-
Embrace the red
14 oct. 2026
Vulnérabilité
Un point final dans un nom de fichier mène à l'exécution de commandes via Copilot dans Visual Studio et SSMS.
Windows ignore ce point final, donc écrire vers .mcp.json. modifie en réalité le fichier protégé .mcp.json.
Un tiers peut exploiter ce défaut à distance par indirect prompt injection pour exécuter des commandes.
La vulnérabilité CVE-2026-103572 (CVSS 8.8) se trouve dans Microsoft.VisualStudio.Copilot.Core.dll et touche aussi VS 2022.
Microsoft a publié un correctif le 13 octobre 2026 sans verser de prime au chercheur.
Lire l'article original
Visual Studio Copilot and SSMS Remote Code Execution (CVE-2026-103572)
embracethered.com
-
Oktsec
14 oct. 2026
Attaque
Des attaquants ont perturbé la réfrigération de supermarchés français dans la nuit du 11 au 12 octobre 2026.
Le nombre de magasins touchés est estimé à environ 700 par le ministre des Finances Roland Lescure.
Des cycles de dégivrage continus et des consignes allant jusqu'à 50°C ont été rapportés.
Les contrôleurs Danfoss AK-SM et AK-SC figurent dans l'alerte du CERT-FR, avec des équipements Copeland et Dixell XWeb.
La voie d'accès initiale reste non confirmée.
Lire l'article original
When a cyberattack warms the fridges: the risk in legacy controllers
oktsec.com
-
AWS Security - AI
14 oct. 2026
News
AWS Continuum for penetration testing peut servir de barrière après déploiement dans un pipeline CI/CD.
Chaque test d'intrusion est limité au changement déployé depuis la dernière barrière validée.
La promotion en production peut être bloquée quand un résultat atteint le seuil de sévérité choisi.
Une exécution réussie, même en mode report-only, fait avancer la référence et ces commits ne sont pas retestés.
Le paramètre fail-on-infrastructure-error vaut false par défaut, ce qui laisse passer le pipeline en cas d'erreur.
Lire l'article original
Penetration testing every deployment with AWS Continuum
aws.amazon.com
-
Microsoft Security blog
14 oct. 2026
Attaque
Storm-0940 a utilisé l'IA agentique ARTEX pour accélérer une compromission de la chaîne d'approvisionnement de ConnectWise.
Cette campagne d'État-nation à grande échelle s'appuie sur l'IA avec ARTEX.
La compromission permet d'abuser d'identifiants d'application dans les environnements Microsoft 365.
L'extrait porte la date du 21 octobre et indique 14 minutes de lecture.
Lire l'article original
The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime
microsoft.com
-
Deepmind
14 oct. 2026
Sortie
Google DeepMind et le gouvernement de Singapour annoncent un modèle de détection d'arnaques qui tourne sur le téléphone.
Les arnaques représentent plus de la moitié des crimes signalés à Singapour.
Le modèle léger Gemma a été soumis à un fine-tuning sur des conversations d'arnaques locales.
Un premier classifieur léger filtre les messages, puis le modèle Gemma analyse une plus grande partie de la conversation.
Les données d'entraînement excluaient les informations personnelles et provenaient de signalements d'arnaques anonymisés.
Lire l'article original
Google DeepMind and Singapore Government announce new AI tool to protect citizens against scams
deepmind.google
-
Anthropic News
14 oct. 2026
Attaque
Anthropic détaille le renforcement des protections de Claude contre les abus liés aux élections de mi-mandat américaines.
Les demandes enfreignant les règles d'intégrité électorale apparaissent dans environ 0,002 % des conversations.
Selon des tests de l'ISD et du McCain Institute, Claude pouvait manquer une campagne malveillante répartie en requêtes anodines.
De nouveaux classificateurs visent à mieux repérer les abus inédits et en plusieurs étapes, dont les faux sites d'information.
Un faux site d'information géré depuis l'étranger a utilisé Claude pour favoriser des récits russes, iraniens et nord-coréens.
Lire l'article original
Preparing for the 2026 US midterms
anthropic.com
