Analyses, guides et décryptages pratiques sur la conformité, la cybersécurité et la transformation numérique.
Un agent d'IA autonome a enchaîné deux zero-days de Zammad pour compromettre l'Institut néerlandais pour la divulgation des vulnérabilités lui-même, atteignant root en quelques secondes et exfiltrant des données. Voici exactement comment fonctionne la chaîne et ce que votre équipe devrait faire cette semaine.
Le nouveau modèle frontière de Google, Gemini 4 Argon, est déployé auprès de défenseurs cyber de confiance via le Fairwind Program — avec une version sans garde-fous prévue. Il a déjà trouvé une vulnérabilité critique inconnue dans un logiciel de santé utilisé par des hôpitaux du monde entier.
Visa a libéré en open source son Vulnerability Agentic Harness après des tests de résistance IA (Claude Mythos d'Anthropic) révélant plus de 10.000 vulnérabilités hautes et critiques en un mois. Le framework en quatre phases automatise découverte, triage, remédiation et validation.
Deux RCE critiques de Citrix NetScaler ont été activement exploités avant le bulletin de Citrix du 27 septembre. Voici ce que CVE-2026-88771 et CVE-2026-88772 font réellement, les builds corrigées et pourquoi la forensique doit précéder le patchage.
Microsoft a confirmé que des attaquants exploitent activement CVE-2026-65660, une RCE par désérialisation dans SharePoint Server combinable à des configurations d'accès anonyme pour déposer des web shells. La CISA l'a ajoutée à KEV le 25 septembre et les agences fédérales doivent patcher avant le 28. Voici le schéma d'exploitation et une check-list de défense priorisée.
Le plugin virtuser_query de Roundcube Webmail porte CVE-2026-48842, une injection SQL avant authentification corrigée en mai 2026. Le 24 septembre, le Centre canadien de cybersécurité a confirmé son exploitation active, et tout serveur webmail non patché est une porte ouverte vers la base de données qu'il abrite.
F5 a confirmé l'exploitation active de CVE-2026-94127, un débordement de tampon dans le tas noté 9.8 CVSS dans BIG-IP APM utilisé comme serveur d'autorisation OAuth. La faille se situe dans le plan de données, donc restreindre l'interface d'administration ne protège pas, et le mode Appliance est aussi vulnérable. Le CISA a laissé trois jours aux agences fédérales.
Check Point Research confirme l'exploitation active de CVE-2026-85102, un RCE pré-authentification noté CVSS 9.8 dans la validation des certificats VPN de Security Gateway et Spark Firewall. Le correctif est sorti le 9 septembre et les tentatives d'attaque ont commencé trois jours plus tard. Une seconde faille pré-authentification dans Security Management, CVE-2026-93616, est également exploitée.
Si vous vendez des paiements, du crédit, des API trésorerie ou de la finance intégrée, vos acheteurs mènent un programme de risque unifié : sécurité de
Votre prospect enterprise envoie un questionnaire fournisseur avec une ligne qui bloque tout : « Disposez-vous de la certification ISO 27001 ? »
Vous êtes RSSI ou GRC dans une SaaS de ~60 personnes. Un prospect Fortune 500 envoie un questionnaire sécurité.
En mai 2023, la Data Protection Commission d’Irlande a infligé à Meta une amende de 1,2 milliard d’euros — la plus lourde sanction RGPD à cette date.
Une fintech lance son produit de paiement. La croissance est forte — 10 000 transactions le premier mois, 50 000 au troisième. L’équipe va vite.
Imaginez que vous expédiez un robot de support client alimenté par LLM. Vous disposez d'une limitation de débit sur le point de terminaison de l'API,
Vous perdez le deal. Le prospect enterprise a adoré la démo, le prix convenait, l’équipe était alignée — puis les achats ont envoyé un questionnaire
Un message. C'est tout. Des chercheurs d'Accomplish AI se sont échappés du sandbox de Claude Cowork et ont obtenu un accès complet à 500 000 systèmes de fichiers Mac. Anthropic a classé le rapport comme 'Informatif'.
La Corée du Sud a engagé plus de 950 milliards de dollars dans l'infrastructure de l'IA lors du Sommet sur l'IA de San Francisco.
Le V4.1-Flash de DeepSeek et le HySparse2 de Xiaomi attaquent le meme goulot d'etranglement depuis des directions opposees : coder le cache KV une fois et quantifier fort, ou lire seulement ce qu'on utilisera. L'attention sparse orientee agents devient mainstream, et les modeles bon marche viennent de devenir competitifs sur de vrais benchmarks d'agents.
