Noma Labs a découvert GitLost, une vulnérabilité de prompt injection dans les Agentic Workflows de GitHub, qui couplent GitHub Actions à des agents IA (Claude, Copilot). Un attaquant non authentifié publie une issue GitHub piégée dans un dépôt public de l'organisation. Ensuite, l'agent, en lisant le ticket, exécute les instructions cachées plutôt que sa tâche initiale. Le PoC a exfiltré le contenu de fichiers README de dépôts privés accessibles à l'agent, publiés en commentaires publics.

Sysdig documente JADEPUFFER, présenté comme le premier cas de ransomeware « agentique » où une IA exécute techniquement l'attaque. L'agent a exploité une faille de Langflow (CVE-2025-3248), pivoté vers un serveur MySQL de production, chiffré plus de 1 300 enregistrements de configuration Nacos et généré sa propre note de rançon. TechCrunch rapporte qu'un humain a tout de même choisi la victime, provisionné l'infrastructure et fourni les identifiants de base de données. Les agents IA ont fait le reste.

Cybermalveillance.gouv.fr met à disposition gratuitement la MalletteCyber Pro, un kit de sensibilisation destiné aux TPE-PME. Il répond à un constat : 80 % des petites entreprises se sentent mal préparées face aux cyberattaques, alors que 58 % estiment être suffisamment protégées. Le kit comprend un livret de fiches pratiques, une affiche des menaces courantes, un jeu de cartes pédagogique et une infographie des réflexes essentiels.

Anthropic supprime une fonctionnalité de suivi discrète de Claude Code après que des développeurs l'ont accusée d'identifier secrètement les utilisateurs situés en Chine ou liés à des laboratoires d'IA chinois. Le code détectait le fuseau horaire et les paramètres de proxy, puis insérait des filigranes imperceptibles dans le texte généré (formats de date modifiés, apostrophes remplacées par des caractères Unicode identiques).

La police nationale espagnole a arrêté à Palencia un homme pour des chefs liés au terrorisme, dans une enquête menée avec le FBI. Le suspect aurait collaboré avec les groupes hacktivistes pro-russes CARR (CyberArmy of Russia Reborn), Z-Pentest et NoName057(16), désignés comme organisations terroristes, et fourni une couverture logistique à un hacker ukrainien pour fuir via la Pologne et la Biélorussie.

La CNIL a prononcé 23 sanctions en procédure simplifiée entre janvier et juillet 2025, dont 19 issues de plaintes. Les manquements concernent la vidéosurveillance, des bandeaux cookies incomplets déposant des traceurs tiers sans consentement et le non-respect des droits d'accès et d'effacement. Les montants des pénalités n'ont pas été précisés. Le rythme, environ une sanction par semaine, alimente le débat sur l'ampleur de l'action.

Unit 42 décrit une campagne d'ingénierie sociale déployant le malware EtherRAT via de faux appels Microsoft Teams. Après un e-mail de phishing, la victime reçoit un appel d'un compte usurpant son administrateur système, qui exploite le partage d'écran de Teams et fait installer des outils de gestion à distance (HopToDesk, AnyDesk).

Socket relie PolinRider au cluster « Contagious Interview / Famous Chollima » nord-coréen. La campagne diffuse 162 artefacts malveillants sur 108 paquets et extensions à travers npm, Packagist, les modules Go et des extensions Chrome. Des loaders JavaScript obfusqués sont dissimulés par du bourrage d'espaces, de faux fichiers de police .woff2 et des modifications de fichiers de configuration (vite.config.js).

Apple introduit Trust Insights, un framework d'iOS 27 conçu pour détecter les tentatives d'ingénierie sociale (appels, SMS, e-mails) au moment où elles se déroulent. Le traitement s'effectue principalement sur l'appareil, en analysant les schémas d'interaction, le timing et le contexte, sans examiner le contenu de Photos, Messages ou Mail. Le système attribue un niveau de risque et ne transmet qu'une valeur d'évaluation à Apple.

Google et le FBI ont porté un coup au botnet de proxys résidentiels NetNut, qui compromettait plus de 2 millions d'appareils (TV connectées, box streaming, téléphones Android). Google a désactivé son infrastructure de C2, le FBI et l'IRS saisissant des centaines de domaines. Les appareils, infectés via du code préinstallé ou des SDK cachés dans des applications gratuites, servaient de nœuds de sortie. Le password spraying était l'usage le plus fréquent, avec 316 clusters malveillants recensés en une semaine. Le service était commercialisé par l'israélienne Alarum Technologies.

Peter Stokes, 19 ans, membre présumé de Scattered Spider, a été extradé de Finlande vers les États-Unis pour conspiration criminelle, intrusion informatique et fraude. Microsoft a fourni au FBI le GDID (Global Device Identifier), identifiant unique attribué à chaque installation de Windows 11, permettant de corréler l'ordinateur de Stokes à la création d'un compte sur ngrok. L'éditeur a communiqué une télémétrie horodatée reliant l'identifiant à des adresses IP VPN et à des comptes personnels. L'affaire illustre l'ampleur de la surveillance intégrée à Windows 11.

Le comté d'Union, dans l'Ohio, a versé environ 1 million de dollars en bitcoins au groupe Kairos le 13 juin 2025, après un vol de données en mai. Kairos n'est pas un opérateur de rançongiciel classique : aucun chiffreur n'a été identifié, le groupe se contentant de voler des données obtenues par attaque en force brute, puis de menacer de les publier.

La gendarmerie nationale, via l'UNCyber de Montpellier, annonce le démantèlement de la structure derrière YggTorrent, site de torrents comptant environ 10 millions de membres depuis 2017. L'enquête vise la contrefaçon en bande organisée, le blanchiment aggravé et l'exploitation d'une plateforme facilitant des transactions illicites, pour un préjudice estimé à des dizaines de millions d'euros. Douze personnes sont mises en cause (administrateurs, modérateurs). Les saisies incluent des cryptomonnaies, 45 000 € de matériel et 50 000 fichiers torrent. L'action fait suite à la fermeture du site en mars, après une compromission de sa base de données.

L'eurodéputé grec Stelios Kouloglou, membre de la commission PEGA du Parlement européen chargée d'enquêter sur les abus des logiciels espions, a été infecté à plusieurs reprises par Pegasus, selon le Citizen Lab. Son iPhone a été compromis en octobre 2022 et mars 2023, à des moments coïncidant avec des auditions clés. L'attaque exploitait une faille zero-click liée au système domotique de l'iPhone, sans interaction de la victime. Communications professionnelles et données personnelles ont été exfiltrées.

Un chercheur pseudonyme (« bikini », « ashdfrkl ») a publié sur GitHub, à partir du 27 juin 2026, plus de 30 preuves de concept exploitant des vulnérabilités zero-day non divulguées, identifiées via du fuzzing assisté par IA. Il rejette la divulgation coordonnée, estimant que la publication accélère les correctifs et rend la sécurité plus accessible aux débutants. Les failles touchent des projets répandus : noyau Linux, libssh2, FFmpeg, Gitea, PHP, OpenVPN, VLC, 7-Zip. Au moins douze CVE ont été attribuées, dont la CVE-2026-55200, une RCE libssh2 activement exploitée. Des experts critiquent l'approche.

KDDI, opérateur télécom japonais, confirme un incident affectant plus de 12 millions de personnes. Une plateforme de messagerie mutualisée entre cinq fournisseurs d'accès a été compromise, exposant 12 233 087 adresses e-mail et 7 616 173 mots de passe, certains sous forme hashée ou chiffrée. Les attaquants ont exploité une vulnérabilité zero-day dans un logiciel tiers.

11 vulnérabilités critiques cette semaine dont 0 exploitées et 0 avec un code d'exploitation public.

Sur ces 7 derniers jours la CISA a ajouté 4 vulnérabilités exploitées :

Le CERT/CC détaille une porte dérobée d'authentification dans le firmware de plusieurs routeurs Tenda. La faille CVE-2026-11405 réside dans la fonction de login du binaire /bin/httpd : en cas d'échec d'authentification, celui-ci récupère un mot de passe caché via GetValue("sys.rzadmin.password") et le compare en clair à la saisie. Le nom d'utilisateur n'étant pas vérifié, n'importe quel identifiant associé à ce mot de passe accorde un accès administrateur complet à l'interface web. Aucun correctif n'est disponible. Il est donc recommandé de désactiver la gestion web distante.

RunZero divulgue sept vulnérabilités sans correctif dans FatFs, bibliothèque de système de fichiers FAT/exFAT omniprésente dans l'IoT, les contrôleurs industriels, drones, wallets crypto et distributeurs. La plus grave, la CVE-2026-6682 (CVSS 7.6), provoque un débordement d'entier au montage FAT32 menant à une corruption mémoire et une exécution de code. L'exploitation passe par un support ou une image firmware corrompus. Le mainteneur unique étant injoignable, chaque fabricant doit développer ses propres correctifs.

Bad Epoll, CVE-2026-46242, est une faille use-after-free du noyau Linux (versions 6.4 et ultérieures sans le commit a6dc643c6931). Un race condition lors du démontage d'un objet epoll ouvre une fenêtre d'environ six instructions machine, exploitable de façon répétée avec un taux de réussite proche de 99 % sans crash. Elle permet une élévation de privilèges locale jusqu'à root, y compris sur Android, et peut être déclenchée depuis le processus renderer isolé de Chrome pour une évasion de sandbox. L'IA Mythos avait identifié une faille voisine (CVE-2026-43074) mais manqué Bad Epoll.

Un développeur découvre du code obfusqué caché dans un fichier tailwind.config.js, après des centaines d'espaces destinés à décourager le défilement. L'analyse en sandbox Docker révèle un beacon C2 effectuant des appels JSON-RPC vers l'API blockchain TRON (api.trongrid.io).

Synacktiv démontre comment des modèles génératifs vidéo défont les systèmes de vérification d'âge KYC basés sur AWS Rekognition. La méthode combine une caméra virtuelle injectant une vidéo pré-générée et un deepfake produit à partir d'une simple photo. Le challenge FaceMovementChallenge, exigeant des mouvements de tête, est reproduit grâce à l'animation guidée par la pose. La génération locale prend environ 3 minutes sur RTX 5090, rendant l'attaque économiquement accessible.

Quarkslab a audité Cortex, base de données time-series multi-tenant pour métriques Prometheus. L'évaluation ciblait les mécanismes d'isolation et de ségrégation des données entre tenants. Sept vulnérabilités ont été identifiées (six moyennes, une faible).

H2Lab publie un guide technique sur la mise à jour sécurisée des systèmes embarqués, ciblant les microcontrôleurs sans abstraction mémoire (architectures Cortex-M et RV32). Le document détaille l'architecture logicielle double banque (A/B) et sa machine d'états de démarrage sécurisée, le partitionnement mémoire, puis la chaîne de confiance cryptographique avec manifeste signé et gestion des clefs.

L'article présente WinPE comme environnement sans état pour le test CI/CD et le fuzzing de drivers Windows. Résident en RAM depuis une image WIM, WinPE démarre avec des privilèges système et une empreinte mémoire minimale (512 Mo).

Dans cette seconde partie, Synacktiv étend le support Linux des délégations Kerberos pour usurper des identités à travers domaines et forêts. L'article détaille l'implémentation récursive de S4U2Self et S4U2Proxy, avec variantes branch-aware et U2U pour les comptes sans SPN. Une chaîne d'attaque RBCD sans SPN combine S4U2Self+U2U, contrainte RC4-HMAC, modification de mot de passe via la clef de session, puis S4U2Proxy. La dépréciation progressive de RC4 par Microsoft limite toutefois cette technique. Une version modifiée d'Impacket implémente ces enchaînements sur des hiérarchies multi-domaines, avec de nouvelles options en ligne de commande.

La PHP Foundation a constitué une équipe dédiée à la sécurité de l'écosystème. En un mois, elle a scanné plus de 300 des paquets Composer les plus téléchargés et la plupart des grands frameworks, contacté 35 mainteneurs et partagé des centaines de findings, aboutissant à près d'une centaine de correctifs publics. Un même correctif a été appliqué à environ 200 dépôts via leurs GitHub Actions.

Snyk publie VulnBench JS 1.0, un benchmark évaluant si les LLM identifient les mêmes vulnérabilités sur un code identique à travers plusieurs exécutions. L'étude compte 300 scans. La meilleure configuration, Claude Opus 4.6 Medium, atteint 75,4 % de F1, sous la reproduction déterministe du SAST. Les techniques apparaissent complémentaires plutôt que concurrentes.

Trail of Bits décrit les clefs RSA short-sleeve, dont les bits de la clef privée sont biaisés vers zéro, formant des blocs de zéros réguliers. En base 2^w, ces clefs s'expriment comme des polynômes à petits coefficients, bien plus faciles à factoriser pour récupérer les nombres premiers p et q. La cause est un bug de type dans CompleteFTP, n'allouant que 8 bits d'aléa par limbe de 32 bits. Les chercheurs ont récupéré 603 clefs RSA et 74 clefs DSA compromises.

SOCBench est un benchmark ouvert qui évalue des modèles d'IA de pointe sur des tâches réelles de centre opérationnel de sécurité (SOC). La première version mesure la détection, classifiant flux réseau, logs et alertes comme malveillants ou bénins. L'évaluation repose sur quatre dimensions : efficacité, coût, latence et fiabilité.

Ce toolkit Python expérimental permet de lire les cartes nationales d'identité françaises via un lecteur de cartes à contact PC/SC. L'outil extrait les groupes de données ICAO LDS : zone lisible par machine, photographie, données personnelles et adresse. Les données biométriques restent inaccessibles, protégées par l'Extended Access Control nécessitant des certificats officiels.

Zizmor est un outil d'analyse statique, écrit en Rust, identifie les vulnérabilités de sécurité dans les workflows GitHub Actions sans les exécuter. Il détecte plusieurs catégories de problèmes : injections de templates permettant l'exécution de code contrôlé par un attaquant, mauvaise gestion des credentials avec persistance ou fuite de secrets, permissions trop larges accordées aux runners, ainsi que les références Git risquées comme les commits usurpateurs.

Développé en réponse à l'attaque sur la chaîne d'approvisionnement tj-actions ayant compromis plus de 23 000 dépôts, ce scanner analyse les workflows GitHub Actions (alternative à Zizmor ci-dessus).

Cet outil open source vérifie les clés publiques cryptographiques à la recherche de vulnérabilités connues. Il prend en charge plusieurs formats : clés PEM (PKCS #1 et #8), certificats X.509, demandes de signature de certificat (CSR) et clés publiques SSH. Il peut analyser des fichiers locaux ou tester à distance des hôtes SSH et TLS.

RootAsRole (commande dosr) est un outil Linux de délégation de privilèges fondé sur le RBAC. Là où sudo accorde le root complet, il n'attribue que les capabilities strictement nécessaires (ex. CAP_NET_RAW), respectant le principe du moindre privilège.

🎧️ France Inter (Le code a changé) - Comment Poutine a isolé et mis au pas l'Internet russe au nom d'une souveraineté numérique.

🎬 Micode - Comment des internautes ont démasqué un empoisonnement d'État.

🗓️ Black Hat Training & Briefings USA - Du 1er au 6 août 2026 à Las Vegas, US

🗓️ Defcon - Du 6 au 9 août 2026 à Las Vegas, US

🗓️ Barbhack - Le samedi 29 août 2026 à Toulon, France

LaLiga fait bloquer par les FAI les adresses IP de serveurs pirates via un système dynamique appliqué en temps réel, les jours de match. Le problème vient du partage d'adresses IP entre serveurs illégaux et sites légitimes. Selon l'OONI, entre janvier et juin, 500 000 sites légaux ont été bloqués, dont Amnesty International, Greenpeace Argentine, Cool Earth et Berkeley Earth. Plus grave, l'opérateur Digi Mobil Espagne a employé une interception HTTPS touchant plus de 10 000 domaines légitimes et exposant la vie privée des abonnés.

Le 7 juillet 2026, le Parlement européen a voté le recours à la procédure d'urgence sur Chat Control 1.0, ouvrant la voie à un vote sur le fond le 9 juillet. Ce texte est une dérogation temporaire autorisant les grandes plateformes à surveiller volontairement les communications électroniques pour détecter du matériel pédocriminel (CSAM).

Cet outil en Go clone un site web dans un dossier consultable hors ligne, en supprimant tout le JavaScript. Il ouvre chaque page dans un Chrome headless, attend le rendu, capture le DOM final, retire les scripts puis télécharge CSS, images et polices vers des chemins locaux.

Jason Koebler, cofondateur de 404 Media, a reconstitué un faux profil d'influenceur milliardaire pour démontrer la facilité de la manœuvre. Il a loué un décor de jet privé à 65 dollars l'heure, utilisé DashMock (189 dollars/mois) pour de faux tableaux de bord Stripe et Fakify (100 dollars) pour de fausses notifications de paiement, affichant 2,7 millions de revenus fictifs. En parallèle, le Wall Street Journal révèle que Polymarket a payé des créateurs 2 000 à 3 000 dollars par mois pour filmer de faux paris gagnants sur des sites répliques, cumulant 140 millions de vues.

Anthropic lance Claude Science, un environnement de recherche bâti sur ses modèles réunissant plus de 60 bases de données scientifiques (génétique, protéines, chimie) pour épauler les laboratoires en phase préclinique. L'entreprise annonce aussi vouloir développer ses propres médicaments en interne, en ciblant les maladies négligées, afin de mieux concevoir ses outils.

Dialog, réseau confidentiel sur invitation fondé il y a une vingtaine d'années par Peter Thiel et l'investisseur Auren Hoffman, a été exposé par une fuite. La chercheuse en sécurité maia arson crimew a découvert, via du code exposé du site, les données de 113 personnalités : noms, adresses e-mail, numéros de téléphone, dates de naissance, contacts d'urgence, restrictions alimentaires et orientations politiques, ainsi qu'un évènement prévu à Dublin en août.

Lors d'une conférence de la Beijing Academy of Artificial Intelligence, l'auteur constate que chercheurs chinois et américains partagent la même inquiétude face aux risques systémiques et cyber de l'IA. Les modèles agentiques toujours plus capables pourraient faciliter cyberattaques, vulnérabilités dans le code généré et ingénierie sociale automatisée. Un chercheur du MIT compare la situation à la coopération américano-soviétique sur le nucléaire et plaide pour ne pas attendre un « moment Tchernobyl ». En toile de fond on trouve les restrictions américaines sur l'exportation de puces vers la Chine et la course entre laboratoires des deux pays.

Merci de votre lecture. N'hésitez pas à transférer à un(e) ami(e) et/ou à partager sur les réseaux sociaux pour soutenir ce travail.

Bastien

Suivez-moi sur LinkedIn ou sur X/Twitter