Archives de catégorie : Patch

Cybersécurité, Entreprise, Mise à jour, Patch, Securite informatique

Google lance OSS Rebuild pour sécuriser la chaîne d’approvisionnement open source

L’open source représente aujourd’hui 77 % des applications et sa valeur mondiale excède 12 000 milliards de dollars (environ 11 130 milliards d’euros). Mais cette omniprésence en fait une cible privilégiée pour les attaques sur la chaîne d’approvisionnement, où des acteurs malveillants insèrent du code frauduleux dans des composants de confiance.

Les attaques sur la chaîne d’approvisionnement logicielle ciblent principalement les projets open source, au cœur de l’infrastructure numérique. Le phénomène a pris de l’ampleur au fil des années, notamment via la compromission d’outils et de modules largement utilisés dans la communauté mondiale des développeurs. L’attrait pour les composants open source s’explique par leur présence massive dans les applications, des systèmes d’exploitation aux services en ligne. Les statistiques confirment cette tendance : 77 % des applications intégrant du code open source et une valorisation de ces composants estimée à plus de 12 000 milliards de dollars (environ 11 130 milliards d’euros).

Parmi les incidents récents, plusieurs attaques retentissantes ont mis en évidence la vulnérabilité des chaînes d’approvisionnement. Dans un projet hébergé sur npm, la compromission d’un compte a permis l’ajout d’une porte dérobée destinée à dérober des clés cryptographiques. Un autre cas notable concerne l’introduction d’une action GitHub malveillante dans un dépôt populaire, provoquant la fuite de secrets. Enfin, l’attaque sophistiquée sur un projet d’archivage open source a permis l’implantation d’une porte dérobée assurant un accès distant non autorisé. Chacun de ces cas a eu un impact direct sur la confiance accordée aux écosystèmes logiciels, fragilisant à la fois la relation entre développeurs et utilisateurs et ralentissant l’innovation.

La popularité des solutions open source entraîne une diversification des techniques utilisées par les attaquants. Ceux-ci exploitent la complexité des chaînes de développement pour insérer des modifications malicieuses, parfois indétectables sans outils dédiés. Les mécanismes de contrôle traditionnels peinent à suivre le rythme et l’ampleur des évolutions, accentuant la nécessité de solutions innovantes pour restaurer la confiance.

Les conséquences de ces attaques vont au-delà de la simple compromission technique. Elles affectent la réputation des projets, l’adoption des nouvelles versions et la sécurité globale des services. Plusieurs plateformes de distribution de paquets ont déjà renforcé leurs contrôles, mais la question de la transparence du processus de compilation et de la traçabilité des modifications reste centrale.

Google présente OSS Rebuild pour restaurer la confiance

Face à ces enjeux, Google a développé un nouvel outil dédié à la transparence dans la chaîne d’approvisionnement logicielle : OSS Rebuild. Ce service propose de vérifier la correspondance entre le code source public et les paquets distribués, en s’appuyant sur des reconstructions automatisées. L’objectif affiché est de permettre à chaque membre de la communauté d’analyser l’origine des composants, de valider leur intégrité et de surveiller tout changement intervenu durant la phase de compilation.

OSS Rebuild s’inscrit dans une démarche de conformité avec les exigences de la Supply-chain Levels for Software Artifacts (SLSA), en particulier le niveau SLSA Build Level 3. Le service génère automatiquement les métadonnées associées aux processus de compilation, sans requérir l’intervention directe des auteurs des projets concernés. Cette automatisation vise à faciliter l’adoption de standards de sécurité élevés dans l’ensemble de l’écosystème open source.

Le fonctionnement du service est pensé pour répondre aux besoins de différents profils d’utilisateurs. Les spécialistes en sécurité disposent d’un accès à l’analyse détaillée des divergences éventuelles entre code et paquets. Ils peuvent ainsi identifier rapidement les incohérences, les défauts de configuration de l’environnement de compilation ou l’insertion de fonctionnalités cachées. De leur côté, les mainteneurs de projets peuvent enrichir l’historique de leurs publications en y associant des informations sur l’intégrité et la reproductibilité des versions.

Actuellement, OSS Rebuild prend en charge les paquets issus de trois grandes plateformes : PyPI pour Python, npm pour JavaScript et TypeScript, ainsi que Crates.io pour Rust. Cette compatibilité doit être progressivement étendue à d’autres environnements selon le calendrier annoncé par Google. L’accès à l’outil s’effectue via une interface en ligne de commande, permettant d’interroger l’origine d’un paquet, de consulter l’historique des reconstructions ou de lancer une recompilation à la demande.

Le recours à OSS Rebuild n’est pas limité aux seuls incidents de sécurité. Les analyses peuvent également porter sur des versions déjà publiées, offrant la possibilité de réévaluer l’intégrité de paquets antérieurs ou de vérifier la reproductibilité des versions historiques. Cette approche favorise la constitution d’une documentation exhaustive, essentielle à la gestion de la conformité et à la réponse aux exigences réglementaires croissantes.

La généralisation de ce type d’outils répond à une demande pressante du secteur, confronté à l’augmentation du nombre de vulnérabilités exploitées via la chaîne d’approvisionnement. Les grandes entreprises, tout comme les développeurs indépendants, sont encouragés à adopter ces pratiques pour garantir la sécurité de leurs dépendances et préserver la confiance des utilisateurs finaux.

À mesure que le périmètre de l’open source s’élargit, la protection de ses processus de développement revêt une importance stratégique. La mise à disposition d’outils tels qu’OSS Rebuild va-t-il contribuez à réduire les risques systémiques et à promouvoir des standards élevés dans la gestion de la chaîne d’approvisionnement logicielle ? Si la lutte contre les attaques sophistiquées requiert une vigilance constante, la transparence et la traçabilité apparaissent désormais comme des leviers majeurs pour pérenniser l’innovation dans l’univers du logiciel libre.

Cybersécurité, Entreprise, Mise à jour, Patch, Securite informatique

Failles critiques Cisco ISE : exécution de code à distance et correctifs

Des vulnérabilités critiques, activement exploitées dans Cisco Identity Services Engine et son module Passive Identity Connector, permettent à des attaquants d’accéder à des réseaux d’entreprise sans authentification, compromettant la sécurité interne.

La société Cisco a publié un avis officiel après la découverte de plusieurs vulnérabilités critiques affectant son produit phare Cisco Identity Services Engine (ISE) ainsi que le module associé Passive Identity Connector (ISE-PIC). L’équipe Product Security Incident Response Team (PSIRT) de Cisco a confirmé l’exploitation active de ces failles par des attaquants dans des conditions réelles, précisant que plusieurs tentatives d’exploitation ont été observées sur des infrastructures de clients. La gravité de ces vulnérabilités, évaluée à 10 sur 10 sur l’échelle CVS, place ces incidents parmi les menaces les plus sérieuses identifiées récemment dans le secteur de la cybersécurité d’entreprise.

Le produit Cisco Identity Services Engine occupe une place centrale dans le contrôle des accès aux réseaux professionnels. Il détermine les conditions et modalités selon lesquelles les utilisateurs et équipements peuvent se connecter à l’infrastructure interne d’une organisation. Une compromission de ce composant peut ouvrir la voie à des intrusions à grande échelle, en contournant tous les mécanismes d’authentification et de journalisation des accès. Cette situation expose l’ensemble du système d’information à une prise de contrôle totale, par le biais de privilèges administratifs de type root, traditionnellement réservés à la gestion la plus sensible des systèmes.

Les vulnérabilités concernées portent sur la gestion des requêtes API et le traitement des fichiers au sein des solutions Cisco ISE et ISE-PIC. Les deux premières failles sont issues d’une absence de validation suffisante des données transmises via l’API. Un attaquant distant, sans aucune authentification préalable, peut ainsi envoyer des requêtes spécifiquement conçues pour exécuter des commandes arbitraires sur le serveur, obtenant un accès complet aux ressources critiques de l’entreprise. La troisième vulnérabilité concerne un défaut de filtrage lors du téléchargement de fichiers via une interface interne, ce qui permet à un individu malveillant d’introduire un fichier malveillant dans un répertoire protégé et de le faire exécuter avec les droits les plus élevés du système.

Les mécanismes d’exploitation sont similaires à ceux observés dans d’autres attaques majeures ciblant les infrastructures réseau : manipulation de requêtes API ou envoi de fichiers modifiés pour prendre le contrôle des serveurs. Le danger est accentué par le fait que ces failles ne requièrent aucune authentification préalable, rendant les attaques difficiles à détecter et à prévenir en amont. L’intégrité de la plateforme étant compromise, toutes les mesures de sécurité internes peuvent être contournées, ce qui remet en cause la confiance dans la protection des données et des flux internes à l’organisation.

Corrections publiées et recommandations officielles pour la protection des infrastructures

Face à la gravité de la situation, Cisco a rapidement publié des correctifs visant à supprimer l’ensemble des vulnérabilités détectées. Les entreprises utilisatrices de Cisco Identity Services Engine et du module Passive Identity Connector sont invitées à déployer sans délai les versions corrigées du logiciel. Les systèmes qui ne seraient pas mis à jour demeurent vulnérables à des attaques à distance, avec des risques majeurs de compromission pour les organisations, en particulier celles opérant dans des secteurs à forte contrainte réglementaire ou assurant la gestion d’infrastructures critiques.

La mise à jour des logiciels ne constitue toutefois qu’une première étape. Les experts en cybersécurité de Cisco recommandent une surveillance accrue des journaux d’activité réseau, afin de repérer toute tentative d’exploitation des interfaces API ou d’envoi de fichiers non autorisés. Il est conseillé d’examiner en détail les traces d’événements suspectes, notamment en cas d’exposition des composants ISE à l’extérieur du réseau d’entreprise.

La société ne précise pas à ce stade quelles variantes exactes des failles ont été exploitées par les attaquants, ni l’identité des groupes ou individus à l’origine de ces attaques. Aucune information n’est communiquée sur le périmètre exact des entreprises concernées, ni sur la volumétrie des incidents recensés. Cette retenue s’explique par la nécessité de ne diffuser que des éléments vérifiés, afin de ne pas perturber les opérations de sécurisation en cours et de garantir l’efficacité des mesures correctrices.

Dans l’environnement actuel, marqué par la multiplication des attaques ciblées sur les infrastructures réseau, la compromission d’un composant aussi central que Cisco ISE a un impact immédiat sur la fiabilité de l’ensemble des dispositifs de défense d’une organisation. Le niveau de sévérité attribué par Cisco et les recommandations de remédiation émanant directement de l’éditeur soulignent la nécessité d’agir rapidement pour éviter une propagation des attaques à plus grande échelle.

Cybersécurité, Mise à jour, Patch, VPN

Expressvpn corrige une faille critique exposant les adresses ip sous Windows

Une vulnérabilité majeure a été identifiée dans le client Windows d’ExpressVPN, affectant spécifiquement la gestion du protocole Remote Desktop Protocol (RDP) et entraînant l’exposition d’adresses IP réelles des utilisateurs. 

Rejoignez-nous sur les réseaux sociaux

Newsletter

WhatsApp

Twitter/X

LinkedIn

YouTube

Google News

Aucun spam – Désinscription en un clic – Vie privée respectée

 

La faille d’ExpressVPN sur Windows a permis le contournement du tunnel VPN lors des connexions RDP, ce qui a exposé les véritables adresses IP des utilisateurs concernés. À l’origine de cette vulnérabilité se trouvait un code de débogage, laissé par inadvertance lors de tests internes, qui n’a pas été retiré avant la mise en production de plusieurs versions du client. Concrètement, le trafic réseau généré lors d’une session RDP transitait hors du tunnel chiffré, contrairement à ce qu’exige le fonctionnement normal d’un VPN. De ce fait, un observateur externe, qu’il s’agisse d’un fournisseur d’accès à Internet ou d’un tiers connecté au même réseau local, pouvait non seulement détecter l’utilisation d’ExpressVPN, mais également accéder aux adresses IP précises des serveurs distants auxquels l’utilisateur se connectait.

« Le contournement du tunnel VPN lors des sessions RDP a permis la divulgation involontaire d’adresses IP réelles », a-t-il été constaté dans les rapports techniques.

Malgré le maintien du chiffrement du contenu, l’échec du routage par le tunnel VPN est considéré comme une faille importante. ExpressVPN, positionnée comme l’un des acteurs majeurs de la protection de la vie privée en ligne, a reconnu la gravité du problème, tout en précisant que la faille était limitée à une portion restreinte de sa base d’utilisateurs. D’après la communication officielle, seuls les utilisateurs ayant recours à RDP, un protocole essentiellement utilisé dans les environnements professionnels et par les administrateurs informatiques, étaient concernés. Le client standard, notamment pour la navigation web, n’était pas affecté par ce contournement.

La détection de la vulnérabilité le 25 avril 2025 a conduit à une enquête technique approfondie, confirmant que les versions du client Windows d’ExpressVPN comprises entre la 12.97 et la 12.101.0.2-beta étaient vulnérables. Selon l’éditeur, l’introduction du code problématique relevait d’un oubli lors du processus de développement et ne résultait pas d’une intention malveillante.

« La faille provenait d’un résidu de code de test destiné aux équipes internes, resté accidentellement dans les versions de production », ont précisé les experts sécurité.

Suite à la publication de la vulnérabilité, ExpressVPN a déployé le 18 juin 2025 une nouvelle version du client Windows, estampillée 12.101.0.45, corrigeant définitivement le problème. La société a demandé à l’ensemble de ses utilisateurs sous Windows de procéder immédiatement à la mise à jour du logiciel afin d’éviter toute exposition supplémentaire.

En réponse à l’incident, ExpressVPN s’est engagée à renforcer ses processus de validation interne des logiciels, en mettant notamment l’accent sur l’automatisation accrue des tests de sécurité sur les futures versions. L’objectif affiché est de prévenir toute récurrence d’incident de ce type, en veillant à ce qu’aucun code de test ne soit intégré dans les versions finales destinées au public.

 

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

« L’incident a principalement concerné une population d’utilisateurs professionnels, utilisant fréquemment RDP pour des accès à distance », souligne le rapport d’audit technique.

L’impact réel sur les utilisateurs demeure circonscrit à ceux exploitant simultanément ExpressVPN et le protocole RDP sur des systèmes Windows, la majorité des clients particuliers n’ayant pas été concernés. Néanmoins, la nature même de la vulnérabilité, à savoir la possibilité pour des tiers de remonter jusqu’à l’adresse IP réelle d’utilisateurs pensant être protégés par le VPN, constitue un manquement notable à la promesse de confidentialité et de sécurité d’ExpressVPN.

En parallèle, cet incident survient alors qu’ExpressVPN avait déjà été confronté à une fuite de requêtes DNS en 2024, liée à l’option de tunnelisation fractionnée. Cette fonctionnalité avait dû être temporairement désactivée dans l’attente d’un correctif, ce qui avait suscité une vigilance accrue de la part de la communauté sécurité.

La séquence des deux incidents en moins de deux ans souligne les enjeux spécifiques à la sécurisation des logiciels VPN, dont l’attractivité repose justement sur la capacité à garantir l’invisibilité et la confidentialité du trafic en toutes circonstances. Dans les deux cas, ExpressVPN a publié des mises à jour correctives rapides et communique activement auprès de ses utilisateurs, tout en promettant une amélioration continue de ses procédures internes.

« ExpressVPN a diffusé un correctif le 18 juin 2025 et invite ses clients Windows à effectuer la mise à jour sans délai », selon les communications officielles.

La société rappelle que, dès l’installation de la version 12.101.0.45, l’ensemble du trafic, y compris lors des connexions RDP, transite à nouveau exclusivement par le tunnel VPN chiffré, conformément aux attentes et aux garanties de sécurité affichées. L’éditeur poursuit par ailleurs la mise en place de nouveaux mécanismes d’automatisation des tests, afin de mieux contrôler le processus de livraison logicielle et d’anticiper tout défaut similaire à l’avenir.

En ce qui concerne la conformité, ExpressVPN indique collaborer avec des spécialistes indépendants pour auditer ses procédures internes et valider la robustesse des correctifs appliqués. Selon les analyses publiques disponibles, aucun cas d’exploitation malveillante de la faille n’a été rapporté avant la publication du correctif, ce qui limite les risques pour les utilisateurs concernés.

La prise en charge proactive des utilisateurs et la publication rapide d’une version corrigée démontrent la volonté de l’éditeur de restaurer la confiance, bien que la succession d’incidents techniques impose une vigilance renforcée de la part des professionnels et des entreprises recourant à des solutions VPN pour la sécurisation des accès distants.

« Aucune exploitation malveillante de la faille n’a été détectée avant la mise à disposition du correctif », selon les analyses de sécurité publiées.

Pour conclure, cette faille sur le client Windows d’ExpressVPN illustre les risques inhérents au développement de solutions logicielles orientées sécurité, où la moindre erreur de code ou omission dans la gestion des protocoles peut remettre en cause la confidentialité des utilisateurs. Les réactions rapides d’ExpressVPN, associées à l’engagement public de renforcer ses pratiques de test, visent à rassurer l’ensemble de ses clients, tout en soulignant la nécessité pour les utilisateurs professionnels d’appliquer systématiquement les mises à jour proposées par leurs fournisseurs de solutions VPN.

Rejoignez-nous sur les réseaux sociaux

Newsletter

WhatsApp

Twitter/X

LinkedIn

YouTube

Google News

Aucun spam – Désinscription en un clic – Vie privée respectée

Cybersécurité, Entreprise, Mise à jour, Patch, Securite informatique

Zéro-day sur Microsoft SharePoint : plus de 100 organisations déjà compromises !

Un exploit critique permet l’injection de portes dérobées avant toute authentification. Des géants industriels, des hôpitaux et des agences gouvernementales figurent déjà parmi les cibles. Microsoft et les CERT appellent à une vigilance renforcée.

Rejoignez-nous sur les réseaux sociaux

Newsletter

WhatsApp

Twitter/X

LinkedIn

YouTube

Google News

Aucun spam – Désinscription en un clic – Vie privée respectée

 

Il y a quelques jours, une vulnérabilité critique de type « zero-day » a été découverte dans Microsoft SharePoint Server. D’abord perçue comme une faille technique isolée, elle s’est révélée être au cœur d’une campagne de piratage d’ampleur inédite. Ce défaut de sécurité permet à des attaquants d’exécuter du code arbitraire sur les serveurs cibles, avant même toute authentification. L’exploitation active a été détectée par l’entreprise néerlandaise Eye Security, rapidement relayée par la Shadowserver Foundation, qui confirme une vague de compromissions en cours.

Initialement repérée sur une poignée de systèmes – environ 85 serveurs selon les premières observations – l’attaque s’est révélée bien plus large que prévu. À l’heure actuelle, plus de 100 organisations ont été confirmées comme victimes, parmi lesquelles figurent des multinationales, des entreprises industrielles sensibles, des hôpitaux et des administrations publiques. La majorité des compromissions concerne des entités situées aux États-Unis et en Allemagne, mais la propagation est mondiale.

Une porte d’entrée avant identification, une persistance après patch

La faille, désormais référencée sous le code CVE-2025-49706, affecte spécifiquement les installations locales de Microsoft SharePoint Server. Elle repose sur un processus de désérialisation de données non fiables, permettant à un acteur malveillant d’exécuter du code sans avoir besoin de s’authentifier sur le serveur. Cette caractéristique rend l’attaque particulièrement redoutable : elle contourne les protections de base, infiltre les systèmes, et permet l’installation d’un backdoor persistant dans l’infrastructure.

Une fois la brèche exploitée, les attaquants récupèrent des clés cryptographiques sensibles – notamment les clés MachineKey, utilisées pour la validation et le chiffrement des sessions. Ces éléments permettent ensuite de générer du trafic qui semble parfaitement légitime aux yeux du serveur cible, même après l’installation des correctifs de sécurité. Les requêtes malveillantes sont ainsi indétectables par les filtres traditionnels, et la compromission se prolonge en toute discrétion.

Des chercheurs décrivent une chaîne d’infection redoutablement efficace. L’attaque commence avant l’authentification, se poursuit à l’aide de scripts PowerShell, de fichiers ASPX malveillants, et de techniques d’exfiltration directe depuis la mémoire vive du serveur. L’objectif : récupérer des secrets, contourner les journaux système, et pivoter à l’intérieur du réseau à grande vitesse, sans nécessité de ré-exploiter la faille.

 

⏳ Jusqu’où tolérerez-vous d’être piraté ?

CTI ZATAZ – Scannez les menaces vous concernant avant qu’il ne soit trop tard.

✅ Scanner mes risques

Confidentiel. Instantané. Sécurisé. Zéro intermédiaire. 100 % Made in France.

Des milliers de serveurs vulnérables encore exposés

La Shadowserver Foundation estime que jusqu’à 9 000 serveurs SharePoint accessibles depuis Internet pourraient être vulnérables à l’attaque. Les secteurs concernés sont critiques : entreprises industrielles, établissements de santé, cabinets d’audit, institutions bancaires, organismes publics. Le risque d’espionnage économique ou d’interruption de service est donc majeur.

Data Security Breach vous alerte également sur un danger moins visible : la simple présence de la vulnérabilité peut signifier qu’un accès clandestin a déjà été pris. Il ne suffit donc plus de déployer les mises à jour. Il est désormais recommandé de procéder à un audit complet des systèmes, voire à leur isolement en cas de doute sérieux.

Microsoft, de son côté, a reconnu la gravité de la situation. Des mises à jour de sécurité ont été publiées, accompagnées de recommandations urgentes. Toutefois, l’éditeur souligne que les correctifs seuls ne suffisent pas si les attaquants ont déjà obtenu les clés de chiffrement critiques. Pour se protéger, Microsoft préconise également l’activation de l’interface de scan antimalware (AMSI), le déploiement de Microsoft Defender sur les hôtes concernés, et – en cas d’urgence – la coupure de la connexion Internet des serveurs affectés.

Une campagne en chaîne, et des traces menant vers la Chine

Plus inquiétant encore : la faille CVE-2025-49706 est désormais exploitée en tandem avec une autre vulnérabilité, non nommée pour l’instant. Cette combinaison permet de transformer une simple requête HTTP avec un en-tête Referer pointant vers le chemin /_layouts/SignOut.aspx en une attaque complète, équivalente à celle connue sous le nom CVE-2025-53770. Cette technique de contournement minimaliste est actuellement utilisée activement dans des campagnes mondiales, selon les experts Palo Alto Networks.

Quant à l’origine des attaques, aucun groupe n’a encore revendiqué cette campagne sophistiquée. Cependant, les données de Google sur le trafic global ont permis d’établir un lien potentiel avec une groupe APT opérant depuis la Chine. Cette hypothèse reste à confirmer, mais elle est prise au sérieux par les services de renseignement. L’ambassade chinoise, sollicitée, n’a pas souhaité commenter ces accusations. A noter que l’Ip est Chinoise, les pirates sont trés certainement à des milliers de kilomètres de ce pays.

Aux États-Unis, le FBI est désormais saisi de l’affaire, tout comme le National Cyber Security Centre (NCSC) britannique. Les deux entités coopèrent activement avec des partenaires publics et privés pour évaluer l’impact et identifier les vecteurs d’intrusion.

La réaction d’urgence ne suffit plus : les entreprises doivent revoir leur modèle de sécurité

Cette attaque marque un tournant dans la stratégie des cybercriminels. Elle démontre que la compromission d’un serveur peut précéder toute détection, et qu’un patch appliqué tardivement est souvent inutile. Pire encore : certains systèmes sont aujourd’hui silencieusement compromis, en apparence sains, mais manipulés en profondeur. Le modèle de sécurité défensif classique – identifier, patcher, surveiller – montre ici ses limites.

Pour les entreprises utilisant Microsoft SharePoint, il ne s’agit plus d’un simple avertissement. C’est un appel à l’action immédiat, mais aussi à une refonte stratégique. La résilience numérique passe désormais par une surveillance proactive, des journaux renforcés, des audits réguliers de configuration, de la veille sérieuse du web et du dark web comme le propose la référence sur ce sujet, le Service Veille de ZATAZ, et des simulations d’intrusion pour évaluer la surface d’attaque réelle. Le recours à des plateformes cloisonnées, la segmentation réseau, et l’automatisation des détections doivent redevenir prioritaires.

Face à une menace qui évolue aussi vite que les correctifs, seule une vision stratégique et systémique de la cybersécurité permettra de contenir l’impact. Les organisations doivent cesser de traiter les failles comme de simples bugs techniques, et commencer à les voir comme des opportunités offertes à leurs adversaires les plus déterminés.

Rejoignez-nous sur les réseaux sociaux

Newsletter

WhatsApp

Twitter/X

LinkedIn

YouTube

Google News

Aucun spam – Désinscription en un clic – Vie privée respectée

Cybersécurité, Entreprise, Mise à jour, Patch

Patch Tuesday de juillet 2025 : 130 failles corrigées, priorité sur Chrome et Edge

Microsoft publie en juillet 2025 des correctifs majeurs pour Windows, Office, SharePoint, SQL et Visual Studio, tandis que Google Chrome et Edge corrigent une faille Zero Day critique.

Le mois de juillet 2025 marque un Patch Tuesday particulièrement dense, avec 130 nouvelles vulnérabilités (CVE) traitées par Microsoft, dont 14 classées au niveau Critique. Ces failles concernent l’ensemble des environnements Windows, mais touchent également Office, SharePoint et SQL Server, des composants majeurs dans les systèmes d’information des entreprises. Microsoft fait état d’une divulgation publique cette fois, avec la correction d’une faille (CVE-2025–49719) dans Microsoft SQL. Cette vulnérabilité de divulgation d’informations, dont la publication a été confirmée par Microsoft, bénéficie d’un score CVSS v3.1 de 7,5 et est considérée de niveau Important, bien que le code d’exploitation n’ait pas encore été démontré.

D’après les données officielles publiées le 9 juillet 2025, Microsoft recommande l’application rapide des correctifs, les vulnérabilités critiques pouvant permettre l’exécution de code à distance, notamment au travers du service Windows RRAS (Routing and Remote Access Service). Seize failles (CVE) ont été corrigées sur ce composant réseau, exposant les systèmes Windows Server à un risque d’exploitation par des acteurs non authentifiés. Microsoft précise que l’attaque ne nécessite pas de privilèges particuliers et peut être initiée via le réseau. Il est donc conseillé de limiter l’exposition en restreignant l’accès aux ports RRAS à des réseaux de confiance ou via des VPN, et de désactiver les fonctionnalités RRAS non utilisées.

« Les vulnérabilités RRAS, si elles ne sont pas corrigées, peuvent être exploitées sans privilège sur le réseau », rappelle le rapport officiel de Microsoft du 9 juillet 2025.

La situation du service DHCP sous Windows Server, perturbé depuis le Patch Tuesday de juin 2025, s’est également normalisée. Plusieurs entreprises avaient rapporté des problèmes de renouvellement d’adresse IP et des interruptions du service DHCP suite à l’application des mises à jour de juin. Selon les articles de connaissances (KB) mis à jour, ainsi qu’une vérification croisée sur le moteur de recherche Gemini le 8 juillet 2025, ce dysfonctionnement a bien été résolu par les correctifs publiés ce mois-ci. Avant la publication de ces correctifs, la solution temporaire recommandée consistait à désinstaller les mises à jour de juin, au prix d’une exposition accrue à d’autres vulnérabilités.

Git, Chrome, Edge et Visual Studio : correctifs urgents

Outre les produits phares, sept vulnérabilités liées à Git et deux vulnérabilités additionnelles nécessitant la mise à jour de Visual Studio sont corrigées ce mois-ci. Ces failles, signalées par MITRE, touchaient directement l’outil de versionnage Git intégré à Visual Studio, utilisé massivement dans le développement de logiciels. Les mises à jour de Visual Studio sont donc recommandées à tous les développeurs concernés.

Si Microsoft concentre l’attention par le volume de ses correctifs, la plus forte alerte de sécurité de ce début d’été concerne la quatrième vulnérabilité Zero Day de l’année pour Google Chrome. Signalée sous la référence CVE-2025-6554, cette faille a été corrigée dans le build 138.9.7204.96/.97 pour Windows, 138.0.7204.92/.93 pour Mac et 138.0.7204.92 pour Linux. La publication du correctif le 30 juin 2025 précède de quelques jours le Patch Tuesday, mais son importance est majeure, dans la mesure où elle a déjà été exploitée activement. Microsoft Edge, navigateur basé sur le même moteur Chromium, bénéficie également de cette correction.

La diffusion du correctif étant en cours sur l’ensemble des plateformes, la priorité de sécurité numéro un ce mois-ci, selon la méthodologie de priorisation basée sur les risques, est d’assurer le déploiement effectif des mises à jour Chrome et Edge sur tous les postes de travail. « Les administrateurs doivent vérifier que la dernière version de Chrome et Edge est bien déployée pour contrer l’exploitation Zero Day CVE-2025-6554 », précise le communiqué officiel de Google.

Vulnérabilités tierces et recommandations

Les vulnérabilités tierces restent donc le point de vigilance principal en juillet 2025, bien que la volumétrie côté Microsoft soit importante. Les administrateurs système sont invités à maintenir un niveau de patching élevé sur l’ensemble des solutions Microsoft et Google, notamment dans les environnements d’entreprise. Les correctifs de juillet 2025 ne comportent toutefois pas, selon les publications officielles, de risque de sécurité significatif non corrigé ou d’incident majeur en cours. La priorité reste le déploiement rapide des correctifs disponibles.

Les recommandations générales pour limiter l’exposition aux vulnérabilités, comme la restriction des accès réseaux, la désactivation des fonctions inutilisées et l’application rapide des correctifs, demeurent d’actualité. Il convient également de s’assurer que la mise à jour de l’OS Windows Server est appliquée, particulièrement pour les organisations qui auraient désinstallé la mise à jour de juin à cause des problèmes DHCP.

Cybersécurité, Entreprise, Mise à jour, Patch

19 000 sites WordPress WooCommerce vulnérables à vendre

Un internaute annonce sur un forum clandestin la vente de 19 000 sites WordPress vulnérables utilisant WooCommerce. Il exploiterait une faille SQL trés ancienne.

Un pirate informatique repéré dans un darkweb propose à la vente une base de données étonnante. Etonnante sur plusieurs points. D’abord, le hacker malveillant connu pour ses « produits » dans l’espace pirate surveillé indique posséder 19 000 sites sous WordPress faillible. La faille, second étonnement, une injection SQL dans un plugin qui souffrirait d’un problème de sécurité depuis… 21 ans !

Offre sur le darkweb : vente massive de sites vulnérables WordPress + WooCommerce

Sur ce forum darkweb, l’utilisateur a proposé il y a quelques jours à la vente un lot de 19 000 sites WordPress équipés du plugin WooCommerce. Selon l’annonce, ces sites ne sont pas nécessairement des boutiques en ligne : la seule condition est la présence du plugin WooCommerce, largement utilisé pour ajouter des fonctionnalités e‑commerce à WordPress.

L’exploit décrit s’appuie sur une vulnérabilité d’injection SQL (SQLi), citant un identifiant CVE « vieux de 21 ans ». Aucun détail technique n’est fourni dans l’annonce pour relier la vulnérabilité à un CVE précis. Soit le pirate ment, mais il est connu dans le milieu donc risquerait de ce faire bannir de l’ensemble de ses business, soit le pirate n’est pas fou et n’a pas envie de voir les sites trop rapidement corrigés. L’attaque permettrait d’extraire tout contenu de la base de données : hachages de mots de passe, paramètres de configuration, voire potentiellement des informations sensibles selon le contenu des bases.

Caractéristiques de l’offre malveillante

L’annonce indique que le vendeur a collecté ces accès mais n’a pas procédé à une exploitation approfondie, déclarant manquer de temps et souhaitant financer un autre projet. Le prix de la base de sites vulnérables est fixé à 2 000 €. Le vendeur affirme que la faille toucherait diverses typologies de sites WordPress : boutiques en ligne, sites associatifs avec bouton de don, et plateformes diverses utilisant WooCommerce, ce qui inclut de fait de nombreux commerces ou sites de collecte de fonds.

L’annonce spécule sur la présence éventuelle de numéros de cartes bancaires en base, mais le vendeur indique ne pas avoir automatisé leur extraction à grande échelle. Il sollicite d’ailleurs d’éventuelles méthodes ou scripts d’automatisation permettant d’accélérer cette opération, en promettant d’étudier toute suggestion reçue (sic!).

WooCommerce reste le plugin e‑commerce le plus déployé dans l’écosystème WordPress, avec plus de 5 millions d’installations actives selon WordPress.org. L’historique des vulnérabilités SQLi sur WordPress et WooCommerce est longuement documenté. Plusieurs failles majeures de type injection SQL ont été découvertes, dont CVE‑2013‑7448 et CVE‑2022‑0072, affectant le cœur de WordPress ou ses extensions e‑commerce.

Malgré la correction de la majorité des failles majeures, l’absence de mises à jour automatiques ou l’usage de versions piratées expose encore de nombreux sites. Les administrateurs des 19 000 sites annoncés n’ont pas « patchés » des vulnérabilités pourtant réparées. Les conséquences : extraction de données personnelles, compromission des comptes administrateurs, exfiltration de listes clients, voire parfois accès à des informations de paiement si elles ne sont pas externalisées.

La vente massive de sites vulnérables n’est pas une nouveauté. ZATAZ.COM, blog de référence dédié aux questions de lutte contre le cybercrime, a déjà alerté de nombreuses fois de ce type de marketing de la malveillance. L’existence d’un marché secondaire actif sur les accès à des sites non sécurisés n’est pas un « fantasme ». Le risque élevé de vols de données clients (mails, identités, commandes), compromission des comptes administrateurs, fraudes, usurpations ou campagnes d’hameçonnage (BEC) ciblées, éventuelle exfiltration de données de paiement, si la gestion des cartes bancaires n’a pas été externalisée à un tiers sécurisé.

L’annonce n’indique pas si des sites français sont concernés. Aucun élément vérifiable ne permet d’attester l’exactitude de la quantité ni la localisation des victimes. Les autorités comme l’ANSSI et la CNIL rappellent régulièrement l’importance de mettre à jour WordPress et ses plugins, et de surveiller toute activité suspecte sur les bases de données e‑commerce.

Cybersécurité, Mise à jour, Patch

Correctifs critiques et IA gonflée : Microsoft muscle son Patch Tuesday de mai 2025

Le Patch Tuesday de mai 2025 marque un tournant majeur : 72 failles comblées, cinq Zero Day actives, et des mises à jour Windows massives dopées à l’intelligence artificielle.

Chaque deuxième mardi du mois, les équipes informatiques du monde entier retiennent leur souffle. Le Patch Tuesday de Microsoft, devenu un rendez-vous incontournable, vient rythmer la sécurité des systèmes d’exploitation et des logiciels professionnels. Et celui de mai 2025 n’a pas dérogé à la règle : entre les correctifs de vulnérabilités critiques, les exploits déjà utilisés activement et une poussée technologique du côté de l’intelligence artificielle, la cuvée de ce mois se révèle particulièrement dense. Elle exige des entreprises comme des particuliers une attention soutenue et une application rapide des correctifs. Car cette fois, le danger ne plane pas seulement : il est déjà à l’œuvre.

Une avalanche de failles comblées… et cinq Zero Day

Microsoft annonce avoir corrigé pas moins de 72 vulnérabilités (CVE) dans sa mise à jour mensuelle de mai, dont cinq sont classées Zero Day. Ces dernières désignent des failles de sécurité activement exploitées avant même que le correctif ne soit disponible, ce qui les rend particulièrement dangereuses. Si, selon le classement officiel, elles ne sont que de niveau « Important », l’application d’un modèle de priorisation basé sur les risques les fait passer sans hésitation au niveau « Critique ».

Parmi ces vulnérabilités, on retrouve notamment une faille dans le pilote Ancillary Function Driver de WinSock (CVE-2025-32709), permettant une élévation de privilèges en local pour obtenir un accès Administrateur. Cette brèche affecte toutes les versions de Windows Server depuis 2012. Confirmée comme étant exploitée sur le terrain, elle reçoit un score CVSS 3.1 de 7,8.

Dans la même veine, deux autres failles critiques (CVE-2025-32706 et CVE-2025-32701), touchant le système de fichiers journaux communs de Windows, permettent une élévation de privilèges jusqu’au niveau SYSTEM. Là encore, elles concernent l’ensemble des versions de Windows, avec une exploitation active confirmée.

Un autre Zero Day (CVE-2025-30400) cible la bibliothèque du Gestionnaire de fenêtrage Microsoft, rendant vulnérables Windows 10, Server 2016 et toutes les versions ultérieures. Enfin, la cinquième faille critique (CVE-2025-30397) affecte le moteur de scripts Microsoft et permet l’exécution de code sur le réseau.

Cinq vulnérabilités Zero Day activement exploitées sont corrigées, toutes liées à l’OS Windows, et considérées comme critiques par les experts malgré leur évaluation initiale comme « importantes ».

CVE-2025-30397
Type : Corruption de mémoire dans le moteur de script
Conditions : Nécessite l’usage du mode Internet Explorer dans Microsoft Edge, une authentification côté client, et un clic sur un lien malveillant
Gravité réelle : Faible exploitation à large échelle à cause des nombreuses contraintes
Contexte : Peu de vulnérabilités similaires ces dernières années, sauf CVE-2024-38178, exploitée activement en août 2024

Des failles déjà connues, mais pas encore corrigées

Deux autres vulnérabilités font aussi l’objet d’un correctif, bien qu’elles aient déjà été divulguées publiquement. La première, une exécution de code à distance (CVE-2025-30397) dans Visual Studio, affecte les versions 2019 et 2022. Sa dangerosité reste modérée pour l’instant, car sa maturité est jugée « non prouvée » et son exploitabilité « peu probable ».

La deuxième concerne une faille d’usurpation d’identité (CVE-2025-26685) dans Microsoft Defender for Identity, qui pourrait permettre à un pirate d’imiter un utilisateur sur un réseau adjacent. Là encore, la menace reste théorique, mais la divulgation publique impose de s’en prémunir rapidement.

Ce Patch Tuesday ne se limite pas à la correction de failles : il inaugure également une évolution fonctionnelle importante dans Windows 11 et Server 2025. La mise à jour mensuelle pèse désormais près de 4 Go, un volume inhabituel qui s’explique par l’intégration de trois nouvelles fonctions basées sur l’intelligence artificielle.

Parmi elles, Recall, conçue pour faciliter la mémoire utilisateur à travers des rappels contextuels intelligents, Click to Do, un système d’automatisation des tâches courantes inspiré des macros intelligentes, et une version améliorée de Windows Search, désormais capable d’interpréter des requêtes complexes en langage naturel.

Ces ajouts répondent à la volonté de Microsoft d’intégrer l’IA plus profondément dans l’expérience utilisateur de Windows, dans un contexte où la concurrence — notamment avec Apple et Google — s’intensifie sur le terrain des assistants intelligents.

La mise à jour de mai introduit trois fonctions IA dans Windows, alourdissant le programme d’installation à près de 4 Go. Un changement qui marque un tournant vers des OS toujours plus intelligents.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

CVE-2025-30400
Type : Él evation de privilèges dans Desktop Window Manager (DWM)
Contexte : 26 vulnérabilités similaires dans DWM depuis 2022, mais seules deux autres exploitées comme zero-days (CVE-2024-30051, CVE-2023-36033)
Particularité : Faible visibilité d’exploitation active, mais DWM reste une cible fréquente

Adobe : 39 vulnérabilités corrigées, dont 33 critiques

Le Patch Tuesday ne concerne pas uniquement Microsoft. Adobe s’est également illustré avec la publication de 13 mises à jour couvrant un total de 39 CVE. Parmi elles, 33 sont classées comme critiques, soulignant une fois encore la fragilité de certains logiciels largement utilisés dans les milieux professionnels et créatifs, notamment Photoshop, Acrobat et ColdFusion.

Bien que les détails de chaque faille ne soient pas tous publics, Adobe incite les utilisateurs à appliquer les correctifs sans attendre. Comme pour Microsoft, plusieurs des failles corrigées peuvent permettre l’exécution de code arbitraire, avec des conséquences potentiellement dévastatrices si elles sont exploitées.

Pour les administrateurs système et les responsables de la sécurité informatique, ce Patch Tuesday de mai représente un défi de taille. Les correctifs sont nombreux, les priorités claires, mais la complexité croissante des environnements à maintenir rend leur déploiement délicat. Il ne s’agit plus seulement de corriger des failles : il faut aussi tester, valider, s’assurer que les nouvelles fonctionnalités IA n’introduisent pas d’instabilité ou de conflit avec des systèmes existants.

La pression est d’autant plus forte que les menaces ne sont plus théoriques. Les cinq failles Zero Day prouvées démontrent que des cybercriminels sont déjà à l’œuvre. Dans un contexte géopolitique tendu et face à la recrudescence des attaques par ransomwares, les entreprises savent que chaque jour gagné dans l’application des correctifs peut représenter des milliers d’euros économisés… ou évités en rançon.

CVE-2025-32701 & CVE-2025-32706
Type : Élévation de privilèges dans le pilote CLFS (Common Log File System)
Exploitabilité : Exploitées activement en post-compromission, probablement dans des campagnes de cyberespionnage ou de ransomware
Contexte : 33 failles dans CLFS depuis 2022, dont 6 zero-days activement exploités. Ces deux CVE s’inscrivent dans une tendance inquiétante

Vers une automatisation de la cybersécurité ?

L’ampleur de ce Patch Tuesday soulève une question essentielle : comment faire face durablement à une telle fréquence et complexité de mises à jour ? Les géants du secteur misent de plus en plus sur l’automatisation, l’intelligence artificielle et l’apprentissage automatique pour anticiper les failles et accélérer leur résolution. Mais ces outils nécessitent eux-mêmes des ressources et une gouvernance solides.

À terme, faudra-t-il déléguer entièrement les mises à jour à des systèmes intelligents autonomes ? Ou conserver une supervision humaine pour garder le contrôle des choix techniques et des risques éthiques associés à l’IA ?

Le mois de mai 2025, avec son Patch Tuesday dense et riche en nouveautés, illustre la double tendance actuelle : une sécurité toujours plus pressante et une technologie toujours plus complexe. Entre vulnérabilités critiques et assistants dopés à l’IA, l’équilibre devient aussi stratégique qu’ardu à maintenir.

CVE-2025-32709
Type : Élévation de privilèges dans afd.sys, le pilote associé à l’API WinSock
Usage : Typiquement utilisé après compromission initiale, pour renforcer les privilèges d’un attaquant
Contexte : 10 failles similaires depuis 2022, souvent exploitées comme zero-days dans des contextes post-intrusion

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

 

backdoor, Cybersécurité, Patch

Une faille vieille de six ans compromet le commerce en ligne mondial

Un code malveillant enfoui depuis 2019 dans des extensions Magento vient d’être activé, affectant entre 500 et 1 000 boutiques en ligne, dont une entreprise pesant 40 milliards de dollars.

Depuis une semaine, la communauté de la cybersécurité est en alerte maximale. Une attaque sophistiquée de la chaîne d’approvisionnement, dissimulée depuis six ans dans des extensions Magento, a permis à des pirates de prendre le contrôle de centaines de boutiques en ligne. L’ampleur du piratage dépasse les frontières du simple incident technique : elle met en lumière les risques systémiques liés à l’économie numérique, notamment dans le secteur du commerce électronique. Selon le cabinet de cybersécurité Sansec, à l’origine de la découverte, des acteurs malveillants ont compromis des serveurs de téléchargement d’extensions utilisées par des centaines d’e-commerçants à travers le monde. Une faille dormante, activée seulement récemment, a permis une intrusion massive et coordonnée.

L’attaque, qui cible le cœur du fonctionnement des boutiques Magento, repose sur une technique redoutable : le piratage des extensions logicielles fournies par des développeurs tiers. Dans ce cas précis, 21 modules commercialisés ou distribués entre 2019 et 2022 ont été infectés par une porte dérobée, masquée dans une fausse vérification de licence. Cette dernière permet aux hackers de charger un fichier à distance, sans authentification pour les versions les plus anciennes, ou via une clé secrète dans les plus récentes. Grâce à cette faille, les attaquants pouvaient injecter du code arbitraire dans les serveurs des e-commerçants et potentiellement accéder aux données des clients, aux informations de paiement ou encore aux paramètres de configuration sensibles.

Les fournisseurs impliqués sont trois noms bien connus de l’écosystème Magento : Tigren, Meetanshi et Magesolution (MGS). Tous trois proposent depuis plusieurs années des modules d’optimisation pour les boutiques en ligne : ajouts au panier plus fluides, gestion des cookies, localisation des magasins ou encore intégration avec les réseaux sociaux. Autant d’outils précieux pour les commerçants, mais qui se sont révélés être, dans ce cas précis, des chevaux de Troie. Les backdoors ont été identifiées dans des extensions telles que Ajaxsuite, RGPD, Lookbook, ou encore Facebook Chat, avec une même signature : un fichier License.php ou LicenseApi.php détourné de sa fonction initiale.

« Une multinationale pesant 40 milliards de dollars est parmi les victimes« 

Le scénario découvert est d’autant plus inquiétant que la compromission initiale remonte à plusieurs années. Le code malveillant aurait été injecté dès 2019, voire plus tôt, mais n’a été activé qu’en avril 2025. Cette stratégie dite de « dormance » est particulièrement redoutée en cybersécurité : elle permet à l’attaquant de rester invisible pendant des années, jusqu’au jour où il décide d’agir. Le fait que l’abus réel n’ait commencé qu’en avril interroge les experts : s’agissait-il d’une phase de test, ou d’une attaque mûrement planifiée pour coïncider avec une période stratégique, comme la saison des ventes en ligne ? Les implications sont majeures.

La réaction des fournisseurs concernés jette une lumière crue sur la difficulté de gérer de telles crises. Tigren nie avoir été piraté, malgré les preuves techniques et le maintien en ligne de ses extensions compromises. Meetanshi, plus transparent, admet que son serveur a bien été compromis, sans pour autant reconnaître d’altération de ses packages. Quant à Magesolution, il n’avait toujours pas répondu aux sollicitations lors de l’écriture de l’article de DataSecurityBreach.fr. Un silence qui interroge, alors même que ses modules restent disponibles au téléchargement, porte dérobée incluse.

L’analyse révèle que chaque backdoor possède un nom, un chemin et une somme de contrôle uniques. Cela suggère une attaque particulièrement sophistiquée, menée avec minutie pour éviter toute détection automatisée. Cette personnalisation complique le travail des systèmes antivirus et des scanners de sécurité, qui peinent à identifier une menace qui ne se répète pas à l’identique. De plus, les hackers ont utilisé un fichier appelé registration.php pour activer la fausse vérification de licence, une méthode subtile permettant de ne pas éveiller les soupçons des développeurs ou des administrateurs de sites.

« Il est rare qu’une porte dérobée reste indétectée pendant six ans, mais il est encore plus étrange que les abus réels ne commencent que maintenant »

D’un point de vue technique, la faille repose sur une fonction appelée « adminLoadLicense », qui exécute en PHP le contenu d’une variable contrôlée par l’attaquant : $licenseFile. C’est cette porte d’entrée qui permet l’exécution de code à distance. Dans les versions anciennes des extensions, aucune authentification n’était requise pour charger un fichier, ce qui rendait l’attaque encore plus facile à mener. Les versions plus récentes imposent une clé secrète, mais celle-ci a manifestement été compromise, ou générée de manière prévisible.

Au-delà de l’aspect technique, cette attaque soulève des questions majeures sur la sécurité des chaînes d’approvisionnement logicielles. Dans un monde numérique où la majorité des entreprises s’appuient sur des composants tiers pour bâtir leurs infrastructures, la confiance dans les fournisseurs devient un enjeu vital. Lorsque cette confiance est trahie, les conséquences sont catastrophiques. Dans ce cas, non seulement les commerçants ont été exposés, mais également les consommateurs, dont les données personnelles et financières ont pu être compromises.

Le modèle économique des extensions Magento accentue ce risque. Bon nombre de ces modules sont gratuits ou à faible coût, développés par des petites entreprises ou des indépendants qui n’ont pas les moyens de mettre en place des processus de sécurité avancés. Et même lorsque des vérifications existent, elles se concentrent souvent sur les fonctionnalités visibles, non sur des fichiers apparemment anodins comme License.php. Cette attaque démontre qu’il est désormais impératif d’intégrer des audits de sécurité profonds, même pour les composants considérés comme mineurs.

À l’échelle globale, cette faille pourrait entraîner un regain de méfiance envers les plateformes open source comme Magento. Pourtant, le problème ne vient pas de la plateforme elle-même, mais de l’écosystème de modules tiers non suffisamment contrôlés. Des géants comme Adobe, propriétaire de Magento, devront sans doute revoir leurs processus de validation et encourager les utilisateurs à auditer les packages avant toute installation. La multiplication des attaques de ce type, SolarWinds, Log4j, et maintenant Magento, montre que la chaîne d’approvisionnement numérique est devenue le nouveau front du cybercrime.

Les conséquences économiques exactes de l’attaque restent à évaluer. Si une multinationale de 40 milliards de dollars est impliquée, les pertes potentielles pourraient se chiffrer en millions d’euros. Outre l’atteinte à la réputation, il faudra aussi compter avec les frais de mise à jour des systèmes, les audits de sécurité, les signalements aux régulateurs et, possiblement, des plaintes de clients. Le RGPD prévoit en effet des sanctions sévères en cas de fuite de données due à une négligence dans la chaîne de traitement.

Dans l’immédiat, il est recommandé aux commerçants en ligne utilisant les extensions concernées de les supprimer sans délai, de scanner leurs serveurs à la recherche de fichiers suspects et d’auditer les accès réseau. Il est également conseillé de mettre en place un suivi automatisé de l’intégrité des fichiers, pour détecter rapidement toute modification suspecte.

Cette attaque soulève une inquiétude légitime : combien d’autres portes dérobées dorment encore dans nos infrastructures numériques ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Apple, Cybersécurité, Mise à jour, Patch

AirPlay en péril : les failles « AirBorne » mettent en danger des milliards d’appareils Apple

Des chercheurs ont découvert 23 vulnérabilités dans AirPlay, menaçant potentiellement plus de deux milliards d’appareils Apple et tiers d’attaques informatiques sophistiquées.

La dernière alerte de cybersécurité en date concerne l’un des protocoles les plus utilisés de l’écosystème Apple : AirPlay. Conçu pour permettre la transmission fluide de contenu audio, vidéo ou d’affichage entre appareils Apple – ou vers des appareils tiers compatibles – AirPlay est aujourd’hui au centre d’un problème de sécurité d’envergure. Le 31 mars 2025, Apple a publié une série de correctifs critiques pour iOS, macOS, iPadOS, visionOS ainsi que pour les SDK audio et vidéo AirPlay. En cause : un ensemble de 23 vulnérabilités découvertes par les experts de la société Oligo Security, regroupées sous le nom évocateur de « AirBorne ».

Ces failles permettent notamment l’exécution de code à distance, les attaques Man-in-the-Middle (MitM), le déni de service, l’interaction non autorisée avec l’utilisateur et la lecture de fichiers locaux. Parmi les menaces les plus graves identifiées : deux failles de type « zéro clic », permettant de compromettre un appareil sans aucune interaction de l’utilisateur, et une autre contournant la validation manuelle d’une connexion AirPlay. Ces vulnérabilités peuvent être exploitées via une connexion directe entre appareils ou à travers un réseau Wi-Fi partagé, décuplant ainsi leur potentiel de propagation et de nuisance.

Un risque systémique pour l’écosystème Apple

L’une des forces d’Apple – la connectivité fluide entre ses appareils – devient ici une faiblesse structurelle. Un iPhone compromis par AirBorne pourrait, par exemple, infecter un Mac, une Apple TV ou même un téléviseur tiers connecté au même réseau domestique ou professionnel. Les conséquences sont multiples : espionnage discret via prise de contrôle des flux audiovisuels, déploiement de rançongiciels, compromission de chaînes d’approvisionnement ou sabotage de systèmes critiques dans des environnements sensibles comme les hôpitaux ou les entreprises technologiques.

Les chercheurs d’Oligo Security ont démontré que des haut-parleurs Bose ou des téléviseurs intelligents compatibles AirPlay peuvent aussi être visés. À travers une vidéo de preuve de concept, ils ont montré qu’il est possible d’afficher des images arbitraires sur un appareil tiers, soulignant le potentiel d’un contrôle complet à distance.

« AirPlay est omniprésent et vulnérable »

Selon Oligo, pas moins de 2,35 milliards d’appareils Apple dans le monde sont concernés. À ce chiffre déjà vertigineux s’ajoutent des dizaines de millions d’appareils tiers, comme les haut-parleurs connectés, les téléviseurs intelligents et les systèmes de divertissement embarqués prenant en charge CarPlay. En clair, la surface d’attaque dépasse largement les seuls produits Apple.

« Étant donné qu’AirPlay est pris en charge par un grand nombre d’appareils, il faudra des années pour que beaucoup d’entre eux soient corrigés, ou ils ne le seront jamais« , avertissent les chercheurs.

Cette prédiction fait froid dans le dos. Car si Apple a rapidement publié des correctifs pour ses propres appareils, les fabricants tiers devront adapter, tester et déployer leurs propres mises à jour pour les intégrer. Or, dans le monde de l’électronique grand public, où les mises à jour logicielles tardent souvent – voire sont complètement négligées – ce délai représente un danger concret et durable.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Des attaques potentiellement autonomes et persistantes

Les failles AirBorne sont d’autant plus préoccupantes qu’elles pourraient être utilisées pour créer un ver, c’est-à-dire un logiciel malveillant capable de se propager de manière autonome d’un appareil vulnérable à un autre. Cela rappelle les grands incidents informatiques comme WannaCry ou NotPetya, qui ont paralysé des réseaux entiers à l’échelle mondiale.

Dans le cas présent, un tel ver pourrait tirer parti de la connectivité sans fil entre les appareils pour s’infiltrer sans laisser de trace visible. Il suffirait qu’un utilisateur se connecte à un réseau Wi-Fi public ou mal sécurisé pour voir son téléphone ou son ordinateur portable compromis, devenant alors un vecteur d’infection pour tous les autres appareils compatibles AirPlay du réseau.

« Ce type de vulnérabilités peut avoir de graves conséquences« , écrivent les experts, soulignant que l’attaque peut débuter par un simple partage de contenu AirPlay entre deux appareils de confiance.

Des réponses à mettre en œuvre rapidement

Face à cette menace, la réponse ne peut pas se limiter à des correctifs techniques. Les chercheurs appellent les entreprises à mettre immédiatement à jour tous les appareils Apple qu’elles utilisent, y compris les terminaux personnels des employés, et à désactiver AirPlay lorsqu’il n’est pas indispensable.

Ils recommandent également de limiter l’accès à AirPlay par le biais de pare-feux ou de règles de sécurité réseau, en s’assurant que seuls des appareils connus et approuvés puissent établir une connexion. Ces mesures sont relativement simples à mettre en œuvre dans un environnement d’entreprise, mais beaucoup plus complexes dans le grand public, où la commodité prime souvent sur la sécurité.

Du côté d’Apple, la réponse a été rapide, mais reste partielle. En publiant des mises à jour pour iOS 18.4, macOS Sonoma 14.7.5, Ventura 13.7.5, Sequoia 15.4 et visionOS 2.4, l’entreprise a montré sa capacité à réagir efficacement. Toutefois, elle ne peut pas imposer aux fabricants tiers de patcher leurs produits, ni contraindre les utilisateurs à installer les mises à jour.

Cela pose la question de la gestion de la sécurité dans les écosystèmes interconnectés, où la responsabilité est répartie entre plusieurs acteurs : Apple, les fabricants tiers, les développeurs de logiciels, les fournisseurs d’accès et, bien sûr, les utilisateurs eux-mêmes.

La promesse d’AirPlay se heurte à la réalité des cybermenaces

Depuis son lancement, AirPlay a été présenté comme un symbole d’innovation, de simplicité et d’interopérabilité. Mais en 2025, cette vision est remise en question par une réalité plus sombre : celle de systèmes complexes, où chaque fonction peut devenir un vecteur de compromission.

À mesure que les objets connectés prolifèrent, que les voitures s’équipent de CarPlay, et que les foyers adoptent des téléviseurs toujours plus intelligents, la sécurité des protocoles comme AirPlay devient une priorité stratégique. Car si ces failles venaient à être exploitées à grande échelle, les conséquences pourraient être dramatiques pour les particuliers comme pour les organisations.

D’autant que la connectivité AirPlay est souvent active par défaut, exposant sans le savoir de nombreux utilisateurs à des risques qu’ils ne soupçonnent même pas. L’illusion de sécurité procurée par la marque Apple pourrait ainsi jouer contre elle, en incitant à un excès de confiance.

L’affaire AirBorne pose, en filigrane, la question fondamentale de la confiance dans les technologies que nous utilisons chaque jour. Quand un protocole aussi central et populaire qu’AirPlay se révèle vulnérable à des attaques sophistiquées, c’est l’ensemble de l’édifice numérique qui vacille.

Les prochaines semaines diront si les mises à jour d’Apple suffiront à juguler la menace ou si, comme le craignent certains experts, une vague d’attaques exploitant ces failles se prépare. Mais une chose est sûre : l’affaire AirBorne marquera un tournant dans la manière dont la sécurité des protocoles sans fil est perçue, tant par les ingénieurs que par le grand public.

En fin de compte, cette alerte pourrait-elle inciter les fabricants à repenser l’architecture de leurs systèmes et à accorder une priorité absolue à la sécurité dès la conception ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Mise à jour, Patch

Sécurité en alerte : Microsoft corrige 126 failles, dont une déjà exploitée

Microsoft a publié une mise à jour de sécurité massive pour corriger 126 vulnérabilités, dont une, critique, est déjà activement exploitée par des groupes de hackers.

C’est un rituel désormais bien rôdé : chaque deuxième mardi du mois, Microsoft déploie son « Patch Tuesday », la grande mise à jour mensuelle de sécurité de ses produits. Mais celle d’avril 2025 a fait l’effet d’un coup de semonce dans le secteur. Avec pas moins de 126 failles comblées, dont 11 jugées critiques, 112 importantes et 2 de moindre gravité, le géant de Redmond montre l’ampleur des menaces qui pèsent aujourd’hui sur les utilisateurs de ses systèmes. Surtout, une vulnérabilité particulièrement dangereuse, identifiée sous le code CVE-2025-29824, attire toutes les attentions : déjà exploitée activement dans la nature, elle concerne un composant central de Windows et laisse des millions d’appareils à la merci de pirates.

La faille CVE-2025-29824 touche le pilote Windows CLFS (Common Log File System), un composant chargé de la gestion des journaux système. La nature de la brèche est connue : il s’agit d’une erreur de type use-after-free, un bug de gestion de mémoire bien documenté qui permet, dans certains cas, à un attaquant local de prendre le contrôle complet de la machine. Le plus inquiétant est que cette faille ne nécessite pas de droits administrateur pour être exploitée. Un simple accès local suffit pour élever ses privilèges au niveau système, ouvrant la voie à toutes les dérives, notamment l’installation de rançongiciels. Microsoft a confirmé que cette vulnérabilité était déjà utilisée dans des attaques réelles.

La faille critique CVE-2025-29824, activement exploitée, permet à un utilisateur local d’obtenir un contrôle total sur un système Windows sans droits d’administrateur.

Ce type d’attaque n’en est pas à son premier coup d’essai. Depuis 2022, c’est la sixième vulnérabilité du même genre exploitée dans CLFS, ce qui souligne une faiblesse structurelle dans le composant. En réaction à la menace, la CISA (Cybersecurity and Infrastructure Security Agency) américaine a ajouté cette faille à son catalogue des vulnérabilités activement exploitées. Elle impose aux agences fédérales de déployer le correctif avant le 29 avril 2025, une mesure exceptionnelle qui traduit l’urgence de la situation.

Mais tout le monde ne peut pas encore respirer. Le correctif de Microsoft n’est pas disponible pour certaines versions de Windows 10, en particulier les éditions 32 et 64 bits, toujours largement utilisées dans le monde professionnel comme chez les particuliers. Cela signifie que des millions d’appareils restent vulnérables à cette faille, sans solution immédiate. Pour ces utilisateurs, la seule défense reste la prudence et la limitation des accès physiques aux machines.

Outre CVE-2025-29824, la vague de correctifs d’avril couvre un large éventail de services et d’applications critiques. Des failles ont été corrigées dans des protocoles d’authentification comme Kerberos, dans le bureau à distance RDP, le service LDAP, la suite bureautique Microsoft Office (dont Excel), ainsi que dans la pile réseau TCP/IP de Windows et l’hyperviseur Hyper-V. Plusieurs de ces vulnérabilités permettaient l’exécution de code à distance, ce qui, dans les mains d’un pirate, peut se traduire par une prise de contrôle totale du système ciblé.

Certaines failles corrigées ce mois-ci permettaient l’exécution de code à distance, ouvrant la porte à des compromissions totales de système.

Ces failles, combinées à la montée en puissance des attaques par rançongiciel, posent de sérieuses questions sur la résilience des infrastructures informatiques. Aujourd’hui, les cyberattaques ne visent plus seulement les grandes entreprises ou les institutions : elles touchent aussi les PME, les collectivités, les hôpitaux et les particuliers. Chaque faille non corrigée devient une porte d’entrée potentielle pour des groupes cybercriminels de plus en plus organisés, souvent liés à des États.

La publication de cette mise à jour n’est pas un événement isolé. Avril 2025 a vu un véritable branle-bas de combat dans l’ensemble de l’industrie technologique. Outre Microsoft, des entreprises comme Adobe, Google, Apple, Cisco, HP, AMD, Mozilla, Fortinet, SAP, Zoom et les éditeurs de distributions Linux ont également publié des mises à jour de sécurité importantes. Cela montre à quel point les failles sont omniprésentes, souvent découvertes par des chercheurs en cybersécurité, mais aussi parfois après avoir été utilisées à mauvais escient.

Pour les professionnels de l’IT et les responsables de la sécurité, cette cascade de correctifs signifie des heures de travail supplémentaires pour tester, déployer et vérifier les mises à jour dans des environnements parfois complexes. Le moindre oubli, le moindre retard peut avoir des conséquences dramatiques. Dans ce contexte, les politiques de gestion des correctifs (patch management) deviennent une composante essentielle de la stratégie de cybersécurité d’une organisation.

Microsoft, de son côté, continue d’améliorer ses systèmes de détection et de réponse face aux menaces. L’entreprise s’appuie sur des données récoltées à travers son vaste écosystème pour repérer rapidement les nouvelles attaques. Mais face à l’ingéniosité des cybercriminels, la simple réactivité ne suffit plus. Il faut une approche proactive, avec des audits réguliers, une réduction de la surface d’attaque et une sensibilisation constante des utilisateurs aux bons comportements.

À moyen terme, la dépendance à des composants anciens et parfois mal sécurisés comme CLFS interroge sur la durabilité des architectures logicielles actuelles. Faut-il réécrire des pans entiers du code de Windows pour éviter les mêmes erreurs ? Est-il encore viable de maintenir autant de versions du système d’exploitation en parallèle ? Ces questions, stratégiques, dépassent le cadre technique et engagent l’ensemble de l’écosystème numérique.

Enfin, cette actualité rappelle une réalité trop souvent ignorée : la cybersécurité n’est plus un sujet réservé aux experts. C’est une préoccupation quotidienne, qui touche directement la vie des utilisateurs et la stabilité des entreprises. Face à des menaces de plus en plus sophistiquées, la seule stratégie gagnante reste la vigilance.