WordPress : CVE-2026-119977 exploitée, comment protéger son site ?
Faille inscrite au catalogue CISA KEV : correctif WordPress 7.1.4 et contrôles à effectuer.
Comprendre l’actualité, développer et sécuriser vos outils numériques.
Des tutoriels pratiques, des actualités cyber expliquées sans sensationnalisme et des retours de développement pour passer de l’information à l’action.
Nginx : cinq failles corrigées, comment vérifier son serveur ?
USN-8955-1 : configurations concernées, versions corrigées et vérifications sûres.
LiteLLM compromis : sécuriser Python, Docker et ses secrets
Incident du 21 octobre 2026 : versions exposées, détection et mesures de remédiation.
Nextcloud / Collabora : faille critique CVE-2026-110447 exploitée
Module Built-in CODE Server : versions concernées, correctif et mesures à appliquer.
PHP : deux failles critiques corrigées, comment sécuriser son serveur web ?
Deux CVE critiques, versions corrigées et vérification des conteneurs.
NOUVEL ARTICLE
Lire l’article
Box Android TV : plus de 1,3 million d’appareils piégés par XCPE
Une porte dérobée intégrée au micrologiciel : comprendre le botnet XCPE et les précautions à prendre.
PUBLICATIONS RÉCENTES
Voir tous les tutorielsLes derniers articles et tutoriels
Box Android TV : plus de 1,3 million d’appareils piégés par XCPE
Une porte dérobée intégrée au micrologiciel : comprendre le botnet XCPE et les précautions à prendre.
Synology : C3RB3R cible les NAS non mis à jour — comment se protéger
Attaques C3RB3R contre les NAS Synology : vérifier DSM, réduire l’exposition réseau, protéger les sauvegardes et réagir à une infection.
Cursor : une fausse extension Claude Code installait une porte dérobée SSH
Cursor : les versions 2.1.312 et 2.1.313 de l’extension Claude Code ont été compromises le 29 octobre 2026. Vérifications et remédiation.
Linux : CVE-2026-98432, une faille critique dans TCP IPv4
CVE-2026-98432 (CVSS 9,8) : comprendre le risque dans le noyau Linux, vérifier Ubuntu et préparer les correctifs sans perturber ses serveurs.
GitLab et Alpine Linux : pourquoi une mise à jour n’a pas suffi
CVE-2026-97229 : l’incident GitLab d’Alpine Linux montre pourquoi il faut aussi vérifier Ruby et les images de conteneurs personnalisées.
Veeam : vulnérabilités critiques, quelles sauvegardes corriger ?
Veeam : avis CERT-FR du 28 octobre 2026, versions corrigées de Backup & Replication, Agent Linux, Microsoft 365 et Veeam ONE.
GLPI : 7 vulnérabilités, versions corrigées et bonnes pratiques
Sept avis de sécurité GLPI : versions affectées, correctifs et migration.
Rank Math PRO : quand une mise à jour officielle compromet WordPress
Paquet officiel compromis : qui est concerné et pourquoi la mise à jour ne suffit pas.
Veille logiciels : pourquoi connaître la version ne suffit pas
Versions, CVE et exposition : comment prioriser les corrections.
ConnectWise : quand la sauvegarde Microsoft 365 devient indisponible
ConnectWise : contrôler les accès applicatifs et prévoir une restauration même en cas de panne du fournisseur.
Administration à distance : pourquoi un correctif ne suffit pas toujours
BeyondTrust : un correctif ne suffit pas toujours à exclure une intrusion passée.
Cyberattaque du froid commercial : protéger les équipements connectés
Contrôleurs frigorifiques : exposition réseau, supervision et continuité.
Quand les agents IA dépassent leurs permissions
Isolation, permissions minimales et validation humaine : les leçons du rapport Anthropic.
L’IA trouve des vulnérabilités plus vite : qui va les vérifier et les corriger ?
OSS Scanner accélère la découverte de failles. Reste à les valider et à les corriger.
Git a été conçu pour les humains. Les agents IA commencent à obliger GitHub et GitLab à le repenser
Pourquoi l’arrivée d’agents massivement parallèles pousse les plateformes à adapter Git, la CI, les merges et la traçabilité.
Source propre ≠ paquet sûr : ce que l’incident @subql/common révèle sur la supply chain npm
Un dépôt propre et un workflow légitime ne garantissent pas que l’artefact publié correspond au code audité.
Kubernetes : pourquoi le stockage fait aussi partie de votre surface d’attaque
Les vulnérabilités Dell CSM rappellent pourquoi pilotes CSI, operators et stockage doivent être surveillés comme des composants privilégiés du cluster.
Agents IA : quand le sandbox de prompt ne protège plus l’infrastructure
CVE-2026-90970 montre pourquoi la sécurité d’un agent doit couvrir les templates, l’orchestration, les outils et le système hôte.
Cisco SD-WAN : une API d’administration n’est pas une API comme les autres
CVE-2026-76504 montre pourquoi exposition, privilèges et rôle du service doivent peser autant que le score CVSS.
Cloudflare veut devenir une CA publique : ce que cela change pour TLS
ACME, ARI et certificats post-quantiques : pourquoi cette annonce prépare la prochaine évolution de la Web PKI sans imposer de migration urgente.
NetScaler : quand appliquer le correctif ne suffit plus
Deux failles critiques déjà exploitées montrent pourquoi il faut parfois rechercher une compromission après la mise à jour.
CVSS 6,9… et pourtant au cœur d’une prise de contrôle : le cas MikroTrick
Pourquoi le contexte, l’exposition et les chaînes d’attaque peuvent rendre prioritaire une vulnérabilité au score modéré.
WordPress : quand le patch devient le mode d’emploi des attaquants
Pourquoi la fenêtre entre publication d’un correctif et premières sondes se mesure désormais en heures.
Agents IA : pourquoi le sandbox devient aussi important que le prompt
Pourquoi fichiers, réseau et credentials doivent être bornés quand un agent exécute des commandes.
GitHub durcit SSH : faut-il changer vos clés avant octobre 2026 ?
Ce qui change pour RSA, SHA-1 et l’échange post-quantique ML-KEM à partir du 14 octobre.
De npm à GitHub : les leçons de l’incident CrowdSec sur les tokens et l’offboarding
Pourquoi révocation, expiration et inventaire des credentials doivent faire partie de l’offboarding.
Plugin4Shell : quand un plugin épinglé peut exécuter un autre code
Une faille de supply chain rappelle qu’un SHA demandé doit aussi être vérifié après le checkout.
npm stage-only : pourquoi votre CI ne devrait plus publier seule
npm sépare préparation automatisée et publication finale : la CI stage la version, un mainteneur l’approuve avec 2FA.
Cache key injection : quand le cache HTTP devient une surface d’attaque
Pourquoi une clé de cache ambiguë peut provoquer des collisions et quels contrôles défensifs peuvent être envisagés sans tests destructifs.
Scripts tiers et CDN : votre site peut être compromis sans que votre serveur le soit
L’incident Brevo illustre le risque d’un JavaScript tiers modifié dans la chaîne de diffusion alors que le serveur d’origine reste intact.
Pourquoi les consoles d’administration sont des cibles à très fort impact : le cas vCenter
CVE-2026-59310 rappelle pourquoi l’exposition et le rôle d’une console de gestion doivent peser lourd dans la priorité de correction.
IA pour les développeurs : faut-il encore choisir son modèle soi-même ?
Pourquoi router chaque tâche vers le bon niveau de modèle peut améliorer coût, latence et qualité sans transformer tous les contrôles en IA.
Shadow APIs : ces services exposés sur Internet qu’on oublie de surveiller
Pourquoi les anciennes API, le staging et les endpoints oubliés élargissent silencieusement la surface d’attaque.
Sécurité npm : pourquoi un paquet publié et scanné n’est pas forcément sûr
Shai-Hulud réapparaît sur npm : les protections concrètes pour dépendances, secrets et CI/CD.
Changer un mot de passe technique sans provoquer de panne
Remplacer un secret de service sans oublier ses dépendances ni interrompre l’activité.
CVSS 10 : faut-il vraiment corriger en premier ?
Une méthode concrète pour prioriser les correctifs, avec le cas GitLab CVE-2026-85706.
Cyber Resilience Act : ce qui change dès le 11 septembre 2026
Les nouveaux délais de déclaration, les produits potentiellement concernés et les premières actions à préparer.
GitHub peut bloquer les PR contenant des secrets : ce que les développeurs doivent changer
Secret scanning arrive dans les règles de merge : comment empêcher une alerte de secret non résolue d’atteindre la branche principale.
TypeScript 7 : un compilateur natif jusqu’à 10× plus rapide, faut-il migrer ?
Le compilateur passe en Go, exploite le multithreading et accélère fortement le type-check et les builds.
Sécuriser sa supply chain logicielle en 2026 : GitHub et npm changent les règles
npm v12, Dependabot, GitHub Actions et trusted publishing : les garde-fous à connaître dans vos projets.
Patch Tuesday septembre 2026 : deux failles Windows déjà exploitées
Les deux vulnérabilités à prioriser, les machines à mettre à jour d’abord et les contrôles après installation.
Content Security Policy : comment protéger un site web
Comprendre les directives CSP et renforcer une politique sans casser le site.
Comment détecter les doublons dans un fichier CSV sans erreur ?
Choisir une clé fiable et éviter de supprimer des lignes légitimes.
Alerte sur un domaine : comment savoir ce qui est vraiment urgent ?
Classer les alertes selon leur impact et intervenir dans le bon ordre.
Une sauvegarde est-elle fiable si vous ne l’avez jamais restaurée ?
Tester la récupération de ses fichiers avant qu’un incident ne survienne.
Erreur 200 : que signifie HTTP 200 OK ?
Comprendre ce code de succès et diagnostiquer une page qui ne fonctionne pas.
Pourquoi surveiller son site depuis l’extérieur ?
Contrôle indépendant, confirmation des incidents, historique et rétablissements.
Sauvegarder un site sur un NAS avec Restic
Copie cohérente, chiffrement, surveillance et vrai test de restauration.
Mon site est inaccessible : les vérifications à faire dans le bon ordre
Localiser méthodiquement une panne avant de modifier la configuration.
DNS : comprendre les enregistrements A, AAAA, CNAME, MX et TXT
Le rôle de chaque enregistrement et les erreurs de configuration fréquentes.
Certificat TLS : ce qu’il protège vraiment
Comprendre HTTPS et anticiper les incidents de renouvellement.
La règle de sauvegarde 3-2-1 expliquée simplement
Trois copies, deux supports, une copie hors site et des restaurations testées.
SPF, DKIM et DMARC expliqués simplement
Trois mécanismes complémentaires pour authentifier les e-mails et protéger un domaine.
VPN gratuit ou payant : quelles différences ?
Comprendre les modèles économiques, les limites et les critères de confiance.
Surveiller un domaine, son certificat TLS et DMARC
Définir un score de référence et détecter les régressions importantes.
Configurer SPF, DKIM et DMARC chez OVH
Protéger l’envoi des e-mails sans bloquer les messages légitimes.
10 erreurs fréquentes dans un Dockerfile
Images, secrets, privilèges et construction : les points à contrôler.
Valider OpenAPI avant déploiement
Installer une quality gate utile avant la mise en production.
Corriger un fichier JSON invalide
Une méthode pas à pas pour retrouver rapidement l’erreur.
Audit DNS avant mise en production
Vérifier résolution, HTTPS, messagerie et sécurité DNS dans le bon ordre.
TECHATELIER ÉVOLUE
Consulter la roadmapDécouvrez ce qui est disponible et ce qui arrive ensuite.
La roadmap présente les priorités du projet sans annoncer de dates artificielles.