À partir de septembre 2026, seules les applications enregistrées par des développeurs vérifiés pourront être installées sur des appareils Android certifiés. Cette mesure vise à renforcer la sécurité de l’écosystème, en rendant plus difficile la diffusion de malwares hors du Play Store. La vérification implique l’authentification de l’identité du développeur (ou de l’organisation) et l’enregistrement des applications. Elle s’appliquera d’abord au Brésil, à l’Indonésie, Singapour et la Thaïlande avant un déploiement mondial. Un accès anticipé est disponible dès octobre 2025 via les nouvelles consoles Android Developer et Play. Google prévoit aussi un compte adapté aux étudiants et développeurs amateurs.
Le premier workshop international SICSI'25 se tiendra le 11 septembre 2025 à Avignon, en marge de la conférence IEEE CNS. Il réunira chercheurs et experts autour des enjeux de sécurité des infrastructures critiques, des systèmes industriels (ICS/SCADA/OT) et de l’IIoT. L’événement mettra l’accent sur l’usage de l’IA, du machine learning et des approches autonomes pour renforcer la résilience des environnements industriels. L’appel à communications reste ouvert aux travaux innovants sur la détection de ransomware, la sécurité de la chaîne d’approvisionnement OT et l’intégration cloud.
Microsoft communique au tour d'un changement important dans sa version 2509 (Build 19221.20000) sur la sauvegarde de documents Word : tout nouveau document sera sauvegardé dans le cloud. OneDrive sera sélectionné par défaut, mais il est possible de changer le fournisseur utiliser depuis les paramètres de l'application. Un processus identiqe sera appliqué sur Excel et PowerPoint plus tard cette année.
Microsoft renforce son programme de bug bounty dédié à .NET et ASP.NET Core (y compris Blazor et Aspire), avec des récompenses pouvant atteindre 40 000 $. La portée du programme s’élargit aux versions prises en charge, aux templates officiels, à F# et aux GitHub Actions associées. Le barème a été simplifié : les primes varient selon la gravité et la qualité des rapports (exploit fonctionnel requis). L’objectif : stimuler des contributions concrètes et structurées pour sécuriser durablement l’écosystème .NET.
Nissan Japon vient de confirmer à BleepingComputer qu'un de leur studio, Creative Box Inc, vient de subir une fuite de données. Ce studio est notamment responsable des dessins et concepts des voitures Nissan. Cette fuite ne concerne que Nissan et non les clients ou autres partenaires du groupe. Elle représente 4To de données pour plus de 400 000 fichiers. Seize captures d'écrans ont été publiées pour attester les données.
Une vulnérabilité de type Unquoted Search Path (CWE-428) a été identifiée dans l’utilitaire SerialInterfaceService.exe utilisé sur les PC industriels Moxa sous Windows. Exploitable localement, elle permet à un attaquant avec des privilèges limités d’injecter un exécutable malveillant lancé avec les droits SYSTEM.
Les versions inférieures ou égales à 14.4.2 et 14.5 sont vulnérables lors de l'utilisation de l'export PDF (CVE-2025-58049). Il est nécessaire de faire une requête HTTP pour déclencher l'export PDF. Lors de son utilisation de manière automatique, cette requête est faite et un cookie utilisateur contenant une version chiffrée du nom d'utilisateur et mot de passe est alors stocké dans un dossier. Il est alors possible d'utiliser ce même cookie pour accéder au site. La correction supprime ce fichier une fois le traitement terminé.
Un nouveau bulletin de sécurité vient d'être publié concernant les produits NetScaler ADC et NetScaler Gateway. La nouvelle version corrige trois vulnérabilités dont une activement exploitée :
Les versions concernées sont NetScaler ADC et NetScaler Gateway 14.1 avant 14.1-47.48, NetScaler ADC et NetScaler Gateway 13.1 avant 13.1-59.22, NetScaler ADC 13.1-FIPS et NDcPP avant 13.1-37.241-FIPS et NDcPP et NetScaler ADC 12.1-FIPS et NDcPP avant 12.1-55.330-FIPS et NDcPP.
Le firmware FW2.05WWB02 du routeur D-Link DIR-868L B1 contient une vulnérabilité critique d’exécution de commandes système non authentifiée (CWE-78). L’endpoint /dws/api/UploadFile transmet directement le paramètre pre_api_arg à des fonctions shell sans vérification. Un attaquant distant peut exploiter ce vecteur via une simple requête HTTP, sans privilège ni interaction, pour exécuter du code arbitraire avec les droits root. Aucune version corrigée n’est encore référencée.
Note du CERT illicium : Il est fortement recommandé de désactivé l'administration à distance de ces équipements et de bloquer l'accès à la page d'administration depuis un réseau non maîtrisé.
L’ANSSI publie ses derniers travaux de recherche co-écrits par ses agents de la division Scientifique et Technique (DST). Présentés lors de conférences majeures (Usenix, CRYPTO, CHES), ces articles traitent de sujets cruciaux : cryptographie post-quantique, sécurité des systèmes industriels, attaques algébriques sur primitives symétriques, et canaux auxiliaires via IA. Ces contributions renforcent l’expertise scientifique de l’agence et témoignent de son ancrage dans les communautés académiques internationales.
La 22e conférence UCNC se tiendra du 1er au 5 septembre 2025 à l’Université Côte d’Azur (Nice). L’événement rassemblera chercheurs et experts autour de formes de calcul inspirées du vivant : calcul quantique, biologique, moléculaire, optique, etc. Les thématiques couvriront aussi l’intelligence en essaim, les automates cellulaires ou les systèmes auto-organisés. UCNC reste un lieu majeur de dialogue entre approches expérimentales et théoriques de l’informatique naturelle.