Découvrez REA, le serveur MCP qui permet à Claude Code ou Codex de piloter Ghidra et d'autres outils : installation, cadre légal et démo de rétro-ingénierie.
Le post REA : j’ai testé la rétro-ingénierie pilotée par l’IA avec Claude Code a été publié sur IT-Connect.
Les failles PHP2Shell et Fragnesia (noyau Linux) sont exploitées ensemble pour obtenir un accès root sur 24 firewalls. L'agence CISA a publié une alerte.
Le post Fragnesia et PHP2Shell : la chaîne d’attaque qui a offert un accès root sur 24 firewalls a été publié sur IT-Connect.
Le ransomware C3RB3R s'attaque aux NAS Synology pour chiffrer les données après les avoir compromis en exploitant des failles DSM. Voici comment vous protéger.
Le post NAS Synology : une vague d’attaques du ransomware C3RB3R, voici comment vous protéger a été publié sur IT-Connect.
WordPress 7.1.4 corrige 22 vulnérabilités, dont une faille d'exécution de code à distance liée au processus de mise à jour. Voici ce qu'il faut retenir.
Le post WordPress 7.1.4 corrige 22 vulnérabilités, dont 1 faille menant à l’exécution de code à distance a été publié sur IT-Connect.
L’entreprise de marketing israélienne Discover-Tech a participé à une attaque zéro-clic installant un logiciel espion via des publicités. Elle vise particulièrement les utilisateurs du réseau Starlink, selon des sources de l’agence de presse Reuters.
L’agence de marketing israélienne Discover-Tech, impliquée dans la diffusion d’un logiciel espion via une attaque zéro-clic, est aussi une des entreprises qui enchérissent le plus pour obtenir des publicités sur le réseau Starlink. Ainsi, elle serait en capacité de localiser assez facilement des utilisateurs de ce réseau qui permet à ses utilisateurs de passer à travers les surveillances gouvernementales.
Mi-octobre, on apprenait que Discover-Tech avait mis au point une attaque zéro-clic installant un logiciel espion via la publicité ciblée. Les chercheurs de Citizen Lab et de Cinfiant avaient constaté que des appareils des équipes du média Al Jazeera avaient été choisis pour être infectés avec un logiciel espion attribué à la société Candiru.
En parallèle, des chercheurs de l’entreprise de sécurité Trend Micro publiaient un rapport sur les activités d’un groupe nommé SHADOW-EARTH-79 qui utilise aussi la publicité ciblée pour « suivre et établir le profil de personnes se trouvant dans des zones de conflit, des États soumis à des sanctions et d’autres lieux sensibles à travers le monde ».
Selon plusieurs sources de Reuters, Discover-Tech est l’entité réelle qui se trouve derrière le groupe SHADOW-EARTH-79. Les chercheurs de l’unité TrendAI de Trend Micro ne citent pas le nom de l’entreprise israélienne : cette unité s’est donné des règles très prudentes concernant l’attribution des menaces cyber qu’elle découvre. Mais six sources ont confirmé à l’agence de presse que Shadow-Earth-79 est le nom de code utilisé par TrendAI pour désigner Discover-Tech.
Selon TrendAI, ce groupe est sur le trafic des adresses IP de Starlink, ce groupe est la deuxième entreprise concernant le nombre d’enchères gagnées pour placer des publicités (12,9%) derrière l’entreprise américaine de marketing ciblé Steelhouse qui a obtenu 38,4 % des enchères sur une période de 90 jours étudiée.
TrendAI a pu observer que ce groupe avait gagné des enchères publicitaires dans 150 pays concernant le trafic des adresses IP de Starlink. « Certains de ces pays (le Cameroun, la Syrie, le Soudan, la Birmanie et la Libye) sont des pays où Starlink est officiellement interdit ou soumis à des restrictions réglementaires », remarquent-ils dans leur rapport. Mais on peut y voir qu’y figurent aussi la France, l’Italie ou l’Espagne où le groupe est premier enchérisseur concernant les pubs du trafic de Starlink.
Concernant les enchères publicitaires sur tout le trafic (et non plus seulement Starlink), selon TrendAI, ce groupe est « le premier enchérisseur dans 49 pays où les données publicitaires font l’objet d’enchères ». « Dans plusieurs cas, il détient une part incroyablement dominante de l’ensemble des enchères, ce qui ne correspond pas à un achat publicitaire concurrentiel normal », ajoutaient les chercheurs en cybersécurité. Ils pointaient notamment son « quasi monopole » en Hongrie, en Israël, en Égypte, en Azerbaïdjan et au Venezuela où le groupe fait entre 72 % et 91 % des offres.
Le rapport de TendAI concluait que « les éléments de preuve recueillis indiquent, avec un niveau de confiance modéré à élevé, que la présence publicitaire de SHADOW-EARTH-79 sert d’infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale ».
Contactées par Reuters, Discover-Tech mais aussi SpaceX n’ont pas répondu aux demandes de commentaires sur le sujet de nos confrères.
En mai dernier, Intelligence Online expliquait qu’une autre entreprise israélienne, Targeteam qui a aussi un bureau à Chypre, allait dévoiler un nouvel outil dédié à la désanonymisation des utilisateurs du système Starlink. Cette entreprise est la « nouvelle aventure business d’un vétéran du secteur cyber israélien et légende de l’export, Ron Zilka », selon nos confrères. De son côté, le média israélien Haaretz parlait de deux entreprises du même pays capables de localiser les terminaux satellitaires de Starlink alors que ce système permet, par exemple, à l’armée ukrainienne de se défendre face à l’envahisseur russe. Mais récemment, le pays de Volodymyr Zelensky a accusé Starlink d’avoir restreint l’accès à Internet de ses forces militaires.
Un paquet ICMP suffit pour exécuter du code avant Secure Boot sur une machine en boot PXE. Voici ce qu'il faut savoir sur la faille UEFI CVE-2026-97631.
Le post Faille UEFI CVE-2026-97631 : un paquet ICMP suffit pour exécuter du code avant le Secure Boot a été publié sur IT-Connect.
Une faille de sécurité critique a été découverte dans la plupart des firmwares UEFI utilisés dans les serveurs. Bien qu’elle ne requière pas d’authentification, il faut remplir plusieurs conditions pour l’exploiter, dont l’utilisation du PXE pour le démarrage réseau.
Quand on allume un ordinateur, un petit logiciel est d’abord chargé d’initialiser le matériel et de préparer les conditions au lancement du système d’exploitation. On l’a historiquement appelé « BIOS » (Basic Input/Output System), mais il s’agit depuis longtemps d’un microgiciel (firmware) nommé UEFI (Unified Extensible Firmware Interface). Parmi les fonctions apportées par ce firmware plus moderne, des fonctionnalités réseau en standard.
Dans la grande majorité des cas, les constructeurs n’écrivent pas leur UEFI depuis zéro. Ils se basent sur des travaux existants, en particulier EDK II, une base de code libre maintenue par le projet TianoCore. Presque tous les éditeurs de firmware – dont AMI, Insyde et Phoenix – s’en servent copieusement, y compris Project Mu, une variante renforcée (durcie) d’EDK II maintenue par Microsoft.
Or, c’est dans cette base EDK II que réside la faille.
La faille en question, estampillée CVE-2026-97631, réside dans la fonction de démarrage réseau, ou PXE. Quand elle est activée, la machine ne démarre pas sur son disque, elle récupère son système sur un serveur distant. Ce mécanisme est largement utilisé dans les centres de données pour installer ou réinstaller en masse des serveurs.
Pendant ce démarrage réseau, le pilote PXE (NetworkPkg ou UefiPxeBcDxe) attend d’éventuels messages d’erreur ICMP. S’il en reçoit, il les copie dans une zone de mémoire de taille fixe, précisément 504 octets. Il existe deux variantes du code pour le réseau, une pour IPv4, l’autre pour IPv6. C’est là que réside le problème : dans les deux cas, la copie en mémoire continue même si le message d’erreur dépasse les 504 octets. En outre, le pointeur de destination avance sur la base du total cumulé au lieu de la taille du seul fragment copié.
Dans le scénario d’une attaque, un pirate peut donc exploiter ce mécanisme pour écrire un message trop long, avec des octets choisis en dépassement de la zone prévue en mémoire. Rien en amont ne limite la taille du message, renforçant l’ampleur du problème. Le pirate peut donc glisser des instructions dans ces octets, qui seront alors exécutées par le firmware UEFI.
La faille CVE-2026-97631 affiche un score CVSS 4.0 de 9,5 sur 10, soit très près du maximum. Le seul facteur limitant la portée de l’exploitation est l’obligation d’utiliser PXE, ce qui n’arrive que dans des environnements spécifiques, et a priori pas chez le grand public. Autre condition tout de même, il faut connaitre la version exacte du firmware que l’on veut attaquer.
Si ces deux conditions sont remplies, tout ce que le pirate a à faire est d’envoyer un message d’erreur ICMP spécialement conçu pour y glisser des commandes. Aucune authentification n’est nécessaire. De plus, puisque les commandes sont exécutées à un stade très précoce de la chaine de démarrage, ni Secure Boot ni le démarrage mesuré n’ont le temps d’intervenir.
C’est l’accumulation de ces deux éléments – aucune authentification et déclenchement avant tous les mécanismes de sécurité – qui donne son score de gravité à la faille. S’il parvient à exploiter la faille, le pirate a même le choix : se servir de la corruption mémoire pour provoquer une exception processeur et le blocage du démarrage, ou l’exécution du code qui aura alors le niveau de privilège le plus élevé. Même si ce code ne survit pas lui-même au redémarrage, il peut être utilisé pour installer des composants persistants.
La faille a été découverte par Alex Matrosov d’Anthropic et Dan Holmes-Mitra de Google, qui ont également fourni la solution recommandée. On ne sait pas quand cette découverte a eu lieu, mais la communication de l’équipe de TianoCore a entrainé une réservation de l’identifiant CVE le 24 septembre.
En théorie, les détails d’une telle vulnérabilité restent secrets jusqu’à ce que ces correctifs soient disponibles, mais il y a eu une erreur. Ars Technica parle de « divulgation ratée » : AMI a publié fin septembre une demande de modification publique qui décrivait la faille et contenait le correctif. Alex Matrosov et Dan Holmes-Mitra s’en sont aperçus, ont prévenu TianoCore, qui a alors décidé de rendre public l’avis de sécurité le 22 octobre.
En outre, bien que le correctif ait effectivement été proposé, les différentes parties s’étaient mises d’accord pour attendre une publication des détails en janvier. L’erreur d’AMI a précipité le calendrier, car le délai devait servir aux éditeurs de firmwares à proposer de nouvelles moutures. Il faut désormais surveiller ce que des entreprises comme Dell, Lenovo, SuperMicro ou encore HPE publient. Selon les cas, le mécanisme de mise à jour peut être plus ou moins complexe, mais il réclame dans tous les cas un temps d’immobilisation du serveur.
Les firmwares concernés sont a priori très nombreux, sur la base du code vulnérable d’EDK II. Ars Technica a interrogé Intel et Arm sur la portée du problème, les deux entreprises affirmant que leurs produits ne sont pas concernés. Nos confrères indiquent cependant que l’une comme l’autre utilisent amplement EDK II comme base de référence. Dans le cas d’Intel, le dépôt GitHub pour les binaires FSP (Firmware Support Package) mentionne clairement EDK II et TianoCore. Même chose pour Arm. D’autres entreprises comme AMD, Microsoft et Amazon n’ont pas répondu aux questions de nos confrères, mais elles sont très probablement concernées aussi.
La méfiance est donc de mise. Il est recommandé de dresser l’inventaire des machines utilisant PXE. Si parmi elles certaines l’ont activé sans l’utiliser, mieux vaut le désactiver pour supprimer la surface d’attaque. Si la fonction est nécessaire, il est recommandé de garder le trafic de démarrage sur un segment isolé du réseau, de surveiller les pages de support des constructeurs ou des éditeurs impliqués et de filtrer les messages ICMP inattendus.
Apprenez pourquoi le DNS est un canal d'exfiltration puissant pour les cybercriminels, et les mesures pour le détecter et le bloquer sur votre infrastructure.
Le post Exfiltration DNS : comprendre, détecter et bloquer un canal de fuite discret a été publié sur IT-Connect.
Une faille de sécurité critique située dans le composant CDP Coordinator a été patchée dans Veeam Backup & Replication 13 : CVE-2026-108142. Voici les patchs.
Le post Veeam Backup & Replication 13 (CVE-2026-108142) : une faille critique exploitable sans authentification a été publié sur IT-Connect.
AuthMask (CVE-2026-80097) : une faille dans Microsoft Authenticator laissait une appli Android sans permission accéder à votre compte Microsoft 365.
Le post Microsoft Authenticator : la faille AuthMask offrait un accès à votre compte Microsoft 365 a été publié sur IT-Connect.
Microsoft a publié des mises à jour hors bande pour Windows 11 afin de retirer 7 certificats eMudhra sur les postes Windows coupés d'Internet, mais pas que.
Le post Windows : ces mises à jour hors bande éliminent les certificats de l’autorité eMudhra a été publié sur IT-Connect.
Devenu secrétaire adjoint à la Défense de Trump, le milliardaire Steve Feinberg a d’abord annoncé vouloir réformer la façon dont le budget du Pentagone (mille milliards de dollars) serait dépensé. Il a ensuite créé une agence secrète de sabotage « dotée de ses propres pouvoirs en matière de marchés publics », au grand dam du Commandement des opérations spéciales et de l’US Cyber Command dont elle rogne les missions et budgets. Le fonds d’investissement qu’il avait créé a par ailleurs d’ores et déjà reçu des fonds du Pentagone.
En décembre 2024, Mike Waltz, le conseiller à la sécurité nationale de la future administration Trump, déplorait que les États-Unis se soient surtout concentrés sur leurs moyens de cyberdéfense, au détriment de ses capacités cyberoffensives.
En mars 2026, l’administration Trump nommait à la tête de la National Security Agency (NSA) et de l’U.S. Cyber Command (USCYBERCOM, le bras armé de la NSA et de l’armée US) Joshua M. Rudd, un général sans expertise ni compétence particulière en matière de renseignement technique ni d’informatique.
Ancien patron des opérations spéciales du Pacifique, son profil de « chef de guerre » rompu au combat semblait par contre pouvoir contribuer à la montée en puissance des capacités cyberoffensives de l’US Cyber Command, que l’administration Trump appelait de ses vœux.
POLITICO vient de son côté de révéler que le Pentagone a discrètement créé en avril dernier une nouvelle agence d’élite. La mission de ce « Technology Support Office » (TSO) : perturber et saboter en secret les programmes technologiques étrangers considérés comme des menaces pour la supériorité militaire américaine.
TSO témoignerait de la volonté du département de la Guerre états-unien d’intensifier toute une série d’activités secrètes et agressives à l’étranger, explique POLITICO, qui précise en avoir discuté avec 12 actuels et anciens officiels.
Sa création avait été poussée par Steve Feinberg, un milliardaire du secteur du capital-investissement et ancien président du Conseil consultatif du renseignement de la Maison Blanche sous le premier mandat de Donald Trump, devenu secrétaire adjoint à la Défense en mars 2025.
Son conseiller principal au Pentagone, Tom Rakusan, aurait également joué un rôle actif dans la mise en place de TSO. Vétéran de longue date des services clandestins de la CIA, il travaillait jusqu’à récemment au sein de la société de capital-investissement de M. Feinberg, où il se consacrait aux technologies émergentes.
TSO résulterait de la fusion de deux programmes de renseignement classifiés du Pentagone qui menaient, depuis 2023, des opérations clandestines similaires de sabotage technologique à plus petite échelle.
L’objectif serait d’intensifier ce type d’actions, « pouvant notamment inclure des cyberattaques, des perturbations de la chaîne d’approvisionnement et des opérations de désinformation ». Et ce, afin de gagner du temps ou d’empêcher les adversaires d’accéder à des technologies de défense critiques susceptibles de menacer l’armée américaine « en cas de conflit majeur », voire de les saboter à distance, résume POLITICO :
« Le TSO est composé d’ingénieurs, d’agents des forces spéciales et d’officiers du renseignement ; ses missions vont de la conception d’outils de piratage sur mesure à la planification d’opérations de diversion sophistiquées visant à inciter les adversaires à installer des composants défectueux — probablement conçus par le TSO — dans des plates-formes d’armement étrangères stratégiques. »
En réponse à une série de questions concernant TSO et les détails de cette affaire, Jacob Bliss, porte-parole adjoint du Pentagone, a répondu à POLITICO que « cette interrogation semble reposer sur des informations qui sont tout simplement fausses. La personne qui vous transmet ces allégations est soit très mal informée, soit cherche délibérément à vous induire en erreur pour colporter ses fantasmes. »
POLITICO, qui souligne que « les détails de ses activités, les grandes lignes de sa mission et les raisons pour lesquelles ses opérations sont entourées de secret », a cela dit appris qu’après avoir initialement envisagé de rattacher le TSO à l’US Cyber Command, le Pentagone a finalement préféré créer une nouvelle agence « dotée de son propre budget et de ses propres pouvoirs en matière de marchés publics », afin de pouvoir « intégrer plus rapidement les technologies de pointe issues du secteur privé » :
« Au-delà des opérations offensives, le TSO s’attachera également à coordonner l’utilisation des technologies et à réduire les formalités administratives pour les sous-traitants du secteur de la défense, qui doivent composer avec un dédale de programmes de renseignement du Pentagone fortement cloisonnés. »
Trois des sources de POLITICO soulignent que ce choix avait irrité plusieurs officiels du Pentagone, au point que le Commandement des opérations spéciales et l’US Cyber Command s’y seraient tous deux opposés, de crainte que TSO n’entame leurs propres budgets.
Tout en soutenant la mission de la TSO, plusieurs des interlocuteurs de POLITICO craignent cela dit que le secret qui entoure ses activités n’encourage les dirigeants du Pentagone à lancer des missions bafouant le droit international, ou à attribuer des contrats classifiés à des alliés politiques.
Lors de sa nomination, les démocrates avaient en effet souligné les risques de conflits d’intérêts, les sociétés de capital-investissement et de capital-risque que dirigeait Feinberg avant de rejoindre le département de la Guerre détenant toutes deux des participations importantes dans des entreprises de technologie de défense susceptibles d’entrer en concurrence pour remporter des marchés du Pentagone.
Un an après une première fuite, la Fédération française de tir a de nouveau été piratée : 64 000 photos d'identité et près de 19 000 documents dérobés.
Le post Photos d’identité, certificats : la Fédération française de tir piratée pour la deuxième fois en un an a été publié sur IT-Connect.
La faille Brotli CVE-2026-111497 dépasse Node.js : Python, .NET et Linux sont aussi touchés. Voici comment se protéger de cette vulnérabilité.
Le post Broccoli2Shell : la faille Brotli de Node2Shell touche aussi Python, .NET et Linux a été publié sur IT-Connect.
WPAD est activé par défaut sous Windows et peut servir de vecteur d'attaque. Comprenez le protocole, ses risques réels en 2026 et désactivez-le par GPO.
Le post WPAD sous Windows : comprendre le protocole, ses risques de sécurité et le désactiver par GPO a été publié sur IT-Connect.
Avec Tailworm, Erica Windisch a publié 11 failles non corrigées dans Tailscale et Headscale, dont un accès root via Tailscale SSH. Voici comment vous protéger.
Le post Tailworm : 11 failles non corrigées dans Tailscale, dont un accès root via Tailscale SSH a été publié sur IT-Connect.
La Fédération française de tir (FFTir) a indiqué le 22 octobre dernier à ses adhérents avoir été victime d’une nouvelle intrusion dans ses systèmes informatiques. Elle précise que l’attaquant a réussi à récupérer des données personnelles liées à ses licenciés pratiquant le tir sportif.
« Ce qui a été récupéré dépend de chacun. Pour la plupart des licenciés, actuels et anciens, il s’agit du nom, du prénom, du club, de la catégorie d’âge et, le cas échéant, du grade Cibles Couleurs avec sa date de validation et de la mention d’une pratique handisport. L’attaquant a aussi récupéré environ 64 000 photos d’identité et près de 19 000 documents déposés par des licenciés dans leur espace, dont des certificats d’aptitude à la pratique du tir sportif », écrit la Fédération dans son courrier aux licenciés, également publié sur son site web.
Si la Fédération indique que le « dossier complet » de 55 licenciés a été copié, elle se veut rassurante concernant les informations relatives à la détention d’armes à feu :
« Aucune information sur la possession d’armes n’a été touchée : la Fédération ne détient pas ces informations. Vos mots de passe ne sont pas concernés. Nous rappelons également qu’il n’y a aucune donnée bancaire dans les outils ».
La Fédération précise le calendrier de cette attaque qu’elle présente comme « préparée ». D’après son communiqué, l’attaquant a réussi à se connecter le 12 octobre à l’espace licencié grâce à des identifiants volés ou devinés. De là, il aurait réussi à outrepasser ses droits pour accéder aux données d’autres licenciés, puis à interroger « en masse » la fonction de vérification des licences de Cibles Couleurs, son site dédié à la formation.
La FFTir affirme que l’accès litigieux a été détecté et bloqué dès le 12 octobre, mais la fonction d’interrogation de Cibles Couleurs n’a été fermée et corrigée que le 15 et l’accès aux documents déposés dans EDEN, le système de gestion des licences pour les tireurs, n’a été coupé que le 16.
« Depuis le 12 octobre, une cellule de crise suit la situation chaque jour. Nous avons informé l’Agence nationale de la sécurité des systèmes d’information les 13 et 15 octobre, et la CNIL le 16, dans le délai prévu par la loi. Des experts nous accompagnent », écrit Hugues Senger, président de la FFTir, dans un courrier aux licenciés.
Il y rappelle que cette intrusion intervient un an environ après une première attaque réussie, qui avait déjà exposé les informations personnelles des licenciés. Il y revient aussi sur les chantiers de sécurisation des systèmes d’information de la Fédération, soulignant en creux que ces derniers n’ont pas encore été menés à leur terme.
« La double authentification est déployée progressivement sur nos outils et va être généralisée dans les semaines à venir, écrit par exemple Hugues Senger. Le chantier le plus lourd a été la réécriture complète de nos applications, qui est en cours de finalisation. La nouvelle plateforme sera mise en service prochainement, après la réalisation de tests. »
La communication de la FFTir se conclut sans surprise sur un appel à la prudence en cas de sollicitations intempestives. « De votre côté, soyez prudents avec les messages et les appels qui se réclament de la Fédération, de votre club ou d’une administration. Vos données peuvent servir à les rendre crédibles, conseille-t-elle. Restez discrets sur votre pratique et votre équipement, notamment sur les réseaux sociaux. »
Un updater abandonné de Popcorn Time pouvait exécuter du code avec les droits SYSTEM. Eye Security l'a neutralisé à distance sur des millions de machines.
Le post Popcorn Time : un processus oublié menaçait des millions de PC (CVE-2026-30612) a été publié sur IT-Connect.
