Actualités & Veille Tech
Cybersécurité · Intelligence artificielle · Cloud · DevSecOps · Réseaux
ShinyHunters frappe Carnival : 6 millions de clients exposés
Carnival Corporation confirme une violation de données touchant près de 6 millions de clients après une attaque par ingénierie sociale en avril 2026, revendiquée par le groupe ShinyHunters.
Dernières actus
NIS2 : l'UE adopte des templates communs de notification d'incidents — 30 jours avant la deadline
Le 26 mai 2026, le groupe de coopération NIS2 a adopté des templates communs de notification d'incidents cybersécurité lors de sa 39e réunion plénière à Chypre. Ces formats standardisés deviendront obligatoires pour tous les États membres de l'UE via un acte d'exécution de la Commission européenne attendu au T3 2026. La deadline d'audit NIS2 est fixée au 30 juin 2026 — moins de 30 jours.
TrapDoor : 34 paquets npm/PyPI/Crates infectent 35 000 dépôts, persistance via CLAUDE.md
Détectée le 25 mai 2026 par Socket Security, la campagne TrapDoor a déployé 34 paquets malveillants sur npm, PyPI et Crates.io entre le 22 et le 29 mai, atteignant plus de 35 000 dépôts. Nouveau vecteur : persistance via des caractères Unicode à largeur nulle injectés dans les fichiers .cursorrules et CLAUDE.md pour compromettre les outils de codage IA — survivant à la suppression des paquets malveillants.
CVE-2026-0257 : bypass auth PAN-OS GlobalProtect, exploitation active, CISA KEV
CVE-2026-0257 (CVSS 9.1) permet à un attaquant non authentifié de forger des cookies d'accès GlobalProtect sur PAN-OS et d'obtenir un accès VPN complet au réseau interne. Exploitation active confirmée par Rapid7 dès le 21 mai 2026 ; inscrit au catalogue KEV de la CISA le 29 mai 2026 avec deadline de remédiation au 1er juin pour les entités fédérales américaines.
Microsoft vs chercheurs : la guerre des zero-days s'embrase
Microsoft a menacé le chercheur Nightmare Eclipse de poursuites pénales via son Digital Crimes Unit pour avoir publié six preuves de concept de zero-days Windows. La communauté cybersécurité mondiale dénonce une stratégie d'intimidation sans précédent pour l'écosystème de la divulgation responsable.
Gemini 3.5 Flash : Google atteint la disponibilité générale
Google a rendu Gemini 3.5 Flash disponible en GA le 31 mai 2026 : performances frontier dépassant Gemini 3.1 Pro, contexte d'un million de tokens et vitesse 4x supérieure à 280 tok/s. La tarification a triplé mais reste compétitive face à Claude Opus 4.8 et GPT-5.5 Instant.
Canvas : 275 millions d'étudiants victimes de ShinyHunters
ShinyHunters a compromis Instructure et son LMS Canvas en deux assauts distincts, exfiltrant 3,65 To de données couvrant 275 millions d'utilisateurs dans 8 809 établissements. Instructure a payé la rançon le 11 mai 2026 pour éviter la publication des données.
Coupe du Monde 2026 : le FBI alerte sur les faux sites FIFA
Le FBI a identifié au moins 35 sites frauduleux imitant la FIFA à l'approche de la Coupe du Monde 2026 pour voler des données bancaires, vendre de faux billets et mener des campagnes de phishing ciblant les supporters du monde entier.
Azure AKS : Microsoft refuse un CVE, corrige en silence
Une faille d'élévation de privilèges dans Azure Backup for AKS permettait d'obtenir les droits cluster-admin depuis un rôle à faibles privilèges, mais Microsoft a bloqué l'attribution d'un CVE et aurait corrigé la faille silencieusement.
Screening Serpens : 6 RAT iraniens contre USA, Israël, EAU
L'APT iranien Screening Serpens a déployé six nouvelles variantes RAT organisées en deux familles (MiniUpdate, MiniJunk V2) entre février et avril 2026, ciblant le secteur technologique aux États-Unis, en Israël et aux EAU.