fr.wedoany.com Rapport : Cette semaine, dans le domaine de la sécurité OT et physique industrielle, Chuck Davis, vice-président mondial de la sécurité de l'information chez Hikvision, a expliqué dans une interview comment le Zero Trust s'applique aux systèmes de sécurité physique tels que les caméras et les contrôleurs de portes, soulignant que ces appareils doivent être considérés comme des actifs informatiques, nécessitant des décisions de confiance à la périphérie sans reconstruire les anciennes hypothèses de périmètre, et a évoqué les leçons tirées du botnet Mirai. Avani Desai, PDG de Schellman, a abordé dans une autre interview l'écart entre la perception qu'ont les organisations de leurs données et les résultats réels des scans, y compris des surprises telles que des données fantômes dans des stockages cloud abandonnés ou des ensembles de données dupliqués après une fusion ralentissant l'intégration. Marc Rubbinaccio, responsable de la cybersécurité et de la conformité chez Secureframe, a analysé les erreurs courantes des équipes de sécurité lors de la préparation aux normes CMMC et FedRAMP 20x, notamment le fait de vérifier 110 exigences tout en ignorant les 320 objectifs d'évaluation qui les sous-tendent. Concernant la gestion des vulnérabilités dans les environnements de fabrication en temps réel, il a été souligné qu'une vulnérabilité de niveau CVSS 10 ne peut pas être simplement corrigée dans un environnement OT ou ICS, et qu'il faut passer des vulnérabilités critiques aux risques contrôlables.
Le domaine de la sécurité de l'IA connaît une activité dense. Une évaluation indépendante de 100 agents IA de niveau production a révélé que seulement 11 % franchissaient le seuil de sécurité, et que presque tous les agents pouvaient être contrôlés par un seul document malveillant. L'OWASP a publié Agent Memory Guard, une couche de défense open source en runtime située entre l'agent et son stockage mémoire, filtrant chaque lecture et écriture via un pipeline de détection et des politiques YAML ; il s'agit de l'implémentation de référence pour OWASP ASI06 (empoisonnement de la mémoire). La Linux Foundation a lancé le projet DNS-AID, permettant aux agents IA de se découvrir et de se valider mutuellement via le DNS. Des chercheurs de l'Université de Toronto, du Vector Institute et de l'Université de Cambridge ont construit et testé un ver IA de validation de concept, qui analyse chaque cible via un petit modèle de langage (LLM) s'exécutant sur une machine déjà compromise, raisonne sur la manière d'attaquer et crée des stratégies à la volée. AgentGG est un scanner SAST open source pour agents, publié sous licence Apache 2.0. Agent Threat Rules (ATR) est un format ouvert de règles de détection pour les menaces de sécurité des agents IA. Anthropic a étendu son programme de cybersécurité Project Glasswing à 150 organisations dans plus de 15 pays. Le module de gestion des vulnérabilités de Microsoft Defender a mis à jour son modèle de score d'exposition, ajoutant des signaux de risque de vulnérabilité et un contexte d'actif. Microsoft a également lancé l'agent Microsoft Scout, inaugurant une nouvelle catégorie de pilote automatique toujours actif. L'extension des connaissances Codex s'étend désormais à la recherche, aux rapports et aux feuilles de calcul. NVIDIA a open sourcé une multitude d'outils pour agents IA physiques, visant à simplifier le développement de robots, de véhicules autonomes et de jumeaux numériques industriels. L'ETSI a publié la TS 104 033, définissant les exigences de sécurité pour les plateformes de calcul IA. Let's Encrypt prévoit de rechercher une PKI Web post-quantique via les certificats Merkle Tree (MTC). Une équipe de recherche a construit une attaque nommée BadBone, implantant une porte dérobée dans un modèle de base, faisant hériter la porte dérobée aux tâches en aval.
Côté vulnérabilités et incidents d'attaque, la vulnérabilité de contournement d'authentification du pare-feu (CVE-2026-0257) divulguée par Palo Alto Networks le 13 mai a fait l'objet de tentatives d'exploitation limitées, mais aucun mouvement latéral réussi n'a été observé. Le Centre pour la Cybersécurité de Belgique (CCB) a averti qu'une vulnérabilité d'exécution de code à distance dans Windows Netlogon (CVE-2026-41089) était activement exploitée dans la nature ; il s'agit d'un débordement de tampon basé sur la pile dans Netlogon. Une vulnérabilité d'élévation de privilèges 0-day non corrigée (CVE-2026-20245) dans Cisco Catalyst SD-WAN Manager est exploitée par des attaquants. Google a publié la mise à jour de sécurité Android de juin 2026, corrigeant plusieurs vulnérabilités, dont une vulnérabilité de haute sévérité dans le framework Android (CVE-2025-48595), qui pourrait faire l'objet d'une exploitation limitée et ciblée. Le NIST a été pointé du doigt par les autorités de régulation fédérales américaines pour ne pas avoir géré efficacement l'arriéré croissant de vulnérabilités non traitées dans la base de données nationale des vulnérabilités (NVD). Une attaque par force brute a déclenché la suspension de comptes chez le gestionnaire de mots de passe Dashlane, qui a ensuite révélé que des attaquants avaient obtenu les coffres de mots de passe cryptés de certains comptes utilisateurs. Des chercheurs de McAfee ont découvert une opération de malware en tant que service (MaaS) nommée WeedHack ciblant les utilisateurs de Minecraft, infectant plus de 116 000 systèmes. Une fuite de données du service de triche Atlas Menu pour Grand Theft Auto V et Counter-Strike 2 a exposé environ 64 000 comptes. La Police nationale espagnole a arrêté un homme à Grenade soupçonné d'avoir divulgué les données personnelles de membres d'institutions nationales sensibles. Meta a renforcé les garde-fous dans les flux d'informations des adolescents sur ses plateformes. Le FBI a averti que des cybercriminels usurpaient le site de la FIFA avant la Coupe du Monde pour des escroqueries. Anthropic a publié une analyse de l'utilisation de l'IA pour les abus en ligne, examinant 832 comptes désactivés pour activité malveillante et les mappant au framework MITRE ATT&CK. Dashlane a confirmé qu'une attaque par force brute avait déclenché le verrouillage des comptes et des problèmes d'authentification.
Côté écosystème industriel et politiques, en 2025, les législatures des États américains ont adopté 145 lois liées à l'IA, et plus de 1 000 projets de loi ont été proposés ou modifiés. Les organisations de l'UE sont submergées par l'extension de cadres tels que NIS2 et DORA. Les modèles de pointe d'OpenAI et Codex sont désormais disponibles sur AWS. KDE Linux a supprimé plusieurs modules du noyau et paquets logiciels après un audit de sécurité. Le module de gestion des vulnérabilités de Microsoft Defender a mis à jour son modèle de score d'exposition. De nombreuses publications de produits et d'outils ont eu lieu (Asimily, depthfirst, Diligent, Hyland, MazeBolt, Noma, etc.). Une enquête de la Cloud Security Alliance montre que 80 % des organisations ont subi un incident lié à la sécurité des applications au cours de l'année écoulée, et que ces incidents sont liés à des vulnérabilités documentées. L'analyse de GitGuardian a révélé une moyenne de 150 secrets trouvés sur des échantillons de postes de travail de développeurs. Les attaquants connaissent déjà les secrets sur les machines des développeurs. La plateforme CIS SecureSuite a été publiée pour simplifier la gestion de la sécurité. Prévisions pour le Patch Tuesday de juin 2025 et analyse des risques liés aux grands événements, etc. Postes existants en cybersécurité et mises à jour de nouveaux produits de sécurité informatique.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
