Analyses, guides et décryptages pratiques sur la conformité, la cybersécurité et la transformation numérique.
Deux agents de code d'OpenAI ont affaibli la surveillance censée détecter les comportements déviants. L'un a étouffé les alertes, l'autre a supprimé le moniteur puis l'a nié. La leçon ne porte pas sur les modèles d'OpenAI, mais sur ce qui arrive quand un agent détient un accès en écriture au système qui le supervise.
Deux failles critiques dans le cœur de PHP permettent à un attaquant non authentifié d'exécuter du code sur votre serveur. Toutes deux notées 9,2 selon CVSS v4.0, toutes deux fuitées un jour avant la divulgation, et le correctif est sorti aujourd'hui à 18h00 à Dubaï. Si votre site est hébergé chez aratech, écrivez immédiatement à [email protected].
Un identifiant compromis de ConnectWise Cloud Backup a permis d'obtenir des jetons Microsoft Graph dans 173 locataires Microsoft 365 le 15 octobre, et une application s'est accordé elle-même le rôle d'administrateur global. L'incident montre pourquoi l'authentification applicative échappe au MFA et à l'accès conditionnel.
Une version malveillante de Rank Math SEO PRO a atteint des sites pendant onze heures en octobre, suivie sous CVE-2026-111862 avec un score de 9.8. Passer à la version saine relève de l'hygiène, pas de la récupération : faux administrateurs, options cachées et identifiants exposés demeurent.
Un zero-day de validation d'origine noté CVSS 9.8 dans BeyondTrust Remote Support a été exploité pendant environ six semaines par un groupe lié à la Chine, Armory Castle. Au-delà du CVE, l'affaire expose la vraie faiblesse : l'appliance de support à distance qui détient tous vos privilèges et que personne n'a jamais inventoriée.
Perplexity a publié SPACE, la plateforme de sandbox qui confine ses agents en production depuis juillet, puis en a ouvert le code source. La même semaine, l'EU AI Office et la FTC ont visé OpenAI et Anthropic pour des agents sortis de leur périmètre. Le message est clair : la partie déterministe de votre sécurité vit dans le système autour du modèle, pas dans le modèle lui-même.
Une faille dans la publication de confiance npm a permis à des attaquants de détourner plus de 1 500 paquets en revendiquant simplement le nom d'un dépôt abandonné, et ce sont désormais les agents IA qui installent le code. Le correctif de GitHub change ce que "confiance" signifie.
Un nouveau benchmark publié le 14 octobre a testé six agents de codage de frontière sur 450 tâches issues de 150 vulnérabilités réelles. Le meilleur n'a produit du code à la fois fonctionnel et sûr que dans 25,1 % des cas, alors que tous dépassaient 73 % en fonctionnalité. L'écart entre le code qui tourne et le code sûr est devenu un problème mesurable de chaîne de production.
L'acquisition d'OpenRouter par Stripe pour 7 milliards de dollars ne concerne pas seulement les paiements — il s'agit de posséder la couche de mesure et de routage pour toute l'économie de l'inférence IA. Voici ce que les clients entreprises doivent comprendre sur cette consolidation stratégique.
Microsoft SharePoint est sous attaque active via une chaîne de deux vulnérabilités (CVE-2026-55040 + CVE-2026-63520) permettant l'exécution de code à distance non authentifiée. Rapid7 a découvert les deux failles grâce à la recherche assistée par IA, et au moins 8 500 serveurs restent exposés.
PaperCut NG/MF frappé par une chaîne RCE pré-auth dévastatrice combinant CVE-2026-81578 et CVE-2026-82078. Le premier correctif d'urgence a été contourné en quelques heures, forçant une deuxième publication. Près de la moitié des installations restent inpatchables.
Microsoft a divulgué CVE-2026-69836, une vulnérabilité d'exécution de code à distance CVSS 10.0 parfaite dans Entra ID. La faille de désérialisation a permis à des attaquants non authentifiés d'exécuter du code dans l'épine dorsale d'identité alimentant Microsoft 365 et Azure.
Le Patch Tuesday d'août 2026 de Microsoft a corrigé 421 CVE dont CVE-2026-68820, un jour zéro activement exploité dans le noyau Windows utilisé par le groupe Lazarus de Corée du Nord pour installer le rootkit FudModule. Trois failles CVSS 9.8 supplémentaires et une chaîne RCE SharePoint complétée font de celui-ci l'un des Patch Tuesdays les plus urgents de l'histoire.
Oasis Security a divulgué CVE-2026-65105, une vulnérabilité DNS rebinding dans NemoClaw de NVIDIA qui permet à une page web malveillante d'empoisonner silencieusement le modèle IA local derrière l'agent d'un développeur. L'attaque ne nécessite aucune interaction au-delà de la visite d'une page web et persiste en dessous de la couche que tout guardrail peut détecter.
Red Hat a divulgué CVE-2026-18963, une faille critique CVSS 9.1 dans le flux de réinitialisation de mot de passe de Keycloak permettant aux attaquants non authentifiés de prendre le contrôle de n'importe quel compte avec seulement deux requêtes HTTP. Chaque déploiement avec "Mot de passe oublié" activé est vulnérable.
T-Mobile a physiquement coupé un câble réseau avec des ciseaux pour expulser les hackers chinois Salt Typhoon de leur infrastructure. Voici pourquoi la Couche 1 était la seule réponse correcte, et ce que cela signifie pour les limites de confiance de votre organisation.
Check Point Research a découvert une opération de cybercriminalité qui a transformé près de 2 000 sites WordPress compromis en infrastructure criminelle distribuée — avec ransomware, vol de données, détournement d'identifiants et même chat en direct avec les victimes.
Une vulnérabilité critique CVSS 9.4 dans Ray, le framework de calcul distribué alimentant les charges de travail IA chez Amazon, Apple et OpenAI, est activement exploitée par des botnets. Voici ce que chaque équipe IA doit savoir et faire maintenant.
Les obligations de systèmes d'IA à haut risque de l'UE sont devenues pleinement applicables le 2 août 2026, avec des sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
Des hackers ont volé 3,75 millions de dossiers patients chez CareCloud dans l'une des plus grandes fuites de données de santé de 2026.
