Faits marquants de la semaine
- Un nouvel exploit Linux zero‑day, baptisé Dirty Frag, permet à un attaquant déjà présent sur la machine d’obtenir les droits administrateur sur la plupart des distributions majeures via une simple commande locale.
- Google revoit à la hausse ses programmes de primes Android et Chrome, offrant jusqu’à 1,5 million de dollars pour les exploits les plus complexes, tout en réduisant les récompenses pour les failles rendues triviales par l’intelligence artificielle.
- Google corrige une vulnérabilité critique notée 10 dans l’outil en ligne de commande Gemini, qui permettait, via injection de requêtes et élévation de privilèges, un compromis complet de la chaîne d’approvisionnement à partir de tickets GitHub.
- Une étude basée sur 231 millions de mots de passe hachés avec MD5 montre que 60 % peuvent être cassés en moins d’une heure avec une seule carte graphique Nvidia RTX 5090, soulignant l’obsolescence de ces mécanismes de protection.
La semaine illustre une double dynamique : d’un côté, une industrialisation des vulnérabilités critiques touchant noyaux Linux, Windows, infrastructures réseau, solutions de transfert de fichiers et serveurs web ; de l’autre, une montée des efforts de correction et d’incitation financière, notamment autour d’Android, face à des capacités d’attaque dopées par l’intelligence artificielle et la puissance croissante des processeurs graphiques.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
La sélection des 12 actualités à retenir cette semaine
Une nouvelle faille zero-day « Dirty Frag » sous Linux permet d'obtenir les droits root sur toutes les distributions majeures.
Une nouvelle faille zero-day exploitée par Linux, nommée Dirty Frag, permet à des attaquants locaux d'obtenir les privilèges root sur la plupart des distributions Linux majeures à l'aide d'une seule commande. […] Lire la suite
Google offre désormais jusqu'à 1,5 million de dollars pour certaines failles de sécurité d'Android.
Google remanie ses programmes de récompenses pour la découverte de vulnérabilités sur Android et Chrome, offrant des primes allant jusqu'à 1,5 million de dollars pour les exploits les plus difficiles, tout en réduisant les paiements pour les… Lire la suite
Google corrige une vulnérabilité CVSS 10 de l'interface de ligne de commande Gemini, permettant l'exécution de code à distance via les problèmes GitHub.
Google corrige une vulnérabilité de l'interface de ligne de commande Gemini (CVSS 10) qui permettait aux pirates d'utiliser l'injection de commandes et l'élévation de privilèges pour compromettre l'intégralité de la chaîne d'approvisionnement. Lire la suite
60 % des hachages MD5 de mots de passe sont cassables en moins d'une heure.
C’est la Journée mondiale du mot de passe, et quoi de mieux pour la célébrer qu’une nouvelle selon laquelle la majorité des hachages de mots de passe, pourtant considérés comme sécurisés, peuvent être déchiffrés avec un seul… Lire la suite
La CISA donne quatre jours aux autorités fédérales pour corriger la faille Ivanti exploitée comme une vulnérabilité zero-day.
La CISA a donné quatre jours aux agences fédérales américaines pour sécuriser leurs réseaux contre une vulnérabilité critique d'Ivanti Endpoint Manager Mobile (EPMM), exploitée lors d'attaques zero-day. Lire la suite
Cisco corrige des failles critiques permettant des attaques SSRF et d'exécution de code
Cisco a corrigé plusieurs failles critiques dans ses produits d'entreprise, notamment des vulnérabilités SSRF dans Unity Connection pouvant permettre l'exécution de code ou l'interruption de service. Cisco a publié des correctifs pour de multiples vulnérabilités critiques affectant… Lire la suite
L'agence américaine CISA ajoute une faille dans le noyau Linux à son catalogue de vulnérabilités exploitées connues.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ajoute une faille du noyau Linux à son catalogue des vulnérabilités exploitées connues. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté une faille… Lire la suite
L'agence américaine CISA ajoute une faille dans le système d'exploitation PAN-OS de Palo Alto Networks à son catalogue de vulnérabilités exploitées connues.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ajoute une faille dans le système d'exploitation PAN-OS de Palo Alto Networks à son catalogue des vulnérabilités exploitées connues. Lire la suite
Le correctif de Microsoft pour une faille zero-day exploitée par des espions russes s'est avéré insuffisant. Une autre faille de Windows est menacée.
Microsoft et la CISA (Cybersecurity and Infrastructure Security Agency) américaine ont averti que des attaquants exploitent une faille de sécurité Windows sans clic, permettant d'exposer des informations sensibles sur les systèmes vulnérables. Bien que l'identité des auteurs… Lire la suite
Des failles dans l'automatisation de MOVEit pourraient compromettre totalement le système.
Progress corrige des failles critiques dans MOVEit Automation, notamment une vulnérabilité de contournement d'authentification permettant à des attaquants d'accéder sans autorisation aux systèmes. Progress Software a corrigé deux vulnérabilités dans MOVEit Automation : une faille critique de contournement… Lire la suite
Apache corrige une faille critique de double libération HTTP/2 (CVE-2026-23918) permettant l'exécution de code à distance.
Apache a corrigé plusieurs failles dans son serveur HTTP, notamment la vulnérabilité CVE-2026-23918 (score CVSS de 8,8), une faille de double libération de mémoire dans HTTP/2 pouvant permettre l'exécution de code à distance. La fondation Apache Software… Lire la suite
GrapheneOS corrige une faille VPN sous Android que Google a refusé de corriger.
GrapheneOS a publié une nouvelle mise à jour corrigeant une faille de sécurité récemment découverte dans Android, permettant de contourner un VPN et de divulguer l'adresse IP réelle d'un utilisateur. Cette fuite se produit même lorsque les… Lire la suite
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
