fr.wedoany.com Rapport : Le ministère de la Science et des TIC et le Service national du renseignement de la Corée du Sud ont conjointement publié le « Plan de mise en œuvre par étapes pour la sécurité de la chaîne d'approvisionnement logicielle à l'ère de la généralisation de l'IA (feuille de route) », visant à renforcer la résilience du réseau de la chaîne d'approvisionnement logicielle à toutes les étapes, du développement à la gestion après-vente, afin de faire face aux menaces cybernétiques de plus en plus complexes à l'ère de l'intelligence artificielle.
Cette feuille de route a été officiellement dévoilée le 24 lors du « Séminaire sur la sécurité de la chaîne d'approvisionnement 2026 ». Le gouvernement estime que la généralisation de l'IA haute performance entraîne une augmentation rapide de la vitesse et de l'ampleur des cyberattaques, rendant les systèmes de sécurité traditionnels incapables de prévenir les dommages en cascade à la chaîne d'approvisionnement logicielle se propageant à plusieurs institutions. Pour y remédier, le gouvernement promouvra un modèle de gestion de la sécurité de la chaîne d'approvisionnement basé sur la « nomenclature des logiciels (SBOM) », élargira les voies de détection des menaces via le système de primes aux bogues (Bug Bounty) et le système de signalement-traitement-divulgation (CVD/VDP), et construira un système de défense de la chaîne d'approvisionnement basé sur l'IA pour minimiser les dommages en cas d'incident.
Le gouvernement mettra également en place un organe de concertation intersectoriel sur la sécurité de la chaîne d'approvisionnement logicielle et organisera un forum sur la sécurité de la chaîne d'approvisionnement pour soutenir les initiatives privées autonomes. Parallèlement, il élaborera un plan de vérification des menaces de sécurité pour les produits fournis au secteur public et étendra le champ d'application des produits soumis au système de conformité en matière de sécurité.
Pour les PME aux conditions de sécurité fragiles, le ministère de la Science et des TIC a lancé le 26 le « Projet de soutien concentré à l'établissement des bases de sécurité pour les PME ». Ce projet offrira un soutien technique complet, allant de l'identification des actifs à la simulation pratique d'attaques de piratage. Les principales mesures comprennent : fournir des conseils en investissement de sécurité basés sur le réseau en fonction du budget de l'entreprise ; vérifier les surfaces d'attaque externes des pirates ; diagnostiquer les logiciels open source et aider à mettre en œuvre un diagnostic du système de sécurité de la chaîne d'approvisionnement logicielle pour un codage sécurisé.
L'Agence coréenne pour la promotion de l'Internet (KISA) accordera la priorité à 100 entreprises parmi les PME régionales ayant subi des incidents d'intrusion ou détecté des menaces, en leur fournissant des conseils en sécurité informatique et des packs de sécurité informatique, et à 400 entreprises en leur fournissant des packs de sécurité en tant que service (SECaaS). À partir de juillet de cette année, il est prévu d'ouvrir l'infrastructure à toutes les PME, leur permettant d'utiliser gratuitement des modèles d'IA de pointe pour vérifier les vulnérabilités de sécurité de leurs propres produits.
L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a émis un avertissement concernant des cas d'exploitation de vulnérabilités zero-day sur les appareils de la série Lantronix EDS5000, principalement utilisés dans les environnements de technologies opérationnelles (OT). Cette vulnérabilité, référencée CVE-2025-67038 (score CVSS 9,8), est un défaut d'injection de code dû à l'absence de validation des valeurs d'entrée lors de la journalisation du module HTTP RPC en cas d'échec d'authentification. Un attaquant peut exploiter cette vulnérabilité pour injecter un code malveillant et exécuter des commandes système arbitraires avec les privilèges les plus élevés (Root).
La CISA a divulgué cette information le 23 (heure locale) via son avis sur les « Vulnérabilités connues exploitées (KEV) ». L'analyse de la société de sécurité Forescout montre qu'un groupe de menace nommé « Chaya_006 » a lancé des attaques zero-day contre des pots de miel spécifiques environ deux semaines avant la divulgation publique de la vulnérabilité (à partir du 5 avril). Outre l'exploitation de la vulnérabilité de cet appareil, les attaquants ont également mené simultanément plus de 4 100 attaques par force brute contre des environnements d'interface Web de micrologiciels de routeurs open source exposés sur Internet.
Les agences fédérales américaines doivent généralement corriger les vulnérabilités de sécurité inscrites sur la liste KEV dans un délai de trois semaines. Les experts recommandent, pour éviter d'endommager les environnements de contrôle industriel, de modifier les identifiants par défaut, de limiter l'accès à l'interface d'administration et de procéder à une isolation du réseau.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
