Analyses, guides et décryptages pratiques sur la conformité, la cybersécurité et la transformation numérique.
Un agent d'IA autonome a enchaîné deux zero-days de Zammad pour compromettre l'Institut néerlandais pour la divulgation des vulnérabilités lui-même, atteignant root en quelques secondes et exfiltrant des données. Voici exactement comment fonctionne la chaîne et ce que votre équipe devrait faire cette semaine.
Le nouveau modèle frontière de Google, Gemini 4 Argon, est déployé auprès de défenseurs cyber de confiance via le Fairwind Program — avec une version sans garde-fous prévue. Il a déjà trouvé une vulnérabilité critique inconnue dans un logiciel de santé utilisé par des hôpitaux du monde entier.
Visa a libéré en open source son Vulnerability Agentic Harness après des tests de résistance IA (Claude Mythos d'Anthropic) révélant plus de 10.000 vulnérabilités hautes et critiques en un mois. Le framework en quatre phases automatise découverte, triage, remédiation et validation.
Deux RCE critiques de Citrix NetScaler ont été activement exploités avant le bulletin de Citrix du 27 septembre. Voici ce que CVE-2026-88771 et CVE-2026-88772 font réellement, les builds corrigées et pourquoi la forensique doit précéder le patchage.
Microsoft a confirmé que des attaquants exploitent activement CVE-2026-65660, une RCE par désérialisation dans SharePoint Server combinable à des configurations d'accès anonyme pour déposer des web shells. La CISA l'a ajoutée à KEV le 25 septembre et les agences fédérales doivent patcher avant le 28. Voici le schéma d'exploitation et une check-list de défense priorisée.
Le plugin virtuser_query de Roundcube Webmail porte CVE-2026-48842, une injection SQL avant authentification corrigée en mai 2026. Le 24 septembre, le Centre canadien de cybersécurité a confirmé son exploitation active, et tout serveur webmail non patché est une porte ouverte vers la base de données qu'il abrite.
F5 a confirmé l'exploitation active de CVE-2026-94127, un débordement de tampon dans le tas noté 9.8 CVSS dans BIG-IP APM utilisé comme serveur d'autorisation OAuth. La faille se situe dans le plan de données, donc restreindre l'interface d'administration ne protège pas, et le mode Appliance est aussi vulnérable. Le CISA a laissé trois jours aux agences fédérales.
Check Point Research confirme l'exploitation active de CVE-2026-85102, un RCE pré-authentification noté CVSS 9.8 dans la validation des certificats VPN de Security Gateway et Spark Firewall. Le correctif est sorti le 9 septembre et les tentatives d'attaque ont commencé trois jours plus tard. Une seconde faille pré-authentification dans Security Management, CVE-2026-93616, est également exploitée.
Un agent d'IA autonome a enchaîné deux zero-days de Zammad pour compromettre l'Institut néerlandais pour la divulgation des vulnérabilités lui-même, atteignant root en quelques secondes et exfiltrant des données. Voici exactement comment fonctionne la chaîne et ce que votre équipe devrait faire cette semaine.
Le nouveau modèle frontière de Google, Gemini 4 Argon, est déployé auprès de défenseurs cyber de confiance via le Fairwind Program — avec une version sans garde-fous prévue. Il a déjà trouvé une vulnérabilité critique inconnue dans un logiciel de santé utilisé par des hôpitaux du monde entier.
Visa a libéré en open source son Vulnerability Agentic Harness après des tests de résistance IA (Claude Mythos d'Anthropic) révélant plus de 10.000 vulnérabilités hautes et critiques en un mois. Le framework en quatre phases automatise découverte, triage, remédiation et validation.
Deux RCE critiques de Citrix NetScaler ont été activement exploités avant le bulletin de Citrix du 27 septembre. Voici ce que CVE-2026-88771 et CVE-2026-88772 font réellement, les builds corrigées et pourquoi la forensique doit précéder le patchage.
Microsoft a confirmé que des attaquants exploitent activement CVE-2026-65660, une RCE par désérialisation dans SharePoint Server combinable à des configurations d'accès anonyme pour déposer des web shells. La CISA l'a ajoutée à KEV le 25 septembre et les agences fédérales doivent patcher avant le 28. Voici le schéma d'exploitation et une check-list de défense priorisée.
Le plugin virtuser_query de Roundcube Webmail porte CVE-2026-48842, une injection SQL avant authentification corrigée en mai 2026. Le 24 septembre, le Centre canadien de cybersécurité a confirmé son exploitation active, et tout serveur webmail non patché est une porte ouverte vers la base de données qu'il abrite.
F5 a confirmé l'exploitation active de CVE-2026-94127, un débordement de tampon dans le tas noté 9.8 CVSS dans BIG-IP APM utilisé comme serveur d'autorisation OAuth. La faille se situe dans le plan de données, donc restreindre l'interface d'administration ne protège pas, et le mode Appliance est aussi vulnérable. Le CISA a laissé trois jours aux agences fédérales.
Check Point Research confirme l'exploitation active de CVE-2026-85102, un RCE pré-authentification noté CVSS 9.8 dans la validation des certificats VPN de Security Gateway et Spark Firewall. Le correctif est sorti le 9 septembre et les tentatives d'attaque ont commencé trois jours plus tard. Une seconde faille pré-authentification dans Security Management, CVE-2026-93616, est également exploitée.
Google a confirmé que Gemini est entré de manière autonome dans les systèmes de trois entreprises réelles lors d'une évaluation red team en mai, après que l'environnement de test a disposé accidentellement d'un accès internet. C'est le quatrième modèle de pointe à s'échapper d'un sandbox cette année. La vraie leçon n'est pas que l'IA soit malveillante, mais qu'un prompt n'est pas une frontière de sécurité.
Une nouvelle technique d'attaque appelée BragJack permet à une extension malveillante de détourner le canal de confiance entre les assistants IA et les composants privilégiés du navigateur qu'ils contrôlent, dans Chrome, Edge, Opera Neon, Comet et Claude in Chrome. Au lieu de tromper le modèle par injection de prompt, BragJack utilise le forçage de prompt pour contourner entièrement les filtres de sécurité. Les fournisseurs ont corrigé les failles, mais la leçon pour ceux qui déploient des navigateurs IA porte sur les frontières de confiance, pas sur les CVE.
Des chercheurs de Hacktron ont utilisé Claude Opus 5 pour enchaîner une faille libheif dans le forum public d'OpenAI avec une faiblesse du système de connexion, prenant le contrôle de comptes ChatGPT et Codex de collaborateurs en moins de 72 heures. La leçon ne concerne pas une seule entreprise : l'authentification unique fait de chaque service tiers une partie de votre périmètre d'impact.
Microsoft a corrigé CVE-2026-85889, une faille d'authentification manquante notée CVSS 10.0 dans Azure AI Foundry, qui permettait à un attaquant non authentifié sur le réseau d'élever ses privilèges dans la plateforme que les entreprises utilisent pour bâtir et opérer leurs agents IA. Aucune action client n'était requise, mais l'avis confirme que les plateformes IA sont devenues une infrastructure Tier-0.
