langflow) et CISA imposant des correctifs le jour même (Cisco), le scan automatisé des vulnérabilités n'est plus optionnel — c'est une question de survie.

Signalement NIS2 : Les règles de signalement renforcées du Royaume-Uni reflètent l'article 23 de NIS2. Les organisations DACH font face aux mêmes obligations. Les capacités de reporting de conformité de KENSAI répondent directement à ce besoin.

Sécurité de la messagerie : La campagne russe Signal/WhatsApp est un signal d'alarme pour toute organisation s'appuyant sur la messagerie grand public pour des communications sensibles.