KENSAI Recherche en Sécurité

Vulnérabilité critique de désérialisation dans les systèmes de gestion du cycle de vie produit Windchill et FlexPLM permettant l'exécution de code à distance sans authentification. La gravité est sans précédent — la police fédérale allemande (BKA) a dépêché des agents dans les entreprises à travers tout le pays durant le week-end, réveillant les administrateurs système en pleine nuit pour leur remettre l'avis en personne. PTC a publié des IoCs incluant des indicateurs de webshell (GW.class, fichiers dpr_*.jsp) et des patterns de user-agent suspects. Aucun correctif disponible ; l'éditeur recommande d'appliquer immédiatement les règles de blocage de chemins servlet Apache/IIS et de déconnecter les instances exposées sur Internet.
CRITIQUEZERO-DAYRCEPLMINDUSTRIE
→ BleepingComputer

Une vulnérabilité de lecture hors limites dans Citrix NetScaler peut être exploitée à distance sans authentification pour lire des informations sensibles en mémoire. Plusieurs sociétés de sécurité avertissent que l'exploitation est imminente compte tenu du déploiement massif des appliances NetScaler. Les organisations doivent appliquer les correctifs immédiatement.
CRITIQUEPRE-AUTHNETSCALERRÉSEAU
→ SecurityWeek

Google a publié Chrome 146 corrigeant huit bugs de sécurité mémoire affectant sept composants différents. Les organisations doivent déployer les mises à jour du navigateur immédiatement sur l'ensemble de leur parc.
ÉLEVÉNAVIGATEURMEMORY-SAFETY
→ SecurityWeek

L'acteur de menace TeamPCP — responsable des récentes compromissions de Trivy et KICS — a désormais injecté une porte dérobée dans le populaire paquet Python LiteLLM sur PyPI. La charge utile est une attaque en trois étapes :

Étape 1 : Collecteur d'identifiants aspirant les clés SSH, identifiants cloud, secrets K8s, portefeuilles crypto et fichiers .env
Étape 2 : Toolkit de mouvement latéral Kubernetes déployant des pods privilégiés sur chaque nœud
Étape 3 : Porte dérobée systemd persistante (sysmon.service) interrogeant un domaine C2 pour des binaires supplémentaires

Les versions malveillantes ont été retirées de PyPI. Toute personne ayant installé litellm 1.82.7 ou 1.82.8 doit considérer son environnement comme entièrement compromis.
CRITIQUESUPPLY-CHAINPYPIK8SCREDENTIAL-THEFT
→ The Hacker News

TeamPCP a compromis deux workflows GitHub Actions maintenus par Checkmarx (checkmarx/ast-github-action et checkmarx/kics-github-action) en utilisant des identifiants CI volés — probablement obtenus lors de la précédente compromission supply chain de Trivy. Il s'agit du même acteur de menace qui étend sa portée à travers les dépendances CI/CD interconnectées.
CRITIQUESUPPLY-CHAINCI/CDGITHUB-ACTIONS
→ The Hacker News

Sept paquets npm publiés par l'utilisateur « mikilanjillo » volent des portefeuilles de cryptomonnaie et des identifiants. Les paquets portent des noms tels que react-performance-suite, react-state-optimizer-core, react-fast-utilsa et ai-fast-auto-trader — conçus pour ressembler à des bibliothèques utilitaires React et IA légitimes.
ÉLEVÉSUPPLY-CHAINNPMCRYPTO-THEFT
→ The Hacker News

Des pirates ont volé des informations personnelles, des dossiers médicaux et des données d'assurance maladie dans les systèmes internes de QualDerm. 3,1 millions de personnes affectées — l'une des plus importantes violations de données de santé ce trimestre.
VIOLATIONSANTÉ3,1M DOSSIERS
→ SecurityWeek

La plateforme de bug bounty HackerOne informe des centaines d'employés que leurs données ont été volées après que des attaquants ont compromis Navia, un administrateur d'avantages sociaux américain utilisé par l'entreprise. Il s'agit d'une violation de données par un tiers/chaîne d'approvisionnement — l'attaquant n'a pas ciblé HackerOne directement.
VIOLATIONTIERSDONNÉES-RH
→ BleepingComputer

Le système d'information scolaire K-12 Infinite Campus, largement utilisé, avertit ses clients d'une violation de données suite à une tentative d'extorsion par l'acteur de menace ShinyHunters. Les données des élèves et des établissements sont menacées.
VIOLATIONÉDUCATIONEXTORSION
→ BleepingComputer

Le groupe d'extorsion Lapsus$ revendique avoir compromis AstraZeneca, ayant prétendument accédé aux dépôts de code internes, aux identifiants et aux données des employés. Enquête en cours.
VIOLATIONPHARMAEXTORSION
→ SecurityWeek

Le ministère néerlandais des Finances a divulgué une violation affectant les données des employés. Les détails émergent encore, mais cela s'ajoute à un schéma d'entités gouvernementales européennes de plus en plus ciblées.
VIOLATIONGOUVERNEMENTEU
→ BleepingComputer

Des pirates ont volé des identifiants internes, des noms, des adresses e-mail et des identifiants de partenaires commerciaux depuis un système de gestion interne. L'étendue de l'impact est encore en cours d'évaluation.
VIOLATIONAUTOMOBILE
→ SecurityWeek

Un ressortissant russe a été condamné à près de 7 ans (81 mois) dans une prison fédérale américaine après avoir plaidé coupable d'avoir agi comme courtier d'accès initial (IAB) pour le groupe ransomware Yanluowang. Les opérations ont causé environ 9 millions de dollars de dommages. Une victoire pour la coopération internationale des forces de l'ordre.
RANSOMWAREFORCES DE L'ORDRECONDAMNATION
→ BleepingComputer

Une campagne de hameçonnage en cours cible les environnements d'entreprise francophones en utilisant des fichiers VBScript obfusqués déguisés en CV. Le toolkit polyvalent combine vol d'identifiants, exfiltration de données et minage de Monero. Utilise Dropbox pour le staging, des sites WordPress marocains pour le C2 et le SMTP mail.ru pour l'exfiltration.
ÉLEVÉHAMEÇONNAGECRYPTOMININGINFOSTEALER
→ The Hacker News

Une campagne de publicité malveillante à grande échelle exploite Google Ads pour cibler les utilisateurs américains recherchant des documents fiscaux. Elle délivre des installeurs frauduleux ConnectWise ScreenConnect qui déploient « HwAudKiller » — un outil qui utilise la technique Bring Your Own Vulnerable Driver (BYOVD) avec un pilote Huawei pour désactiver les produits EDR/AV. Active depuis janvier, elle devrait s'intensifier à l'approche de la date limite fiscale américaine.
ÉLEVÉMALVERTISINGBYOVDEDR-BYPASS
→ The Hacker News

La Federal Communications Commission a mis à jour sa Covered List pour inclure tous les routeurs grand public fabriqués dans des pays étrangers, interdisant la vente de nouveaux modèles aux États-Unis. Une escalade significative dans l'approche américaine de la sécurité de la chaîne d'approvisionnement matérielle.
POLITIQUESUPPLY-CHAINMATÉRIEL
→ BleepingComputer

Mozilla a publié Firefox 149 avec un VPN intégré offrant jusqu'à 50 Go de trafic mensuel gratuitement. Un pas notable vers la confidentialité par défaut dans les navigateurs grand public.
OUTILCONFIDENTIALITÉNAVIGATEUR
→ BleepingComputer

La conférence RSA 2026 a débuté avec une vague d'annonces des éditeurs. Thèmes clés émergents : Guardian Agents (agents IA supervisant d'autres agents IA — Gartner a publié son premier Market Guide), gouvernance de l'IA agentique et convergence continue de l'identité et de la sécurité cloud.
INDUSTRIERSACAI-SECURITY
→ SecurityWeek

Gartner a publié son Market Guide inaugural pour les Guardian Agents — des agents IA qui supervisent d'autres agents IA pour s'assurer que leurs actions sont alignées avec les objectifs et les limites définies. Cette nouvelle catégorie est directement pertinente alors que les plateformes d'IA agentique passent d'outils passifs à des acteurs autonomes avec un accès réel aux systèmes.
MARCHÉAI-GOVERNANCEGARTNER
→ The Hacker News

L'équipe de recherche sur les menaces de XM Cyber a cartographié huit vecteurs d'attaque dans les environnements AWS Bedrock. Lorsque des agents IA peuvent interroger Salesforce, déclencher des fonctions Lambda ou extraire des données de bases de connaissances SharePoint, ils deviennent des nœuds dans l'infrastructure avec des permissions et des chemins atteignables vers des actifs critiques. La recherche met en lumière la surface d'attaque croissante de l'IA agentique dans les environnements cloud.
ÉLEVÉCLOUDAI-SECURITYAWS
→ The Hacker News

La Pologne rapporte une forte hausse des cyberattaques en 2025, incluant une infiltration destructrice du système énergétique du pays en décembre, suspectée d'avoir pour origine la Russie. Le rapport rétrospectif souligne les menaces étatiques persistantes contre les infrastructures critiques européennes.
STATE-SPONSOREDÉNERGIEEU
→ SecurityWeek

Israël aurait détourné le réseau national de caméras de surveillance des rues iraniennes, initialement construit pour réprimer la dissidence, et l'aurait réutilisé comme outil de ciblage. Son rôle dans l'élimination du guide suprême iranien illustre comment les systèmes de surveillance deviennent des instruments de guerre.
CYBER-WARFARESURVEILLANCESTATE-SPONSORED
→ SecurityWeek

Le FBI a publié une alerte décrivant un malware utilisé par des hackers du gouvernement iranien lors d'une attaque contre Stryker. Un fichier malveillant a été découvert au cours de l'enquête. Les détails de l'outillage lié à l'Iran sont désormais publics à des fins de renseignement sur les menaces.
STATE-SPONSOREDIRANMALWARE
→ SecurityWeek

1. Les attaques supply chain s'accélèrent
La compromission en cascade de TeamPCP (Trivy → KICS → LiteLLM → Checkmarx) montre comment une seule brèche CI/CD peut se propager à travers l'outillage open source interconnecté. La campagne npm « Ghost » s'ajoute au schéma. Il faut s'attendre à d'autres attaques.

2. L'outillage IA est la nouvelle surface d'attaque
LiteLLM (proxy IA), les vecteurs d'attaque AWS Bedrock, la gouvernance Guardian Agent — trois articles distincts pointent tous vers l'infrastructure IA agentique comme cible privilégiée. Les organisations déployant des agents IA ont besoin d'une supervision de sécurité dès maintenant.

3. BYOVD devient courant
La campagne de publicité malveillante de la période fiscale utilisant un pilote Huawei pour désactiver l'EDR montre que le BYOVD (Bring Your Own Vulnerable Driver) n'est plus une technique réservée aux APT — les campagnes de malware grand public l'adoptent.

4. Les gouvernements européens sous pression soutenue
La violation du ministère néerlandais des Finances, les attaques contre le secteur énergétique polonais et l'urgence PTC Windchill (qui a déclenché la mobilisation du BKA) dressent le tableau d'une infrastructure européenne sous menace persistante — renforçant l'urgence de la conformité NIS2.

5. Le risque tiers/fournisseur reste sous-estimé
HackerOne compromis via un administrateur d'avantages sociaux. AstraZeneca prétendument piraté. Mazda via un système de gestion interne. Le chemin d'attaque par les fournisseurs et partenaires reste le maillon le plus faible.