Actualités & Veille Tech
Cybersécurité · Intelligence artificielle · Cloud · DevSecOps · Réseaux
Canvas LMS : ShinyHunters vole 275 millions de dossiers étudiants, Instructure paie
ShinyHunters a compromis Canvas LMS le 25 avril 2026, exfiltrant 275 millions de dossiers étudiants issus de 8 809 établissements mondiaux. Instructure a payé la rançon le 11 mai. La plus grande fuite du secteur éducatif de l'histoire.
Dernières actus
CVE-2026-0300 : APT chinois CL-STA-1132 exploite les firewalls Palo Alto depuis avril
CVE-2026-0300 est un zero-day RCE sans authentification sur les firewalls Palo Alto Networks, exploité depuis le 9 avril 2026 par le groupe APT CL-STA-1132 lié à la Chine contre des infrastructures critiques nord-américaines. Hotfix disponible.
CVE-2026-3300 : 29 000 tentatives bloquées contre Everest Forms Pro WordPress
Le plugin WordPress Everest Forms Pro est activement exploité via CVE-2026-3300, une RCE sans authentification notée CVSS 9.8. Plus de 29 300 tentatives documentées par Wordfence depuis avril 2026 — appliquez immédiatement la version 1.9.13.
RoguePlanet : un zero-day Defender accorde les droits SYSTEM
Le chercheur Nightmare Eclipse publie RoguePlanet, un exploit zero-day non patché ciblant Microsoft Defender et permettant d'obtenir les droits SYSTEM sur tout Windows 10 ou Windows 11 entièrement à jour.
SAP Patch Day juin 2026 : 4 CVE critiques sur NetWeaver
SAP publie 15 correctifs de sécurité lors de son Patch Day de juin 2026, dont quatre failles critiques dans NetWeaver et Commerce Cloud avec des scores CVSS atteignant 9,9 permettant l'usurpation SAML ou l'exécution de code à distance.
ServiceNow : faille API expose des données clients sensibles
ServiceNow a divulgué le 9 juin 2026 un incident de sécurité lié à un endpoint REST accessible sans authentification depuis avril 2026, exposant des données IT sensibles de milliers d'entreprises clientes.
Campagne Hades : Miasma empoisonne 19 packages PyPI
La campagne Hades, nouvelle offensive du groupe Miasma, a compromis 471 artefacts sur PyPI et npm via des hooks Python automatiques deployant un credential stealer base sur Bun, ciblant developpeurs et environnements CI/CD.
Veeam CVE-2026-44963 : RCE critique sur serveurs de backup
Veeam publie un patch d'urgence pour CVE-2026-44963, une faille RCE critique (CVSS v4 : 9.4) dans Backup & Replication 12 permettant l'execution de code a distance par un utilisateur de domaine authentifie.
Anthropic lance Claude Fable 5 : Mythos accessible au public
Anthropic lance Claude Fable 5 le 9 juin 2026, rendant public pour la premiere fois un modele de classe Mythos avec 1 million de tokens de contexte, des capacites agentiques avancees et une disponibilite sur Amazon Bedrock.
TeamPCP (UNC6780) : attaque supply chain sur TanStack, UiPath et Mistral AI — VECT ransomware déployé
TeamPCP (UNC6780) compromet des centaines de packages TanStack, UiPath et Mistral AI pour voler des credentials et déployer le ransomware VECT sur les environnements CI/CD downstream. Campagne active depuis mars 2026.