Archives mensuelles : février 2026

Cybersécurité, Mise à jour, Patch, Securite informatique

La Chine bâtit ses bases de failles à l’ombre du CVE

Les secousses sur CVE et NVD poussent le secteur à chercher d’autres repères. Une analyse détaille comment Pékin structure ses propres catalogues, avec des zones grises sur les délais.

Deux bases gouvernementales chinoises de vulnérabilités, CNNVD et CNVD, sortent de l’ombre au moment où les infrastructures occidentales CVE et NVD subissent des perturbations et une incertitude de financement. CNNVD dépend d’un département du ministère chinois de la Sécurité d’État, CNVD est gérée par le CNCERT. Ces catalogues fonctionnent en parallèle, avec leurs identifiants et des alimentations distinctes. La plupart des fiches dupliquent des données CVE, mais sans synchronisation fiable, avec fautes de frappe et incohérences rendant l’appariement automatisé difficile. Environ 1 400 entrées auraient été publiées avant l’identification publique CVE, avec un écart moyen d’environ trois mois.

Deux catalogues, deux tutelles, une logique de souveraineté

Dans un marché habitué à s’orienter avec les repères CVE et NVD, la fragilité des infrastructures occidentales a créé un réflexe immédiat, chercher des sources alternatives, vérifier, recouper, anticiper. C’est dans ce contexte que l’analyse de Bitsight s’arrête sur deux bases chinoises qui reviennent régulièrement dans les conversations, CNNVD (China National Vulnerability Database of Information Security) et CNVD (China National Vulnerability Database). Les deux sont gouvernementales, mais elles ne racontent pas la même histoire institutionnelle.

CNNVD est supervisée par un département relevant du ministère chinois de la Sécurité d’État. CNVD, elle, est opérée par le CNCERT, l’équipe nationale chinoise de réponse aux urgences informatiques. Cette différence de tutelle n’est pas un détail administratif, elle éclaire une organisation en parallèle, deux canaux, deux rythmes, et des objectifs potentiellement distincts. Les deux catalogues utilisent leurs propres identifiants. Ils disposent aussi de champs pour référencer des identifiants CVE, ce qui, sur le papier, devrait faciliter la passerelle avec l’écosystème international. Sauf que, selon Bitsight, cette passerelle reste instable.

Le constat central est double. D’un côté, l’essentiel des entrées chinoises reprend des informations déjà présentes dans CVE. De l’autre, cette reprise ne s’accompagne pas d’une synchronisation robuste. Des fiches existent sans correspondance claire, d’autres affichent des références mais ne sont pas alignées, et la mise en cohérence n’a rien d’automatique. Pour les industriels, c’est un point crucial, car la plupart des outils commerciaux de gestion des vulnérabilités reposent encore sur l’agrégation CVE et NVD comme socle. Quand ce socle vacille, l’idée de basculer vers une alternative paraît séduisante, mais la réalité des données impose un retour à la prudence.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

Qualité des données et délais, là où naît la tension

Bitsight décrit des ensembles de données marqués par des fautes de frappe et des incohérences de format. Ce type d’irrégularités est plus qu’un irritant technique, il complique la correspondance automatisée entre catalogues, fragilise les chaînes de traitement, et peut générer des angles morts dans les inventaires. L’indication la plus parlante est celle d’un traitement probablement manuel, ou à tout le moins d’une normalisation incomplète. Dans un environnement où la vitesse de corrélation compte autant que l’exactitude, chaque friction devient un risque opérationnel.

Mais la tension monte vraiment sur la question des délais de publication. Dans la grande majorité des cas observés, les informations apparaissent dans CNNVD et CNVD le même jour que dans CVE, ou plus tard. Cela, en soi, ne surprend pas, si ces bases dupliquent largement le catalogue international. Là où l’analyse inquiète, c’est sur un sous-ensemble d’environ 1 400 enregistrements publiés en Chine avant que les CVE correspondantes ne soient identifiées publiquement. L’écart moyen mentionné est d’environ trois mois. Autrement dit, des descriptions de failles auraient circulé dans ces catalogues avant leur visibilité ouverte au niveau international.

Bitsight relie ce signal aux préoccupations persistantes sur l’utilisation, par la Chine, d’informations de vulnérabilités obtenues via des partenaires étrangers. L’analyse cite des cas liés à Siemens, Kubernetes, SAP et des plugins WordPress, avec un élément troublant, les descriptions chinoises correspondraient « essentiellement » à celles qui n’apparaîtront que plus tard dans le catalogue international. Dans un univers où une vulnérabilité non encore publique peut valoir avantage, ce décalage de calendrier suffit à nourrir les soupçons, sans pour autant constituer, à lui seul, une preuve d’un mécanisme unique. Pour les équipes cyber, le message est surtout méthodologique, ne pas confondre abondance de données et fiabilité, et traiter chaque source comme un indicateur, pas comme une vérité.

Cybersécurité, Entreprise

Cybersécurité en entreprise, le vrai risque est cognitif

Quand la sécurité ressemble à une contrainte, elle perd. Sous stress, même des équipes volontaires contournent les règles, et le fossé entre opérationnels et RSSI devient, lui-même, une faille.

En entreprise, les directives de sécurité informatique échouent souvent pour une raison discrète mais massive : elles sont vécues comme un frein, donc contournées. Une expérience de deux jours montre un basculement progressif, malgré une attitude initialement favorable, lorsque la pression du travail augmente : les mesures deviennent des obstacles et les écarts se multiplient. Le problème n’est pas seulement la connaissance des risques, mais l’arbitrage quotidien entre objectifs, temps, collaboration et règles abstraites. Pour sortir de l’opposition « sécurité contre business », une stratégie à deux volets s’impose : concevoir des politiques centrées sur l’humain et communiquer avec respect, afin de passer de la conformité subie à la co-construction.

Sécurité informatique, le stress fabrique des contournements

Le malentendu commence souvent doucement, presque poliment. Une consigne arrive, « pour protéger l’entreprise« , et personne ne s’y oppose frontalement. Puis la journée accélère, les délais se resserrent, la coordination devient urgente. La règle, elle, ne bouge pas. Dans une expérience menée sur deux jours, des participants pourtant bien disposés au départ finissent par regarder les mesures de sécurité comme des cailloux dans la chaussure. Plus la pression professionnelle monte, plus la sécurité est requalifiée en obstacle, et plus les violations deviennent fréquentes. Le signal est clair : les comportements ne se résument ni à la bonne volonté ni à la formation, ils dépendent fortement du contexte.

C’est ici que naît le risque le plus insidieux. L’utilisateur ne « refuse » pas nécessairement de se protéger, il hiérarchise. Il choisit ce qui lui semble prioritaire sur le moment : atteindre un objectif ambitieux, répondre vite, travailler sans friction avec un collègue, un fournisseur, un client. Quand les exigences de sécurité restent abstraites, elles entrent en collision avec des impératifs concrets. La cybersécurité se transforme alors en force de ralentissement, donc en adversaire. Et cette perception, plus que la technique, dégrade la collaboration entre équipes sécurité, informatique et métiers, jusqu’à fissurer la culture commune.

Pour un RSSI, le défi n’est plus seulement de « définir la règle correcte« , mais de comprendre pourquoi elle est vécue comme impraticable. Plusieurs mécanismes se combinent : méconnaissance des menaces, bénéfice mal compris, conflit d’objectifs, manque de temps, mais aussi déficit de moyens. On peut exiger des échanges de données sécurisés, sans fournir l’outil qui permet de le faire simplement.

On peut imposer une procédure, sans donner d’exemples ni de modèles à suivre. À ce stade, sanctionner et répéter une formation standardisée peut produire l’effet inverse : la sécurité devient un rituel administratif, puis une gêne, puis une routine de contournement.

Les pirates exploitent cette routine. La référence cybersécurité ZATAZ propose d’ailleur un outil dédié au Social Engineering, et plus précisément une application web qui permet de s’entrainer à contrer un S.E. lors d’un appel téléphonique ou d’une « rencontre ».

Politiques centrées humain, communication respectueuse

La sortie d’impasse passe par une approche à deux faces, conçue pour restaurer l’alliance entre protection et efficacité. Première face : regarder l’entreprise comme un réseau de parties prenantes, avec des priorités parfois incompatibles. Avant d’imposer une mesure, il faut cartographier qui dépend de qui, qui est évalué sur quoi, où sont les goulots d’étranglement, et à quel moment la règle se heurte au réel. Plus la compréhension du travail quotidien est fine, plus la mesure peut être ciblée, donc acceptée. La sécurité cesse d’être une surcouche, elle devient un réglage.

Deuxième face : admettre que le problème vient souvent de la mesure elle-même. Il existe fréquemment plusieurs réponses possibles à une même menace, mais les choix se font trop vite sur des critères techniques, en oubliant la difficulté d’exécution, la compatibilité avec les outils, la complexité ressentie. Une politique efficace doit rester robuste, mais aussi lisible et faisable. Cela suppose d’impliquer les employés dès la conception, pas à la fin du processus. Cette implication n’est pas un “cadeau”, c’est un test de réalité : elle révèle les contradictions, les besoins, les points de friction invisibles depuis la tour de contrôle.

Les projets pilotes jouent ici un rôle de renseignement interne. On démarre avec des utilisateurs pionniers, capables d’expérimenter, de remonter des irritants, de proposer des ajustements. On apprend vite, on corrige tôt, on évite de déployer une règle qui sera massivement contournée dès la première semaine. Cette logique transforme la conformité passive en co-construction proactive, et elle installe la sécurité dans les gestes du quotidien plutôt que dans un document.

Reste la manière de parler de sécurité. Trop souvent, la communication se résume à des injonctions, des notifications descendantes, des modules en ligne interchangeables, parfois des formats jugés infantilisants. À l’inverse, une communication respectueuse mise sur un dialogue d’égal à égal, où l’employé est traité comme un professionnel responsable.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

Elle commence par une empathie stratégique, non pour renoncer à l’objectif, mais pour comprendre la contrainte métier. Elle privilégie l’écoute active, en cherchant le « comment on fait » plutôt que le « c’est interdit« . Elle valorise enfin l’expérience, car vivre un scénario de phishing, de ransomware ou d’intrusion via clé USB, dans un environnement simulé, ancre mieux les réflexes qu’une théorie aride.

Au fond, le RSSI devient garant d’une culture opérationnelle de la sécurité : architecte de politiques centrées sur l’humain, et chef d’orchestre d’un dialogue qui réconcilie protection et performance.

Cybersécurité, IA

HackerOne et l’IA : la confiance des hackers ébranlée

Un lancement produit a suffi à faire monter la pression dans l’écosystème bug bounty. Chez HackerOne, une promesse d’IA « agentique » a réveillé une crainte simple : l’exploitation des rapports des chercheurs.

HackerOne s’est retrouvé au centre d’une controverse après le lancement d’Agentic PTaaS, présenté comme des tests de sécurité continus combinant agents d’IA autonomes et expertise humaine. Une phrase sur une « base de connaissances exclusive sur les exploits », constituée au fil d’années de tests réels, a déclenché une question sensible : d’où viennent les données d’entraînement. Des chercheurs, dont l’ancien contributeur YShahinzadeh et le spécialiste AegisTrail, ont exprimé leurs inquiétudes.

La phrase de trop dans Agentic PTaaS

L’incident démarre avec un produit, Agentic PTaaS, que HackerOne décrit comme un dispositif de « tests de sécurité continus » reposant sur des agents d’IA autonomes, complétés par des humains. La promesse est ambitieuse, presque séduisante pour des clients pressés d’industrialiser la sécurité. Pourtant, dans ce type d’annonces, tout se joue souvent sur une formulation.

Ici, c’est la mention d’agents « entraînés et perfectionnés » grâce à une « base de connaissances exclusive sur les exploits », alimentée par des années de tests sur des systèmes d’entreprise réels. Dans le monde du bug bounty, ces mots ont une portée particulière. Les rapports de vulnérabilités sont plus que des tickets techniques, ce sont des récits d’accès, de logique d’exploitation, de preuves, parfois de contournements. Ils concentrent des idées originales, une méthodologie et, souvent, des détails sensibles.

Très vite, la question s’impose chez les chasseurs de bugs : ces connaissances viennent-elles, directement ou indirectement, des rapports soumis par les chercheurs ? Un ancien chasseur, sous le pseudonyme YShahinzadeh, formule la crainte sans détour, en demandant, en substance, que ses rapports n’aient pas servi à entraîner ces agents. La tension est immédiate, car l’équilibre économique et moral du bug bounty repose sur un contrat implicite : le chercheur fournit un signal rare, la plateforme orchestre, le client corrige, la prime rémunère. Si ce signal devient une matière première pour des systèmes automatisés, la valeur perçue du travail humain peut se déplacer, sans compensation claire.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

Un autre spécialiste, AegisTrail, pousse l’alerte sur un terrain plus sombre. Il décrit un moment où des « chapeaux blancs » peuvent se sentir coincés, comme si les règles se retournaient contre eux, au point que « le côté obscur » devienne une tentation nourrie par la colère et l’instinct de survie plutôt que par l’éthique. Derrière la formule, il y a un message de contre-renseignement : quand la confiance s’érode, les comportements changent, et l’écosystème entier devient plus difficile à gouverner.

La réponse de la PDG et l’effet domino chez les concurrents

La pression publique a conduit la PDG, Kara Sprague, à s’exprimer de manière détaillée sur LinkedIn. Son message vise précisément le point le plus explosif : l’entraînement. Elle affirme que HackerOne n’entraîne pas de modèles d’IA génératifs, ni en interne ni via des prestataires, à partir des rapports des chercheurs ou de données confidentielles de clients. Elle ajoute que ces rapports ne servent pas non plus à affiner ou améliorer les modèles. Enfin, elle explique que les fournisseurs de modèles tiers n’ont pas le droit de stocker ou d’exploiter les données des chercheurs ou des clients pour entraîner leurs propres modèles.

Dans le même mouvement, Sprague présente HackerOne Hai, le système d’IA « basé sur des agents », comme un accélérateur opérationnel : produire plus vite des résultats, comme des rapports vérifiés, des correctifs et des primes versées, tout en protégeant l’intégrité et la confidentialité des contributions des chercheurs. Dit autrement, l’IA est placée du côté de la logistique et de la mise en qualité, pas du côté de l’absorption des contenus sensibles.

CTI • Service de veille ZATAZ
Vos données circulent peut-être déjà. Détecter. Prioriser. Corriger
  • Veille exposition / fuite / usurpation / Alertes et synthèses actionnables
  • Risque, impacts, recommandations

DÉCOUVRIR L’OUTIL CTI

Face à la polémique, HackerOne indique, de son côté, vouloir mettre à jour ses conditions générales. Le signal est important : ce qui relevait d’engagements et d’explications publiques doit désormais se transformer en texte opposable. Dans un secteur où l’asymétrie d’information est permanente, formaliser, c’est aussi reconnaître que la confiance ne se décrète pas, elle se contracte.

Au fond, cette séquence rappelle une règle de cyber-intelligence : dès qu’une plateforme parle d’IA, la première attaque porte sur la provenance des données, car c’est là que se joue la légitimité.

Cybersécurité, Justice, loi, Securite informatique

Freedom.gov, le portail américain qui défie les lois européennes

À Washington, un projet discret monte en puissance : un portail en ligne destiné aux Européens pour accéder à des contenus interdits chez eux, avec en toile de fond censure, influence et cybersécurité.

Le département d’État américain prépare un site, hébergé sur freedom.gov, pour permettre à des résidents d’Europe et d’autres pays de consulter des contenus interdits par leurs gouvernements. D’après trois sources proches du dossier citées par Reuters, il s’agirait notamment de documents relevant du discours de haine et de la propagande terroriste. Les équipes auraient évoqué l’intégration d’un VPN afin de masquer l’origine du trafic en le faisant apparaître comme américain, sans journaliser l’activité. Le domaine a été enregistré le 12 janvier et affiche un message de mobilisation. L’initiative, supervisée par Sarah Rogers, inquiète déjà pour ses effets diplomatiques.

Un outil d’accès, et un signal de puissance

Le décor est presque vide, mais le message est clair. Sur freedom.gov, un site à peine en ligne n’affiche pour l’instant qu’une phrase de mise en scène : « L’information, c’est le pouvoir. Réaffirmez votre droit à la liberté d’expression. Soyez prêts. » L’absence de contenus visibles ne dit pas l’absence d’intention. Selon trois sources proches du dossier citées par Reuters, le département d’État américain développe un portail pensé pour des résidents d’Europe et d’autres pays, afin qu’ils consultent des contenus interdits par leurs autorités. Dans la liste évoquée, on trouve des documents classés comme discours de haine et propagande terroriste.

L’architecture technique envisagée révèle l’angle cyber. Des responsables auraient discuté de l’ajout d’un VPN intégré, conçu pour masquer l’origine du trafic des visiteurs. Concrètement, l’objectif serait de faire passer leur navigation pour une activité américaine. Autre point sensible : aucune activité ne serait enregistrée. Dans un contexte où les États et certaines plateformes multiplient la traçabilité, promettre l’absence de journaux est, en soi, une prise de position. Reuters note toutefois que la supériorité de cette solution par rapport aux outils classiques reste floue. Le texte ne tranche pas : s’agit-il d’un service réellement inédit, ou d’un habillage institutionnel d’une promesse déjà accessible par des moyens ordinaires ?

Le calendrier, lui, confirme qu’il ne s’agit pas d’une simple page de communication. D’après le registre fédéral get.gov, le domaine freedom.gov a été enregistré le 12 janvier. Le projet serait supervisé par la sous-secrétaire d’État à la diplomatie publique et aux affaires publiques, Sarah Rogers. Le portail devait initialement être présenté à la Conférence de Munich sur la sécurité, avant que la présentation ne soit reportée pour une raison inconnue. Ce report nourrit une tension narrative : le chantier avance, mais l’annonce publique se dérobe, comme si le sujet exigeait une préparation politique autant qu’un déploiement technique.

Dans l’ombre, un portail de ce type opère sur deux niveaux. Au premier, il promet un accès : contourner des interdictions nationales. Au second, il envoie un signal d’influence : un État revendique la capacité d’ouvrir, à distance, des espaces informationnels fermés par d’autres. La cybersécurité devient alors un langage diplomatique, où l’anonymat, le routage et l’absence de logs se transforment en arguments de politique étrangère.

Liberté d’expression, régulation et collision juridique

C’est ici que le projet change de nature. Reuters souligne que l’Europe et les États-Unis n’abordent pas la liberté d’expression avec les mêmes fondations. Côté américain, la Constitution protège presque tous les discours. Côté Union européenne, les restrictions sont plus nombreuses, et un corpus de règles existe depuis 2008 pour obliger les grandes plateformes, notamment Meta et X, à retirer rapidement des contenus illégaux. Dans ce récit, X est aussi mentionné comme « extrémiste » et interdit en Russie, signe que les étiquetages politiques varient selon les juridictions, et que l’espace numérique se fragmente.

Les sanctions financières servent d’outil de contrainte. Reuters cite un exemple : en décembre dernier, X a reçu une amende de 140 millions de dollars (montant en euros non calculable ici faute de taux de change fourni) pour non-respect de la réglementation. Dans un tel paysage, un portail américain visant des contenus illégaux en Europe risque d’être lu comme une provocation. Reuters avertit que l’initiative pourrait aggraver des relations déjà tendues entre Washington et l’Europe. Pire, elle placerait de facto les États-Unis dans la posture d’un État encourageant des citoyens étrangers à enfreindre les lois de leurs propres pays.

La dimension politique est explicitée par les éléments attribués à l’administration Trump. Des responsables qualifient la réglementation européenne de « censure d’extrême droite ». Depuis octobre dernier, Sarah Rogers se serait rendue dans plus de dix pays européens et aurait rencontré des représentants d’organisations d’extrême droite présentées comme « opprimées » par Washington. En parallèle, la Stratégie de sécurité nationale de décembre aurait mis en garde contre la « destruction » menaçant l’Europe à cause de sa politique migratoire, et annoncé l’intention de soutenir les opposants à cette politique au sein des pays européens. Dans ce cadre, freedom.gov ressemble moins à un simple portail qu’à un instrument de soutien, de récit et de pression.

Kenneth Propp, ancien fonctionnaire du département d’État spécialisé dans la réglementation numérique européenne, aujourd’hui au Centre européen de l’Atlantic Council, résume l’impact attendu : une « attaque directe » contre la régulation européenne. Selon lui, freedom.gov « sera perçu en Europe comme une tentative des États-Unis de saper le droit national ». En termes de cyber-renseignement, l’enjeu dépasse l’accès à des contenus : il touche à la capacité d’un État à façonner les normes, à contourner les cadres adverses, et à tester, grandeur nature, la résilience juridique et technique des démocraties.

Derrière la promesse de « liberté », freedom.gov pourrait surtout mesurer jusqu’où l’influence américaine peut s’exercer, en ligne, contre des règles européennes, sans déclencher de riposte immédiate.

Cybersécurité, Espionnage Spy, IA

Bug Copilot Chat expose des e-mails confidentiels

Depuis fin janvier 2026, un bug dans Microsoft 365 Copilot permettrait de lire et résumer des mails pourtant marqués confidentiels, en contournant des politiques censées empêcher l’IA d’analyser ces contenus.

Des développeurs de Microsoft ont signalé un dysfonctionnement de Microsoft 365 Copilot : Copilot Chat peut accéder à des courriels confidentiels et les résumer, malgré des politiques de protection contre les fuites de données prévues pour bloquer l’analyse automatisée. Le bug touche le chat de l’onglet « Travail ». Le problème concerne surtout les dossiers « Éléments envoyés » et « Brouillons », y compris des messages avec balises de confidentialité.

Un contournement silencieux des garde-fous DLP

Le point de départ ressemble à un scénario que redoutent toutes les équipes sécurité : l’outil est autorisé, l’usage est légitime, mais la barrière de protection ne joue plus son rôle. Dans ce cas précis, Microsoft 365 Copilot, via Copilot Chat, se serait mis à lire et à résumer des courriels confidentiels, alors même que des politiques de prévention des fuites de données devraient limiter l’accès des outils automatisés à ces messages.

Copilot Chat est décrit comme un chatbot contextuel, intégré à Word, Excel, PowerPoint, Outlook et OneNote, et conçu pour permettre des échanges avec des agents IA à partir du contenu de travail. L’outil est disponible pour les abonnés Microsoft 365 Entreprise depuis septembre 2025, ce qui le place au cœur des flux bureautiques et, par extension, au contact direct d’informations sensibles.

Le bug signalé ne porte pas sur un détail d’interface mais sur un principe de gouvernance : les balises de confidentialité servent précisément à empêcher des systèmes automatisés, dont Copilot, d’analyser le contenu de certains messages. Or, selon les éléments rapportés, l’assistant aurait ignoré cette contrainte dans une zone très utilisée, la fonction de chat accessible dans l’onglet « Travail ». Le risque, dans un environnement où les utilisateurs sollicitent l’IA pour gagner du temps, est mécanique : une demande anodine de synthèse peut faire remonter des informations qui n’auraient jamais dû être prises en compte par un système automatisé.

D’après Bleeping Computer, le bug est référencé CW1226324 et a été signalé pour la première fois le 21 janvier. La chronologie compte, car elle suggère une fenêtre d’exposition depuis fin janvier, période durant laquelle l’outil a pu traiter des messages censés rester hors périmètre. Dans un cadre cyber, cette temporalité est un indicateur opérationnel : plus la fenêtre est longue, plus la probabilité d’un usage involontaire, puis d’une propagation secondaire, augmente.

Éléments envoyés, brouillons, et la surface d’exposition interne

Le dysfonctionnement serait concentré sur la manière dont Copilot Chat traite les dossiers « Éléments envoyés » et « Brouillons ». C’est un détail qui pèse lourd. Les brouillons, par définition, contiennent souvent des formulations non stabilisées, des négociations en cours, des éléments juridiques avant validation, ou des fragments d’informations qui ne sont pas encore destinés à circuler. Les éléments envoyés, eux, constituent une mémoire fidèle des décisions, des engagements et des échanges sensibles avec l’extérieur. Si ces deux répertoires sont mal gérés par la logique de protection, l’IA peut devenir une interface de recherche et de synthèse sur des contenus que l’organisation a explicitement tenté de verrouiller.

Microsoft aurait attribué le bug à une erreur de code, sans fournir de détails. Ce silence technique est classique dans les incidents qui touchent à des mécanismes de sécurité internes : trop d’informations aideraient aussi les attaquants à comprendre précisément le contournement. Mais l’absence de précisions laisse les responsables sécurité dans une zone inconfortable, car ils doivent estimer l’impact sans connaître le scénario exact, ni les conditions de déclenchement.

Le correctif aurait commencé à être déployé début février. Là encore, la formulation est importante : un déploiement n’est pas une résolution instantanée. En entreprise, la réalité est faite d’environnements hétérogènes, de délais de propagation, de dépendances et de configurations spécifiques. Microsoft n’a pas communiqué de date de résolution complète, ni le nombre d’utilisateurs ou d’organisations concernés. L’entreprise a aussi précisé que l’étendue du problème pourrait évoluer au fil de l’enquête, ce qui suggère un périmètre encore en consolidation.

Sur le plan renseignement et gestion du risque, l’incident rappelle une règle dure : lorsque l’IA est imbriquée dans les outils de travail, la moindre défaillance de segmentation transforme un assistant de productivité en amplificateur de visibilité interne. Le danger n’est pas uniquement l’exfiltration externe, il est aussi l’exposition latérale, celle qui permet à une information de franchir des frontières de confidentialité à l’intérieur même de l’organisation, via des résumés, des reformulations et des requêtes contextuelles.

Ce bug met en tension deux promesses opposées : la fluidité du travail assisté par IA et la granularité des contrôles de confidentialité. Pour les défenseurs, l’enjeu n’est pas de diaboliser l’outil, mais de traiter l’IA comme un composant à privilèges, soumis aux mêmes exigences d’audit, de traçabilité et de cloisonnement que n’importe quel système sensible.

Quand l’IA sait lire, le vrai enjeu de cyber-renseignement devient de contrôler précisément ce qu’elle a le droit de comprendre.

Cybersécurité, Mise à jour, Patch, Securite informatique

Firefox 147.0.4 colmate une faille critique libvpx

Mozilla déclenche une mise à jour de sécurité hors cycle pour Firefox. En cause, une vulnérabilité critique dans le décodage vidéo, exploitable à distance via du contenu web piégé.

Mozilla a publié Firefox 147.0.4 pour corriger une vulnérabilité de dépassement de tampon dans le tas, CVE-2026-2447, qui touche la bibliothèque vidéo libvpx utilisée pour VP8 et VP9. La faille, signalée par le chercheur jayjayjazz, est classée « élevée » et a motivé un déploiement coordonné sur plusieurs branches, dont Firefox ESR 140.7.1 et Firefox ESR 115.32.1. Les versions antérieures à ces correctifs sont considérées vulnérables. Le scénario d’attaque décrit repose sur un média ou une page web conçus pour déclencher une corruption mémoire, avec un risque allant du crash à l’exécution de code. Aucun score CVSS n’était communiqué lors de la divulgation.

Une correction hors cycle qui trahit l’urgence

Le détail qui compte, pour les équipes cyber comme pour les utilisateurs, n’est pas seulement la présence d’une CVE. C’est le rythme. Mozilla a choisi une publication hors cycle, donc en dehors du calendrier habituel, pour livrer Firefox 147.0.4. Ce type de décision est rarement confortable, car il bouscule les procédures de validation, les fenêtres de maintenance et les cycles de déploiement en entreprise. S’il arrive, c’est qu’un risque immédiat est jugé crédible.

La confusion observée dans certaines discussions autour de « Firefox v147 » illustre un piège classique côté défense. Ce n’est pas « 147 » qui protège, c’est 147.0.4. La nuance paraît minime à l’écran, mais elle change tout dans un inventaire de parc, un outil de conformité ou une campagne de remédiation. Dans un environnement géré, une version majeure peut être autorisée tandis qu’un correctif mineur reste en attente, et c’est précisément dans cet interstice que se glissent les attaques opportunistes.

Mozilla n’a pas limité l’effort au canal grand public. En parallèle, l’éditeur a déployé des correctifs sur les branches ESR, Firefox ESR 140.7.1 et Firefox ESR 115.32.1. Cette synchronisation est un signal à destination des RSSI et des équipes SOC : l’exposition ne concerne pas un segment marginal, mais aussi les postes réputés « stabilisés », souvent présents dans les administrations et les entreprises. Or, l’ESR est fréquemment choisi pour réduire les changements fonctionnels, pas pour accepter un retard de correctifs sécurité. Quand une faille est classée « élevée » et patchée partout, la fenêtre de risque devient autant organisationnelle que technique.

CVE-2026-2447, quand la vidéo devient un vecteur d’attaque

La vulnérabilité CVE-2026-2447 est décrite comme un dépassement de tampon dans le tas, un heap overflow, au sein de libvpx, bibliothèque mobilisée par Firefox pour traiter VP8 et VP9. Ces formats étant largement utilisés sur le web, la surface d’attaque est mécaniquement large. Là où certains bogues exigent une action volontaire, un import de fichier ou une option activée, le décodage vidéo s’insère dans une navigation ordinaire, souvent automatique, parfois en arrière-plan.

Techniquement, un dépassement de tampon dans le tas survient lorsqu’un programme écrit au-delà de la mémoire qui lui a été allouée dynamiquement. Le résultat n’est pas seulement un plantage. En écrasant des zones adjacentes, l’erreur peut ouvrir la porte à une corruption mémoire contrôlée, et donc, dans les scénarios les plus graves, à l’exécution de code arbitraire. Dans le contexte d’un navigateur, cela signifie qu’un contenu vidéo spécialement conçu, ou un flux multimédia intégré à une page, peut devenir une charge utile. L’attaque n’a alors plus besoin d’un exécutable téléchargé : la page fait le travail.

Le texte de contexte le souligne, il suffirait à une victime de consulter un site compromis ou malveillant, ou d’ouvrir une vidéo truquée, pour déclencher la condition de dépassement. C’est le modèle typique du téléchargement furtif, où l’arme se confond avec la consommation normale du web. Et c’est aussi, du point de vue du renseignement sur la menace, le type de faille qui intéresse des acteurs patients : une primitive de corruption mémoire dans une chaîne multimédia est un point d’entrée discret, compatible avec des scénarios d’hameçonnage ciblé comme avec des campagnes plus larges.

À la divulgation, aucune exploitation à grande échelle n’était confirmée. Cette absence de signal ne doit toutefois pas être interprétée comme une absence de risque. Les failles de corruption mémoire sont régulièrement privilégiées parce qu’elles peuvent, une fois maîtrisées, fournir des résultats fiables. L’équation est connue des défenseurs : dès qu’un correctif est public, les acteurs malveillants peuvent comparer les changements et accélérer l’industrialisation de tentatives d’exploitation. L’enjeu, ici, est donc la vitesse de patch, et la qualité de l’inventaire.

Mozilla indique que les versions de Firefox antérieures à 147.0.4 sont vulnérables, que les ESR antérieures à 140.7.1 et 115.32.1 le sont aussi, et recommande une mise à jour immédiate. La voie la plus directe passe par le mécanisme interne, Aide puis À propos de Firefox, qui déclenche la recherche et l’installation. Pour les environnements ESR, la priorité est de réduire le délai entre disponibilité du correctif et déploiement effectif, car c’est dans ce délai que la menace a le plus de valeur opérationnelle.

Cybersécurité, IA, Mise à jour

Modes « Lockdown » et « Elevated Risk » : le pari d’OpenAI

OpenAI change de méthode contre l’injection de prompts, ces attaques qui profitent des connexions réseau des IA. Avec « Lockdown » et « Elevated Risk », la défense passe par des verrous d’infrastructure, pas seulement par le modèle.

OpenAI a annoncé deux mesures de sécurité visant les attaques par injection de prompts, devenues plus menaçantes à mesure que les assistants IA se connectent au web et aux applications. Le mode « Lockdown » cible des profils à haut risque en imposant des restrictions déterministes qui réduisent la surface d’attaque et bloquent l’exfiltration de données, même si un contenu externe tente de manipuler le système. En parallèle, les étiquettes « Elevated Risk » signalent aux utilisateurs les fonctions réseau qui augmentent l’exposition, notamment dans Codex. L’approche revendique une sécurité par couches, combinant verrous techniques, contrôle d’accès et journalisation.

Le mode « Lockdown », un confinement pensé pour l’exfiltration

Le cœur du mode « Lockdown » tient en une idée simple, mais lourde de conséquences : empêcher physiquement certaines actions plutôt que demander au modèle de « bien se comporter ». OpenAI présente ce réglage comme une option pour un public restreint, cadres dirigeants, équipes sécurité, organisations manipulant des informations très sensibles, susceptibles d’être ciblés par des menaces avancées. Le message implicite est clair : quand l’adversaire peut influencer ce que l’IA lit, il peut tenter de piloter ce que l’IA fait.

La protection centrale concerne la navigation. En « Lockdown », l’accès au web est limité à du contenu mis en cache. Autrement dit, aucune requête réseau en direct n’est censée sortir de l’environnement contrôlé par OpenAI. Cette contrainte vise un scénario devenu classique en cyber : une page malveillante glisse des instructions cachées dans son contenu, puis pousse l’assistant à divulguer des éléments de conversation ou des données internes, en les envoyant vers une infrastructure externe. Ici, même si la manipulation est persuasive, l’action d’exfiltration perd son vecteur principal, la sortie réseau.

Le verrouillage ne s’arrête pas à la navigation. OpenAI indique désactiver des capacités qui ne permettent pas de garanties « déterministes » robustes sur la protection des données. Concrètement, certaines fonctions sont coupées : pas d’images dans les réponses, pas de recherche approfondie, pas de mode agent. Autre point sensible, l’approbation par l’utilisateur d’un code généré via Canvas pour accéder au réseau est bloquée. Enfin, le système ne peut pas télécharger automatiquement des fichiers pour des analyses de données, même si les documents importés manuellement restent exploitables. Le fil rouge est la réduction drastique des chemins involontaires par lesquels une information pourrait sortir.

Sur le plan de la gouvernance, l’activation passe par l’administration de l’espace de travail. Les offres citées incluent ChatGPT Enterprise, Edu, Healthcare et Teachers. Les administrateurs créent des rôles dédiés dans les réglages du workspace et conservent une granularité sur les applications et les actions autorisées, y compris quand « Lockdown » est enclenché. En arrière-plan, OpenAI met en avant la journalisation via la plateforme de logs de l’API de conformité, pour suivre l’usage des applications, les données partagées et les sources connectées. Dans cette logique, la sécurité ne repose pas sur une promesse abstraite, mais sur des paramètres, des droits et des traces.

OpenAI précise enfin que ce mode n’est pas destiné à la majorité. La fonctionnalité vise un petit ensemble d’utilisateurs exposés, avec un niveau d’exigence élevé. Un déploiement grand public est évoqué « dans les prochains mois », après la phase entreprise, signe que l’éditeur traite cette option comme une posture extrême, pas comme un défaut universel.

Étiquettes « Elevated Risk », rendre visible ce qui reste fragile

En complément du confinement, OpenAI introduit une signalétique : des mentions « Elevated Risk » apposées sur les fonctionnalités réseau qui augmentent l’exposition. L’objectif n’est pas d’interdire, mais d’éclairer. L’étiquetage est annoncé dans ChatGPT, ChatGPT Atlas et Codex lorsque l’utilisateur active des capacités connectées susceptibles d’ouvrir des failles non totalement résolues. La nuance est importante : OpenAI reconnaît que, dans l’état actuel du secteur, certaines surfaces de risque ne se « corrigent » pas parfaitement.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

L’exemple le plus parlant concerne Codex. Les développeurs peuvent autoriser l’accès réseau pour consulter de la documentation ou interagir avec des sites. Désormais, l’écran de réglages affiche une mention « risque élevé » qui explicite ce que change l’activation, les dangers associés et les contextes où ce choix peut se justifier. La promesse est pédagogique : faire comprendre qu’un bouton « réseau » n’est pas une option neutre, mais une bascule de menace.

Autre élément notable, OpenAI affirme que ces étiquettes ont vocation à disparaître au fur et à mesure que des améliorations réduiront les risques identifiés. Le système se veut dynamique, avec des mises à jour régulières des fonctions marquées, afin de mieux communiquer sur l’état réel de la menace. Dit autrement, l’éditeur admet que le risque n’est pas binaire : il évolue selon les atténuations disponibles, les usages et la sophistication des attaques.

Tout cela s’inscrit dans une défense « par couches » déjà évoquée : sandboxing, protections contre l’exfiltration via URL, mécanismes de supervision et d’application des règles, plus les contrôles entreprise classiques, gestion des rôles et journaux d’audit. Le constat sous-jacent est celui que les équipes sécurité voient chaque jour : quand une IA lit, agit et se connecte, la simple filtration de contenu ne suffit plus face à des injections de prompts conçues pour contourner les garde-fous.

Dans cette bataille, « Lockdown » et « Elevated Risk » traduisent un glissement vers une cyberstratégie de renseignement défensif : réduire les capacités exploitables, rendre les risques visibles, et laisser moins de place aux illusions d’obéissance du modèle.

Communiqué de presse, Cybersécurité, Entreprise

Les Émirats bloquent une offensive cyber dite terroriste

En pleine montée des usages numériques du Ramadan, les Émirats arabes unis disent avoir stoppé une campagne coordonnée mêlant infiltration, rançongiciels et hameçonnage, avant toute rupture de services essentiels.

Le Conseil de cybersécurité des Émirats arabes unis a annoncé samedi que les défenses nationales ont déjoué des cyberattaques terroristes organisées visant l’infrastructure numérique et des secteurs vitaux. Selon l’autorité, la campagne combinait intrusion réseau, déploiement de rançongiciels et hameçonnage systématique contre des plateformes nationales. Le Conseil met en avant un tournant tactique, avec l’usage d’outils offensifs dopés à l’intelligence artificielle.

Un récit de riposte, peu de traces exploitables

les Émirats arabes unis veulent peser dans le monde de la cybersécurité. Depuis quelques années, petit à petit, ils montent en puissance. Le communiqué que vient de diffuser le CERT UEA pose un décor de crise, une attaque pensée pour déstabiliser et perturber des services essentiels, mais laisse le lecteur face à une zone grise. Le Conseil de cybersécurité décrit une opération coordonnée, avec trois briques classiques d’une campagne moderne, l’accès initial par infiltration, la pression par rançongiciel, l’industrialisation du leurre par hameçonnage. L’élément mis en avant est l’intelligence artificielle, présentée comme un accélérateur de sophistication, et comme la preuve que des organisations extrémistes s’approprient des technologies autrefois réservées à des États ou à des réseaux cybercriminels structurés.

Dans ce type d’annonce, la formulation compte autant que le contenu. Qualifier l’attaque d’« acte terroriste » rehausse le niveau politique du signal, surtout lorsqu’aucun groupe n’est nommé. Le Conseil ne précise ni secteurs touchés, ni fenêtre temporelle, ni méthode de détection, ni vecteur d’entrée, ni infrastructure réellement ciblée. Cette absence verrouille l’analyse, impossible de distinguer une action d’un groupe idéologique, un montage de faux drapeau, ou un opportunisme criminel profitant d’un contexte régional tendu. Elle empêche aussi de relier les faits à une famille de rançongiciels, à une chaîne d’hameçonnage, ou à un mode opératoire récurrent.

Le Conseil insiste, en revanche, sur la mécanique défensive, surveillance continue, blocage précoce, coopération entre fournisseurs, entités nationales et internationales, organisations spécialisées, appui sur des partenariats stratégiques et une expertise technique internationale. Derrière cette liste, un enjeu de renseignement affleure, réduire le temps entre le signal faible et la neutralisation, partager des indicateurs, couper les relais, et éviter qu’un incident technique ne se transforme en crise d’État. La priorité affichée, sécurité des personnes, protection des données personnelles, continuité des services critiques, vise autant à rassurer qu’à rappeler que la surface d’attaque d’un pays moderne est désormais indissociable de sa vie quotidienne.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

Ramadan, IA et pression psychologique sur les victimes

Le calendrier n’est pas neutre. L’annonce coïncide avec le début du Ramadan, période de hausse des dons et des transactions en ligne aux Émirats arabes unis et plus largement dans le monde musulman. Le Conseil appelle les résidents à redoubler de prudence, notamment lorsqu’il s’agit de dons, de partage d’informations personnelles, ou de mouvements financiers. C’est un rappel d’hygiène numérique, mais aussi une lecture de la menace, les attaquants aiment les pics saisonniers, car l’émotion et l’urgence accélèrent les clics, et réduisent la vérification.

Le texte élargit d’ailleurs le cadre, en rappelant que les périodes de célébrations religieuses sont des fenêtres propices à la fraude et à l’ingénierie sociale. Le Conseil avait déjà diffusé des recommandations sur la protection des données et la prévention de la fraude, en alertant sur le risque de vol d’identifiants et d’informations financières lorsque les paiements numériques augmentent. Dans cette logique, l’intelligence artificielle change l’échelle, elle permet de produire des messages crédibles, d’adapter les scénarios culturels, de tester rapidement des variantes, et de cibler plus finement, jusqu’à simuler un ton institutionnel ou caritatif.

L’arrière-plan régional est posé, les pays du Moyen-Orient feraient face à des attaques persistantes mêlant organisations terroristes, acteurs étatiques et cybercriminalité motivée par le profit. Les secteurs critiques cités comme à forte valeur, énergie, télécommunications, transports, services financiers, sont ceux où un incident peut créer des effets en cascade. Le Conseil souligne aussi une volumétrie déjà alarmante, « entre 90 000 et 200 000 tentatives d’intrusion ciblent chaque jour l’infrastructure des Émirats arabes unis ». La fourchette est large, mais le message est clair, l’attaque est devenue un bruit de fond permanent, automatisé, accessible, et donc plus difficile à contenir sans industrialiser la défense.

CTI • Service de veille ZATAZ
Vos données circulent peut-être déjà. Détecter. Prioriser. Corriger
  • Veille exposition / fuite / usurpation / Alertes et synthèses actionnables
  • Risque, impacts, recommandations

DÉCOUVRIR L’OUTIL CTI

Le pays met en avant des orientations de long terme, dont la cryptographie post-quantique et la coopération avec QuantumGate, plateforme nationale axée sur une cybersécurité résiliente aux attaques quantiques. Le Dr Mohammed Al Kuwaiti, responsable de la cybersécurité au sein du gouvernement des Émirats arabes unis, résume la doctrine, anticiper plutôt que subir.

Au final, l’annonce revendique une victoire défensive, mais elle laisse volontairement peu d’éléments vérifiables, signe que la bataille se joue aussi dans la maîtrise de l’information, autant que dans les journaux d’événements.

Cybersécurité, IA, Mise à jour, Patch, Securite informatique

Claude Code Security, Anthropic veut industrialiser l’audit IA

Anthropic ajoute à Claude Code un scanner de vulnérabilités pensé pour les entreprises, avec une promesse simple, lire une base de code, détecter les failles, proposer des correctifs, puis laisser l’humain décider.

Anthropic annonce Claude Code Security, une fonctionnalité de sécurité intégrée à Claude Code capable d’analyser le code d’un utilisateur, de repérer des vulnérabilités et de suggérer des correctifs. Le déploiement démarre en accès limité pour des clients entreprises et des équipes pilotes. L’éditeur affirme s’appuyer sur plus d’un an de tests de résistance menés par ses spécialistes, incluant des exercices Capture the Flag et un travail avec le Pacific Northwest National Laboratory pour améliorer la précision. L’outil promet une vérification en plusieurs étapes afin de réduire les faux positifs, un classement par gravité et une approche orientée flux de données.

Une promesse d’analyse « comme un chercheur humain »

Anthropic avance un pari clair, l’IA va devenir un passage quasi obligé dans l’examen du code. Dans son discours, l’argument n’est pas seulement la vitesse, mais le changement d’échelle. L’entreprise estime qu’une fraction importante du code mondial pourrait être passée au crible par des modèles dans un futur proche, à mesure que ces systèmes gagnent en efficacité pour révéler des bugs et des faiblesses de sécurité restés invisibles. La tension, elle, est immédiate, ce qui accélère la protection accélère aussi l’attaque.

Claude Code Security est présenté comme un module qui « lit » une base de code et en reconstruit la logique, à la manière d’un analyste. L’outil ne se limiterait pas à pointer des motifs suspects, il chercherait à comprendre comment les composants interagissent, à suivre les chemins empruntés par les données, puis à isoler des défauts majeurs que des approches classiques d’analyse statique peuvent manquer. Dans ce scénario, la valeur n’est pas seulement la détection, mais la contextualisation, autrement dit relier une faiblesse à un flux, une entrée, une dépendance, un composant, et à un impact.

Pour réduire le bruit, Anthropic décrit un mécanisme de contrôle interne. Chaque détection passerait par une validation en plusieurs étapes avant d’être transmise à un analyste, puis le modèle « se relirait » lui-même, afin de confirmer ou d’infirmer ses propres conclusions et de limiter les faux positifs. Les résultats seraient ensuite hiérarchisés par gravité, pour guider les équipes vers ce qui doit être corrigé en premier. Le processus mis en avant reste, au bout de la chaîne, une boucle de décision humaine, l’utilisateur approuve les modifications avant tout déploiement.

 



News & Réseaux Sociaux ZATAZ

YouTube
WhatsApp
Google News
Autres
Chaque vendredi midi, recevez gratuitement les actualités de la semaine.

S’abonner à la NewsLetter ZATAZ

Une mise en production prudente, et une règle clé sur les droits

Le lancement, lui, est encadré. Anthropic indique que Claude Code Security sera d’abord réservé à un groupe restreint de clients entreprises et d’équipes, dans une phase de test. L’annonce s’appuie sur un récit de robustesse construit sur la durée, plus d’un an de tests de résistance par une équipe interne d’experts cybersécurité, des participations à des compétitions de type Capture the Flag, et une collaboration avec le Pacific Northwest National Laboratory, présentée comme un levier pour améliorer la précision des analyses.

En filigrane, l’entreprise vise un basculement culturel, celui du « vibe coding », cette manière de produire plus vite en s’appuyant sur l’IA pour écrire et assembler des morceaux de logiciel. Anthropic soutient que, si cette pratique se diffuse, la demande d’analyses automatisées de vulnérabilités pourrait dépasser le besoin d’audits manuels. L’argument est pragmatique, si davantage de code est généré plus vite, alors davantage de code doit être audité plus vite, sinon la dette de sécurité enfle. Dans cette logique, un scanner directement intégré au flux de développement pourrait, potentiellement, réduire le nombre de failles, à condition que l’automatisation n’endorme pas la vigilance.

Mais la même capacité de lecture rapide et d’exploration systématique intéresse aussi l’adversaire. Le texte souligne que des cybercriminels peuvent, eux aussi, utiliser des modèles pour cartographier plus vite l’environnement d’une victime et y trouver des points d’entrée exploitables. C’est le dilemme classique du renseignement technique, un outil qui améliore la visibilité des défenseurs peut aussi accélérer la reconnaissance et la sélection de cibles côté attaquants. D’où l’enjeu, non seulement de détecter, mais de qualifier, prioriser et corriger sans délai.

CTI • Service de veille ZATAZ
Vos données circulent peut-être déjà. Détecter. Prioriser. Corriger
  • Veille exposition / fuite / usurpation / Alertes et synthèses actionnables
  • Risque, impacts, recommandations

DÉCOUVRIR L’OUTIL CTI

Des chercheurs spécialisés dans les menaces nuancent l’enthousiasme. Oui, les capacités ont progressé, mais elles seraient souvent plus à l’aise sur des failles modestes, tandis que des opérateurs chevronnés restent indispensables, notamment pour piloter le dispositif et traiter les vulnérabilités et menaces de haut niveau. En parallèle, certains outils, comme Claude Opus et XBOW, ont déjà montré qu’ils pouvaient découvrir des centaines de vulnérabilités logicielles, rendant parfois la chasse et la correction nettement plus rapides qu’une équipe humaine seule.

Anthropic revendique aussi un saut de performance côté modèle, en affirmant que Claude Opus 4.6 est « nettement meilleur » pour repérer des vulnérabilités de haute gravité que les versions antérieures, avec, dans certains cas, des défauts qui seraient restés indétectés pendant des décennies. L’accès, enfin, s’accompagne d’une contrainte juridique et éthique explicite, les testeurs doivent s’engager à n’utiliser l’outil que sur du code appartenant à leur entreprise, et pour lequel ils disposent de tous les droits nécessaires à l’analyse, à l’exclusion du code de tiers, sous licence, ou de projets open source.

Au fond, Claude Code Security illustre une bascule de la cyber-intelligence, l’audit devient un flux continu, mais la bataille se joue toujours sur la qualité du tri, de la preuve, et de la décision.

APT, Chiffrement, cryptage, Cybersécurité, Entreprise, Firewall, Securite informatique

Pare-feux, la porte d’entrée de 90 % des ransomwares

Barracuda affirme que la majorité des ransomwares de 2025 a contourné la défense par l’endroit le plus attendu, le pare-feu, et parfois en seulement trois heures.

Selon le Barracuda Managed XDR Global Threat Report, 90 % des incidents de ransomware observés en 2025 ont exploité des pare-feux, via des logiciels non corrigés ou des comptes fragiles. Le rapport s’appuie sur l’ensemble de données Barracuda Managed XDR, plus de deux mille milliards d’événements informatiques collectés en 2025, près de 600 000 alertes, et plus de 300 000 actifs protégés, dont points de terminaison, pare-feu, serveurs et ressources cloud. L’étude décrit les chemins privilégiés par les attaquants, l’usage d’outils légitimes comme l’accès à distance, et les angles morts récurrents, chiffrement obsolète, protections désactivées, configurations dégradées. Un cas attribué à Akira illustre l’accélération, trois heures entre intrusion et chiffrement.

Quand le pare-feu devient le meilleur relais de l’attaquant

Le chiffre, 90 %, raconte une réalité opérationnelle plus qu’une surprise stratégique. Le pare-feu concentre les accès, les règles, et souvent la confiance implicite, ce qui en fait un pivot idéal dès qu’une CVE ou un compte vulnérable ouvre une brèche. Barracuda décrit un scénario classique, l’attaquant obtient un point d’appui, prend le contrôle du réseau, contourne les contrôles attendus, puis masque du trafic ou des actions malveillantes derrière des flux qui ressemblent au quotidien. Dans cette logique, l’attaque ne “force” pas la porte, elle se glisse dans le passage déjà prévu.

Le rapport insiste sur l’exploitation d’outils informatiques légitimes, notamment des solutions d’accès à distance. Le détail compte, car ces utilitaires, omniprésents, peuvent devenir un accélérateur, ils fournissent une interaction stable, une persistance discrète, et un moyen de se déplacer sans déclencher immédiatement des soupçons. Barracuda signale aussi des failles plus prosaïques, mais déterminantes, comme un appareil non autorisé apparu sans contrôle, un compte laissé actif après un départ, une application “endormie” non mise à jour, ou une fonction de sécurité mal paramétrée. La mécanique est toujours la même, une seule faiblesse suffit, et la défense découvre trop tard qu’elle gardait une façade, pas l’ensemble de la surface d’attaque.

L’exemple le plus brutal, cité dans l’étude, concerne Akira. Entre l’intrusion et le chiffrement, il n’aurait fallu que trois heures. Cette compression du temps bouleverse les habitudes, les équipes disposent de moins de marge pour qualifier une alerte, recouper des journaux, isoler une machine, ou même lancer une investigation complète. Ce qui relevait hier d’un sprint devient une course de vitesse. Pour les attaquants, chaque minute gagnée réduit la probabilité d’un arrêt net avant le point de non-retour.

Des failles anciennes, des exploits prêts, et le signal du mouvement latéral

Autre enseignement, 11 % des vulnérabilités détectées disposaient d’un exploit connu. Le message est direct, une part significative des failles repérées n’est pas seulement théorique, elle est déjà “outillée”. Barracuda y voit un encouragement involontaire pour les opérateurs, qui privilégient les chemins éprouvés et industrialisés, y compris via la chaîne d’approvisionnement. La hausse rapportée est nette, 66 % des incidents impliquaient un tiers ou un volet supply chain, contre 45 % en 2024. Dit autrement, l’attaque cherche la faille la moins défendue, parfois chez un prestataire, parfois dans une dépendance logicielle, puis remonte vers la cible principale.

Le rapport met aussi en avant un paradoxe inquiétant, la CVE la plus fréquemment détectée remonte à 2013. CVE-2013-2566 concerne un algorithme de chiffrement devenu obsolète, encore présent dans des environnements anciens, vieux serveurs, équipements embarqués, applications héritées. Le risque ne vient pas seulement de la vulnérabilité elle-même, mais de ce qu’elle révèle, l’existence de morceaux d’infrastructure difficiles à inventorier, compliqués à mettre à jour, parfois invisibles aux processus standards. Dans une lecture cyber et renseignement, ces reliques technologiques deviennent des points d’ancrage, stables, prévisibles, et donc exploitables.

Le signal d’alerte le plus clair, selon Barracuda, reste le mouvement latéral. Dans 96 % des incidents où cette étape était observée, l’histoire se terminait par un déploiement de ransomware. Le moment est décisif, l’attaquant, souvent dissimulé sur un point de terminaison insuffisamment protégé, cesse d’explorer et commence à agir. Le rapport cite des indicateurs qui doivent alerter, comportements de connexion atypiques, accès privilégiés inhabituels, désactivation d’une protection endpoint, ou encore usage anormal d’outils d’administration. L’enjeu n’est pas seulement de détecter, mais d’interrompre avant que la propagation ne se transforme en chiffrement généralisé.

Au fond, Barracuda décrit une bataille d’hygiène numérique et de visibilité, où l’ennemi gagne quand l’organisation ignore ses propres zones grises, et où le renseignement de sécurité naît d’une surveillance capable de relier signaux faibles et actions concrètes.