Tous les articles

MSP, PLM, CRM : vos prestataires sont devenus votre principale surface d'attaque

En une semaine : N-central compromis (MSP), Windchill exfiltré (PLM), Questel frappé via Salesforce (CRM). Ce n'est pas une coïncidence. Analyse terrain de la supply chain numérique comme principal vecteur d'attaque en 2026 et recommandations concrètes.

Fenêtre d'exploitation à 48h : le patch management traditionnel est mort

Le rapport Rapid7 2026 confirme +105% de CVE critiques exploitées en un an, médiane à 5 jours. CVE-2026-20253 Splunk weaponisée en 48h. Analyse terrain et méthodes CTEM, EPSS, KEV pour adapter votre défense.

Pourquoi les groupes ransomware RaaS sont devenus impossibles à tuer

LockBit est revenu sous la version 5.0 dix-huit mois après l'opération Cronos. Analyse de la résilience structurelle des groupes RaaS, du marché des accès initiaux et des améliorations techniques de LockBit 5.0 — et ce que ça implique pour votre posture de sécurité.

NIS 2 vs ISO 27001 : différences et complémentarités

NIS 2, ISO 27001 et AirCyber : quelle démarche PME 2026

SMSI ISO 27001 industriel : guide de mise en œuvre 2026

Certification ISO 27001 PME : coût, durée et ROI 2026

NIS 2 France 2026 : secteurs et entreprises concernés

RSSI externalisé et conformité NIS 2 : l'accompagnement clé en main

Coût conformité NIS 2 : budget réaliste pour une PME 2026

NIS 2 et fournisseurs aéronautiques : obligations 2026

Accompagnement NIS 2 PME : 5 erreurs fatales et comment les corriger

Supply chain npm/PyPI : comment les APT ont fait de votre pipeline CI/CD une autoroute d’accès

Les registres de paquets npm et PyPI sont devenus le nouveau terrain de chasse des groupes APT et des cybercriminels. Analyse technique des mécanismes d’attaque, retour terrain sur ce que j’observe en mission, et défenses concrètes pour une menace que beaucoup d’organisations sous-estiment encore.

IT/OT convergence : vos automates industriels sont la prochaine cible des ransomwares

La convergence des réseaux IT et OT crée une surface d'attaque que les groupes ransomware ont appris à exploiter méthodiquement. Analyse de fond sur les vecteurs d'attaque, les erreurs de conception fréquentes et ce que les opérateurs industriels doivent réellement faire — sans langue de bois.

NIS2 deux ans après : les 5 erreurs de mise en conformité que je vois répéter partout

Deux ans après l'entrée en vigueur de NIS2 et un an après la deadline de transposition française, le bilan de la mise en conformité est mitigé. Sur le terrain, Ayi NEDJIMI constate les mêmes erreurs répétées chez les entités essentielles et importantes. Voici les cinq plus coûteuses — et comment les corriger.

Microsoft Teams est devenu votre nouveau perimetre d'attaque

STAC4749 vient de demontrer qu'un appel Microsoft Teams suffit a compromettre une organisation entiere en moins de 17 heures. Analyse de fond sur la surface d'attaque Teams que la majorite des equipes securite ne surveille pas — et comment la defendre reellement.

ViteVenom et ChainVeil : supply chain npm, blockchain C2 et

ViteVenom — sept packages npm malveillants ciblant Vite — utilise ChainVeil, un C2 hébergé sur Tron, Aptos et BSC. Un changement de paradigme qui rend les défenses réseau classiques insuffisantes. Analyse et recommandations concrètes par Ayi NEDJIMI.

IA et Analyse Financière : Risques Cybersécurité et

L'intelligence artificielle a envahi le secteur financier à une vitesse sans précédent. En 2026, selon les données de l'Autorité Bancaire Européenne (EBA), plus de 80 % des établissements financiers européens utilisent des algorithmes d'apprentissage automatique dans au moins une fonction critique :…

Réglementation Cybersécurité Chine 2026 : MLPS 2.0, DSL, PIPL

La réglementation cybersécurité en Chine a connu une transformation radicale entre 2017 et 2026. En l'espace de moins d'une décennie, la République populaire de Chine s'est dotée d'un arsenal législatif exhaustif couvrant la sécurité des réseaux, la protection des données personnelles, la sécurité d…

Shadow AI en Entreprise : Détection, Risques et Stratégies de

Le shadow AI est devenu le nouveau shadow IT : des collaborateurs utilisent chaque jour des outils d'intelligence artificielle non approuvés par leur organisation, soumettant des données confidentielles à des modèles hébergés par des tiers, sans contrôle, sans audit, sans consentement explicite des …

Inflation CVSS 10 : quand tout est critique, comment

Quand Adobe, Arista, Langflow et Rockwell publient tous des CVSS 10.0 le même mois, quelque chose s'est cassé dans notre capacité à prioriser. Analyse et méthode pour sortir du bruit.

CI/CD : vos pipelines de build sont devenus une cible APT

Les serveurs CI/CD savent tout de votre code, de vos secrets et de vos clés de déploiement. CVE-2026-63077 sur TeamCity est la troisième RCE critique CVSS 9.8 en trois ans sur ce produit. Voici pourquoi vos pipelines de build sont devenus la cible favorite des APT et ce que vous pouvez faire maintenant.

Agents LLM pour le Pentest : 10 Outils Open Source 2026

En 2026, le pentest assisté par intelligence artificielle est sorti du laboratoire. Une dizaine d'outils open source permettent désormais à des agents LLM — GPT-4o, Claude, Llama — d'automatiser des phases entières de test d'intrusion : reconnaissance, énumération, exploitation web et escalade de privilèges. Bug bounty hunters, red teamers et équipes de recherche universitaires les utilisent au quotidien sur des cibles autorisées. Ces agents ne remplacent pas le jugement du pentester senior, mais ils accélèrent massivement les phases répétitives et débusquent parfois des vulnérabilités que les scanners classiques ignorent. Depuis les premiers travaux sur GPT-4 en 2023, l'écosystème a explosé : PentestGPT a publié à USENIX Security, XBOW a créé le premier benchmark standardisé pour agents autonomes, et des outils comme PentesterFlow, HexStrike AI ou CAI ont atteint la maturité professionnelle. Ce guide compare les 10 solutions les plus actives — architecture, capacités, modèles supportés, performances sur XBOW et HackTheBox. Il détaille aussi le cadre légal français, incontournable : l'article 323-1 du Code pénal punit tout accès non autorisé de trois ans d'emprisonnement et 45 000 € d'amende. L'autorisation écrite préalable reste une obligation absolue que l'IA ne dispense jamais.

FortiGate Durcissement : Benchmark CIS et Guide 2026

Le durcissement d'un FortiGate ne se résume pas à activer l'IPS : c'est un chantier méthodique qui conditionne l'exposition réelle de votre système d'information. Pare-feu NGFW le plus déployé dans les PME, ETI et administrations françaises, le FortiGate concentre une richesse fonctionnelle — inspection SSL, VPN IPsec et SSL, SD-WAN, contrôle applicatif, sandboxing — qui constitue aussi sa principale surface d'attaque. Les incidents le prouvent : la CVE-2024-21762 a permis l'exécution de code à distance sans authentification sur des millions d'équipements exposés, dont beaucoup n'avaient reçu aucun durcissement au-delà de la configuration par défaut. Ce guide compile les contrôles issus du CIS Benchmark FortiOS v7.x, du DISA STIG FortiGate et des recommandations ANSSI pour bâtir un référentiel exhaustif, priorisé et directement actionnable en 2026. Des comptes administrateurs à la politique de journalisation, du VPN au filtrage applicatif et à la segmentation réseau, il couvre l'intégralité du cycle de vie de la configuration. Un objectif clair : réduire de 70 à 85 % la surface d'attaque documentée dans les bulletins FortiGuard PSIRT, sans compromettre la disponibilité de vos services critiques.