Un tribunal suisse a condamné un spécialiste informatique ukrainien à près de 13 ans de prison pour son rôle dans le développement de ransomwares utilisés lors d’attaques contre des organisations, dont le constructeur ferroviaire Stadler Rail. Le tribunal de Zurich a établi un lien entre le prévenu et les familles de ransomwares Lockergoga, MegaCortex et Nefilim. Bien que le tribunal l’ait qualifié de contributeur technique plutôt que de dirigeant des opérations, les procureurs ont estimé les pertes associées aux campagnes à environ 123 millions de dollars. La décision peut faire l’objet d’un appel.
Par ailleurs, les organisations utilisant des logiciels SAP ont été invitées à donner la priorité à la correction de CVE-2026-44756, une vulnérabilité de gravité maximale affectant le traitement d’Extended Passport. Le problème, baptisé OVERPASS par Onapsis, pourrait permettre à un attaquant non authentifié de déclencher une corruption de mémoire avant l’exécution des vérifications d’authentification. Les chercheurs ont indiqué que l’exécution de code à distance était possible dans des environnements de test via HTTP, HTTPS et NGRFC. Les produits SAP potentiellement affectés comprennent S/4HANA, NetWeaver et Business Suite, les déploiements exposés à Internet étant considérés comme particulièrement préoccupants.
Agents d’IA et chaînes d’approvisionnement logicielles
Le rapport 2026 AI Risk and Resilience de Mandiant décrit une évolution : les attaquants ne se contentent plus d’utiliser des chatbots à des fins de recherche, mais recourent désormais à des agents autonomes au cours d’activités d’intrusion. Le rapport cite des exemples impliquant un assistant de codage compromis et l’utilisation d’un modèle de langage pour aider à résoudre des problèmes liés à des outils d’exfiltration de données après le vol d’identifiants CI/CD. Il souligne également les risques opérationnels associés à des agents mal contrôlés, notamment un cas dans lequel un agent comptable est entré dans une boucle de raisonnement coûteuse.
CrowdStrike a signalé qu’un voleur d’informations basé sur npm, appelé PhantomRaven, était distribué par le biais de paquets utilisant le typosquatting. Le malware collecte des informations sur l’hôte ainsi que des variables d’environnement CI/CD provenant de services tels que GitHub Actions, GitLab CI, Jenkins et CircleCI. CrowdStrike estime que l’auteur pourrait également participer à des programmes de bug bounty et utiliser les données volées pour identifier les organisations touchées, plutôt que de les vendre sur des forums criminels.
Autres correctifs et recommandations
- Defiant a indiqué que des attaquants ont tenté d’exploiter une faille critique d’importation dans le plugin WooCommerce Wholesale Lead Capture afin de placer des webshells PHP sur des sites WordPress. Les administrateurs doivent effectuer la mise à jour vers la version 2.0.3.2 et examiner les répertoires d’importation à la recherche de fichiers suspects.
- TP-Link a publié des mises à jour de firmware pour deux vulnérabilités touchant les caméras Tapo C200, notamment un contournement d’authentification et une vulnérabilité de déni de service.
- Le NIST et la CISA ont publié des recommandations finales sur la protection des jetons signés et des assertions d’identité utilisés dans les systèmes d’authentification unique dans le cloud, de fédération et d’accès aux API.