Recherche en sécurité

L'attaque supply chain contre le scanner de vulnérabilités Trivy par le groupe de menace TeamPCP s'est considérablement aggravée. Les attaquants ont compromis les GitHub Actions aquasecurity/trivy-action et aquasecurity/setup-trivy, détournant 75 tags pour voler des secrets CI/CD. Une attaque subséquente a déployé CanisterWorm, un ver auto-propagatif utilisant des canisters ICP (contrats intelligents inviolables) qui s'est désormais propagé à 47 paquets npm, rendant le confinement extrêmement difficile.

Un nouveau voleur d'informations appelé VoidStealer utilise une technique inédite pour contourner le chiffrement Application-Bound Encryption (ABE) de Chrome et extraire la clé maître du navigateur. Cela permet le déchiffrement de tous les mots de passe, cookies et données sensibles stockés. L'approche basée sur le débogueur représente une évolution des techniques de vol d'identifiants qui contourne les dernières protections de Chrome.

Oracle a publié un correctif d'urgence hors cycle pour une vulnérabilité critique d'exécution de code à distance non authentifiée dans Identity Manager et Web Services Manager. La faille ne nécessite aucune authentification et est exploitable à distance. Les organisations utilisant Oracle Identity Manager doivent appliquer le correctif immédiatement — il s'agit d'une publication d'urgence en dehors du cycle trimestriel régulier.

Une vulnérabilité critique dans Langflow (CVSS 9.3), l'outil populaire de pipeline IA, a été exploitée dans la nature en seulement 20 heures après sa divulgation publique. La faille combine une absence d'authentification avec une injection de code pour permettre l'exécution de code à distance via le point de terminaison POST /api/v1. Exploitation active confirmée — appliquer le correctif ou mettre hors ligne immédiatement.

La CISA a ordonné aux agences fédérales de corriger une vulnérabilité de sévérité maximale dans le Cisco Secure Firewall Management Center (FMC) avant le 22 mars. Cette vulnérabilité a été ajoutée au catalogue KEV, indiquant une exploitation confirmée. Les organisations utilisant Cisco FMC doivent vérifier immédiatement l'application des correctifs.

La CISA a ajouté cinq vulnérabilités activement exploitées au catalogue des vulnérabilités connues exploitées : CVE-2025-31277 (Apple, CVSS 8.8) ainsi que des failles dans Craft CMS et Laravel Livewire. Les agences fédérales doivent appliquer les correctifs avant le 3 avril 2026. L'exploitation active est confirmée.

Sansec a divulgué « PolyShell », une faille critique dans l'API REST de Magento permettant à des attaquants non authentifiés de téléverser des exécutables arbitraires déguisés en images, aboutissant à l'exécution de code et à la prise de contrôle de comptes. Des milliers de sites Magento sont déjà attaqués dans le cadre d'une campagne de défacement en cours ciblant les plateformes e-commerce et les marques mondiales depuis le 27 février.

Une vulnérabilité critique dans Quest KACE (CVE-2025-32975) est potentiellement exploitée dans des attaques ciblant le secteur éducatif. Quest KACE est largement utilisé pour la gestion des systèmes et la sécurité des terminaux dans les établissements scolaires et universitaires.

L'entreprise d'administration des avantages sociaux Navia a signalé une violation touchant 2,7 millions de personnes. Entre fin décembre 2025 et mi-janvier 2026, des pirates ont exfiltré des informations personnelles et des données de couverture santé. Il s'agit de l'une des plus importantes violations de données dans le secteur de la santé signalées au premier trimestre 2026.

Le FBI et la CISA ont émis un avertissement conjoint indiquant que des acteurs malveillants liés aux services de renseignement russes mènent des campagnes de phishing contre les utilisateurs de Signal et WhatsApp. Les cibles incluent des responsables gouvernementaux américains actuels et anciens, du personnel militaire, des personnalités politiques et des journalistes. Des milliers de comptes ont déjà été compromis. Les attaquants obtiennent un accès complet aux messages et contacts et utilisent les comptes compromis pour du phishing ultérieur depuis des identités de confiance.

Les alertes Microsoft Azure Monitor sont utilisées comme vecteur d'attaque pour envoyer des e-mails de phishing par rappel d'apparence légitime, usurpant l'identité du Microsoft Security Team. Les e-mails alertent sur des « frais non autorisés » et exploitent la confiance envers l'infrastructure Azure pour contourner les filtres de sécurité des e-mails.

Les États-Unis ont officiellement confirmé que le groupe de piratage Handala opère pour le compte du gouvernement iranien et ont saisi plusieurs domaines utilisés dans leurs opérations psychologiques cyber.

Trois individus ont été inculpés pour violation des lois américaines sur le contrôle des exportations en ayant comploté pour détourner de grandes quantités de serveurs IA haute performance des États-Unis vers la Chine, soulignant les tensions persistantes autour des transferts de technologie IA.

Le ministère américain de la Justice, avec le Canada et l'Allemagne, a démantelé l'infrastructure C2 des botnets AISURU, Kimwolf, JackSkid et Mossad. Ces botnets avaient asservi plus de 3 M d'appareils IoT (DVR, caméras, routeurs, Smart TV) et lancé des attaques DDoS record atteignant 31,4 Tbps. Les partenaires du secteur privé incluaient Akamai, AWS, Cloudflare, Google et d'autres. L'opérateur de Kimwolf est lié à un jeune de 23 ans à Ottawa ; un adolescent de 15 ans en Allemagne est également suspecté. Aucune arrestation n'a été annoncée à ce jour.

L'opération internationale « Opération Alice » a fermé plus de 373 000 sites du dark web. Il s'agit de l'un des plus vastes démantèlements coordonnés d'infrastructures illicites du dark web à ce jour.

Principales levées de fonds en cybersécurité cette semaine :

• Oasis Security — 120 M$ pour la gestion d'accès agentique
• Cape — 100 M$ pour la sécurité cellulaire / MVNO axé sur la confidentialité
• Eclypsium — 25 M$ pour la sécurité de la chaîne d'approvisionnement des appareils
• 1stProtect — 20 M$ (mode furtif) pour la surveillance comportementale des terminaux
• Allure Security — 17 M$ pour la protection des marques en ligne

1. Accélération des attaques supply chain : La compromission de Trivy + CanisterWorm représente un nouveau paradigme — des vers auto-propagatifs dans les écosystèmes de paquets utilisant une infrastructure C2 basée sur la blockchain. Les pipelines CI/CD sont désormais une surface d'attaque principale.

2. Le délai d'exploitation s'effondre : Langflow CVE-2026-33017 a été transformé en arme dans les 20 heures suivant sa divulgation. Les défenseurs disposent de moins d'un jour pour réagir aux divulgations critiques — le correctif automatisé n'est plus optionnel.

3. La surface d'attaque des outils IA s'étend : Aussi bien Langflow (outil de pipeline IA) que les charges de contrebande de matériel IA soulignent que l'infrastructure IA est désormais une cible principale — tant les outils que le matériel.

4. Ciblage étatique des applications de messagerie : Le ciblage massif de Signal/WhatsApp par les services de renseignement russes signale un basculement du ciblage de l'e-mail vers les applications de messagerie chiffrée, sapant le conseil de sécurité « utilisez simplement Signal ».

5. Émergence de la sécurité agentique : La levée de 120 M$ d'Oasis Security pour la « gestion d'accès agentique » et la tendance plus large vers des outils de sécurité pilotés par l'IA reflètent le pari massif de l'industrie sur les capacités de défense autonomes.

Opportunités pour KENSAI cette semaine

• Magento PolyShell : Des milliers de sites e-commerce touchés → KENSAI peut détecter cela via le scan DAST. Opportunité de contenu pour le marché e-commerce DACH.
• Attaques supply chain : Trivy/CanisterWorm valide la proposition de valeur SBOM/scan de dépendances de KENSAI. NIS2 exige la gestion des risques de la chaîne d'approvisionnement.
• Fenêtre d'exploitation de 20 heures : Argument parfait pour le pitch de scan continu de KENSAI — « Votre équipe sécurité peut-elle corriger en 20 heures ? »
• Levée de 120 M$ d'Oasis : Valide l'appétit du marché pour les outils de sécurité autonomes — le positionnement de KENSAI en pentest autonome est dans la tendance.
• Correctifs critiques Oracle/Cisco : À mettre en avant dans le contenu de conformité NIS2 — exigences de correctifs obligatoires selon la directive.