Faits marquants de la semaine
- ServiceNow a corrigé quatre failles touchant la ServiceNow AI Platform, dont trois notées 10.0 (CVSS) et exploitables, dans certains cas, par un attaquant non authentifié.
- Des attaquants ciblent une chaîne de deux vulnérabilités Microsoft SharePoint permettant l’exécution de code à distance sur des serveurs non corrigés, avec un exploit de type preuve de concept (PoC) mentionné.
- Deux vulnérabilités critiques découvertes dans le Contact Discovery Service de Signal pouvaient permettre à un opérateur de serveur malveillant de contourner l’enclave Intel SGX (environnement isolé), jusqu’à lire la mémoire protégée et exécuter du code.
- Fin juillet, Oracle a publié 1 449 correctifs, mais une attaque décrite a reposé sur une injection SQL via une application web exposée, puis sur le dépôt d’un outil (khunt) directement dans la base via Java.
La semaine est marquée par une concentration de vulnérabilités critiques et d’exploitations actives, touchant aussi bien des plateformes cloud et collaboratives (ServiceNow, Microsoft SharePoint) que des logiciels d’infrastructure (Citrix NetScaler, Zimbra, PaperCut, Zscaler Client Connector, Ubiquiti UniFi). Plusieurs cas illustrent des risques au-delà du simple correctif, comme une attaque sur serveur Oracle combinant injection SQL et chargement de code Java dans la base, ou des failles dans Signal visant l’isolement Intel SGX. En parallèle, des menaces côté utilisateurs émergent via des extensions Chrome/Edge malveillantes, tandis que des dispositifs connectés (radars routiers) font l’objet d’alertes.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
La sélection des 14 actualités à retenir cette semaine
Trois failles CVSS 10.0 dans ServiceNow pourraient permettre à des attaquants non authentifiés d'exécuter du code et des requêtes SQL.
ServiceNow a publié des correctifs pour quatre failles de sécurité affectant sa plateforme d'IA. Trois d'entre elles, notées 10.0 sur l'échelle CVSS, sont exploitables, dans certaines circonstances, par un attaquant non authentifié. L'entreprise a indiqué avoir déployé… Lire la suite
Des pirates informatiques ciblent la chaîne d'exécution de code à distance (RCE) de Microsoft SharePoint avec une faille de preuve de concept (PoC).
D'après la société de veille sur les menaces Defused, des attaquants ciblent actuellement une chaîne de deux vulnérabilités de Microsoft SharePoint qui leur permettent d'exécuter du code arbitraire sur des serveurs non corrigés. […] Lire la suite
Des failles dans Signal ont permis à des serveurs malveillants de décrypter les requêtes de contact des utilisateurs.
Des chercheurs en sécurité de V12 ont découvert deux vulnérabilités critiques dans le service de découverte de contacts de Signal, permettant à un opérateur de serveur malveillant de contourner la protection de son enclave Intel SGX. Ces… Lire la suite
Vous auriez pu appliquer les 1 449 correctifs Oracle et être quand même victime de cette attaque.
Fin juillet, Oracle a publié une série de correctifs de sécurité massifs, comprenant 1 449 correctifs, une journée particulièrement difficile pour les administrateurs de bases de données. Il s'avère qu'aucun d'entre eux n'aurait permis d'empêcher le vol d'identifiants… Lire la suite
La CISA ordonne aux autorités fédérales de corriger la faille d'exécution de code à distance (RCE) de Citrix NetScaler d'ici samedi.
La CISA a ordonné aux agences gouvernementales américaines de corriger d'ici samedi une vulnérabilité d'exécution de code à distance activement exploitée sur leurs appliances Citrix NetScaler. […] Lire la suite
La CISA ordonne la correction urgente d'une faille de Zimbra activement exploitée.
L’Agence de cybersécurité et de sécurité des infrastructures (CISA) a ordonné aux agences gouvernementales américaines de corriger sous trois jours une vulnérabilité activement exploitée dans la suite de collaboration Zimbra (ZCS). […] Lire la suite
La Poste suisse affirme que son système de vote électronique ne présente aucune vulnérabilité majeure.
La Poste suisse affirme que son système de vote électronique ne présente aucune vulnérabilité majeure. Lire la suite
Une faille dans NVIDIA NemoClaw permet à des sites web malveillants de détourner les agents d'IA d'OpenClaw.
Une faille de configuration réseau de NemoClaw permet à des sites web malveillants d'atteindre les serveurs locaux d'Ollama, de modifier les modèles de modèles et d'implanter des instructions permanentes dans les agents d'IA. Lire la suite
La Slovaquie met en garde contre les cyber-risques liés aux radars routiers.
La Slovaquie met en garde contre les risques liés à des radars de vitesse vulnérables. Ces derniers pourraient exposer les données des véhicules, permettre un accès à distance et offrir aux pirates informatiques un point d'entrée dans… Lire la suite
Deux failles de contournement d'authentification CVSS 9.8 dans le plugin WordPress miniOrange SAML ont été exploitées avant même que les bases de données ne répertorient les versions payantes comme vulnérables.
Deux failles de sécurité critiques (CVSS 9.8) ont été exploitées dans l'extension WordPress miniOrange SAML, alors que les versions payantes n'étaient répertoriées dans aucune base de données de vulnérabilités. Un correctif manuel est nécessaire. Deux vulnérabilités critiques… Lire la suite
Plusieurs failles dans le connecteur client Zscaler permettent l'exécution de code à distance.
Zscaler a corrigé plusieurs vulnérabilités dans son application Client Connector qui auraient pu permettre à un attaquant non authentifié et sans privilèges d'exécuter du code arbitraire dans le contexte du produit. Cette vulnérabilité, référencée CVE-2026-59568, est considérée… Lire la suite
Trois failles de sécurité de la version 10.0 ont été corrigées sur l'ensemble de la gamme UniFi d'Ubiquiti.
Ubiquiti a corrigé 21 failles de sécurité critiques, dont trois étaient classées au niveau de gravité maximal, a annoncé mercredi l'entreprise de produits de communication dans un bulletin de sécurité. Au total, l'entreprise a corrigé 22 failles… Lire la suite
19 extensions Chrome et Edge prises en flagrant délit de collecte de clés de portefeuilles cryptographiques
Des chercheurs en sécurité ont découvert 19 extensions malveillantes pour Chrome et Edge diffusant des programmes de vidage de portefeuilles de cryptomonnaies, de vol d'identifiants, de détournement de session et d'autres logiciels malveillants chargés à distance. Socket… Lire la suite
PaperCut publie un deuxième correctif d'urgence pour des failles exploitées.
PaperCut a publié une deuxième mise à jour de sécurité d'urgence pour deux vulnérabilités activement exploitées dans son logiciel de gestion d'impression PaperCut NG et MF, après que des chercheurs ont découvert plusieurs façons de contourner les… Lire la suite
Cette veille vous a fait gagner du temps ?
Aidez DCOD à payer ses serveurs et à rester 100% gratuit et indépendant.
