Analyses, guides et décryptages pratiques sur la conformité, la cybersécurité et la transformation numérique.
Un seul processus saturé dans l'infrastructure de Microsoft a fait tomber le courrier, le chat, les fichiers, Copilot et la gestion des postes pendant une bonne partie d'une journée. La panne est le sujet d'une semaine. Le graphe de dépendances que personne n'a dessiné est le sujet de la décennie.
Le Doers Summit Dubai 2026 se tient du 24 au 26 novembre a Dubai Silicon Oasis sous le patronage de DIEZ et reunit fondateurs, scaleups et investisseurs dans le meme district que les entreprises tech locales. Voici ce que cela change concretement pour une societe qui opere a Dubai.
Un attaquant a passé 36 heures dans l'infrastructure de build de Railway, ouvert les variables clients chiffrées et reparti avec des clés de fournisseurs d'IA qui ont brûlé environ 740 000 dollars de calcul appartenant à d'autres. Personne n'a phishé un mot de passe : la cible, c'étaient les clés elles-mêmes, récoltées pour le marché de la distillation de modèles.
Un chercheur a publié plus de trente exploits fonctionnels pour N-central, la plateforme que les MSP utilisent pour gérer chaque appareil client, et l'éditeur a coupé son cloud dans le monde entier en une journée. Les failles font l'actualité une semaine ; le processus de divulgation cassé derrière elles compte pour la décennie.
Une banque française a perdu jusqu'à 133 millions de dollars sans qu'aucun solde client ne bouge. L'attaquant a utilisé le compte de l'institution elle-même, atteint via la plateforme d'un prestataire, avant de convertir les fonds en stablecoins. La leçon pour les banques et fintechs du Golfe : le joyau de la couronne, c'est votre propre capacité à déplacer de l'argent.
Apiiro a trouvé 2 539 secrets bien réels dans 1 994 dépôts GitHub publics, déposés là par des agents de code IA qui valident leurs propres demandes d'autorisation. Le coupable est .claude/settings.local.json, et la protection existante ne voyage jamais avec le code.
Chainalysis a reconnu que son attaque agentique avait exposé noms, hachages de mots de passe et tokens actifs de tous ses clients, la page de connexion et l'API KYT étant hors ligne pendant la reprise. La télémétrie de Microsoft montre comment un agent est passé d'un secret dans un dépôt GitHub public à des données exfiltrées d'Azure Key Vault en cinq minutes, et pourquoi un token fuité est bien plus dangereux qu'un mot de passe fuité.
OpenSSH 10.6p2 corrige un bypass de login critique dans Alpine Linux : un mot de passe de plus de 256 octets contre un compte sans mot de passe frappe le marqueur `*` de musl. La faille enchaîne quatre décisions raisonnables entre 1980 et 2016.
OpenAI a publié 722 manuscrits mathématiques générés par un modèle frontier interne non divulgué, incluant un résultat de l'hypothèse quasi-Riemann et des algorithmes de multiplication de matrices plus rapides. La publication soulève des questions urgentes sur la vérification de la recherche générée par IA et la transparence.
Le procureur général de Californie a signifié à OpenAI une citation à comparaître sur la sécurité des modèles, tandis que la FTC prépare des demandes contre les laboratoires de frontière. Analyse de la cascade réglementaire et de ses conséquences pour les équipes IA.
Un agent IA autonome a piraté Hugging Face en exécutant 17 000+ actions sans intervention humaine. Ce que les équipes sécurité doivent savoir.
La plateforme de sécurité email FortiMail de Fortinet a un zero-day critique CVSS 9.8 — CVE-2026-104286 — permettant l'écriture de fichier distante non authentifiée. CISA KEV le 1er oct, exploitation active confirmée, délai fédéral aujourd'hui. Que faire maintenant.
Un agent d'IA autonome a enchaîné deux zero-days de Zammad pour compromettre l'Institut néerlandais pour la divulgation des vulnérabilités lui-même, atteignant root en quelques secondes et exfiltrant des données. Voici exactement comment fonctionne la chaîne et ce que votre équipe devrait faire cette semaine.
Le nouveau modèle frontière de Google, Gemini 4 Argon, est déployé auprès de défenseurs cyber de confiance via le Fairwind Program — avec une version sans garde-fous prévue. Il a déjà trouvé une vulnérabilité critique inconnue dans un logiciel de santé utilisé par des hôpitaux du monde entier.
Visa a libéré en open source son Vulnerability Agentic Harness après des tests de résistance IA (Claude Mythos d'Anthropic) révélant plus de 10.000 vulnérabilités hautes et critiques en un mois. Le framework en quatre phases automatise découverte, triage, remédiation et validation.
Deux RCE critiques de Citrix NetScaler ont été activement exploités avant le bulletin de Citrix du 27 septembre. Voici ce que CVE-2026-88771 et CVE-2026-88772 font réellement, les builds corrigées et pourquoi la forensique doit précéder le patchage.
Microsoft a confirmé que des attaquants exploitent activement CVE-2026-65660, une RCE par désérialisation dans SharePoint Server combinable à des configurations d'accès anonyme pour déposer des web shells. La CISA l'a ajoutée à KEV le 25 septembre et les agences fédérales doivent patcher avant le 28. Voici le schéma d'exploitation et une check-list de défense priorisée.
Le plugin virtuser_query de Roundcube Webmail porte CVE-2026-48842, une injection SQL avant authentification corrigée en mai 2026. Le 24 septembre, le Centre canadien de cybersécurité a confirmé son exploitation active, et tout serveur webmail non patché est une porte ouverte vers la base de données qu'il abrite.
F5 a confirmé l'exploitation active de CVE-2026-94127, un débordement de tampon dans le tas noté 9.8 CVSS dans BIG-IP APM utilisé comme serveur d'autorisation OAuth. La faille se situe dans le plan de données, donc restreindre l'interface d'administration ne protège pas, et le mode Appliance est aussi vulnérable. Le CISA a laissé trois jours aux agences fédérales.
Check Point Research confirme l'exploitation active de CVE-2026-85102, un RCE pré-authentification noté CVSS 9.8 dans la validation des certificats VPN de Security Gateway et Spark Firewall. Le correctif est sorti le 9 septembre et les tentatives d'attaque ont commencé trois jours plus tard. Une seconde faille pré-authentification dans Security Management, CVE-2026-93616, est également exploitée.
