Faits marquants de la semaine
- Plus de 2,2 millions de véhicules équipés de systèmes antivol « aftermarket » installés en concession seraient vulnérables à une attaque Bluetooth, permettant de déverrouiller les portes à distance et de désactiver le démarrage.
- Deux failles critiques de WordPress récemment corrigées seraient déjà exploitées, avec un risque estimé de prise de contrôle à distance touchant des dizaines de millions de sites web, selon l’évaluation d’un chercheur en cybersécurité.
- Une caméra Wi‑Fi d’intérieur Wansview (WVC Q5) a été commercialisée en 2026 avec un serveur web vulnérable à une faille divulguée il y a plus de vingt ans, d’après une analyse de firmware menée par une entreprise spécialisée.
Cette semaine met en lumière une exposition large liée à des correctifs et à des composants intégrés, côté grand public comme côté entreprise. Dans l’automobile, des systèmes KARR/SWDS installés en concession rendent au moins 2,2 millions de véhicules vulnérables à des attaques Bluetooth à courte distance, malgré la disponibilité d’un firmware. Côté web, des failles WordPress corrigées sont déjà exploitées, tandis qu’un produit IoT récent embarque un serveur web affecté par une vulnérabilité ancienne. En parallèle, des correctifs s’accumulent (Apple iCloud+ Hide My Email, extension Adobe Acrobat, 7‑Zip 26.02, nginx, Windows, GitLab) et des vagues d’avis et patchs (Linux, Oracle) intensifient la charge de mise à jour.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
La sélection des 13 actualités à retenir cette semaine
Des millions de voitures achetées en Californie peuvent être piratées via Bluetooth.
Au moins 2,2 millions de véhicules équipés des systèmes de sécurité KARR et SWDS installés par les concessionnaires sont vulnérables aux attaques Bluetooth à proximité, qui peuvent déverrouiller les portières ou empêcher le démarrage d'un véhicule à… Lire la suite
Des pirates informatiques exploitent des failles de sécurité récemment corrigées dans WordPress, mettant ainsi en danger des millions de sites web.
Deux failles de sécurité critiques dans le logiciel WordPress ont permis à des pirates informatiques de prendre le contrôle à distance de dizaines de millions de sites web, selon les estimations d'un chercheur en cybersécurité. Lire la suite
Une faille de sécurité vieille de 20 ans, présente dans les caméras de sécurité modernes
Une caméra de sécurité intérieure Wansview, très répandue, a été commercialisée en 2026 avec un serveur web vulnérable à une faille de sécurité révélée il y a plus de vingt ans. Lire la suite
Apple corrige une faille dans Hide My Email suite à des articles de presse et à un recours collectif
Apple a corrigé une faille de sécurité dans son service iCloud+ Masquer mon adresse e-mail qui pouvait exposer les véritables adresses e-mail des utilisateurs. Ce correctif intervient plus d'un an après qu'un chercheur en sécurité a signalé… Lire la suite
Adobe corrige une faille dans une extension Chrome qui pouvait exposer les conversations WhatsApp.
Une série de vulnérabilités dans l'extension Chrome Adobe Acrobat aurait pu permettre à des attaquants de voler du contenu lors d'une session WhatsApp Web en attirant simplement l'utilisateur vers un site web malveillant. Adobe a corrigé ces… Lire la suite
Une faille critique dans 7-Zip permet l'exécution de code en ouvrant des fichiers compressés XZ spécialement conçus.
7-Zip a corrigé une vulnérabilité qui permettait à des attaquants d'exécuter du code en incitant les utilisateurs à ouvrir des fichiers d'archive XZ malveillants. 7-Zip a publié la version 26.02 pour corriger une vulnérabilité d'exécution de code… Lire la suite
Une vulnérabilité critique de NGINX peut entraîner le plantage des workers et permettre l'exécution de code à distance.
F5 a déployé des correctifs pour une faille critique dans nginx qui permet à un attaquant distant non authentifié de provoquer un dépassement de tampon dans le processus worker à l'aide de requêtes HTTP spécialement conçues. La… Lire la suite
La faille zero-day de Windows LegacyHive bénéficie de correctifs non officiels et gratuits
Des correctifs non officiels gratuits sont disponibles pour une faille zero-day de Windows récemment divulguée, qui permet aux attaquants d'élever leurs privilèges sur des systèmes Windows à jour. […] Lire la suite
L'équipe du noyau Linux publie 440 avis de sécurité CVE en 24 heures
L'équipe de sécurité du noyau Linux a publié environ 440 avis CVE en 24 heures, ce qui correspond à une importante mise à jour des données de vulnérabilités liées à des correctifs déjà intégrés au noyau Linux…. Lire la suite
Oracle déploie 1 449 correctifs de sécurité comme si c'était devenu la norme.
Oracle vient de publier 1 449 correctifs de sécurité prêts à être appliqués. Ces correctifs font partie des mises à jour trimestrielles de sécurité de l'entreprise, et ce nombre record… Lire la suite
Un chercheur publie une preuve de concept (PoC) GitLab RCE permettant aux utilisateurs authentifiés d'exécuter des commandes en tant que Git.
Le chercheur en sécurité de depthfirst, a publié une preuve de concept (PoC) fonctionnelle permettant d'exécuter des commandes Git sur un serveur GitLab 18.11.3 autogéré et non patché. Un utilisateur authentifié ordinaire déclenche cette vulnérabilité… Lire la suite
LG va interdire les proxys résidentiels dans les applications pour téléviseurs intelligents.
Le géant de l'électroménager LG Electronics USA a annoncé cette semaine son intention de suspendre toutes les applications conçues pour ses téléviseurs connectés qui transforment le téléviseur en un nœud proxy résidentiel toujours actif. Cette décision intervient… Lire la suite
Une faille de sécurité de RefluXFS Linux vieille de neuf ans permet aux utilisateurs locaux d'obtenir les droits root sur les installations RHEL par défaut.
RefluXFS, une nouvelle faille du noyau Linux révélée le 22 juillet et référencée CVE-2026-64600, permet à un utilisateur local non privilégié d'écraser des fichiers appartenant à l'utilisateur root sur un système de fichiers XFS et d'obtenir ainsi… Lire la suite
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
