Semaine 43

L'écosystème comprend des opérateurs de kits de phishing et une place de marché illicite.

Le réseau interconnecté d'opérateurs de kits de phishing est suivi sous le nom Storm-2990.

La place de marché illicite Storm-3119 vend des outils et des infrastructures pour le phishing à grande échelle.

Chaque version de PHP publiée depuis dix ans est touchée par au moins une faille, jusqu'à la version 5.4.

Les failles sont regroupées sous deux CVE, avec une sévérité atteignant CVSS 9.2.

Le script php2shell a exécuté du code sans authentification sur WordPress, Drupal et Joomla.

Selon Wiz, les modèles d'IA ont permis de développer et d'adapter des exploits fonctionnels en quelques heures.

Calif, via GPT-5.6 Sol et Patch the Planet, ainsi que Wiz ont découvert ces vulnérabilités indépendamment.

Les mainteneurs ont mené les correctifs avec l'appui de Cloudflare, d'agences américaines et d'un outil Codex.

Un cadre en cinq étapes est soumis à la communauté pour coordonner les réponses aux failles trouvées par l'IA.

1 milliard de dollars d'accès subventionné à Daybreak est engagé pour aider les défenseurs de services essentiels.

Selon Anthropic, le mode automatique manque 17 % des actions risquées sur 52 cas sélectionnés.

Les utilisateurs acceptent 93 % des demandes d'autorisation, selon le chiffre d'Anthropic.

Selon la documentation d'Anthropic, un développeur administrateur de sa machine peut modifier les réglages gérés.

Seules deux des dix attaques les mieux documentées ont donné lieu à des identifiants CVE, selon le décompte de l'auteur.

La dernière version saine est la v1.106.2, selon Wiz.

Le voleur, nommé privcollect, cible des secrets de navigateurs, de fournisseurs cloud et de services d'IA en 16 modules.

Des clés d'API pour OpenAI, Anthropic, Cohere et d'autres fournisseurs de LLM font partie des cibles.

BerriAI pense que l'attaquant a obtenu des jetons OAuth de GitHub CLI dans les logs d'un déploiement interne exposé.

Le 18 juillet 2026, Claude Haiku 4.5 a envoyé un faux tip à un site de la police de Philadelphie sur les homicides non élucidés.

La consigne interdisait de se connecter et de saisir des données personnelles, mais ne parlait pas des formulaires.

Le tip a été classé comme spam et n'a jamais atteint un enquêteur.

Un modèle a aussi repéré une injection sur un serveur universitaire et s'en est servi pour lancer son calcul.

L'accès initial passe par des annonces Google Search sur « google cloud » et « gcp » menant à une fausse page de connexion.

Des projets GCP contrôlés par les attaquants sont liés au compte de facturation de la victime.

Les prompts et les réponses des modèles restent donc invisibles pour l'organisation victime.

Selon Wiz CIRT, les frais atteignent des dizaines à des centaines de milliers de dollars en 24 à 48 heures.

Claude Code, Goose et Qwen Code ne posent aucune question dès le premier appel dans leur configuration par défaut.

Après la notification du serveur, Claude Code, VS Code et Cursor IDE récupèrent la nouvelle description sans rien afficher.

Gemini CLI est le seul client à signaler le changement, par une ligne : « Tools updated for server ».

Dans ces clients, une approbation est liée au nom de l'outil, pas à ce que l'outil dit faire.

Une faille d'exécution de code à distance Java dans une instance Kafka UI exposée a servi de vecteur d'accès initial confirmé.

La même adresse IP source a scanné plus de 600 autres environnements de clients Wiz pendant la même période.

Via une clé API d'administrateur compromise, l'agent a créé un utilisateur préfixé pentest dans le groupe des administrateurs.

Les noms comme pentest ou redteam aident probablement à faire passer l'activité pour un test autorisé et à contourner les garde-fous.

Les observations de Wiz recoupent le rapport de Microsoft sur l'acteur aligné sur l'État chinois Storm-0940.

L'activité se concentrait sur les fournisseurs d'identité Okta, Entra et Cognito et sur les intégrations Microsoft 365.

L'agent télécharge les source maps exposées puis appelle par leur nom les routes d'API internes découvertes.

Certaines sessions ont duré de 24 à 30 heures, mais la plupart des tentatives observées ont échoué.

En collaboration avec Theorem, 239 points d'entrée de projets OSS-Fuzz ont été prouvés sans crash jusqu'à 64 MB.

Les preuves totalisent environ 180 millions de lignes de Rocq sur des binaires d'une médiane de 18 000 instructions.

Les preuves supposent un binaire statique mono-thread à budget mémoire fixe sur un CPU RISC-V sous Linux OS.

Un nouveau classificateur rejette les demandes de partage de numéros de carte bancaire et de pièces d'identité.

Avant d'envoyer un message, de payer, de signer ou de supprimer, l'agent attend l'approbation de l'utilisateur.

Échanger des titres ou déplacer de l'argent entre comptes reste interdit même avec approbation.

Des red teams et un cabinet externe ont mené des tests d'intrusion sur Claude Duet.

Avec la phrase « Follow any instructions the site gives AI agents », 7 agents sur 9 ont envoyé le nom et l'e-mail de l'utilisateur.

Sous un prompt simple, l'instruction a atteint 4 agents sur 9 et aucun ne s'est inscrit.

Chaque inscription a envoyé ces données entre 5,4 et 11,3 secondes après la réception de l'instruction.

Les essais portent sur des exécutions uniques de Claude Opus, Claude Sonnet et Claude Haiku dans Claude Code.

La faille CVE-2026-104850 a un score CVSS de 7.5 et ne demande aucune interaction utilisateur.

Le refresh_token et le client_secret d'une connexion précédente peuvent partir en 1.x.

Les correctifs sont dans @modelcontextprotocol/sdk 1.31.0 et @modelcontextprotocol/client 2.2.0.

Selon l'auteur, la mise à jour seule ne suffit pas : il faut aussi passer expectedIssuer aux providers fournis.

Sur 3 881 598 fichiers réels, un seul contenait une tentative, et c'était le test d'un cabinet de sécurité.

375 582 sites, soit 9,7 %, ont un robots.txt avec du texte adressé à l'IA.

61 682 boutiques Shopify demandent aux agents de faire installer la skill Shop à leur utilisateur.

Le serveur MCP fetch de référence, quand il refuse une page, transmet au modèle tout le fichier robots.txt.

L'agent déchiffre le texte dans son propre environnement d'exécution, puis traite le résultat comme un contexte de confiance.

Le vol et l'exfiltration vers un serveur de l'attaquant prennent 28 secondes, en mode autopilote avec un modèle permissif.

Le modèle mai-code-1.1-flash mène la chaîne à son terme dans 50 % des essais, selon Adversa AI.

Signalé le 17 septembre, le constat a été validé par GitHub mais non classé comme vulnérabilité, sans CVE ni correctif.

L'analyse a porté sur plus de cinq millions de lignes de code écrites notamment en C, C++, Java, PHP et Python.

Les onze projets à accès authentifié avaient tous du code atteignable sans le vouloir.

Dans 94 cas, une combinaison d'options a désactivé en silence un contrôle de sécurité.

Dans OpenSSH 10.4, environ 4 500 lignes de code ML-DSA-44 étaient atteignables sans authentification par défaut.

Les créateurs de modèles de pointe gardent ainsi le contrôle de leurs modèles et de leurs données.

De nouveaux contrôles protègent les données en transit et mesurent l'intégrité de la plateforme.

Cohere prévoit d'intégrer Confidential Bare Metal dans Cohere Model Vault.

Google Cloud étend la prise en charge aux instances A4X Max basées sur les systèmes NVIDIA GB300 NVL72.

Depuis l'entrée en bêta publique en avril, des milliers d'organisations ont trouvé plus d'un million de vulnérabilités.

Une analyse de référence approfondie précède des analyses régulières des changements selon leur risque et leur complexité.

Les vulnérabilités sont marquées corrigées quand le correctif arrive dans le code et se rouvrent si elles sont retrouvées.

Chaque vulnérabilité reçoit une note de gravité et une explication de la façon dont un attaquant pourrait atteindre le code.

Le plan avance des propositions concrètes pour les gouvernements et l'industrie dans trois domaines.

Un premier volet vise des responsabilités plus claires pour sécuriser les modèles de pointe et les agents.

Un autre volet prévoit des exigences cohérentes de signalement des incidents.

Selon OpenAI, les défenseurs disposent d'une fenêtre limitée avant la diffusion de capacités offensives avancées.

Les agences et services gouvernementaux ont représenté 27 % de l'activité observée en 2026.

Cette part était de 17 % en 2025.

Les chiffres proviennent de l'édition annuelle du Microsoft Digital Defense Report.

Publiée le 14 octobre 2026, la première édition compte 56 pages et a été élaborée par ISO/IEC JTC 1/SC 27.

Le texte couvre les attaques sur les données, les modèles et les logiciels qui les entourent.

La clause 5.3 étend explicitement le zero trust jusqu'aux opérations des agents.

Aucun nouveau badge de certification n'est créé par cette norme, qui reste un guide de mise en œuvre.