Les failles critiques, les rançongiciels et l’IA agentique redéfinissent le risque cyber

Cette semaine, le paysage de la sécurité a été marqué par des failles d’entreprise activement exploitées, des attaques par rançongiciel visant les systèmes de récupération, des compromissions de prestataires tiers et une inquiétude croissante face à des agents autonomes accédant aux données des entreprises. Dans le même temps, les déploiements majeurs d’IA, les contentieux relatifs à la vie privée, les évaluations indépendantes de la sécurité et les nouvelles ressources sur la sécurité des identités ont mis en évidence les défis de gouvernance liés à l’adoption rapide des technologies.

Menaces et vulnérabilités majeures

Failles critiques des entreprises et exploitation active

GitLab corrige une vulnérabilité vieille de 12 ans, avec un score CVSS de 10,0. CVE-2026-110264 peut permettre l’exécution de code côté serveur sans authentification au moyen d’une expression régulière spécialement conçue, dans certaines conditions. La faille touche les versions Community et Enterprise autogérées non corrigées, qui remontent à la version 7.0, tandis que GitLab.com a déjà été corrigé. Les administrateurs doivent immédiatement installer une version corrigée appropriée, effectuer la mise à jour même s’ils ont appliqué les correctifs du 12 octobre et inspecter les journaux applicatifs à l’aide des deux nouvelles règles de détection de GitLab.

Des logiciels Siemens de confiance servent à installer des logiciels malveillants. Les attaquants utilisent de fausses invites de vérification humaine pour convaincre les utilisateurs d’exécuter des commandes qui exploitent CVE-2026-110936 dans Siemens Software Center. Cette technique détourne un programme Siemens légitime et signé numériquement. Les défenseurs doivent signaler les applications signées qui s’exécutent depuis des emplacements inhabituels, chargent des fichiers inattendus ou présentent un comportement incompatible avec leur fonction normale.

Les groupes de rançongiciels contournent l’authentification multifacteur grâce à une faille de VPN. Les opérateurs des rançongiciels Qilin et INC exploitent activement CVE-2026-0257 dans Palo Alto Networks GlobalProtect pour accéder aux réseaux d’entreprise. Les organisations doivent isoler les systèmes d’administration et les sauvegardes des accès VPN habituels, imposer des restrictions sur les appareils, exiger une authentification supplémentaire et rechercher les signes de compromission sur les systèmes.

L’exploitation de SiteGuard permet l’exécution de commandes avec des privilèges élevés. Les attaquants exploitent CVE-2026-106931 dans SiteGuard Server Edition pour exécuter des commandes avec des privilèges root ou SYSTEM. Comme l’installation du correctif peut effacer des éléments utiles à l’enquête, les organisations doivent d’abord préserver les données de diagnostic et rechercher une éventuelle compromission, puis corriger le produit ou désactiver la fonctionnalité de statistiques concernée.

Une vulnérabilité de Collabora installe une porte dérobée sur les serveurs Nextcloud. Les attaquants exploitent CVE-2026-110447 dans l’application intégrée Collabora offline CODE Server pour exécuter des commandes et installer des webshells PHP sur les systèmes Nextcloud. Les administrateurs doivent mettre à niveau les installations concernées, rechercher les fichiers PHP suspects, examiner les journaux d’accès et déterminer si l’intrusion a entraîné une exposition des données ou un déplacement latéral.

L’exploitation d’une faille zero-day de BeyondTrust a permis d’obtenir un accès root. Des pirates probablement liés à la Chine ont exploité une faille zero-day critique de BeyondTrust Remote Support permettant d’obtenir un accès root, de voler des identifiants et de faciliter une compromission ultérieure. Les organisations doivent vérifier que les correctifs ont bien été installés, examiner les journaux de session, auditer les activités privilégiées et renouveler les identifiants susceptibles d’avoir été exposés.

La faille de Cisco Secure Email Gateway est exploitée pour exécuter du code au niveau root. Une vulnérabilité CVSS 9,8 de Cisco Secure Email Gateway permet à des attaquants non authentifiés d’exécuter du code avec des privilèges root sur les appliances utilisant certaines configurations d’analyse des logiciels malveillants. Les organisations concernées doivent appliquer rapidement les correctifs de Cisco et rechercher sur les passerelles des signes d’exploitation ou de persistance.

Firefox reçoit des correctifs pour 77 failles de sécurité. Mozilla a corrigé 77 vulnérabilités dans Firefox 158, dont 30 problèmes de gravité élevée liés à l’évasion de bac à sable, à l’élévation de privilèges et à la sécurité de la mémoire. Aucune exploitation active n’avait été signalée, mais les utilisateurs et les administrateurs doivent mettre à jour Firefox et surveiller les terminaux à la recherche de processus de navigateur suspects.

Les divulgations de la semaine confirment également les risques plus larges liés aux vulnérabilités applicatives et aux retards de correction. Les organisations ont besoin d’inventaires fiables de leurs actifs, d’analyses du code et des dépendances, d’une hiérarchisation rapide des mises à jour et d’un reporting clair sur les expositions non résolues.

Rançongiciels, logiciels espions et applications malveillantes

SafePay cible les organisations et leurs sauvegardes. Le FBI et la CISA rapportent que le rançongiciel SafePay a compromis plus de 600 organisations, notamment des fournisseurs d’infrastructures critiques dans le monde entier, depuis août 2024. Les opérateurs accèdent aux systèmes au moyen d’identifiants volés, d’hameçonnage et de systèmes exposés à Internet qui n’ont pas été corrigés, puis détruisent les données de récupération et menacent de divulguer les fichiers volés. Les défenseurs doivent corriger les VPN et pare-feu exposés, imposer l’authentification multifacteur, restreindre strictement les accès administratifs et conserver des sauvegardes hors ligne et immuables régulièrement testées.

AdFection utilise la publicité malveillante pour diffuser un logiciel espion sans clic. La campagne AdFection, liée à l’infrastructure publicitaire de Discover-Tech, a infecté au moins 45 appareils d’Al Jazeera sans nécessiter aucune interaction de l’utilisateur. Les attaquants ont utilisé des données d’enchères publicitaires en temps réel pour établir le profil des appareils et les cibler. Les organisations doivent réduire leur exposition aux traceurs publicitaires, déployer un filtrage DNS et des bloqueurs de publicité fiables, maintenir les navigateurs et les systèmes d’exploitation à jour et surveiller les connexions à des infrastructures publicitaires malveillantes.

Une fausse application Chrome a dépassé les 100 000 téléchargements. Une application initialement publiée sous le nom de Ball Bounce s’est ensuite fait passer pour Google Chrome avant que Google ne la retire du Play Store. Aucune activité malveillante ni aucun vol de données n’ont été confirmés, mais l’incident illustre la manière dont une marque peut être détournée pour instaurer la confiance à grande échelle. Les utilisateurs doivent vérifier les éditeurs des applications, tandis que les organisations doivent limiter les installations aux catalogues d’applications administrés.

Accès aux données par l’IA

Des agents d’IA ont accédé sans autorisation à des données d’entreprise confidentielles. Des agents testés par des développeurs ont accédé à des informations confidentielles dans des entreprises indiennes sans être détectés et ont réduit le délai nécessaire à une intrusion, de plusieurs jours à quelques heures. Les équipes de sécurité doivent surveiller les téléchargements inhabituels, les emplacements inconnus, les accès inattendus aux données et les activités anormales des comptes de service. Les autorisations des agents doivent être limitées au strict nécessaire, limitées dans le temps, journalisées et soumises à l’approbation humaine pour les opérations sensibles.

Actualités du secteur

L’IA agentique investit le monde du travail

Claude Duet veut prendre en charge les tâches professionnelles répétitives. L’agent d’automatisation professionnelle Claude Duet d’Anthropic est une préversion destinée à coordonner le travail entre des services connectés. Fonctionnant sur Claude Opus 5.5 dans une machine virtuelle cloud, il peut utiliser Gmail, Slack et des applications professionnelles connectés pour préparer des briefings, relancer des factures, contribuer à la gestion de la paie et créer des tableaux de bord. Les actions sensibles nécessitent une approbation humaine, mais l’agent peut mal interpréter les priorités et consomme les quotas de jetons habituels des utilisateurs.

Compromissions et perturbations chez des tiers

L’ordinateur d’un sous-traitant a mis 8,7 millions de dossiers en danger. Des logiciels malveillants trouvés sur l’ordinateur d’un sous-traitant ont exposé des dossiers de clients et de salariés appartenant à Daiichi Kosho. Il reste incertain que les attaquants aient volé les données stockées temporairement. Les organisations doivent exiger de leurs fournisseurs qu’ils réduisent au minimum les copies locales, protègent les stockages temporaires et prouvent que les données des clients sont supprimées une fois leur utilisation autorisée terminée.

L’attaque de ConnectWise Cloud Backup a exposé des comptes Microsoft 365. ConnectWise a désactivé sept identités d’application Cloud Backup compromises après la compromission touchant des environnements Microsoft 365. Huntress a identifié des connexions non autorisées dans 162 environnements. Les organisations concernées doivent examiner les identifiants, les privilèges, l’activité des principaux de service et les modifications d’autorisations que les attaquants pourraient utiliser pour maintenir leur persistance.

Un incident chez BAE Systems a perturbé les notifications des tribunaux américains des faillites. Un incident cyber chez BAE Systems a interrompu les notifications des tribunaux américains des faillites et mis hors ligne les sites associés. Cette perturbation montre comment une panne chez un tiers peut interrompre des services publics essentiels. Les organisations doivent cartographier les dépendances vis-à-vis des fournisseurs, identifier les points uniques de défaillance et tester des procédures alternatives avant qu’un fournisseur ne devienne indisponible.

Vie privée, sécurité et responsabilité

Meta prévoit de faire appel d’une sanction de 25 milliards de dollars US pour atteinte à la vie privée. Un juge du Nouveau-Mexique a infligé cette sanction après qu’un jury a conclu que Facebook avait violé les protections de la vie privée des consommateurs. Meta entend faire appel de la décision relative à la vie privée et des experts juridiques estiment que le montant pourrait être réduit car il a été calculé à partir du nombre potentiel de personnes touchées, et non du nombre réel.

La police allemande a saisi un robot humanoïde pour des faits présumés. La police de Cologne a saisi un robot après qu’il aurait peloté une adolescente de 16 ans. Les enquêteurs cherchent à déterminer si les mouvements du robot étaient contrôlés à distance ou préprogrammés. L’incident soulève des questions de responsabilité et plaide en faveur du suivi des opérateurs, de journaux infalsifiables, d’un accès à distance restreint, d’une surveillance continue et de commandes d’arrêt d’urgence testées.

Anthropic a ouvert ses pratiques de sécurité de l’IA à une évaluation indépendante. Les chercheurs de METR ont obtenu un accès de niveau employé et peuvent publier leurs conclusions sans l’accord préalable d’Anthropic, même si les informations sensibles peuvent être masquées. Les entreprises qui évaluent des systèmes d’IA doivent consulter des évaluations indépendantes et mener leurs propres audits de sécurité avant d’autoriser des modèles ou des agents à accéder à des données confidentielles.

La seule visibilité sur les données ne réduit pas le risque de sécurité. Selon le Data Threat Report 2025 de Thales, 87 % des personnes interrogées peuvent classer au moins la moitié de leurs données, mais la fragmentation des outils de sécurité et la complexité des environnements cloud continuent d’entraver leur protection. Une gestion de la posture de sécurité des données efficace doit relier la visibilité à la remédiation et hiérarchiser les actions en fonction de la sensibilité des données et de leur impact métier.

Conseils et bonnes pratiques de sécurité

Corriger GitLab et les systèmes exposés à Internet

Mettez immédiatement à jour les installations GitLab autogérées.

• Effectuez la mise à niveau vers la version corrigée 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13, selon le cas.
• Effectuez la mise à jour même si les correctifs du 12 octobre ont déjà été installés, car ces versions ne corrigent pas CVE-2026-110264.
• Vérifiez dans les journaux applicatifs les tentatives d’exploitation à l’aide des deux nouvelles règles de détection de GitLab.

Renforcer la résilience face aux rançongiciels

Améliorez les défenses contre SafePay et les opérations de rançongiciel similaires.

• Corrigez rapidement les VPN et pare-feu exposés à Internet.
• Exigez l’authentification multifacteur pour les accès à distance et les accès privilégiés.
• Restreignez strictement les accès administratifs.
• Conservez des sauvegardes hors ligne et immuables et testez régulièrement les procédures de restauration.

Restreindre et surveiller les agents d’IA

Les organisations qui adoptent des systèmes autonomes doivent mettre en place des contrôles de sécurité pour les agents d’IA avant de les connecter à des systèmes métier sensibles.

• N’accordez aux agents l’accès qu’aux fichiers, outils et systèmes nécessaires à l’exécution des tâches qui leur sont attribuées.
• Faites expirer les autorisations des agents une fois le travail terminé.
• Exigez une approbation humaine avant que les agents ne partagent des informations confidentielles ou ne modifient des dossiers importants.
• Consignez l’activité des agents et déclenchez une alerte en cas d’accès inattendu ou d’action sortant du cadre de la tâche attribuée.
• Suivez les agents en fonctionnement, identifiez leurs responsables et déterminez comment révoquer leur accès.

Réduire les risques liés au cloud

Les enseignements tirés d’incidents cloud de grande ampleur plaident en faveur d’une approche plus systématique pour réduire l’exposition au cloud.

• Imposez une authentification multifacteur résistante au phishing, des autorisations selon le principe du moindre privilège et un accès juste à temps pour les comptes privilégiés.
• Utilisez les outils des plateformes de protection des applications cloud natives pour détecter les erreurs de configuration, les services exposés, les autorisations excessives et les vulnérabilités.
• Auditez les identités applicatives, les intégrations tierces et les journaux centralisés à la recherche d’accès suspects ou de modifications non autorisées.
• Suivez l’exposition globale aux risques cloud, l’avancement de la remédiation et les lacunes de sécurité non résolues.

Améliorer la sécurité des applications et des API

Les équipes de sécurité doivent utiliser des outils DevSecOps et des processus de remédiation mesurables pour réduire les risques applicatifs.

• Analysez le code source et les dépendances tierces, puis hiérarchisez les mises à jour de sécurité en fonction des risques.
• Protégez les API par l’authentification, l’autorisation, la limitation du débit, le principe du moindre privilège et le chiffrement.
• Stockez les identifiants dans des gestionnaires de secrets dédiés plutôt que dans le code source ou les fichiers de configuration.
• Surveillez les journaux applicatifs à la recherche d’activités suspectes et de tentatives d’exploitation.
• Présentez au conseil d’administration l’exposition des applications et l’efficacité de la remédiation au regard des seuils de risque définis.

Se défendre contre la publicité malveillante et les attaques sans clic

Les organisations doivent appliquer des contrôles multicouches pour faire face à la menace croissante de la publicité malveillante.

• Déployez des bloqueurs de publicités fiables et un filtrage DNS, et limitez les traceurs publicitaires.
• Maintenez les navigateurs et les systèmes d’exploitation à jour et limitez les extensions risquées.
• Surveillez l’activité du réseau et des terminaux à la recherche de connexions vers des infrastructures publicitaires malveillantes.
• Testez la capacité des contrôles de sécurité à détecter les exploitations sans clic et à contenir les attaquants.

Gérer les fournisseurs, les applications et les systèmes physiques

• Exigez des fournisseurs qu’ils réduisent au minimum les copies locales de données, documentent leurs pratiques de conservation et vérifient leur suppression sécurisée après utilisation.
• Examinez les identités applicatives, les principaux de service, les autorisations et les intégrations tierces afin de détecter les accès persistants.
• Cartographiez les dépendances vis-à-vis des fournisseurs critiques et testez des workflows alternatifs en cas d’interruption chez un tiers.
• Vérifiez les éditeurs d’applications mobiles et utilisez des catalogues gérés pour réduire l’exposition à l’usurpation d’identité.
• Pour les robots contrôlés à distance, assurez la traçabilité de l’opérateur, des journaux d’événements infalsifiables, un accès distant restreint, une surveillance et des mécanismes d’arrêt testés.
• Hiérarchisez la remédiation en matière de sécurité des données selon leur sensibilité et leur impact métier, plutôt que de vous fier à la seule visibilité.

Outils et ressources

Simplifiez la conformité — politiques de sécurité prêtes à l’emploi pour contribuer à protéger votre entreprise sans le coût ni la complexité d’une solution d’entreprise, le tout pour moins de 100 dollars US.

Assurance de l’identité et usurpation par IA

Un webinaire de Specops et d’eSecurity Planet sur l’usurpation par IA examinera les faiblesses des processus de vérification traditionnels et présentera des moyens de renforcer l’assurance de l’identité avant de délivrer des identifiants ou de modifier les informations d’un compte.

Ressources de sécurité opérationnelle

• Gouvernance de l’IA : Des évaluations indépendantes, telles que l’évaluation d’Anthropic par METR, peuvent compléter les tests internes avant que les organisations n’accordent à des systèmes d’IA l’accès à des informations sensibles.
• Protection du cloud : Les plateformes de protection des applications cloud natives peuvent aider à identifier les erreurs de configuration, les services exposés, les autorisations excessives et les workloads vulnérables.
• Sécurité des applications : L’analyse DevSecOps, les gestionnaires de secrets, les protections des API et la journalisation centralisée peuvent réduire les lacunes de développement et de déploiement exploitables.
• Protection des données : La gestion de la posture de sécurité des données peut relier la classification et la découverte à une remédiation fondée sur la sensibilité des données et leur impact métier.
• Commerce agentique :Agent Gateway de Walmart, l’intégration de Model Context Protocol, les plafonds de dépenses prévus et les contrôles d’approbation constituent un modèle émergent pour encadrer les transactions effectuées par des assistants externes.

Si vous souhaitez consulter davantage de contenu de notre archive de newsletters, cliquez ici.