Depuis le 3 novembre 2025 et la découverte d’une vulnérabilité React, une course effrénée s’est engagée dans l’écosystème cyber. D’un côté, les équipes de sécurité tentent de sécuriser leurs systèmes au plus vite ; de l’autre, les attaquants scannent l'Internet à grande échelle pour exploiter les retardataires. Les chercheurs suivent en temps réel l’évolution des campagnes d’attaque qui se greffent sur cette faille critique.
Depuis le 3 novembre 2025 et la découverte d’une vulnérabilité React, une course effrénée s’est engagée dans l’écosystème cyber. D’un côté, les équipes de sécurité tentent de sécuriser leurs systèmes au plus vite ; de l’autre, les attaquants scannent l'Internet à grande échelle pour exploiter les retardataires. Les chercheurs suivent en temps réel l’évolution des campagnes d’attaque qui se greffent sur cette faille critique.
Aéroports bondés et longs retards : les voyageurs sont des cibles faciles sur les réseaux Wi-Fi publics ; des experts en cybersécurité partagent 3 mesures de sécurité. Pour éviter d’être espionnés ou de se faire voler leurs comptes, les voyageurs devraient désactiver les connexions réseau automatiques, éviter d’utiliser le Wi-Fi public pour les transactions financières et utiliser […]
Les chercheurs en cybersécurité de Sentinel One ont mis en lumière le retour d’un groupe de hackers baptisé « CyberVolk ». Si cette résurgence, ainsi que les capacités d’automatisation du groupe, peuvent inquiéter, les chercheurs pointent aussi de grosses erreurs de conception qui permettent, parfois, de récupérer les fichiers chiffrés sans avoir à payer la rançon.
Les chercheurs en cybersécurité de Sentinel One ont mis en lumière le retour d’un groupe de hackers baptisé « CyberVolk ». Si cette résurgence, ainsi que les capacités d’automatisation du groupe, peuvent inquiéter, les chercheurs pointent aussi de grosses erreurs de conception qui permettent, parfois, de récupérer les fichiers chiffrés sans avoir à payer la rançon.
Cet article décrypte les points clés du guide ANSSI sur la définition d'une politique de filtrage réseau d'un pare-feu, pour vous aider à appréhender le sujet.
Notepad++ 8.8.9 a été publié pour corriger une faille dans le processus de mise à jour : il peut être détourné pour déployer une mise à jour malveillante.
Microsoft a profité de l’édition 2025 de la conférence Black Hat Europe, organisée à Londres du 8 au 11 décembre 2025, pour dévoiler de nouvelles règles appliquées à ses programmes de bug bounty. Numerama a pu s’entretenir avec Tom Gallagher, vice‑président en charge de l’ingénierie au Microsoft Security Response Center (MSRC), afin de détailler ces nouvelles modalités d’attribution des primes.
Microsoft a profité de l’édition 2025 de la conférence Black Hat Europe, organisée à Londres du 8 au 11 décembre 2025, pour dévoiler de nouvelles règles appliquées à ses programmes de bug bounty. Numerama a pu s’entretenir avec Tom Gallagher, vice‑président en charge de l’ingénierie au Microsoft Security Response Center (MSRC), afin de détailler ces nouvelles modalités d’attribution des primes.
La récente panne de Cloudflare semble être due au déploiement dans l’urgence d’un patch correctif pour se protéger de la faille React2Shell. Tribune – Shachar Menashe, VP Security Research chez JFrog, nous explique les enseignements à en tirer : « La chaîne logistique des logiciels peut être un mécanisme complexe composé de multiples éléments et d’outils […]
Google et le CA/Browser Forum viennent d’annoncer la mise à mort de 11 méthodes de validation de domaine pour les certificats HTTPS. Bye bye les emails, les coups de fil, les fax (oui, y’en avait encore qui utilisaient ça) et le courrier postal pour valider les certificats car d’ici mars 2028, tout ça sera du passé.
Car quand vous demandez un certificat SSL/TLS pour votre site, l’autorité de certification doit vérifier que vous êtes bien le proprio du domaine. Historiquement, ça pouvait se faire via un email envoyé à l’adresse WHOIS, un coup de téléphone, ou même un courrier papier mais le problème, c’est que ces méthodes sont faciles à falsifier.
Des chercheurs en sécurité ont montré qu’il était possible de manipuler les données WHOIS ou d’intercepter les communications pour obtenir des certificats frauduleux et quand, malheureusement, un attaquant peut se faire passer pour le propriétaire légitime d’un domaine et obtenir un vrai certificat, ça ouvre la porte à des attaques man-in-the-middle bien méchantes.
Donc le
CA/Browser Forum a voté le ballot SC-090
pour éliminer progressivement ces vieilles méthodes. Juin 2025 a vu la fin de la validation WHOIS par email, mars 2026 découragera l’utilisation des méthodes email en général, et mars 2028 ce sera le grand ménage final.
À la place, il faudra donc passer par des méthodes plus directes tels qu’un enregistrement DNS TXT avec une valeur aléatoire que l’autorité vérifiera, ou un fichier HTTP placé à un endroit précis de votre serveur. Ces méthodes permettent de prouver cryptographiquement que vous contrôlez bien le domaine, sans intermédiaire chelou.
Pour les utilisateurs lambda, ça ne change rien évidemment, vous continuerez à voir le petit cadenas dans votre navigateur. Mais pour les admins système et les responsables de sites, ça veut dire qu’il va falloir automatiser tout ça. Si vous utilisez encore des certificats validés par email, c’est donc le moment de migrer vers des outils comme
ACME
(le protocole derrière Let’s Encrypt).
Ce mouvement s’inscrit également dans une tendance plus large puisque le
ballot SC-070
prévoit aussi de réduire la durée de validité des certificats pour les passer à 10 jours de réutilisation de la validation dès mars 2028, puis des certificats de 47 jours seulement en mars 2029. Donc autant dire que sans automatisation, ça va devenir ingérable.
Google pousse donc clairement l’écosystème vers plus de sécurité, quitte à forcer la main aux retardataires. Moins de maillons dans la chaîne, c’est moins d’opportunités pour les attaquants et je trouve que c’est plutôt une bonne nouvelle.
Dans l’imaginaire collectif, la cybersécurité évoque encore des salles obscures remplies de serveurs, des lignes de code à perte de vue et des ingénieurs penchés sur des écrans clignotants. En réalité, le danger se trouve souvent bien plus près, parfois à un simple clic. Et les PME, longtemps persuadées d’être trop modestes pour attirer les […]
La période des fêtes est un moment très intense pour tous et les cybercriminels le savent. Tandis que les entreprises se concentrent sur la clôture de l’exercice financier et que les employés sont occupés par les vacances et les achats de cadeaux, les pirates planifient leurs attaques ciblées. Sören Schulte, expert en sécurité des e-mails […]
Pour bien préparer l'arrivée de l'offre Thunderbird Pro en 2026, Thunderbird Send a été audité : 2 vulnérabilités ont été patchées, et ce n'est pas tout.
Si vous me lisez depuis longtemps, vous connaissez forcement le principe des honeypots. Si ce n’est pas le cas, je vous explique. Les honeypots, ce sont ces faux serveurs qu’on laisse traîner pour attirer les pirates afin de mieux étudier leurs techniques. Eh les honey tokens, c’est pareil mais en version credentials. En gros, ce sont des fausses clés AWS, des identifiants SSH bidons, des accès base de données qui n’existent pas… que vous planquez dans votre infra, et si quelqu’un les utilise, vous savez immédiatement que vous avez un problème.
DeceptIQ Starter vient donc de sortir une version gratuite de son service et c’est un outil qu’on devrait tous garder sous le coude. Ça permet de générer des tokens piégés que vous disséminez dans vos repos Git, vos fichiers de config, vos pipelines CI/CD… Et puis vous attendez. Et si un petit malin exfiltre ces credentials et essaie de les utiliser, vous recevez alors une alerte instantanée avec l’IP source, le timestamp, et tout le contexte qu’il faut.
L’astuce, c’est que ça exploite un truc fondamental dans le comportement des attaquants. Quand ils tombent sur une clé AWS dans un repo, leur réflexe c’est de la tester. Ils voient un pattern familier, genre AKIA-quelque-chose, et hop, validation automatique. Sauf que cette fois, c’est eux qui se font piéger…
La version gratuite propose 4 types de tokens : clés AWS IAM (jusqu’à 10), clés AWS Bedrock pour les services IA (2 max), accès S3 (2), et clés SSH (20). C’est pas mal pour commencer et couvrir les cas d’usage les plus courants. Et les tokens pro débloquent des trucs plus exotiques comme les credentials Azure, les API keys CrowdStrike, ou les users MySQL/PostgreSQL.
L’avantage par rapport à un honeypot classique, c’est qu’il n’y a aucun faux positif possible. Si quelqu’un utilise une de ces credentials, c’est forcément suspect puisque normalement, personne ne devrait les utiliser.
Après un attaquant peut très bien pénétrer votre système sans jamais toucher à vos tokens piégés mais ça reste un excellent filet de sécurité supplémentaire. Et combiné avec vos autres outils de détection, ça peut faire la différence entre découvrir une intrusion en quelques minutes ou plusieurs mois après les faits.
En 2016, je vous parlais de
Gogs
, ce petit serveur Git auto-hébergé super léger qui s’installe en 10 secondes et c’est encore aujourd’hui une alternative sympa à GitHub pour ceux qui voulaient garder leur code chez eux. Mais attention, si vous l’utilisez, il va falloir agir vite parce que là, c’est la catastrophe.
Des chercheurs de Wiz viennent de découvrir que plus de 700 instances Gogs exposées sur Internet ont été compromises via une faille zero-day baptisée CVE-2025-8110. Et le pire, c’est que cette faille est activement exploitée depuis juillet 2025 et qu’il n’existe toujours pas de patch.
L’attaque est vicieuse car un attaquant n’a besoin que d’un compte utilisateur standard pour compromettre votre serveur. Il crée un dépôt, y ajoute un lien symbolique pointant vers un fichier sensible, puis utilise l’API PutContents pour écrire à travers ce lien et modifier le fichier .git/config. Ensuite, en bidouillant la directive sshCommand, il peut alors exécuter n’importe quelle commande sur votre serveur. Voilà, c’est plié !
Cette faille est en fait un contournement d’un ancien correctif (CVE-2024-55947). Les développeurs avaient patché le problème mais avaient oublié de gérer le cas des liens symboliques. Et ce n’est même pas la première fois que Gogs se retrouve dans cette situation puisqu’en juillet 2024, quatre failles critiques avaient été publiées (CVE-2024-39930, CVE-2024-39931, CVE-2024-39932, CVE-2024-39933), toutes avec des scores CVSS de 9.9 sur 10, et au final, les mainteneurs avaient tout simplement… cessé de répondre aux chercheurs. C’est moche !
Sur les 1400 instances Gogs exposées sur Internet identifiées par Wiz, plus de 700 ont donc été compromises. Les attaquants utilisent le framework C2 Supershell pour garder le contrôle des machines et les chercheurs soupçonnent des cybercriminels basés en Asie vu l’usage de cet outil très particulier.
Donc si vous avez un serveur Gogs qui tourne, voici ce qu’il faut faire immédiatement : Vous devez désactiver l’inscription ouverte si vous n’en avez pas besoin (c’est activé par défaut) et mettre votre instance derrière un VPN. Après pour savoir si vous êtes déjà compromis, cherchez des dépôts créés le 10 juillet avec des noms bizarres de 8 caractères.
Après à ce stade, je vous conseille de migrer vers
Gitea
, le fork de Gogs qui est activement (et mieux) maintenu et qui n’est pas affecté par ces failles. Gogs semble être devenu un projet abandonné niveau sécurité, et c’est vraiment dommage parce que le concept était génial.
Le terme « digital nomad » évoque encore souvent l’image du freelance en van aménagé, connecté depuis une plage thaïlandaise ou un café berlinois. Pourtant, la réalité est bien plus large. Même cloué chez soi, on vit déjà comme un nomade numérique : les données voyagent entre appareils, comptes et serveurs distants, exposées à chaque clic sur un Wi-Fi domestique ou une appli tierce. Surfshark One transforme cette vulnérabilité en force, en offrant un arsenal complet pour chiffrer, fragmenter son identité et minimiser son empreinte. Le luxe ultime de disparaître à volonté, sans jamais quitter son fauteuil.[
Cette suite ne se contente plus d’un VPN isolé. Elle assemble chiffrement, antivirus, outils d’anonymisation et surveillance proactive dans une interface unifiée, pensée pour ceux qui jonglent entre vie pro, perso et side projects sans jamais avoir le droit de baisser la garde. L’idée est simple : adopter la mentalité du voyageur perpétuel, où la sécurité n’est pas une option, mais une couche invisible qui vous suit partout.
Au cœur de l’ensemble trône le VPN Surfshark, avec ses serveurs RAM-only disséminés dans des dizaines de pays. Chacun d’eux utilise un chiffrement militaire AES-256 impénétrable, des protocoles comme WireGuard pour la vitesse ou OpenVPN pour la robustesse, et une connexion illimitée sur tous les appareils. Que l’on soit en télétravail sur un réseau d’entreprise ou en train de streamer une série géobloquée, le trafic passe dans un tunnel opaque, invisible pour le FAI ou les curieux. Ajoutez à cela le Kill Switch, qui coupe net toute fuite en cas de déconnexion, et le mode Camouflage qui masque même l’usage du VPN lui-même. Résultat : on navigue comme si l’on était ailleurs, sans alourdir sa bande passante ni se compliquer la vie.](
https://surfshark.com/fr/one
) Et ça, en vrai nomade que vous êtes (bureau, frigo, bureau, toilettes … un vrai hometrotter), c’est bien pratique.
Mais le vrai game-changer pour le nomade sédentaire moderne réside dans la fragmentation de l’identité.
L’Alternative ID
génère des profils jetables avec nom fictif, adresse bidon, date de naissance inventée, alias mail redirigé vers la boîte réelle. Parfait pour s’inscrire à un service douteux, tester une newsletter ou commander sans laisser de traces permanentes. Si une fuite survient, on désactive l’alias en un clic, et le spam s’évapore. Couplé à Surfshark Search, un moteur sans tracking ni pub personnalisée, de quoi briser le cercle vicieux des profils marketing. On cherche, on trouve, sans nourrir les algorithmes qui nous recoupent d’un site à l’autre.
L’antivirus intégré complète le tableau en protégeant non seulement le navigateur, mais l’ensemble des flux entrants. Basé sur un moteur temps réel, il scanne fichiers, pièces jointes, périphériques USB et même la webcam contre les intrusions discrètes. Pas de paramétrage byzantin : on installe, on laisse tourner, et les malwares, ransomwares ou spywares sont neutralisés avant de faire des dégâts. Pour celui qui télécharge des outils pros ou gère des backups familiaux, c’est la tranquillité sans les alertes incessantes des suites traditionnelles.[
Surfshark Alert ajoute la couche proactive. Ce système patrouille le dark web et les bases publiques pour détecter si un email, un numéro de carte ou un identifiant a fuité. Au lieu d’apprendre par un appel de votre banque que des achats frauduleux ont eu lieu, on reçoit une notification immédiate : « Votre alias X apparaît dans une brèche. » On change alors mot de passe, on cloisonne, on passe à autre chose.
CleanWeb
, de son côté, purge pubs, trackers et phishing en amont, accélérant la navigation tout en préservant la bande passante pour ce qui est essentiel.](
https://www.lesnumeriques.com/vpn/surfshark-one-detrone-les-geants-du-vpn-avec-son-antivirus-integre-n245109.html
)
Surfshark One intègre désormais un outil inédit pour traquer les arnaques par email, baptisé Email Scam Checker, qui s’appuie sur l’intelligence artificielle pour disséquer les messages suspects directement depuis l’extension Chrome et Gmail. Ce détecteur analyse en un clic le contenu manipulatoire, les informations d’expéditeur douteuses, les liens malveillants et les tactiques typiques des phishings comme ces faux mails de banque créés par IA pour imiter leur authenticité.
Lancé fin octobre 2025 face à l’explosion des 3,4 milliards de phishings quotidiens, il opère sur les serveurs contrôlés par Surfshark, effaçant les données immédiatement après scan pour préserver une confidentialité absolue. L’activation est enfantine : on télécharge l’extension, on active l’option dans les paramètres, puis on clique « Vérifier l’email » sur n’importe quel message Gmail ; le verdict tombe instantanément, protégeant ainsi contre malwares, faux sites et urgences fabriquées. Couplé aux connexions illimitées, cela étend la vigilance à toute la famille sans effort supplémentaire, transformant la boîte de réception en zone sécurisée où les escroqueries n’ont plus leur mot à dire.
Ce qui rend
Surfshark One
si adapté au quotidien immobile, c’est son universalité. Une seule interface gère tout : le PC fixe pour le boulot, le laptop Apple pour les quelques rares déplacements, le smartphone Android, la console des enfants ou la tablette iOS du chef cuistot. Pas de licences multiples ni de synchronisation manuelle. Même les fonctions avancées comme le split tunneling (qui route certaines apps via VPN et d’autres en direct) ou le MultiHop pour un double chiffrement s’activent sans effort. On passe d’un contexte à l’autre comme un nomade sans boussole, sans friction technique.
En 2025, où chaque service aspire des données pour les revendre ou les exploiter, ce kit redéfinit la liberté numérique. On apparaît sur le Net pour consommer ce dont on a besoin (un abonnement, un essai, une recherche) puis on s’efface proprement. Pouf, plus là.
L’antivirus veille sur les fichiers locaux, Alert sur les fuites externes, Alternative ID sur les inscriptions futures. Le VPN assure que rien ne sort sans être chiffré. Même statique géographiquement, on vit comme si l’on pouvait plier bagage à tout moment, sans laisser derrière soi un sillage exploitable.
Cette approche n’impose aucune ascèse paranoïaque. Les outils s’intègrent au quotidien sans pop-ups ni jargon technique. Pour l’entrepreneur solo gérant clients et factures en ligne, le parent protégeant la famille connectée, ou l’amateur de Tech testant des outils sans risque, Surfshark One offre le calme d’une empreinte minimale. Le vrai luxe ? Reprendre le contrôle sans y penser, comme un nomade qui sait que sa tente se démonte en cinq minutes en cas de danger.
Et le meilleur dans l’histoire ? C’est son prix. Actuellement moins de 2,63€/mois TTC pour la suite de sécurité complète et pour un nombre illimité de machines (71€ TTC pour 2 ans + 3 mois offerts).
Le patch pour atténuer la faille CVE-2025-54100 découverte dans PowerShell modifie le comportement de Invoke-WebRequest, ce qui peut bloquer vos scripts.
À l'occasion de la journée de mobilisation contre les violences faites aux femmes dans les transports, la SNCF et Île-de-France Mobilités ont présenté la seconde version de leur intelligence artificielle capable d'analyser les flux des caméras en temps réel, développée par un groupe français. Prochaine étape : autoriser son usage en France, alors que l'analyse des flux vidéo est fortement encadrée.
Connexion
