Depuis 16 ans, il y a une énorme faille qui fait dodo dans le coeur de tout ce qui gère la virtualisation sous Linux et personne ne l'avait remarqué, jusqu'à ce que Hyunwoo Kim, un chercheur en sécurité connu sous le pseudo @v4bel débarque. Ce dernier vient de dénicher un use-after-free dans le shadow MMU de KVM, ce bout de code que KVM partage entre les processeurs Intel et AMD. Il a baptisé sa trouvaille Januscape (CVE-2026-53359), et croyez-moi, le scénario a de quoi filer des sueurs froides à n'importe quel hébergeur...

En pratique, quand vous louez une VM dans le cloud, vous y êtes root (normal, c'est votre instance). Mais si l'hôte autorise la virtualisation imbriquée, hé bien la faille vous ouvre en grand la porte vers la machine physique. Le code de démonstration que Kim a publié se contente de faire planter l'hôte, et il garde sous le coude un second exploit, non divulgué publiquement celui-là, qui transforme le même bug en exécution de code root sur l'hôte. Et il n'a pas trouvé tout ça par hasard, puisqu'il participait au kvmCTF de Google, un programme qui paie jusqu'à 250 000 dollars pour une évasion complète d'une VM vers son hôte...

À ce stade, l'isolation censée séparer les locataires d'un même serveur vole en éclats, les VM de vos voisins de palier comprises.

Le code fautif traîne depuis août 2010, du temps du noyau 2.6.36 et Kim présente d'ailleurs Januscape comme la première évasion d'une VM vers son hôte qui fonctionne aussi bien sur Intel que sur AMD, à sa connaissance en tout cas.

Maintenant, avant de couper le wifi et de partir élever des chèvres dans le Larzac, deux petites nuances quand même car l'attaque réclame deux conditions réunies : être root dans la VM invitée, et que l'hôte expose la virtualisation imbriquée. Pas mal d'hébergeurs ne l'activent pas, donc c'est pas non plus une apocalypse universelle. Par contre, pour ceux qui l'activent, c'est game over.

Mais bonne nouvelle, le correctif est déjà là donc si vous administrez des serveurs KVM, mettez à jour maintenant. Et si vous ne pouvez pas patcher tout de suite, la parade consiste à désactiver la virtualisation imbriquée en attendant, avec kvm_intel.nested=0 sur de l'Intel ou kvm_amd.nested=0 sur de l'AMD.

VENOM s'échappait déjà d'une VM en 2015 via un vieux driver de disquette, et plus récemment une faille kernel planquée neuf ans offrait un accès root sur une machine Linux. Ces "fantômes" dorment longtemps dans le noyau, et ils choisissent toujours le pire moment pour se réveiller. Voilà, comme d'autres failles Linux à patcher d'urgence , celle-ci mérite tout de suite votre attention.

Source

Alors que la saison 2 de X-Men ’97 vient tout juste de débarquer sur Disney+ ce 1er juillet 2026, l'équipe créative originelle ne cache plus ses ambitions démesurées. Interrogés sur l'avenir des mutants de l'écurie Marvel Animation, les producteurs exécutifs ont confirmé des plans à très, très long terme. Un pari risqué, face à un public qui commence à saturer de l'overdose de super-héros.

Les résultats du Bac 2026 sont disponibles en ligne à partir de ce mardi 7 juillet. Découvrez où consulter les résultats du Baccalauréat 2026 sur Internet, le taux de réussite des candidats, et toutes les informations sur les résultats du rattrapage dans cet article.

[Deal du jour] Afin d'alimenter ses appareils ou de les recharger même loin de toute civilisation, Jackery propose une gamme de générateurs solaires compacts qui conviennent parfaitement aux voyages.

Posez votre doigt sur un capteur et hop, votre session s'ouvre. Sur un Mac, ce petit confort passe par exemple par le Magic Keyboard avec Touch ID (lien affilié) parce qu'Apple réserve la biométrie à son propre matériel. Mais le bidouilleur Zimeng Xiong a trouvé ça un peu chéros, alors il a bricolé la même chose avec un ESP32-S3 à quelques euros .

Le tout tient dans un boîtier imprimé en 3D contenant un capteur d'empreinte ZW101 qui lit votre doigt, et une carte ESP32-S3 (une Seeed Studio XIAO - lien affilié) qui se fait passer pour un clavier USB. Ensuite, si l'empreinte correspond, elle tape votre mot de passe suivi d'Entrée. Vu de l'ordinateur, l'engin n'est qu'un clavier qui tape à votre place, et n'est donc liée à aucun système d'exploitation en particulier.

Le truc bien pensé je trouve, c'est que le mot de passe ne vit jamais sur l'ESP. La carte ne garde qu'une clé d'appairage de 32 octets et le mot de passe, lui, reste sur l'ordinateur, conservé par un petit service que vous installez.

Quand vous posez le doigt, l'ESP réclame ce mot de passe via un échange chiffré, avec une clé d'appairage partagée et un nonce aléatoire pour bloquer les rejeux, le déchiffre en mémoire vive le temps de le taper, puis efface tout en quelques millisecondes. Il compte aussi sur le Secure Boot et le Flash Encryption de l'ESP32-S3 pour qu'un dump de la puce ne livre aucune clé.

Après, histoire d'être transparent avec vous, sachez que le seul maillon faible de ce gadget se situe entre le capteur et l'ESP car la liaison série n'est pas protégée. Toute la vérification de l'empreinte se passe dans le capteur, pas dans le microcontrôleur, donc quelqu'un qui aurait accès à votre machine et au boîtier en même temps pourrait usurper le capteur et forcer l'envoi du mot de passe. La parade de Zimeng c'est donc de noyer toute l'électronique dans de l'epoxy noir.

Sous Windows, vous branchez un lecteur d'empreinte USB et Windows Hello fait le reste, c'est plutôt simple. Apple par contre verrouille un peu plus le truc, donc il faudra installer le logiciel compagnon. Et Zimeng Xiong ne compte pas s'arrêter là, puisqu'il annonce une version qui émule une carte à puce, pour se connecter sans jamais taper de mot de passe, comme le font déjà les passkeys . Là, on serait un cran au dessus en matière de sécurité.

Le code est public sur GitHub si vous voulez tenter le montage. Rien de prêt pour la production évidemment, mais une chouette démonstration qu'avec un ESP32 et un peu de crypto, on peut faire de jolies choses.

Source

PocketPair se prépare à lancer la version 1.0 de Palworld, en accès anticipé depuis maintenant plus de deux ans. La grosse mise à jour est attendue pour le 10 juillet 2026, mais à quelle heure ?

Le binge-watching a fait le succès de Netflix, mais il pourrait aussi devenir son problème. Selon des données publiées par Bloomberg le 6 juillet 2026, de nombreuses séries de la plateforme perdent une large part de leur audience dès leur saison 2, signe que les abonnés consomment vite… puis passent déjà à autre chose.

Dans la nuit du 6 au 7 juillet 2026, l'embargo sur les réseaux sociaux a enfin été levé pour L’Odyssée, le blockbuster ultra-attendu de Christopher Nolan prévu en salles pour le 15 juillet. Alors que les spectateurs s'inquiétaient d'une esthétique jugée trop terne dans les bandes-annonces, les journalistes américains et britanniques crient presque tous au génie.

Anthropic publie un nouveau papier de recherche qui affirme avoir localisé, dans les entrailles de Claude, un espace neuronal jouant le rôle d'une mémoire de travail consciente. Derrière la métaphore neuroscientifique, l'entreprise américaine glisse aussi des enseignements pour la détection de comportements malveillants dans les modèles d'IA.

Xbox traverse une période difficile et vient d'annoncer, le 6 juillet 2026, la suppression de 3 200 emplois ainsi que la fermeture de quatre studios majeurs. On apprend également que le Game Pass n'atteint même pas la moitié de son objectif d'abonnés pour l'année 2026.

Quelques jours seulement après le lancement de la première fournée de Steam Machines, un utilisateur a rapporté une erreur apparemment liée au GPU de l'appareil. La machine a finalement redémarré normalement, mais l'incident a relancé les questions sur la fiabilité du dispositif.

L’article Steam Machine : une panne mystérieuse dès le lancement, résolue d’une manière encore plus étonnante est apparu en premier sur Tom’s Hardware.

[Deal du jour] Les AirPods Pro font clairement partie des produits qui reviennent régulièrement en promotion. Pour les soldes d'été, ces derniers sont affichés à 194 €

L'actrice Anya Taylor-Joy a récemment partagé sa fierté de jouer dans le prochain film Le Seigneur des anneaux, centré sur Gollum. Elle y incarnera une elfe, un rôle très naturel pour elle.

La décision de Rockstar Games de ne pas sortir GTA 6 en version physique, combinée à l'annonce de Sony d'arrêter la production de disques d'ici 2028, relance le débat sur l'avenir du support physique dans le jeu vidéo. Pour le PDG de CI Games, la messe est dite : économiquement, le disque ne tient plus la route.

L’article GTA 6 sortira sans version physique, ça tombe bien, la PS6 n’aura pas de lecteur de disque est apparu en premier sur Tom’s Hardware.

Alors que la trajectoire européenne impose une électrification à marche forcée, les résultats du premier semestre 2026 révèlent de profonds contrastes. Entre stratégies de contournement, coups de frein inattendus et surprises de taille, analyse d'un marché à plusieurs vitesses.

Domino's Pizza prend un malin plaisir à mettre la pression sur Sony depuis l'officialisation de l'arrêt des disques PlayStation en janvier 2028. La firme nippone s'est terrée dans le silence depuis cette annonce qui fait grand bruit.

Dans l'épisode 3 de la saison 3 de House of the Dragon, Daemon Targaryen évoque une intrigante « cité où les hommes ont des ailes » située au bout du monde. Simple légende de marins ou réalité géographique ? C'est le moment de faire un tour dans les entrailles du lore de George R.R. Martin.

Sortie le 1er juillet 2026, la nouvelle série originale d’Amazon MGM Studios et Hello Sunshine s'est emparée de la première place des charts mondiaux en un claquement de doigts. Préquel officiel de la comédie culte La Revanche d'une blonde (Legally Blonde), Elle est la surprise ultra-fraîche, nostalgique et addictive qu'il vous faut voir cet été.

Une fois par an, la Terre passe à l'aphélie. En 2026, cela tombe le lundi 6 juillet. Ce n'est pas un phénomène astronomique que l'on remarque dans le ciel. Alors, que signifie l'aphélie ? Cela se produit-il toujours à la même date tous les ans ?