L’Agence nationale de la sécurité des systèmes d’information a publié en open source l'outil FuzzySully, dédié aux tests sur le protocole industriel OPC UA. Cette initiative vise à évaluer la robustesse de différentes implémentations du protocole OPC UA, et ainsi à participer à l’amélioration de la sécurité des SI industriels.
La CISA a ajouté deux nouvelles vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV):
Google a officialisé l'acquisition de Wiz pour un montant de 32 milliards de dollars. Cette opération stratégique vise à renforcer les capacités de sécurité de sa division Google Cloud.
VulnCheck spécialiste de la gestion de vulnérabilités a annoncé une levée de fonds de 12 millions de dollars lors d'un tour de financement, avec la participation d'investisseurs existants tels que Sorenson Capital et In-Q-Tel, portant le financement total de l'entreprise à près de 20 millions de dollars.
Les objectifs de cette levée de fonds sont l'expansion internationale, l'amélioration de la plateforme et les initiatives de mise sur le marché.
La CNIL a initié une consultation publique concernant un projet de recommandation sur la conformité et la sécurité du dossier patient informatisé. Cette démarche fait suite à plusieurs contrôles et mises en demeure adressés à des établissements de santé, révélant des manquements significatifs dans la protection des données de santé.
Le projet de recommandation vise à rappeler les règles applicables en matière de protection des données de santé et à proposer des mesures concrètes pour renforcer la sécurité des DPI. Il s'adresse aux établissements de santé, aux professionnels de santé libéraux et à tous les acteurs impliqués dans la gestion des dossiers médicaux.
Patchstack vient de publier les détails une nouvelle vulnérabilité : CVE-2025-26909. Elle concerne les versions inférieures à 5.4.02. L'exploitation d'une faille dans la fonction showFile permet de faire une inclusion de fichiers locaux. Cela peut conduire à l'exécution de code arbitraire si l'attaquant peut envoyer des fichiers sur le site. D'après les statistiques sur la page de l'extension, moins de 10% des installations actives ont été mises à jour (17000 téléchargements de la nouvelle version sur un total de plus de 200000 installations).
Une vulnérabilité (CVE-2025-23120) ayant un score de 9.9 vient d'être corrigée par Veeam. Cela concerne les versions 12, 12.1, 12.2 et 12.3 du produit Backup & Restore si celui-ci est joint dans un domaine (contre les bonnes pratiques données par l'éditeur). Elle a été reportée par watchTowr. Elle permet à un utilisateur authentifié sur le domaine de faire de l'exécution de code à distance.
Deux vulnérabilités (CVE-2024-56346 et CVE-2024-56347) viennent d'être corrigées par IBM dans leur produit AIX. Il s'agit d'un système d'exploitation Unix souvent utilisé pour les applications métiers critiques et se retrouvent dans plusieurs domaines (finance, banque, santé...). Les deux faiblesses de sécurité permettent une exécution de code à distance dans les versions 7.2 et 7.3 d'AIX.
Les correctifs sont inclus à partir des versions 7.2.5.203 et 7.3.1.3, 7.3.2.2 et 7.3.3.0.
Un total de cinq vulnérabilités (dont 4 pour SRM) viennent d'être corrigées par Synology. Les versions supérieures ou égales à 1.3.1-9346-13 pour SRM et 7.1.1-42962-8, 7.2.1-69057-7 ou 7.2.2-72806-3 pour DSM corrigent les problèmes de sécurité. Ces failles permettent l'exploitation d'une vulnérabilité LDAP dans DSM et ainsi récupérer les identifiants de connexion, et une lecture et écriture arbitraires sur les fichiers non sensible sur SRM.
SRM : Synology-SA-25:04
DSM : Synology-SA-25:01
Aruba a publié un bulletin de sécurité concernant trois vulnérabilités dans ses produits AOS-CX.
Les versions suivantes d'AOS-CX sont vulnérables : 10.15.1000 et antérieures, 10.14.1030 et antérieures, 10.13.1070 et antérieures, 10.10.1140 et antérieures.
GHSA a publié un bulletin de sécurité concernant la librairie xml-crypto, couramment utilisée pour les signatures et le chiffrement XML dans les environnements Node.js.
Référencée sous le code CVE-2025-29775 : un attaquant peut modifier un message XML signé en contournant les mécanismes de vérification de signature, même après altération. Cela peut conduire à une escalade de privilèges ou à une usurpation d'identité en modifiant des attributs critiques liés à l'identité ou au contrôle d'accès.
Cette vulnérabilité affecte toutes les versions antérieures à 6.0.1, 3.2.1 et 2.1.6. Des correctifs sont disponibles à partir de ces versions.
Ubuntu a publié un bulletin de sécurité concernant une vulnérabilité affectant ses différents noyaux.
Référencée sous le code CVE-2025-0927 : un dépassement de mémoire dans le heap (heap overflow) permet à un attaquant d'utiliser une image de système de fichiers qui, une fois montée, peut provoquer un déni de service ou permettre l'exécution de code arbitraire.
Vous trouverez dans la source la liste des noyaux vulnérables corrigés et ceux qui ne disposent pas encore de correction.
L'équipe de ReversingLabs vient de communiquer sur deux extensions qu'ils ont fait retirer de la liste de VSCode : ahban.shiba et ahban.cychelloworld. Au moment de leurs recherches, il semble qu'il s'agisse d'un rançongiciel en cours de tests. Seuls les fichiers dans le dossier C:\users\%username%\Desktop\testShiba sont ciblés par le chiffrement.
Il est important de rappeler, comme le fait VSCode, de vérifier la source des extensions et thèmes que vous pouvez installer dans l'IDE.
Le Forum InCyber Europe 2025 se tiendra du 1ᵉʳ au 3 avril 2025 au Grand Palais de Lille. Cet événement majeur rassemblera les acteurs clés de la sécurité et de la confiance numérique en Europe.
Thème central : "Zero Trust, la confiance pour tous ?"
Face à la multiplication des menaces et à l'élargissement des surfaces d'attaque, le modèle du Zero Trust s'impose comme une réponse incontournable aux enjeux contemporains de cybersécurité. Cette approche repose sur une méfiance systématique vis-à-vis de tout utilisateur, appareil ou application, jusqu'à preuve de leur légitimité.
Thématiques majeures abordées :
Intervenants de renom attendus :