🛡️ Bulletin de recherche en sécurité

Commission européenne — Europa.eu compromise par ShinyHunters

La Commission européenne a confirmé une violation majeure de données après que le groupe d'extorsion ShinyHunters a revendiqué le vol de plus de 350 Go d'informations provenant des systèmes cloud de la Commission européenne. L'incident représente l'un des plus importants vols de données gouvernementales de l'histoire européenne récente.

SecurityWeek ↗

CareCloud — Données patients de santé dérobées

L'entreprise de technologies de santé CareCloud a révélé un incident de cybersécurité impliquant l'un de ses environnements de dossiers médicaux électroniques (EHR). Des données sensibles de patients ont été exposées lors d'une interruption réseau d'environ huit heures. La violation affecte un nombre inconnu de patients dont les informations de santé protégées (PHI) ont potentiellement été consultées.

BleepingComputer ↗

Directeur du FBI Kash Patel — Messagerie personnelle compromise

Le FBI a confirmé que des hackers iraniens ont ciblé le compte de messagerie personnel du directeur du FBI, Kash Patel. Un groupe de hackers pro-iranien a revendiqué l'attaque et mis des courriels et documents en téléchargement. Les États-Unis offrent une récompense de 10 M$ pour toute information sur les hackers. Le FBI a précisé que les informations compromises sont anciennes.

SecurityWeek ↗

CVE-2026-3055 — Citrix NetScaler ADC/Gateway Memory Overread

Une vulnérabilité critique de lecture mémoire hors limites dans Citrix NetScaler ADC et Gateway permet aux attaquants de divulguer des informations sensibles, notamment des identifiants de session administrateur authentifiés. L'exploitation nécessite que l'appliance soit configurée en tant que fournisseur d'identité SAML. Une exploitation active est observée depuis le 27 mars.

Action : Corriger immédiatement. Vérifier les configurations SAML IDP.

BleepingComputer ↗

F5 BIG-IP APM — DoS reclassifié en RCE critique

F5 a reclassifié une vulnérabilité BIG-IP APM de DoS à sévérité élevée vers une RCE critique. Les attaquants déploient activement des webshells sur les appareils non corrigés. CISA l'a ajoutée à son catalogue des vulnérabilités exploitées connues (KEV).

Action : Corriger immédiatement. Auditer les instances BIG-IP pour détecter les webshells.

BleepingComputer ↗

CVE-2026-21643 — Fortinet FortiClient EMS SQL Injection

Une vulnérabilité critique d'injection SQL dans le serveur de gestion des terminaux FortiClient EMS de Fortinet est activement exploitée dans la nature. Les acteurs malveillants utilisent cette faille comme vecteur d'accès initial aux réseaux d'entreprise.

Action : Corriger FortiClient EMS immédiatement. Examiner les journaux EMS pour détecter des requêtes anormales.

CyberSecurityNews ↗

Grafana 12.4.2 — Deux vulnérabilités RCE critiques

Deux vulnérabilités critiques dans Grafana permettent l'exécution de code à distance complète. Les mises à jour de sécurité ont été publiées dans la version 12.4.2.

CyberSecurityNews ↗

CVE-2026-33660 — n8n automatisation de workflows RCE

Une faille RCE critique dans la populaire plateforme d'automatisation de workflows open source n8n expose les serveurs hôtes à des attaques d'exécution de code à distance.

CyberSecurityNews ↗

CVE-2026-33634 — Aqua Trivy Scanner

CISA a ajouté une vulnérabilité critique du scanner Trivy d'Aqua Security au catalogue KEV. Ironique — un scanner de sécurité est lui-même devenu un vecteur de vulnérabilité.

CyberSecurityNews ↗

Vim — Exécution de commandes arbitraires via des fichiers piégés

Une faille de sévérité élevée dans Vim permet aux attaquants d'exécuter des commandes arbitraires via des fichiers piégés. Les développeurs utilisant Vim doivent effectuer la mise à jour immédiatement.

CyberSecurityNews ↗

Cisco Secure Firewall Management Center — RCE non authentifiée

Vulnérabilité d'exécution de code à distance non authentifiée dans le logiciel Secure Firewall Management Center (FMC) de Cisco.

CyberSecurityNews ↗

Synology DiskStation Manager — Exécution de commandes à distance

Des attaquants non authentifiés peuvent exécuter des commandes arbitraires à distance sur les appareils Synology DSM.

CyberSecurityNews ↗

Jira Work Management — XSS persistant

Une vulnérabilité XSS persistante dans Jira Work Management pourrait conduire à la compromission de comptes dans l'écosystème Atlassian.

CyberSecurityNews ↗

Claude Chrome Extension — Injection de prompt 0-Click

Une vulnérabilité zero-click dans l'extension Chrome Claude d'Anthropic a exposé plus de 3 millions d'utilisateurs à des attaques silencieuses par injection de prompt, permettant à des sites web malveillants de détourner l'assistant IA.

CyberSecurityNews ↗

APT russe Star Blizzard — Kit d'exploitation iOS DarkSword

Le groupe étatique russe Star Blizzard a adopté le kit d'exploitation iOS DarkSword, ciblant les entités gouvernementales, universitaires, financières et juridiques, ainsi que les groupes de réflexion. Cela marque une expansion notable de leurs capacités d'exploitation mobile.

SecurityWeek ↗

Toolkit russe CTRL — Détournement RDP via tunnels FRP

Un toolkit d'accès à distance d'origine russe récemment découvert, nommé CTRL, est distribué via des fichiers LNK malveillants déguisés en dossiers de clés privées. Développé en .NET, il comprend l'hameçonnage d'identifiants (interface Windows Hello), l'enregistrement de frappes, le détournement de sessions RDP et le tunneling proxy inverse via Fast Reverse Proxy (FRP).

The Hacker News ↗

APT liés à la Chine — Gouvernement d'Asie du Sud-Est ciblé

Trois clusters de menaces alignés sur la Chine (Mustang Panda, Earth Estries/Crimson Palace, Unfading Sea Haze) ont mené une campagne coordonnée contre un gouvernement d'Asie du Sud-Est. Les malwares déployés incluent HIUPAN, PUBLOAD, MASOL RAT, PoshRAT, FluffyGh0st et d'autres — indiquant une opération bien financée et persistante.

The Hacker News ↗

Iran — Opérations cyber dans un contexte de guerre

Les groupes de hackers liés à l'Iran se tournent vers des cyberattaques à haut volume et faible impact, amplifiées par l'IA. Les cibles incluent les hôpitaux, les infrastructures et les systèmes civils dans un paysage conflictuel en évolution.

SecurityWeek ↗

Attaque supply chain TeamPCP — SDK Telnyx empoisonné sur PyPI

Deux versions malveillantes du populaire SDK Telnyx ont été téléversées sur le registre PyPI, ciblant les systèmes Windows, macOS et Linux. Cela fait partie de la campagne grandissante d'attaques supply chain TeamPCP.

SecurityWeek ↗

RoadK1ll — Nouvel implant WebSocket pour le mouvement latéral

Un implant récemment identifié nommé RoadK1ll utilise des connexions WebSocket pour permettre un mouvement latéral discret depuis des hôtes compromis vers d'autres systèmes du réseau.

BleepingComputer ↗

Infiniti Stealer — Attaque ClickFix à thème Cloudflare ciblant les Macs

Une attaque ClickFix à thème Cloudflare installe l'Infiniti Stealer sur les Macs via de fausses pages CAPTCHA, des scripts Bash, un chargeur Nuitka et un infostealer basé sur Python. macOS Tahoe 26.4 d'Apple inclut désormais des avertissements de collage dans le Terminal spécifiquement pour contrer les techniques ClickFix.

SecurityWeek ↗

Apple macOS Tahoe 26.4 — Protection contre le collage dans le Terminal

Apple a introduit une nouvelle fonctionnalité de sécurité dans macOS Tahoe 26.4 qui bloque le collage et l'exécution de commandes potentiellement dangereuses dans le Terminal, répondant directement à la technique d'ingénierie sociale ClickFix qui incite les utilisateurs à coller des commandes malveillantes.

BleepingComputer ↗

Huskeys — Startup de gestion de sécurité en périphérie (8 M$ de financement)

Huskeys est sorti du mode furtif avec un financement de 8 M$, développant une plateforme de gestion de sécurité en périphérie (ESM) — un moteur IA au-dessus de l'ensemble de la pile de sécurité en périphérie.

SecurityWeek ↗

Google fixe l'échéance quantique à 2029

Google a fixé une échéance interne à 2029 pour la préparation à la sécurité quantique, signalant que les calendriers de migration vers la cryptographie post-quantique se resserrent.

SecurityWeek ↗

Les LLM érodent le contrôle d'accès

SecurityWeek met en lumière une préoccupation croissante : les LLM peuvent générer des politiques de contrôle d'accès complexes (Rego, Cedar) en quelques secondes, mais une seule condition manquante ou un attribut halluciné peut silencieusement démanteler les modèles de sécurité du moindre privilège. Les organisations utilisant l'IA pour rédiger des politiques d'accès devraient traiter les résultats comme du code non fiable nécessitant une revue approfondie.

Les attaques basées sur le navigateur contournent les contrôles traditionnels

Un rapport de Push Security détaille comment les attaques basées sur le navigateur — hameçonnage AITM, ClickFix, applications OAuth malveillantes et détournement de session — provoquent des violations majeures tandis que les contrôles de sécurité existants échouent à les détecter. Le navigateur devient la surface d'attaque principale.

CVE d'appliances réseau sous exploitation massive rapide

Le rapport d'aujourd'hui montre 3 fabricants distincts d'appliances réseau (Citrix, F5, Fortinet) avec des CVE critiques activement exploitées simultanément. La fenêtre entre la divulgation et l'exploitation continue de se réduire. La correction des équipements périphériques n'est pas optionnelle — c'est une course.

L'exploitation mobile étatique s'étend

L'adoption par Star Blizzard du kit d'exploitation iOS DarkSword signale l'expansion des capacités de ciblage mobile des APT russes. Combiné à la montée en puissance des attaques iraniennes assistées par IA, les capacités offensives des États-nations s'élargissent plus vite que la couverture défensive.