Essayez Salt Code. Obtenez votre jeton gratuit
Langue

Renseignement sur la sécurité
Hub API et surveillance des menaces par agents autonomes

0
Sujets suivis
1
Jours couverts
June 20, 2026
Oct 5, 2026
Dernier rapport

Archives des menaces

Merci ! Votre soumission a bien été reçue !
Oups ! Une erreur est survenue lors de l'envoi du formulaire.
October 5, 2026

Apple va renforcer l'accès complet au disque sur macOS alors que les agents IA gagnent une portée système étendue ; des chercheurs démontrent le vol de jetons dans les applications Mac Meta Muse et ChatGPT

Apple a annoncé qu'elle exigera une action explicite de l'utilisateur pour accorder l'accès complet au disque (Full Disk Access), avertissant que les risques augmentent considérablement à mesure que les agents IA deviennent plus performants et autonomes. Cette décision intervient après des signalements selon lesquels l'agent Muse de Meta aurait lu les iMessages d'un journaliste après l'octroi du FDA, ainsi qu'une PoC de Patrick Wardle révélant une faille dans un point de terminaison de dictée de Muse permettant la capture de jetons d'authentification et l'injection de prompt, et la CVE-2026-100754 dans ChatGPT pour Mac d'OpenAI.

Les agents héritent d'un accès privilégié aux données locales et aux API backend, ce qui fait de leurs jetons et de leurs connecteurs des cibles de grande valeur. Les entreprises ont besoin de visibilité sur les permissions des agents et sur les API que ces agents appellent au nom des utilisateurs.

Agentic/MCP
Lire l'article complet
October 4, 2026

TA419, aligné sur la Chine, cible les experts américains des politiques d'IA avec un hameçonnage AitM de type Browser-in-the-Browser sans cadre

Proofpoint a attribué à l'acteur lié à la Chine TA419 des campagnes de hameçonnage d'identifiants visant des experts en IA au sein de think tanks, d'universités et de cabinets d'avocats aux États-Unis. Le groupe s'est fait passer pour des économistes, un ancien responsable de l'OSTP de la Maison-Blanche et un employé d'Anthropic, utilisant des leurres anodins lors du premier contact avant d'envoyer des URL raccourcies menant à une page Frameless BitB aux couleurs de OneDrive. Un module de télémétrie personnalisé suit le flux de connexion Microsoft et relaie les identifiants vers la véritable infrastructure Microsoft, capturant silencieusement les cookies de session.

Les proxys AitM capturent des jetons de session en direct, transformant le hameçonnage en accès authentifié aux API qui contourne la MFA. Détecter la réutilisation anormale de jetons contre les API cloud importe autant que les passkeys résistantes au hameçonnage.

Breach
Lire l'article complet
October 3, 2026

Fortra corrige des failles critiques dans BoKS : mots de passe prévisibles des comptes de service Active Directory et injection de commandes root accessible via l'API REST/SOAP

Fortra a corrigé huit vulnérabilités de Core Privileged Access Manager (BoKS), dont CVE-2026-79901 (CVSS 9.9), où les mots de passe des comptes de service Active Directory sont générés à partir d'une séquence pseudo-aléatoire initialisée avec l'horodatage Unix, ce qui permet de vérifier hors ligne des mots de passe candidats à l'aide de matériel de tickets Kerberos. CVE-2026-79898 (CVSS 9.1) est une injection de commandes dans crlserver, exploitable via BCC et l'API REST ou SOAP WSI, qui s'exécute en tant que root sur le BoKS Master, aux côtés d'un dépassement de tampon sur la pile dans l'autoregistration (CVE-2026-12627).

Une injection de commandes root accessible à distance via les API REST et SOAP d'un gestionnaire d'accès à privilèges montre pourquoi les API du plan de contrôle PAM nécessitent le même niveau de vigilance que les API publiques.

API Security
Lire l'article complet
October 2, 2026

Faille zero-day CVE-2026-104286 dans Fortinet FortiMail exploitée pour des écritures de fichiers arbitraires non authentifiées ; ajoutée au catalogue KEV de la CISA

La CISA a ajouté CVE-2026-104286 (CVSS 9.8) à son catalogue KEV après confirmation d'une exploitation active. Cette faille de traversée de répertoire combinée à une mauvaise gestion des octets NULL permet à des attaquants non authentifiés d'écrire des fichiers arbitraires sur FortiMail via des requêtes HTTP/HTTPS spécialement conçues. Fortinet a recommandé de désactiver la fonctionnalité de chiffrement IBE et de restreindre l'accès à l'interface de gestion en attendant la publication des correctifs, et a publié les adresses IP des attaquants ainsi que des indicateurs de fichiers implantés tels que /data/etc/ld.so.preload et un httpd.conf modifié.

Les failles de traitement des requêtes HTTP non authentifiées dans les équipements de périphérie constituent une surface d'attaque de la couche API accessible depuis Internet. Inventorier et restreindre les API de gestion exposées réduit les fenêtres d'exploitation avant la disponibilité des correctifs.

Breach
Lire l'article complet
October 2, 2026

Les failles des Dell Container Storage Modules incluent une absence d'authentification CVSS 10.0 sur les API gRPC et proxy d'autorisation

Dell a corrigé plusieurs vulnérabilités critiques dans CSM, dont CVE-2026-63688 et CVE-2026-63692 (toutes deux CVSS 10.0), où l'absence d'authentification sur le serveur gRPC csm-authorization-storage et sur le proxy d'autorisation/service de tenant permettait à des attaquants distants non authentifiés de récupérer les identifiants d'administration du backend de stockage ou d'obtenir des privilèges administratifs. Des identifiants et des clés de signature codés en dur (CVE-2026-54472, CVE-2026-61421) permettent de forger des JWT d'administrateur valides. Toutes les versions antérieures à 1.17.0 sont affectées ; le correctif est disponible en 1.18.0, sans solution de contournement.

Les endpoints gRPC non authentifiés et les secrets de signature JWT codés en dur sont des défaillances d'authentification d'API classiques dans les plans de contrôle d'infrastructure. La découverte d'API et les contrôles de posture mettent en évidence ces services exposés et non authentifiés avant que les attaquants ne le fassent.

API Security
Lire l'article complet
September 30, 2026

Une faille zero-day dans Cisco Catalyst SD-WAN Manager (CVE-2026-76504) exploitée pour atteindre l'API de gestion avec des privilèges d'administrateur

Cisco a divulgué l'exploitation active de la CVE-2026-76504 (CVSS 9.8), une faille d'encodage d'URI dans Catalyst SD-WAN Manager qui permet à un attaquant distant non authentifié de contourner une règle d'authentification et d'atteindre l'API du Manager avec des privilèges d'administrateur (netadmin). Des versions correctives sont disponibles, sans solution de contournement ; la CISA a ajouté la faille à son catalogue KEV, avec une échéance fédérale fixée au 3 octobre 2026. Cisco a publié des IoC issus des journaux, liés à des requêtes /j_security_check encodées.

Une astuce d'encodage qui contourne une règle d'authentification placée devant un point de terminaison d'API est un cas d'école de défaillance d'autorisation d'API. La surveillance comportementale des API en exécution détecte les abus d'API au niveau administrateur que les contrôles basés sur les signatures laissent passer.

API Security
Lire l'article complet
September 30, 2026

La faille Zimbra CVE-2026-73570 exploitée pour déployer des web shells et collecter des secrets d'authentification, dont les clés PreAuth et 2FA

Microsoft a signalé l'exploitation active de CVE-2026-73570 (CVSS 8.9), une injection de commandes OS non authentifiée dans Zimbra Collaboration, déclenchable via une requête SMTP spécialement conçue lorsque zimbra-snmp et les notifications SNMP sont présents. Les attaquants ont déployé des web shells JSP et des reverse shells, élevé leurs privilèges via /etc/pam.d/sudo, et utilisé zmlocalconfig ainsi que des requêtes LDAP pour voler zimbraPreAuthKey, zimbraAuthTokenKey et zimbraTwoFactorAuthSecret, avant d'exfiltrer des archives de boîtes aux lettres à l'aide d'AzCopy vers un stockage cloud contrôlé par les attaquants.

La collecte des clés de pré-authentification et de signature de jetons permet aux attaquants de générer indéfiniment des sessions valides contre les API de messagerie : l'application des correctifs ne suffit donc pas. La rotation des secrets, associée à la surveillance des accès API authentifiés anormaux, est indispensable.

Breach
Lire l'article complet
September 29, 2026

Une faille du SDK Python MCP officiel permet à des serveurs MCP malveillants de voler les secrets client OAuth et les codes d'autorisation

Les versions affectées du SDK Python MCP officiel ne validaient pas vers quel serveur d'autorisation un serveur MCP dirigeait les clients, permettant à un serveur malveillant de collecter le secret client, le code d'autorisation et la clé de preuve PKCE. Cycode a démontré l'échange de ces identifiants contre un jeton d'accès valide portant les permissions accordées à l'application. Les correctifs ont été publiés dans les versions 1.30.0 et 2.2.0, bien que les fournisseurs ClientCredentials et PrivateKeyJWT nécessitent également de définir issuer=.

Les chaînes d'outils des agents détiennent de véritables identifiants OAuth pour des API de production : un serveur MCP non fiable devient donc un canal de vol d'identifiants d'API. Découvrir les clients MCP et surveiller l'émission de jetons ainsi que l'utilisation des API est essentiel.

Agentic/MCP
Lire l'article complet