Newsletter Cybersécurité - 2026 : semaine 43
Nouvelles 2026 de la cybersécurité de la semaine 43
Résumé des Actualités Cybersécurité
(Semaine 43, 2026)
PHP frappe deux fois : une nouvelle faille RCE non corrigée à peine deux jours après PHP2Shell
Après le correctif d'urgence de PHP2Shell, PHP avertit d'une nouvelle vulnérabilité d'exécution de code à distance (RCE) sans correctif disponible. La divulgation coordonnée a globalement fonctionné pour la première faille, mais php.net recommande de maintenir la parade `session.upload_progress.enabled=0` en attendant.[Article Original]
Capcom confirme une fuite de données touchant 11,7 millions de comptes
Le géant japonais du jeu vidéo (Resident Evil, Monster Hunter) révèle que des e-mails, adresses IP et données d'activité de 11,7 millions de comptes CAPCOM ID ont été exposés, et que les mots de passe de 196 comptes ont été modifiés sans autorisation. La société met en garde contre le phishing qui exploitera cette fuite. [Article Original]
Huit clés privées CA « devinables » : eMudhra quitte le marché mondial SSL/TLS
L'autorité de certification indienne eMudhra a émis huit certificats intermédiaires avec des clés privées de 3 à 8 bits — littéralement cassables à la main — exposant des millions d'utilisateurs à des interceptions de type « homme du milieu ». L'entreprise a annoncé son retrait du marché mondial SSL/TLS. [Article Original]
Un infostealer vole désormais les identifiants de vos outils IA
Le nouveau malware « Aokigahara » (Check Point) cible explicitement Claude, ChatGPT Desktop, Cursor, GitHub Copilot et Gemini CLI, en plus des navigateurs, portefeuilles crypto et identifiants cloud (AWS, Azure). Un signal fort : les jetons IA sont devenus des actifs sensibles à part entière. [Article Original]
Meta condamné à 25 milliards de dollars pour violations de la vie privée
Un juge du Nouveau-Mexique a infligé à Meta une amende civile record de 25 milliards de dollars après un verdict estimant que Facebook a trompé ses utilisateurs sur ses pratiques de données (affaire héritée de Cambridge Analytica). Meta fait appel. [Article Original]
Menaces Clés en Cybersécurité
- Exploitation massive de PHP2Shell : des millions de tentatives d'exploitation ont été observées (tentatives de déploiement du malware Mirai sur objets connectés et appliances), et aucun exploit public fiable n'est encore disponible — la fenêtre de patch est donc un « cadeau » à ne pas gâcher. Isoler les appareils embarqués non patchables est désormais un minimum.
- Attaques par pulvérisation de jetons (token spraying) contre Microsoft 365 : des campagnes ciblent massivement les comptes M365 pour compromettre les e-mails, en contournant les mots de passe au profit de jetons volés ou faibles.
- Fournisseurs et chaîne d'approvisionnement : pipeline LiteLLM compromis pour distribuer un info-stealer, zero-day VeloCloud d'Arista exploité, plus de 70 000 identifiants exposés via firewalls/VPN d'entreprise — le poste tiers reste la porte d'entrée n°1.
« La sécurité n'est pas un produit, mais un processus. » — Bruce Schneier