Selon Microsoft, moins d'un appareil Windows sur deux en entreprise installe le patch de sécurité en deux semaines. Un délai risqué face à l'IA. Voici pourquoi.

Le post Moins d’un PC Windows sur deux patché en 2 semaines, et c’est risqué avec l’IA ! a été publié sur IT-Connect.

Microsoft a détecté 7,3 milliards e-mails de phishing au troisième trimestre 2026. Faux DocuSign, SVG, code d'appareil : voici ce qu'il faut retenir.

Le post Phishing : 7,3 milliards de menaces par e-mail au troisième trimestre 2026, voici ce que révèle Microsoft a été publié sur IT-Connect.

Comments

Le lanceur PC de NIKKE a chargé un malware depuis le CDN de Level Infinite : contrôle à distance, vol de secrets et de cryptos. Voici ce qu'il faut vérifier.

Le post NIKKE : la version PC du jeu piégée pour installer un redoutable malware a été publié sur IT-Connect.

La connexion internet de la Maison-Blanche est à louer. Elle servirait en effet de relais à des services commerciaux de proxy : leurs clients peuvent y faire transiter du trafic web qui apparait alors comme provenant de l’Executive Office of the President, l’équipe au service direct du président des États-Unis.

Entre le 5 octobre et le 3 novembre, l’observatoire des proxies résidentiels de Layer3 Intel a détecté 236 passages de trafic par six adresses IP du réseau de la présidence américaine, accessibles via 28 services de proxy résidentiel. Une poignée de dollars et un abonnement à l’un de ces services suffisent pour emprunter le réseau de la Maison-Blanche.

D’après les observations de l’entreprise, l’essentiel de l’activité se concentre en soirée (la moitié se déroule entre 17 h et minuit, il n’y a presque aucun signe d’activité en matinée). Ce rythme évoque moins un réseau Wi-Fi public destiné aux visiteurs qu’une personne travaillant dans le bâtiment. Il pourrait s’agir de quelqu’un qui se connecte régulièrement au réseau de la Maison-Blanche en fin de journée – on n’ose avancer un nom – et dont l’appareil (un boîtier TV ou plus sûrement un smartphone) est infecté par un SDK de proxy.

Un proxy résidentiel achemine le trafic via une vraie adresse IP : les requêtes semblent donc provenir d’un utilisateur plutôt que d’un serveur. Il existe des usages légitimes : vérification de publicités, tests QA… Mais on peut également en abuser pour collecter des données en douce, contourner des blocages ou mener toutes sortes d’activités illicites : des pirates peuvent ainsi masquer leurs activités malveillantes pour mener des cyberattaques.

Une annonce du FBI publiée au mois de mars alertait le public des dangers d’un proxy résidentiel. Le Bureau explique que cette technique est un des outils standards des cybercriminels pour leurs méfaits. Des apps pour télés connectées LG et Samsung ont récemment été épinglées car elles intégraient de tels systèmes.

• Samsung et LG font le ménage dans les apps TV dopées aux proxys résidentiels

Ici, pour les sites visités via ces proxies, le trafic donne l’impression de provenir du réseau de la Maison-Blanche. Cela ne signifie pas pour autant que les tiers peuvent consulter les fichiers contenus dans l’appareil-relais ou accéder au réseau interne. Layer3 met tout de même en garde : « Des recherches antérieures ont montré que des SDK de proxy mal sécurisés peuvent permettre d’accéder au réseau interne et de se déplacer d’un système à l’autre. Si un SDK présent sur ce réseau comporte une faille de ce type, toute personne achetant un accès au proxy pourrait s’en servir pour accéder aux systèmes internes. »

Évidemment, au vu de la nature très particulière des lieux, la présence d’un proxy résidentiel pose un problème de sécurité.

Deep-Live-Cam est un outil open source capable de remplacer un visage en direct lors d'une visio (Teams, Zoom, etc.) à partir d'une seule photo.

Le post Deep-Live-Cam : cet outil open source de deepfake change votre visage à partir d’une photo a été publié sur IT-Connect.

Un contournement plus qu’un correctif

Une énorme faille de sécurité a été découverte et corrigée dans OpenSSH, qui permet d’administrer à distance la plupart des serveurs Linux. Exploitée, elle pouvait laisser entrer des pirates sur des serveurs Alpine Linux sans besoin de connaitre le mot de passe : il suffisait d’en écrire un aléatoire d’au moins 256 caractères.

Le projet OpenSSH a publié en urgence un correctif pour la faille dès le 5 novembre. Selon le message de Damien Miller, l’un des principaux développeurs, le correctif a été proposé moins de 24 heures après la réception du signalement.

L’équipe d’OpenSSH demande aux administrateurs concernés de couper aussi rapidement que possible la connexion par mot de passe, voire le service SSH lui-même, tant que le correctif n’est pas installé. Damien Miller indique que la grande majorité des systèmes d’exploitation ne sont pas concernés : Windows, macOS, la plupart des distributions Linux (comme Debian, Ubuntu, Red Hat, Fedora…) ou encore les systèmes BSD ne présentent pas de risque d’exploitation dans leur configuration par défaut.

Pourquoi une telle urgence dans ce cas ? Parce que pour être exploitée, la faille nécessite une configuration précise, qui est justement celle par défaut dans Alpine Linux. Or, cette distribution est souvent utilisée pour sa légèreté dans certains environnements, notamment cloud.

Sur Alpine Linux, un correctif à installer au plus vite

Dans l’avis publié par l’équipe d’Alpine Linux hier soir, on peut lire qu’un serveur sous Alpine Linux est vulnérable s’il réunit trois conditions : le service SSH accepte les connexions par mot de passe (c’est le cas par défaut), il existe au moins un compte sans mot de passe, et au moins un autre compte en possède un.

Si vous estimez que personne n’utilise des comptes sans mot de passe, détrompez-vous. Il s’agit le plus souvent de comptes auxquels les propriétaires se connectent avec une clé cryptographique, la méthode étant d’ailleurs plus sûre. La vulnérabilité, référencée CVE-2026-123158, peut donc être exploitée pour ouvrir l’accès à ces comptes sans mot de passe, clé cryptographique ou pas. Tout ce dont le pirate a besoin selon Alpine, c’est de joindre le serveur par le réseau et de connaitre le nom d’un de ces comptes.

Sur cette distribution, le compte administrateur (root) est livré sans mot de passe, le rendant en théorie vulnérable. Par défaut, OpenSSH refuse toute connexion par mot de passe au compte administrateur, quel que soit le mot de passe tapé. C’est en théorie suffisant. Cette protection tombe toutefois si un autre compte a les droits nécessaires pour devenir administrateur. C’est le cas dans les versions 3.18.11 à 3.24.3 des images d’Alpine Linux destinées au cloud. Dès lors, ces machines deviennent vulnérables dès qu’un mot de passe est défini sur un autre compte, ouvrant la voie au pirate pour un accès complet au serveur.

Comme l’indique The Hacker News, il est recommandé de vérifier si d’autres systèmes sont concernés, car le composant impliqué (musl) est aussi utilisé dans des distributions spécialisées dans l’embarqué comme OpenWrt, Buildroot et Yocto. En revanche, les conteneurs Docker qui ne font pas tourner de serveur SSH, les serveurs où la connexion par mot de passe est désactivée, et les machines installées via cloud-init (qui désactive cette connexion) ne sont pas affectés.

Comment un mot trop long peut-il ouvrir la porte ?

Un système ne stocke pas les mots de passe en clair. Il ne conserve que leur empreinte, calculée via une transformation mathématique irréversible. Pour vérifier un mot de passe, le serveur calcule l’empreinte de ce qui a été tapé et la compare simplement à celle enregistrée sur la machine.

La vulnérabilité réside dans la rencontre entre deux conventions, qui n’ont rien d’anormal quand elles sont prises isolément. Ainsi, pour un compte sans mot de passe, Linux enregistre un unique astérisque à la place de l’empreinte. Mais Alpine utilise la bibliothèque musl, pour des besoins de légèreté. Celle-ci, quand elle doit calculer l’empreinte d’un mot de passe de plus de 256 caractères, refuse. Pour signaler l’erreur, elle renvoie… un simple astérisque. Le problème est alors évident : le serveur compare les deux, en déduit qu’il s’agit de la même empreinte et ouvre la session. Pour effectuer ce calcul, le serveur emprunte un paramètre depuis un compte possédant un vrai mot de passe, d’où la nécessité d’avoir au moins un tel compte configuré.

Les distributions n’utilisant pas musl ne sont pas touchées car leur bibliothèque système signale l’erreur autrement. Celles qui délèguent la vérification à un module d’authentification séparé (PAM) ne sont pas non plus concernées.

Ce comportement dans musl remonte à 2012, tandis que la manière dont OpenSSH traite les comptes sans mot de passe vient d’un changement introduit en 2016. La faille existe donc depuis une décennie environ.

Le correctif d’OpenSSH refuse désormais toute comparaison avec une empreinte enregistrée trop courte pour être valide. OpenSSH le présente d’ailleurs davantage comme un contournement, la cause profonde restant dans musl. À noter que le problème avait été remonté en 2024, l’attitude de musl étant alors jugée incorrecte sur l’utilisation de l’astérisque.

Les actions à réaliser

Sans surprise, la meilleure parade est la mise à jour, mais il faudra redémarrer le service SSH ensuite, car l’installation seule du correctif n’est pas suffisante si le serveur est actif.

Alpine a publié des paquets corrigés pour toutes ses versions depuis la 3.16, y compris celles qui ne sont plus officiellement suivies, comme la 3.21 (son support est terminé depuis le 1ᵉʳ novembre), signe de l’importance de la situation. Les nouvelles versions 3.21.10, 3.22.8, 3.23.8 et 3.24.4 intègrent directement la correction.

Comme indiqué précédemment, sur les machines où la mise à jour est impossible pour le moment, il suffit de désactiver la connexion par mot de passe. Alpine recommande d’ailleurs de bien vérifier que la connexion par clé cryptographique fonctionne avant de procéder, pour ne pas se retrouver bloqué hors du serveur. Dans les installations cloud, il faudra s’assurer que toutes les machines virtuelles lancées sont corrigées, car la simple reconstruction des images ne protège pas les instances déjà actives.

On notera enfin que tout le monde ne semble pas d’accord sur le niveau de dangerosité de cette faille. Sur le site du NIST, le score CVSS est en effet de 8,1, ce qui la classe comme « élevée », pas « critique ». Dans son message, Damien Miller (de l’équipe OpenSSH) évoque pourtant bien une faille critique.

Trois mois de ChatGPT Pro offerts pour une simple inscription ? Cette fausse invitation OpenAI sert à pirater votre compte Microsoft ou Google, MFA compris.

Le post Faux événements OpenAI, SpaceX et Anthropic : ce phishing vole les comptes Microsoft et Google a été publié sur IT-Connect.

Comments

Une erreur de migration a ouvert les archives de DigiCert à des comptes créés sur Internet : données clients et pièces d'identité consultées. Ce que l'on sait.

Le post DigiCert : une erreur de migration expose les données et pièces d’identité de clients a été publié sur IT-Connect.

Après les supermarchés et l'EFS, la CISA et le FBI alertent sur les attaques contre les systèmes de froid industriels. Voici leurs recommandations.

Le post Après l’Europe, le FBI et la CISA alertent sur les cyberattaques contre les systèmes de réfrigération a été publié sur IT-Connect.

La faille *sshole (CVE-2026-123158) ouvre en SSH, avec un mot de passe trop long, des comptes Linux sans mot de passe. Alpine Linux est le premier concerné.

Le post *sshole : sur Alpine Linux, un mot de passe trop long peut mener à un accès root via SSH a été publié sur IT-Connect.

OpenAI lance GPT-6 Cyber, réservé à Daybreak Red : 948 exploits Linux, 81 failles graves dans Firefox et un modèle entraîné à rester dans son périmètre.

Le post OpenAI lance GPT-6 Cyber : son modèle IA taillé pour trouver et exploiter des failles a été publié sur IT-Connect.

Vous gérez vos firewalls SonicWall avec GMS ? Deux failles, dont une critique exploitable sans authentification, ne seront jamais corrigées. Voici pourquoi.

Le post SonicWall GMS : deux failles, dont une critique, ne seront jamais corrigées a été publié sur IT-Connect.

Vous vivez au fin fond de la Creuse ? Dans un van aménagé ou sur un bateau ? Ou dans un village où la 4G arrive avec la grâce d'un escargot asthmatique ? Si c'est le cas, vous avez peut-être dégainé le porte-monnaie pour une antenne Starlink. Le résultat ? 150 Mbps tombés du ciel, littéralement, depuis des satellites qui filent à 27 000 km/h à plus de 500 km d'altitude. Votre terrasse est devenue une station de réception de signaux spatiaux. Le rêve. Sauf qu'il y a 3 trucs qu'on a oublié de vous dire au moment de l'achat.

Déjà, Starlink c'est un FAI américain comme un autre. Et comme tout FAI, il peut voir les sites que vous visitez. Même SpaceX. Ce qui laisse la possibilité que vos habitudes de navigation puissent être partagées avec les autorités US si un mandat pointe le bout de son nez.

Ensuite, le géant américain utilise du CGNAT (Carrier-Grade NAT) ce qui veut dire que vous partagez une IP publique avec une flopée d'inconnus. Votre antenne perso n'a donc pas son adresse IP personnelle. C'est de la mutualisation d'IP, en quelque sorte. Vous ne connaissez pas vos colocataires, par contre vous subissez leur réputation. Si l'un d'eux s'est fait griller en train de spammer ou de scraper, c'est l'IP entière qui se fait flagger. Ce que ça change vraiment ? Vous allez voir popper les CAPTCHAs qui vous demandent de cliquer sur les feux de circulation douze fois de suite, votre banque qui vous bloque "par sécurité" ou encore des sites de streaming qui vous balancent parce que votre IP partagée pue à plein nez. Et vous pouvez vous brosser pour du réacheminement de port si vous vouliez héberger quoi que ce soit.

Enfin, votre routeur Starlink tout neuf ne sait pas parler le VPN. Pas de client, pas de passthrough, que dalle. Elon vous a vendu l'internet de l'espace, sauf qu'il a oublié la couche chiffrée qui va avec.

Maintenant qu'on a établi le diagnostic, la solution n'est pas non plus la plus compliquée à trouver : un VPN. Sauf qu'à l'inverse d'un simple desktop ou laptop, on ne peut pas se tourner vers le premier venu. Parce qu'un satellite a quelques contraintes à prendre en compte.

Les 11000+ satellites Starlink. Source : https://satbeams.com/

Le satellite, c'est fantastique, sauf pour la latence

Dès le moment où votre antenne communique avec un satellite en orbite basse, vous partez déjà avec 25 à 60 ms de latence avant même d'avoir ouvert un onglet. Et très souvent la connexion saute d'un satellite à l'autre toutes les 4 à 15 minutes, comme une antenne de radio qui zappe entre deux fréquences. Si vous ajoutez un mauvais VPN par-dessus, c'est la catastrophe. Par exemple OpenVPN, c'est encore 30 à 50 ms en plus et une baisse de débit de 20 à 30%. Autant dire que votre visio va vite ressembler à une retransmission des premiers pas sur la Lune (1969 pour ceux qui ne savent pas).

Avec le protocole WireGuard c'est déjà un peu mieux. On parle de 10 à 20 ms seulement et d'une perte de débit de l'ordre de 10-15%. Après tous ces chiffres dépendent de plusieurs éléments comme le matériel, le serveur VPN, la charge, le protocole, le réseau et les conditions radio. Mais jusqu'à preuve du contraire c'est le protocole à choisir sur satellite.

Et c'est là que Surfshark tombe plutôt bien puisque leur implémentation du protocole est non seulement rapide et est désormais post-quantique de bout en bout (ML-KEM pour l'échange de clés et ML-DSA pour l'authentification). Ces certificats post-quantiques que même Apple et Microsoft n'ont pas encore activés dans leurs applis grand public. Vous allez me demander pourquoi c'est important dans le cas présent ? Et bien tout simplement parce que sur une connexion satellite, votre trafic passe littéralement par les airs, interceptable par n'importe quelle agence avec un budget. Ça sonne un peu science-fiction, mais c'est une réalité. Donc autant que les paquets qui vous sont volés aujourd'hui restent illisibles même dans 10 ans lorsque le quantique sera réalité (s'il l'est d'ici là).

Une autre fonctionnalité qui prend tout son sens sur Starlink : le kill switch. Chaque fois que votre antenne change de satellite, la connexion peut vaciller même juste une fraction de seconde. Sans l'option kill switch, votre trafic va alors transiter en clair pendant ce court laps de temps. Avec l'option activée, la fuite est fermée nette jusqu'au retour du tunnel chiffré. Sur une connexion qui saute d'une machine spatiale à une autre toutes les quelques minutes, ce n'est pas du luxe, c'est de la plomberie de base (rapport à la fuite).

Pourquoi Surfshark marche particulièrement bien sur Starlink

Alors oui, je sais, je vous entends d'ici : "Korben, tu nous vends Surfshark depuis le début de l'article". C'est pas faux, mais il faut dire aussi que pour ce cas d'usage précis, le requin coche des cases que les autres ratent parfois de loin :

• Il supporte un nombre d'appareils illimité. Et une connexion Starlink, c'est rarement un seul appareil. C'est le PC, le téléphone, la tablette, la smart TV, la console, le NAS et même très souvent toute une tribu ... ou un village entier. Chez Surfshark, vous connectez tout ça sans compter. De quoi faire tourner 7 appareils simultanés en 4K sans broncher.
• L'outil CleanWeb , leur bloqueur de pubs et trackers intégré. Dans des échanges avec un satellite, chaque méga compte (surtout que Starlink a des règles d'usage équitable). Si vous supprimez la couche publicitaire, c'est du débit récupéré gratuitement.
• 4500+ serveurs répartis dans plus de 100 pays, dont la France. On sait qu'un serveur proche cela va diminuer la latence. Et la latence c'est pas mal important comme on l'a vu plus haut. Disposer d'un serveur à moins de 500 km c'est quand même mieux que de devoir joindre l'autre bout du monde.
• Une politique no-logs qui a été auditée plusieurs fois au fil des années et des serveurs 100% RAM qui s'effacent régulièrement.

Et si vous voulez ajouter une couche, vous pouvez faire changer votre IP toutes les cinq minutes (rotation d'IP), pour brouiller encore plus la corrélation entre vos sessions. Sur une IP partagée qui peut déjà partir en quarantaine régulièrement, disposer de sa propre IP VPN qui tourne, c'est plutôt sympa.

2 méthodes d'installation, facile et moins facile

N'importe qui peut utiliser la méthode classique puisqu'elle est faite pour 95% des gens et prend 5-10 minutes chrono. D'abord vous allez commencer par installer l'appli Surfshark sur chacun des appareils que vous voulez protéger (la base). Il n'y a pas de routeur à toucher, pas de bypass mode, rien. Ça marche immédiatement avec le routeur Starlink d'origine et c'est ce que fait la quasi-totalité des utilisateurs Starlink. Franchement, ça suffit pour la plupart.

Mais il y a aussi le style main dans le cambouis si vous voulez protéger automatiquement chaque appareil qui se connecte à votre réseau (y compris la TV du camping-car du beau-frère). Pour ça vous allez passer le routeur Starlink en mode bypass histoire de le transformer en simple modem. Puis vous allez brancher derrière celui-ci un routeur tiers compatible VPN. Par exemple un GLiNet qui fait très bien l'affaire, sinon un ASUS avec firmware adapté. Là, tout le trafic du foyer passe dans le tunnel par défaut. C'est plus propre et plus fun, mais ça demande un adaptateur Ethernet Starlink, un routeur supplémentaire et au moins une bonne tasse de café.

Et si ça rame ?

Avoir de 10 à 30% de perte de débit avec un VPN passant par satellite, c'est plutôt normal et vous allez devoir l'accepter. Par contre si vous avez des résultats plus mauvais que ça, essayez de trouver un serveur plus proche, activez le protocole WireGuard (si ce n'est pas déjà fait) et désactivez éventuellement le MultiHop. Et si le VPN décroche au moment des changements de satellite, c'est que le kill switch fait bien son boulot donc ne vous énervez pas.

Au final il faut se rendre compte que vos données suivent des satellites qui filent à toute vitesse, que vos paquets traversent l'atmosphère et que vous partagez votre IP avec des inconnus dont vous ignorez tout. Vous voyez donc assez vite que chiffrer le tout avec un VPN post-quantique ce n'est pas être complètement parano. C'est juste logique. Vous avez relié votre maison à l'espace, autant que l'espace ne sache pas ce que vous regardez le soir.

Et le tarif actuel ? Pour le Black Friday (et jusqu'au 30 novembre), l'abonnement Starter est à 2,49 € HT/mois sur 27 mois (incluant 3 mois offerts). Pour sécuriser un kit à 400 balles (prix moyen, un peu moins cher le Mini) et tout le foyer qui en dépend, c'est le prix de 2-3 croissants par mois. Même le banquier qui vous bloquait "par sécurité" il y a cinq minutes ne peut plus vous faire de reproche !

Profitez de l'offre Black Friday 2026 !

Une faille dans APT permet de remplacer un paquet déjà vérifié et de l'exécuter en root. Debian, Ubuntu et leurs dérivées sont concernées. Voici l'essentiel.

Le post Linux : une faille dans APT permet de remplacer un paquet vérifié et de l’exécuter en root a été publié sur IT-Connect.

Comments