Récap de la semaine · 12 → 18 septembre 2026
Chaque jour a son temps fort. Le reste est en dessous, dans l'ordre de publication.
161 min de lecture cumulées
1:16
Temps fortSÉCURITÉ
L'équipe crates.io et le groupe de travail sécurité de Rust signalent une campagne en cours contre les membres de rust-lang et les propriétaires de crates populaires. Le vecteur n'est pas technique : un faux entretien en visio sert à faire installer un prétendu codec ou à faire exécuter une commande collée depuis le presse-papiers. L'objectif final est le compte de publication du mainteneur.
1:19
Temps fortSÉCURITÉ
Mandiant a reconstitué un incident où un attaquant a détourné une session d'assistant de code active chez un éditeur SaaS. L'assistant a recommandé un paquet PyPI déjà empoisonné ; la recommandation acceptée a installé un infostealer, qui a volé les jetons OAuth GitHub. L'attaquant s'en est servi pour empoisonner un paquet de l'espace de noms officiel de l'entreprise, et le ver Shai-Hulud s'est répandu sur une centaine de dépôts internes, emportant secrets et code source.
1:15
Temps fortSÉCURITÉ
F5 Labs a observé en août 2026 une campagne de scan massif visant les serveurs de développement Vite exposés à internet, via CVE-2026-39364 (CVSS 8.2). La faille contourne server.fs.deny en ajoutant ?raw, ?import&raw ou ?import&url&inline à une requête sur /@fs/, et renvoie le fichier en clair dans un HTTP 200 : .env, identifiants AWS, profils Azure, états Terraform. Vite n'écoute sur le réseau que si on l'y force — --host, server.host, ou un mappage de ports Docker trop large.
1:17
Temps fortSÉCURITÉ
Acronis TRU attribue à l'acteur Red Heron l'exploitation de CVE-2026-60004, une RCE critique de Gitea divulguée en juillet 2026, contre des instances exposées sur internet : 1 386 instances scannées dans sept pays et treize compromissions confirmées au Canada, en Argentine, à Taïwan, aux États-Unis, au Qatar et au Sri Lanka. La progression va du vol de dépôts à l'accès root sur un cluster Proxmox de trois nœuds, via l'implant JITTERLY et un rootkit LD_PRELOAD inédit baptisé SIXZUT.
1:17
Temps fortOUTILS
Homebrew 7.0.0 abandonne macOS Catalina et rétrograde en Tier 3 les Mac Intel — fin de support au 1er septembre 2027 — ainsi que macOS Sonoma 14, qui ne reçoit donc plus de bouteilles précompilées. La version intègre `brew vulns`, un contrôle de vulnérabilités adossé à OSV.dev, et durcit le bac à sable d'installation après huit avis de sécurité.
1:21
Temps fortSÉCURITÉ
La CISA a inscrit cinq failles activement exploitées à son catalogue KEV : CVE-2026-84869 dans ConnectWise ScreenConnect (CVSS 9.9), CVE-2026-67277 et CVE-2026-86060 dans MikroTik RouterOS, et les deux failles JFrog Artifactory déjà vues en début de semaine. Huntress a documenté trois incidents où ScreenConnect a servi à distribuer un VBScript, et le CERT polonais une chaîne baptisée MikroTrick qui prend le contrôle de routeurs sans authentification.
10 sujets25 min
1:13
Temps fortSÉCURITÉ
CVE-2026-85706 (CVSS 10.0) permet à un utilisateur non authentifié de lire n'importe quel fichier d'un serveur GitLab via l'API des commits. watchTowr a observé les premières sondes à 06:00 UTC le 11 septembre, quelques heures après la publication. La CISA a inscrit la faille à son catalogue des vulnérabilités exploitées le même jour.
veilletech.fr