Faits marquants de la semaine
- Apple a corrigé plus de 260 vulnérabilités (CVE) sur l’ensemble de ses systèmes, navigateurs et logiciels, un record interne. iOS 27 et macOS 27 « Golden Gate » corrigent respectivement 122 et 204 failles, sans exploitation active signalée.
- Oracle a publié sa mise à jour de sécurité de septembre 2026, corrigeant plus de 800 vulnérabilités dans 17 familles de produits. Le lot inclut plus de 100 failles de sévérité critique.
- Une faille critique de Cisco Secure Email Gateway permet de transformer un simple e-mail malveillant en accès « root » (contrôle total du système) et fait l’objet d’une exploitation active.
- Du code d’exploitation fonctionnel a été publié pour quatre failles du noyau Linux permettant à un utilisateur local d’obtenir les privilèges root. Les correctifs ont déjà été intégrés ces dernières semaines, mais les systèmes sur noyaux plus anciens restent exposés.
La semaine est marquée par une densité inhabituelle de correctifs et d’exploitations actives, touchant à la fois des éditeurs majeurs et des briques d’infrastructure. Apple et Oracle annoncent des volumes de patchs records, tandis que Cisco confirme l’exploitation d’une faille critique dans Secure Email Gateway. En parallèle, des exploits publics visent le noyau Linux, et plusieurs vulnérabilités critiques ou à fort impact sont signalées sur GitLab, des produits Check Point, Logitech Options+, des téléphones Google Pixel, Nintendo Switch et Telegram Desktop. Le volet cloud et identité progresse aussi avec la publication du guide NIST IR 8587 sur la sécurisation des jetons.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
La sélection des 16 actualités à retenir cette semaine
Apple est la proie des vulnérabilités avec un nombre record de correctifs iBugs.
Apple a corrigé plus de 260 vulnérabilités CVE dans l'ensemble de ses systèmes d'exploitation, navigateurs et autres logiciels, ce qui représente le plus important cycle de correctifs de son histoire. Ce nombre de CVE paraît toutefois modeste… Lire la suite
Oracle corrige plus de 800 vulnérabilités dans sa mise à jour de sécurité de septembre 2026.
Les mises à jour de sécurité corrigent plus de 800 vulnérabilités réparties sur 17 familles de produits, dont plus de 100 failles critiques. Cet article « Oracle corrige plus de 800 vulnérabilités dans sa mise à jour de… Lire la suite
Les boîtiers de sécurité de messagerie Cisco peuvent être piratés par… un e-mail
Des cybercriminels exploitent une faille critique dans Cisco Secure Email Gateway, permettant à un courriel malveillant d'obtenir un accès root. Cette vulnérabilité, référencée CVE-2026-76461, présente un score CVSS de 9,8 et affecte les appliances Secure Email Gateway… Lire la suite
Des exploits publics ont été publiés pour quatre failles du noyau Linux permettant l'accès root local.
Un chercheur en sécurité a publié un code d'exploitation fonctionnel pour quatre failles du noyau Linux permettant à un utilisateur local d'obtenir les privilèges root, le niveau d'accès le plus élevé sur une machine. Les responsables de… Lire la suite
GitLab CVE-2026-85706 : Une seule requête HTTP, aucune authentification, lecture complète du fichier – Exploitée en moins de 24 heures
La vulnérabilité CVE-2026-85706, une faille de traversée de répertoires (score CVSS 10.0) affectant GitLab, était activement exploitée moins de 24 heures après sa divulgation. GitLab a divulgué la vulnérabilité CVE-2026-85706 (score CVSS de 10.0) le 10 septembre… Lire la suite
Une faille RCE sans clic dans les agents de codage IA pourrait donner aux attaquants les clés du royaume
Une vulnérabilité « zéro clic » permettant l'exécution de code à distance affecte tous les principaux agents de programmation d'IA — Claude Code d'Anthropic, Codex d'OpenAI, Gemini CLI de Google, Copilot de Microsoft et GitHub Copilot (propriété… Lire la suite
Check Point corrige la vulnérabilité critique CVE-2026-91843 permettant l'exécution de code racine.
Check Point a corrigé la vulnérabilité CVE-2026-91843, une faille critique qui permettait à un attaquant d'exécuter du code en tant que superutilisateur (root) sur les serveurs de gestion de la sécurité et de journalisation, sans authentification. Check… Lire la suite
Une faille de sécurité dans Logitech Options+ permet aux attaquants d'obtenir les privilèges SYSTEM de Windows.
Une vulnérabilité dans Logitech Options+ permet à un utilisateur Windows standard d'obtenir des privilèges de niveau SYSTÈME en exploitant une faille dans le service de mise à jour du logiciel. Référencée CVE-2026-12518, cette vulnérabilité ne requiert aucun… Lire la suite
Des téléphones Google Pixel compromis lors d'attaques sans clic
Google et les autorités américaines ont toutes deux averti que des pirates informatiques avaient exploité une faille de sécurité zero-day dans les modems cellulaires des téléphones Pixel. Cette faille permettait de contourner les contrôles d'autorisation et d'élever… Lire la suite
Nintendo met en garde contre une faille d'exécution de code sur Switch via les codes QR affichés à l'écran.
Nintendo a corrigé une faille de sécurité critique affectant la Nintendo Switch. Cette faille permettait à un attaquant situé à proximité d'exécuter du code non autorisé ou d'accéder aux informations stockées sur la console. Référencée CVE-2026-82079, elle… Lire la suite
Une faille dans Telegram Desktop pourrait transformer d'anciennes exportations de conversations en pièges à vol de données.
Une faille de sécurité dans Telegram Desktop permettait à des bots d'injecter du JavaScript dans les conversations exportées, rendant ainsi possible le vol de données et la manipulation des pages. Les anciennes exportations HTML restent vulnérables. Une… Lire la suite
Une faille dans un plugin WooCommerce permet à des attaquants distants de créer des comptes d'administrateur et de prendre le contrôle de sites.
Une faille de sécurité critique dans l'extension WooCommerce Wholesale Lead Capture est activement exploitée, permettant à des attaquants distants de télécharger des fichiers malveillants et de prendre potentiellement le contrôle total des sites WordPress vulnérables. Cette vulnérabilité,… Lire la suite
GitHub offre une prime de 100 000 $ pour la découverte d'une faille critique d'exécution de code à distance (RCE) déclenchée par une simple modification Git.
GitHub aurait octroyé une prime de 100 000 $ au chercheur en sécurité Saif Ghani pour avoir identifié une vulnérabilité critique d'exécution de code à distance, exploitable via une opération spécifique sur un dépôt Git. Cette faille, référencée CVE-2026-3854,… Lire la suite
Microsoft offre une prime de 60 000 $ pour la découverte de vulnérabilités critiques entre locataires
Microsoft a renforcé son programme de récompenses pour les chercheurs en sécurité travaillant sur Dynamics 365 et Power Platform, offrant des primes allant de 1 250 $ à 60 000 $ pour les vulnérabilités éligibles. Ce programme privilégie les… Lire la suite
Une startup de cybersécurité utilise l'IA Claude pour pirater OpenAI et empoche 6 500 $ de prime à la faille.
Hacktron AI a utilisé Claude d'Anthropic pour exploiter des failles d'OpenAI, compromettre des comptes d'employés et accéder à un dépôt de code interne, empochant ainsi une prime de 6 500 $. Lire la suite
Le NIST exhorte les fournisseurs de services cloud à renforcer la sécurité des jetons d'identité contre le vol, la falsification et l'utilisation abusive.
L’Agence de cybersécurité et de sécurité des infrastructures (CISA) et l’Institut national des normes et de la technologie (NIST) ont publié des recommandations techniques finales visant à empêcher les attaquants de falsifier, voler, réutiliser ou détourner les… Lire la suite
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
