Alors là les amis, c'est le moment de vous accrocher à vos vieux chargeurs Lightning de la guerre ! Parce que si vous avez un vieil iPhone 5s qui traîne dans un coin ou dans votre poche et que vous refusez catégoriquement de le foutre à la benne par pur respect pour le design de ce bon vieux Jony Ive, j'ai une nouvelle qui va vous redonner le smiiiiile.

Vous ne l'avez pas encore vu parce que la vie est un tourbillon qui vous emporte chaque jour loin de tout ça, mais sachez qu'Apple vient tout juste de sortir iOS 12.5.8. Hé oui, en 2026 la firme à la pomme a balancé un patch pour un téléphone sorti il y a plus de 12 ans. Je rappelle quand même que ce vieux machin a été déclaré officiellement « obsolète » par Cupertino en 2024.

Alors POURQUOI ?

Et bien c'est tout simple ! C'est en réalité une question de vie ou de mort pour les services de base sur le smartphone. En effet, sans cette mise à jour, vos certificats de sécurité allaient expirer et s'en était terminé de FaceTime, d'iMessage, et même de la possibilité d'activer le téléphone après une réinitialisation. En gros, votre iPhone 5s allait se transformer en cale porte.

Heureusement qu'ils ont réagi !

Grâce à ce patch (qui concerne aussi l'iPhone 6 et l'iPad Air 2 via iOS 15.8.6 et 16.7.13), les services essentiels vont donc continuer de ronronner jusqu'en janvier 2027 au moins. Même si ça devrait être la norme, c'est tellement rare de voir un constructeur s'occuper de son matériel si longtemps après la sortie qu'on est tous étonné ! Ça nous change de l'époque où on devait braver l'obsolescence programmée avec du ruban adhésif !

Après si vous sentez que l'autonomie de votre vieux smartphone décline , c'est peut-être le moment de lui offrir une petite batterie neuve pour fêter ça. Parce que faire tourner un OS de 2026 sur une puce A7, c'est un peu comme essayer de faire courir un marathon à votre grand-père... Faudra de la glace à l'arrivée !

Voilà, vous savez ce qu'il vous reste à faire concernant cet appareil !

D'ailleurs si vous voulez suivre mes découvertes tech au quotidien, je poste aussi des trucs sur ma page Facebook .

Source

À l’occasion de la Journée Européenne de la protection des données, un constat s’impose : protéger les données n’est pas une simple fonction IT, c’est une composante stratégique de la résilience opérationnelle. Tribune par Amine Soussi, Senior Solutions Consultant chez Appian – Depuis l’entrée en vigueur de DORA, les institutions financières l’ont compris : les […]

Fortinet a confirmé l'existence d'une faille zero-day critique permettant de contourner l'authentification FortiCloud SSO. Protégez-vous de la CVE-2026-24858.

Le post Fortinet coupe le SSO en attendant les patchs pour la nouvelle faille zero-day : CVE-2026-24858 a été publié sur IT-Connect.

Vous avez déjà galéré à créer un mot de passe qui respecte les 42 règles imposées par un site un peu trop zélé ? Genre au moins 16 caractères, une majuscule, une minuscule, un chiffre, un caractère spécial, et surtout pas le prénom de votre chat ni votre date de naissance ?

C’est le genre de micro-agression qui peut flinguer une matinée ^^.

Heureusement, y’a un dev qui a eu une idée de génie en inversat complètement le problème grâce à la puissance brute des expressions régulières.

Son outil s'appelle RegExp Password Generator et comme son nom l'indique, c'est un générateur de mots de passe qui fonctionne avec des regex. Au lieu de cocher des cases un peu nazes dans une interface classique, vous définissez vos contraintes ligne par ligne sous forme d'expressions régulières.

Par exemple, vous balancez ^.{16,32}$ pour imposer une longueur entre 16 et 32 caractères, [0-9] pour exiger au moins un chiffre, and [A-Z] pour une majuscule. L’outil va alors calculer l’intersection de tous vos patterns pour vous sortir 5 mots de passe aléatoires qui matchent absolument toutes vos règles simultanément.

L'outil repose heureusement sur la bibliothèque TypeScript @gruhn/regex-utils. Pour ceux qui font du code, vous savez que manipuler des regex pour faire des intersections ou des compléments, c'est normalement une purge monumentale que la plupart des langages de programmation ne gèrent pas nativement.

C'est pourquoi ici, la lib fait tout le sale boulot de calcul d'ensemble pour s'assurer que vos contraintes ne sont pas contradictoires. Si vous demandez un truc impossible (genre un mot de passe qui doit être composé uniquement de chiffres ET uniquement de lettres), l’outil vous le dit direct au lieu de mouliner dans le vide.

Et tout tourne en local dans votre navigateur donc c'est cool pour la vie privée, par contre, gardez en tête que la lib supporte un sous-ensemble bien précis de la syntaxe RegExp de JavaScript. Inutile donc tenter des trucs ultra exotiques comme les lookbehinds complexes, l'outil risque de vous renvoyer une erreur.

Le côté pratique, c'est que vos contraintes sont directement encodées dans l'URL. Du coup, vous pouvez bookmarker une config précise pour un site spécifique ou la partager avec vos collègues sans avoir à tout retaper à chaque fois. Un petit compteur affiche même le nombre total de combinaisons possibles avec vos règles, histoire de vérifier que vous n'avez pas créé un mot de passe trop prévisible (ou au contraire, un truc tellement restrictif qu'il n'existe qu'une seule possibilité).

Bref, j'ai trouvé ça original !

L'assistant personnel IA Clawdbot devient Moltbot : si vous décidez de l'auto-héberger sur un serveur, attention à la sécurité, car vos données sont exposées.

Le post Clawdbot devient Moltbot : cet assistant IA affole tout le monde, mais attention à vos données ! a été publié sur IT-Connect.

Rapport Zscaler ThreatLabz 2026 sur les menaces IA – L’adoption rapide de l’IA crée un fossé critique entre innovation et sécurité, obligeant les organisations à adopter une plateforme de sécurité IA fondée sur le modèle Zero Trust. Principales conclusions de l’étude : L’adoption de l’IA s’accélère plus vite que la supervision des entreprises. Malgré une […]

Le 28 janvier, les organisations et les citoyens du monde entier célèbrent la Journée de la protection des données. Elle agit comme un rappel général de l’importance de protéger les informations personnelles et de renforcer les mesures de protection des données dans un écosystème de plus en plus numérique. Cette journée souligne que la vie […]

Demain, la journée européenne de la protection des données rappellera l’importance de sécuriser nos données. Mais qu’en est-il de notre capacité à les restaurer après une attaque ? Le baromètre mondial de Cohesity sur la cyber-résilience dresse un état des lieux préoccupant : près d’un tiers des grandes entreprises françaises (27 %) n’ont pas la […]

Bon, je vais pas vous mentir, YouTube et moi en ce moment c'est compliqué. Ce matin encore, j'ai passé une bonne heure à debug mes scripts Python pour choper de la musique pour mes lives Twitch. Et yt-dlp qui rame de plus en plus, alors qu'avant ça prenait 3 secondes chrono... Pffff, j'ai l'impression que Google a décidé de nous pourrir la vie.

Et là, en cherchant pourquoi mes scripts plantaient, je suis tombé sur un truc qui m'a bien fait rire jaune. Vous savez le fameux message "An error occurred. Please try again later" qui s'affiche parfois quand vous matez une vidéo ? J'ai d'abord cru que c'était un bug côté serveur chez Google mais QUE NENNI !

C'est VOULU !!

WTF?! Du coup voilà le délire... quand la plateforme vidéo détecte que vous utilisez un bloqueur de pubs, au lieu de vous afficher gentiment une popup "hey miskine, désactive ton adblock s'il te plaît", elle fait semblant d'avoir un problème technique. Le message d'erreur est bidon, la vidéo pourrait très bien se lancer, mais non... Big G préfère vous faire croire que c'est votre connexion qui déconne.

Et techniquement, c'est assez vicieux puisque le système fonctionne sur trois niveaux : d'abord il analyse les requêtes réseau pour voir si certaines URLs de pubs sont bloquées, ensuite il vérifie l'intégrité du DOM pour s'assurer que les éléments publicitaires sont bien présents, et enfin il surveille si les APIs de pub sont accessibles. Et si un de ces checks échoue, hop, le lecteur vidéo se met en mode "je fais semblant d'avoir un problème".

Sympathique non ?

Le pire dans tout ça, c'est que ça marche plutôt bien pour eux. J'ai moi-même mis pas mal de temps avant de tilter que c'était pas chez moi que ça déconnait. Parce que quand on voit "An error occurred", notre premier réflexe c'est de rafraîchir la page, de vérifier votre connexion, de redémarrer votre navigateur... etc, jusqu'à ramener l'ordi chez le dépanneur ^^ loool .

Bref, TOUT sauf de penser que c'est une extension adblock à la con qui pose problème.

D'ailleurs avec Manifest V3 qui limite encore un peu plus les capacités des bloqueurs sur Chrome, c'est devenu encore plus galère. La limite de 30 000 règles par extension, c'est juste ridicule quand on sait qu'uBlock Origin en utilise plus de 300 000.

Maintenant, si vous cherchez des solutions qui marchent encore, j'avais fait un guide complet sur les bloqueurs de pubs qui reste encore d'actualité malgré son age. Et surtout, le frérot Firefox reste une valeur sûre vu qu'il supporte encore Manifest V2. Attention par contre, uBlock Origin Lite sur Chrome c'est pas la même chose que l'original, il tape que du 96% contre 100% pour la version complète niveau blocage. Les filtres doivent constamment être mis à jour parce que le service de Google change ses méthodes de détection à peu près toutes les semaines.

Et dire que pendant ce temps, certains pays veulent carrément criminaliser les bloqueurs ... On vit une époque formidable ^^. Perso, j'en suis à me demander si on devrait pas tous migrer sur Dailymotion. Non je déconne. Quoique...

Bref, si vous voulez contourner le truc, soit vous passez sur Firefox avec uBlock Origin classique, soit vous désactivez temporairement votre bloqueur sur la plateforme, soit... vous payez YouTube Premium. Ce qui est probablement exactement ce qu'ils veulent.

Source

Suite à une ordonnance judiciaire, Microsoft a communiqué au FBI les clés de chiffrement BitLocker d'une machine Windows. Ce n'est pas nouveau ni surprenant.

Le post Microsoft donne les clés BitLocker au FBI : ce n’est pas nouveau, mais comment est-ce possible ? a été publié sur IT-Connect.

Aujourd’hui, les entreprises attendent des analyses toujours plus rapides et une adoption de l’IA à grande échelle. Les analystes cherchent donc des moyens d’y répondre, y compris lorsque les outils et processus officiels sont trop contraignants ou ne suivent pas le rythme. Sous la pression des délais, certains se tournent vers des outils d’IA non […]

Vous mourrez. Votre crypto meurt avec vous. Et votre famille n'a aucune idée de comment récupérer vos Bitcoins, vos Ethereum ou vos autres actifs numériques. Sympa l'héritage !

C'est exactement le problème que Deadhand vient résoudre avec une approche plutôt bien pensée : le partage de secret de Shamir (Shamir's Secret Sharing pour les intimes). En gros, au lieu de refiler votre seed phrase à quelqu'un en lui faisant confiance les yeux fermés, l'outil la découpe en 3 morceaux qu'il éparpille intelligemment.

Vous gardez le Shard A. Votre bénéficiaire reçoit le Shard B. Et le serveur Deadhand stocke le Shard C. Et là, c'est mathématiquement prouvé : n'importe quelle combinaison de 2 shards permet de reconstruire la phrase complète, mais un seul shard tout seul = zéro info utilisable.

Le truc cool avec ce système c'est surtout le système d'homme-mort automatique. Tous les 30 jours, Deadhand vous envoie un mail "T'es toujours vivant ?". Vous cliquez sur le lien, le timer se réinitialise, et hop c'est reparti pour un tour. Simple, non ? Mais si pendant 90 jours vous ne donnez pas signe de vie (RIP), le serveur envoie alors automatiquement le Shard C à votre bénéficiaire qui peut alors le combiner avec son Shard B pour récupérer la seed phrase originale.

Du coup, personne n'a le contrôle total à aucun moment. Si le serveur se fait hacker ? Les pirates récupèrent que le Shard C, TOTALEMENT INUTILE sans les autres. Si votre bénéficiaire devient malveillant ? Il a juste le Shard B, pareil, ça sert à rien tout seul. Et si vous perdez votre Shard A ? Pas de panique, votre bénéficiaire peut toujours combiner B + C pour récupérer l'accès.

Techniquement, c'est du FastAPI côté backend avec PostgreSQL pour la base de données. Le frontend reste sobre avec du HTML, TailwindCSS et HTMX. Et surtout, tout le chiffrement se passe côté client dans votre navigateur via la bibliothèque secrets.js, donc vos clés ne transitent jamais en clair sur le réseau. Architecture zéro-trust comme on dit... même les administrateurs du serveur ne peuvent pas accéder à vos données.

Bon, faut quand même préciser que c'est un MVP (minimum viable product). Les développeurs sont honnêtes là-dessus : ça demande du durcissement avant la prod. Il faut implémenter HTTPS comme il faut, auditer la lib secrets.js, sécuriser l'infrastructure de la base de données et remplacer le mock email par un vrai fournisseur genre SendGrid ou AWS SES. Donc attention, c'est pas encore prêt pour mettre vos millions de Bitcoin dedans, hein.

Niveau installation, rien de bien compliqué si vous voulez tester en local. Vous clonez le repo GitHub, vous installez les dépendances avec pip install -r requirements.txt, puis vous lancez python -m uvicorn app.main:app --reload --port 8000 et vous accédez à http://localhost:8000. Bon, évidemment faut avoir Python 3.9+ installé, mais ça vous le savez déjà. Et le projet est sous licence MIT donc complètement open source, ce qui fait que vous pouvez auditer le code vous-même si vous en avez les capacités (ce n'est pas mon cas).

Perso, je trouve le concept vraiment intelligent par contre. Pas besoin de faire confiance à une boîte centralisée ou de refiler vos clés à un proche en croisant les doigts pour qu'il ne se fasse pas pirater ou qu'il ne perde pas le bout de papier. Le partage de secret de Shamir, c'est pas nouveau mais l'appliquer à l'héritage crypto avec un dead man's switch automatisé, c'est pas mal du tout !

Si vous voulez m'aider à continuer de partager ces projets, c'est sur mon Patreon que ça se passe.

Bref, si la question de l'héritage de vos cryptos vous turlupine (et elle devrait), Deadhand propose une piste sérieuse à creuser. Et si vous cherchez aussi à sécuriser physiquement vos seed phrases , jetez un œil à SeedKeeper.

Microsoft a publié un correctif pour patcher une faille de sécurité zero-day dans Microsoft Office. Cette vulnérabilité (CVE-2026-21509) est déjà exploitée.

Le post Microsoft a patché en urgence une faille de sécurité zero-day dans Office : CVE-2026-21509 a été publié sur IT-Connect.

Telnet, ça vous dit quelque chose ?

C'est ce vieux protocole réseau non chiffré que nos arrières-arrières-arrières-grands-parents utilisaient pour se connecter à des serveurs distants. C'est un truc que vous pensiez peut-être enterré depuis belle lurette... Hé bien figurez-vous qu'une faille critique vieille de 11 ANS vient d'être découverte dans le serveur telnetd de GNU InetUtils. Et le pire c'est que des hackers l'exploitent déjà activement.

ARGH !

La vulnérabilité en question, baptisée CVE-2026-24061 , permet de contourner complètement l'authentification et d'obtenir un accès root. Sans putain de mot de passe (!!!!).

Bon ok, faut quand même que le service telnetd soit actif et exposé, mais après c'est open bar les amis ! En gros, le serveur telnetd passe la variable d'environnement USER directement à la commande login sans la nettoyer. Du coup, un attaquant n'a qu'à définir USER sur -f root et utiliser **telnet -a** pour se retrouver connecté en root.

C'est moche.

Concrètement, ça touche toutes les versions de GNU InetUtils de la 1.9.3 jusqu'à la 2.7. Ça touche donc des distributions Linux, de vieux routeurs, des capteurs industriels...etc. Après, les machines exposées sur Internet avec Telnet actif c'est quand même assez rare, donc faut pas non plus paniquer.

Cependant, les attaquants n'ont pas attendu. La société GreyNoise a documenté des exploitations actives entre le 21 et le 22 janvier, soit très rapidement après la divulgation du 20 janvier. Ils ont ainsi observé 18 adresses IP différentes lancer une soixantaine de sessions Telnet, avec 83% des tentatives ciblant directement le compte root. Du travail de pros.

Heureusement, un correctif existe \o/ : GNU InetUtils 2.8 colmate la brèche mais combien de ces vieux équipements IoT ou industriels vont vraiment être mis à jour ? On connaît tous la chanson par cœur !

Mais bon, si vous avez des machines exposées avec telnetd actif, vous avez trois options : mettre à jour vers la version 2.8, désactiver complètement le service telnetd, ou bloquer le port TCP 23 au niveau du firewall. Perso, je vous conseille carrément de virer Telnet et de passer à SSH si c'est pas déjà fait. En 2026, y'a vraiment plus aucune excuse pour utiliser un protocole qui n'est pas chiffré.

Bref, encore une vieille faille qui traînait depuis 2015 et qui refait surface au pire moment.

Merci à Arfy pour l'info !

Source

La faille de sécurité CVE-2024-37079 présente dans VMware vCenter Server est activement exploitée, d'après l'agence CISA. Elle a été patchée en juin 2024.

Le post VMware vCenter : la CVE-2024-37079 est activement exploitée d’après la CISA a été publié sur IT-Connect.

Alors ça c'est du culot les amis ! Des cybercriminels vraisemblablement vietnamiens viennent de se faire remarquer d'une manière plutôt... originale. Leur petit stealer Python embarque carrément une insulte en vietnamien répétée DES MILLIONS de fois dans le code. Et pas n'importe quelle insulte, une qui vise directement Morphisec , un éditeur de solutions de cybersécurité.

Le message "địt mẹ mày Morphisec" (je vous laisse deviner la traduction... Vous ne trouvez pas ? Ça veut dire "Nique ta mère, Morphisec" loool) est bourré partout dans le payload obfusqué. Le fichier de 16 Ko gonfle à 116 Mo une fois décodé, soit une expansion de x7425. Pas vraiment discret donc comme technique, mais efficace pour faire ramer les scripts d'analyse qui se retrouvent à itérer sur des millions de constantes bidon.

Ce sont les chercheurs de Profero qui ont disséqué ce petit bijou et ils y ont découvert que le stealer utilise une chaîne d'infection plutôt sophistiquée. Ça démarre par un binaire Adobe légitime (ADNotificationManager.exe) qui charge une DLL malveillante via sideloading. Ensuite, WinRAR renommé en japonais (lol) extrait une archive, puis Python 3.10 déguisé en svchost.exe entre en scène.

C'est de la sorcellerie !

Et là, le truc vraiment vicieux c'est que le voleur d'infos utilise Telegram comme serveur de commande et contrôle (C&C). Plutôt que de coder en dur des URLs qui se feraient griller en deux secondes, les auteurs ont opté pour une technique de "Dead Drop Resolver". Le malware va chercher ses instructions dans les métadonnées og:description d'une chaîne Telegram publique. C'est pas con, hein ?

Du coup, une fois installé, ce stealer aspire tout ce qui bouge. Identifiants des navigateurs, cookies, portefeuilles crypto... Le genre de trucs qu'on retrouve ensuite dans ces histoires de dev malheureux qui ont installé des extensions malveillantes et qui font des ravages. Les données volées atterrissent sur un canal Telegram privé baptisé "Reset Logs".

L'attribution vietnamienne est donc plutôt solide. L'admin du bot Telegram se fait appeler @Byte_ManzZz, le code contient des tags comme "vietnamnumber1", et y'a des noms de développeurs genre "_ngocuyen" qui laissent peu de place au doute, même si d'autres auraient pu tenter de brouiller les pistes volontairement. Une fois encore, quand il s'agit de cybercriminalité, on est jamais sûr de rien.

Bref, on est face à des gars qui non seulement ont du talent technique mais qui en plus se payent le luxe de narguer l'industrie de la sécu. Ce serait presque drôle... si c'était pas du vol de données en bande organisée.

Source

Vos concurrents vous cachent des choses. Enfin, j'crois ^^

Leur infrastructure secrète, leurs projets en cours, leurs lancements prévus... Et pourtant, une bonne partie de tout ça est en fait visible si on sait où regarder...

Comment ? Grâce aux logs Certificate Transparency, c'est-à-dire les registres publics où les autorités de certification reconnues par les navigateurs enregistrent les certificats SSL qu'elles émettent.

Du coup, quand une boîte prépare un nouveau service sur staging.secret-project.example.com, hop, le certificat SSL est enregistré dans les logs CT et devient visible pour qui sait chercher. Et c'est exactement à ça que sert CertRadar , un outil gratuit qui va fouiller ces logs pour vous.

Perso j'adore ce genre d'outil pour le pentest et la veille concurrentielle. Vous tapez un domaine et bam, vous récupérez une bonne partie des sous-domaines qui ont eu un certificat SSL. Y'a de quoi faire pleurer un admin sys qui pensait que son serveur de dev était bien planqué !

CertRadar propose plusieurs modules. Le Cert Log Search qui est le coeur du truc, fouille les logs CT pour trouver les certificats émis pour un domaine. Le TLS Scanner analyse la config TLS de n'importe quel serveur (versions supportées, ciphers, tout ça). Le Header Search inspecte les en-têtes HTTP. Y'a aussi un RDAP Lookup pour les infos whois, un Domain Health pour vérifier la santé globale d'un domaine, et même un Multi-Domain Report pour analyser plusieurs domaines d'un coup.

Maintenant, mettons que vous voulez cartographier l'infrastructure de votre concurrent. Vous entrez leur domaine principal dans le Cert Log Search, et vous récupérez une liste de leurs sous-domaines visibles dans les logs CT : api.example.com, staging.example.com, admin-panel.example.com, dev-v2.example.com... Certains noms sont parfois très parlants sur les projets en cours !

D'ailleurs, si vous cherchez d'autres méthodes pour trouver les sous-domaines d'un site , j'avais déjà parlé de SubFinder qui fait ça en ligne de commande.

La différence avec CertRadar c'est que tout se passe dans le navigateur, pas besoin d'installer quoi que ce soit. Vous allez sur le site, vous tapez votre requête, et vous avez vos résultats. Hyper fastoche.

Pour ceux qui font de la sécu, c'est clairement un outil qui a sa place dans votre arsenal. La partie Cert Log Search et RDAP c'est de la reconnaissance passive pure, vous ne touchez pas aux serveurs cibles. Par contre le TLS Scanner et le Header Search vont activement interroger les serveurs, donc à utiliser uniquement sur des domaines où vous avez l'autorisation. Vous pouvez découvrir des endpoints oubliés, des serveurs de staging exposés, des APIs non documentées... Bref, tout ce que les équipes IT auraient préféré garder discret.

Et comme les logs Certificate Transparency sont publics par design (c'est fait pour améliorer la transparence et détecter les certificats frauduleux), consulter ces données est parfaitement légal. James Bond peut aller se rhabiller, la vraie surveillance se fait en open source maintenant !

Si vous voulez jouer les espions légaux, c'est cadeau les copains. Comme d'hab que du bon ici ^^

L’ERP est souvent décrit comme le cœur numérique de l’entreprise. Il centralise les données, orchestre les processus et relie les différents métiers autour d’un socle commun. Cette position stratégique en fait une cible de choix pour les cybercriminels. Un système ERP compromis, c’est potentiellement toute la chaîne de valeur qui vacille : production, logistique, facturation, […]

Dans un message publié sur LinkedIn le 22 janvier 2026, Ilya Lichtenstein, reconnu coupable du vol de 120 000 bitcoins en 2016, a proposé à son réseau professionnel ses services en tant qu’expert en cybersécurité. Une reconversion osée, mais pas inédite.