🙋♂️Introduction
Bienvenue dans votre veille cybersécurité de la semaine, couvrant l’actualité du 6 au 12 juillet 2026.
Cette semaine illustre parfaitement la diversité des enjeux auxquels sont confrontés les professionnels de la cybersécurité. Entre évolutions réglementaires, violations massives de données, débats autour de l’utilisation de l’intelligence artificielle dans le domaine de la santé et découverte de vulnérabilités critiques enfouies depuis plus de quinze ans dans le noyau Linux, les événements récents rappellent que la sécurité numérique est désormais au cœur de tous les secteurs d’activité.
En France, la pression s’accentue autour de la transposition de la directive européenne NIS2, tandis que la revendication d’une importante fuite de données touchant la Fédération Française d’Équitation rappelle qu’aucune organisation, quelle que soit sa taille ou son domaine d’activité, n’est à l’abri d’une compromission. Dans le même temps, l’annonce du programme de recherche en intelligence artificielle de Doctolib relance les débats sur la protection des données de santé, la transparence et le consentement des utilisateurs.
À l’international, l’actualité est marquée par la découverte de deux vulnérabilités particulièrement marquantes dans Linux. Januscape remet en question l’isolation des machines virtuelles en ciblant l’hyperviseur KVM, tandis que GhostLock démontre qu’une simple erreur logique introduite en 2011 peut encore aujourd’hui permettre une élévation de privilèges jusqu’à root sur la majorité des distributions Linux. Enfin, les administrateurs de sites Joomla sont invités à réagir rapidement face à plusieurs extensions activement exploitées permettant une compromission complète des serveurs.
Comme chaque semaine, je vous propose de revenir sur ces événements afin d’en comprendre les aspects techniques, les impacts concrets pour les organisations et les bonnes pratiques à mettre en œuvre pour réduire les risques.
🗼Zoom France
1- NIS2 : la Commission européenne poursuit la France devant la Cour de justice pour son retard de transposition
Près de deux ans après l’échéance fixée par l’Union européenne, la France n’a toujours pas transposé la directive NIS2 (Network and Information Security 2) dans son droit national. Face à cette situation, la Commission européenne a décidé de franchir une nouvelle étape dans la procédure d’infraction engagée contre plusieurs États membres en saisissant la Cour de justice de l’Union européenne (CJUE). Aux côtés de la France, l’Espagne, l’Irlande et les Pays-Bas sont également concernés par cette action en justice pour ne pas avoir notifié la transposition complète de la directive.
Au-delà de l’aspect juridique, cette décision met en lumière les difficultés rencontrées par les entreprises françaises, qui évoluent depuis plusieurs mois dans un contexte d’incertitude réglementaire alors même que les cybermenaces ne cessent de s’intensifier.
Une directive devenue incontournable
Adoptée en décembre 2022 et entrée en vigueur en janvier 2023, la directive NIS2 constitue la plus importante réforme européenne en matière de cybersécurité depuis la première directive NIS de 2016.
Son objectif est d’élever le niveau de cybersécurité de l’ensemble des États membres afin de renforcer la résilience des infrastructures critiques face aux cyberattaques.
Pour y parvenir, NIS2 :
- élargit considérablement le nombre d’organisations concernées
- renforce les exigences de gouvernance et de gestion des risques
- impose des obligations strictes de notification des incidents
- harmonise les pouvoirs des autorités nationales
- prévoit un régime de sanctions beaucoup plus dissuasif
La directive couvre désormais 18 secteurs critiques, contre seulement 7 auparavant, incluant notamment :
- l’énergie
- les transports
- la santé
- les infrastructures numériques
- les services financiers
- les administrations publiques
- les fournisseurs cloud
- les opérateurs télécoms
- les services postaux
- la gestion des déchets
- l’industrie manufacturière de certains secteurs stratégiques
Une échéance dépassée depuis près de deux ans
Les États membres avaient jusqu’au 17 octobre 2024 pour intégrer NIS2 dans leur législation nationale.
Constatant l’absence de transposition, la Commission européenne a engagé plusieurs étapes de la procédure d’infraction :
- novembre 2024 : lettres de mise en demeure adressées aux États retardataires
- mai 2025 : envoi d’avis motivés, dernière étape avant une action en justice
- juillet 2026 : saisine de la Cour de justice de l’Union européenne pour les États n’ayant toujours pas régularisé leur situation
La Commission demande désormais à la Cour d’imposer une somme forfaitaire ainsi que des astreintes journalières, qui continueront à courir jusqu’à la notification complète de la transposition.
Pourquoi la France est-elle en retard ?
La situation française est particulière.
Le projet de loi relatif à la résilience des infrastructures critiques, destiné à transposer plusieurs textes européens (NIS2, CER et DORA pour certaines dispositions nationales), est bloqué depuis plusieurs mois dans le processus parlementaire.
L’un des principaux points de friction concerne un article introduit au Sénat visant à interdire l’imposition de portes dérobées (« backdoors ») dans les solutions de chiffrement de bout en bout. Cette disposition, qui touche à l’équilibre entre impératifs de sécurité nationale, capacités d’investigation des services de renseignement et protection du chiffrement, a ralenti les discussions législatives.
Ce désaccord explique en partie pourquoi la France n’a toujours pas finalisé la transposition de la directive.
Des milliers d’entreprises dans l’incertitude
Le principal effet de ce retard est l’incertitude qu’il crée pour les organisations françaises.
Sous NIS1, environ 500 entités étaient concernées alors qu’avec NIS2, ce nombre devrait atteindre entre 10 000 et 15 000 organisations en France, incluant de nombreuses PME et ETI jusque-là non soumises à des obligations réglementaires en matière de cybersécurité.
Sans texte définitif :
- les entreprises peinent à connaître précisément leurs obligations
- certains projets de cybersécurité sont retardés
- les budgets sont parfois gelés
- les appels d’offres sont reportés
- les feuilles de route des RSSI restent incomplètes
Cette absence de visibilité concerne également toute la chaîne de sous-traitance, puisque NIS2 impose une meilleure maîtrise des risques liés aux fournisseurs.
L’ANSSI encourage malgré tout à anticiper
Même en l’absence de transposition définitive, l’ANSSI invite les organisations concernées à préparer leur mise en conformité.
L’agence a notamment publié le référentiel ReCyF, destiné à aider les futures entités essentielles et importantes à mettre en œuvre les exigences de la directive.
L’objectif est d’éviter que les entreprises attendent la publication de la loi pour démarrer leurs travaux, car la mise en conformité peut nécessiter plusieurs mois, voire plus d’un an selon leur niveau de maturité.
Des obligations beaucoup plus exigeantes
NIS2 ne se limite pas à quelques exigences techniques.
La directive impose une véritable gouvernance de la cybersécurité, et parmi les principales obligations figurent :
- une analyse régulière des risques
- des politiques de sécurité documentées
- la gestion des vulnérabilités
- des plans de continuité et de reprise d’activité
- la sécurisation de la chaîne d’approvisionnement
- la gestion des accès et des identités
- des procédures de gestion de crise
- des mécanismes de détection et de réponse aux incidents
- des formations destinées aux dirigeants
Les délais de notification sont également très encadrés :
- une alerte précoce sous 24 heures
- une notification complète sous 72 heures
- un rapport final dans un délai d’un mois
Des sanctions importantes
La directive prévoit des sanctions sensiblement renforcées.
Pour les entités essentielles, les amendes peuvent atteindre 10 millions d’euros, ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Pour les entités importantes, les sanctions peuvent atteindre 7 millions d’euros, ou 1,4 % du chiffre d’affaires mondial.
NIS2 renforce également la responsabilité des dirigeants, qui devront démontrer leur implication dans la gouvernance de la cybersécurité et pourront, selon les modalités de transposition nationale, être tenus responsables de manquements graves.
Un retard qui fragilise la compétitivité française
Au-delà des éventuelles sanctions financières infligées par la CJUE, plusieurs acteurs du secteur estiment que ce retard pénalise déjà l’écosystème français.
Les entreprises hésitent à investir sans connaître précisément le futur cadre réglementaire, tandis que les prestataires spécialisés voient certains projets reportés. Dans le même temps, plusieurs pays européens ayant déjà achevé leur transposition avancent dans leurs programmes de mise en conformité, créant un risque de décrochage pour les organisations françaises opérant à l’échelle européenne.
Une pression croissante pour accélérer la transposition
La saisine de la Cour de justice constitue un signal fort envoyé par la Commission européenne. Elle rappelle que la cybersécurité est désormais considérée comme un enjeu stratégique pour l’Union et qu’un retard de transposition ne se limite pas à une question administrative : il retarde l’application de mesures destinées à protéger les infrastructures critiques face à une menace en constante évolution.
Pour les entreprises françaises, le message est clair : même si le cadre juridique national n’est pas encore finalisé, attendre l’adoption définitive de la loi pour engager les travaux de conformité serait une erreur. Les exigences de NIS2 sont désormais bien connues et leur mise en œuvre nécessite du temps, des ressources et une implication forte de la gouvernance. Anticiper dès aujourd’hui permettra non seulement de limiter les risques de non-conformité lorsque la loi entrera en vigueur, mais également de renforcer durablement le niveau de cybersécurité des organisations face à un contexte de menace toujours plus exigeant.
(sources : lemondeinformatique.fr, latribune.fr, ec.europa.eu)
2- Fédération Française d’Équitation : près d’un million de données revendiquées après une compromission majeuUn rappel que nulre
La Fédération Française d’Équitation (FFE) est au cœur d’un nouvel incident de cybersécurité après la revendication d’une importante fuite de données par un cybercriminel. Selon les informations publiées sur plusieurs plateformes de surveillance des violations de données, l’attaquant affirme avoir compromis l’intégralité de plusieurs bases de données de la fédération, représentant près de 960 000 enregistrements. Cette annonce intervient à un moment particulièrement sensible, à la veille des Championnats de France d’équitation, période où l’activité de la fédération est particulièrement intense.
Si l’ampleur exacte de l’incident reste à confirmer officiellement, cette affaire rappelle une nouvelle fois que les organisations sportives, longtemps considérées comme des cibles secondaires, sont désormais pleinement intégrées au paysage des cybermenaces.
Une compromission qui toucherait plusieurs bases de données
D’après les éléments rendus publics par l’auteur de la fuite, plusieurs bases de données auraient été exfiltrées lors de l’attaque.
Les informations revendiquées concernent notamment :
- les licenciés
- les cavaliers
- les propriétaires de chevaux
- les clubs affiliés
- différents contacts administratifs
L’ensemble représenterait environ 960 000 fiches, soit l’une des plus importantes fuites de données ayant récemment touché une fédération sportive française.
À ce stade, il convient toutefois de rester prudent : le volume annoncé provient des déclarations de l’attaquant et n’a pas encore été confirmé dans son intégralité par la fédération. En revanche, des échantillons de données publiés pour appuyer la revendication semblent accréditer l’existence d’une compromission réelle.
Quelles données seraient concernées ?
Les extraits diffusés laissent penser que les informations compromises sont principalement des données à caractère personnel et administratif.
Selon les premiers éléments disponibles, les bases pourraient contenir notamment :
- nom et prénom
- adresse postale
- adresse électronique
- numéro de téléphone
- numéro de licence
- informations relatives aux clubs équestres
- données d’identification des propriétaires ou cavaliers
À ce jour, aucun élément public ne permet d’affirmer que des informations bancaires ou des mots de passe auraient été dérobés. Néanmoins, l’absence de confirmation ne signifie pas que ces données soient totalement exclues de la compromission.
Une cible de choix pour les cybercriminels
Les fédérations sportives disposent aujourd’hui de volumes importants de données personnelles.
Dans le cas de la FFE, les bases regroupent notamment :
- plusieurs centaines de milliers de licenciés
- des mineurs
- des professionnels
- des centres équestres
- des vétérinaires
- des organisateurs de compétitions
Ces informations présentent une valeur importante sur les marchés clandestins.
Elles peuvent être utilisées pour des campagnes de phishing ciblées, des escroqueries par usurpation d’identité, des fraudes administratives, des attaques contre les clubs équestres, et des campagnes d’ingénierie sociale.
Les cybercriminels recherchent désormais autant les bases de données clients que les infrastructures critiques, la revente de données personnelles constituant une source de revenus importante.
Une nouvelle illustration de la professionnalisation des cyberattaques
Cette affaire s’inscrit dans une tendance observée depuis plusieurs années : les groupes cybercriminels ciblent désormais des organisations de toutes tailles, quel que soit leur secteur d’activité.
Les fédérations sportives présentent plusieurs caractéristiques attractives :
- une importante quantité de données personnelles
- des ressources informatiques parfois limitées
- une forte visibilité médiatique
- des périodes d’activité critiques (compétitions nationales, événements sportifs) susceptibles d’accroître la pression sur les victimes
Même lorsqu’aucun ransomware n’est déployé, le simple vol de données suffit désormais à alimenter des stratégies d’extorsion. Les attaquants menacent alors de publier ou de revendre les informations dérobées afin d’obtenir une rançon.
Quelles conséquences pour les personnes concernées ?
Si la fuite est confirmée dans les proportions annoncées, les licenciés et autres personnes enregistrées auprès de la FFE devront redoubler de vigilance.
Les principaux risques incluent :
- la réception de courriels frauduleux se faisant passer pour la fédération ou un club équestre
- des appels téléphoniques d’escrocs utilisant des informations personnelles pour gagner la confiance de leurs victimes
- des tentatives d’usurpation d’identité
- des campagnes de phishing ciblées exploitant le contexte des compétitions ou du renouvellement des licences
Les cybercriminels utilisent fréquemment les données issues de plusieurs fuites successives afin d’élaborer des attaques plus crédibles, en croisant les informations provenant de différentes bases compromises.
Les obligations réglementaires
En cas de violation de données personnelles, le Règlement général sur la protection des données (RGPD) impose plusieurs obligations aux responsables de traitement.
Lorsque la violation présente un risque pour les droits et libertés des personnes concernées, l’organisme doit notamment :
- notifier l’incident à la CNIL dans les meilleurs délais, et si possible dans un délai de 72 heures après en avoir pris connaissance
- évaluer précisément les catégories de données concernées
- informer les personnes affectées lorsque le risque est jugé élevé
- documenter l’incident ainsi que les mesures correctives mises en œuvre
Une enquête technique est généralement menée en parallèle afin de déterminer le vecteur d’intrusion, l’étendue réelle de la compromission et les éventuelles failles exploitées.
Les bonnes pratiques pour les licenciés
Même si aucune action immédiate n’est demandée, plusieurs mesures permettent de limiter les risques en cas de fuite de données :
- rester vigilant face aux courriels ou SMS inattendus évoquant la Fédération Française d’Équitation, un club ou une compétition
- ne jamais communiquer d’informations sensibles après avoir cliqué sur un lien reçu par message
- vérifier systématiquement l’adresse de l’expéditeur avant de répondre à une sollicitation
- utiliser un mot de passe unique pour chaque service en ligne
- activer l’authentification multifacteur lorsque celle-ci est disponible
- surveiller les comptes en ligne afin de détecter toute activité inhabituelle
Aucun secteur n’est épargné
Cette revendication de fuite illustre une nouvelle fois l’évolution du paysage des cybermenaces. Les organisations sportives, culturelles ou associatives, longtemps perçues comme des cibles de moindre intérêt, sont désormais confrontées aux mêmes risques que les grandes entreprises ou les administrations. Les données personnelles qu’elles détiennent représentent une valeur importante pour les cybercriminels, qu’il s’agisse de les revendre, de les exploiter dans des campagnes de phishing ou de s’en servir comme levier d’extorsion.
Dans l’attente de précisions officielles sur l’ampleur exacte de la compromission, cette affaire rappelle l’importance de renforcer la protection des systèmes d’information, de segmenter les accès aux bases de données, de surveiller les activités anormales et de disposer de procédures de réponse aux incidents efficaces. Pour les organisations comme pour les particuliers, la cybersécurité ne se limite plus à la protection des infrastructures : elle passe également par une gestion rigoureuse des données personnelles et une vigilance constante face aux tentatives d’exploitation qui peuvent suivre une fuite de cette ampleur.
(sources : zataz.com, cyberattaque.org, frenchbreaches.com)
3- Doctolib et l’IA : quand nos données de santé deviennent un enjeu de recherche
L’intelligence artificielle s’impose progressivement dans tous les secteurs, et la santé n’échappe évidemment pas à cette transformation. Aide au diagnostic, assistance à la rédaction des comptes-rendus médicaux, détection précoce de maladies ou encore optimisation des parcours de soins : les promesses sont nombreuses.
Mais cette évolution soulève une question fondamentale : sur quelles données ces modèles d’intelligence artificielle sont-ils entraînés ?
Depuis plusieurs jours, Doctolib fait l’objet d’une importante polémique après avoir annoncé le lancement d’un vaste programme de recherche en IA clinique reposant, entre autres, sur les données de ses utilisateurs. Si l’objectif affiché est d’améliorer les soins, cette annonce relance un débat bien plus large sur la protection des données de santé, le consentement des patients et la confiance accordée aux plateformes numériques.
Un laboratoire de recherche consacré à l’IA clinique
Doctolib a annoncé la création d’un laboratoire de recherche dédié à l’intelligence artificielle appliquée à la santé.
Le projet est présenté comme une collaboration scientifique menée avec plusieurs organismes publics de recherche français afin de développer des outils capables notamment d’améliorer les parcours de soins, de faciliter le travail des professionnels de santé, d’identifier plus précocement certains risques médicaux ou encore de produire des recherches publiées et évaluées scientifiquement
Contrairement à certaines rumeurs ayant circulé sur les réseaux sociaux, l’objectif annoncé n’est pas de revendre les données des patients ni de les transmettre à des entreprises étrangères spécialisées dans l’IA générative. Le programme est présenté comme un projet de recherche clinique visant à développer des modèles spécifiquement destinés au domaine médical.
Quelles données sont concernées ?
Le projet s’appuie sur différentes catégories de données présentes sur la plateforme.
Selon les informations communiquées par Doctolib, cela peut notamment inclure :
- les informations du profil utilisateur (âge, sexe, localisation…)
- l’historique des rendez-vous médicaux
- certaines informations médicales enregistrées dans l’espace santé Doctolib
- les documents déposés sur la plateforme
- des données techniques liées à l’utilisation du service
Ces informations doivent être pseudonymisées, c’est-à-dire que les éléments permettant d’identifier directement une personne sont remplacés ou supprimés avant leur exploitation.
Il est important de distinguer cette notion de l’anonymisation.
Une donnée pseudonymisée reste juridiquement une donnée personnelle puisqu’il demeure théoriquement possible de retrouver l’identité d’un individu à l’aide d’informations complémentaires conservées séparément. À l’inverse, une donnée véritablement anonymisée ne permet plus aucune réidentification raisonnablement possible.
Cette différence est essentielle au regard du RGPD.
Pourquoi cette annonce fait-elle polémique ?
La principale critique ne concerne pas tant la recherche médicale que la manière dont le projet est mis en œuvre.
Le dispositif repose sur un mécanisme dit d’opt-out, autrement dit, les utilisateurs sont considérés comme participants par défaut, sauf s’ils effectuent eux-mêmes une démarche pour s’opposer à l’utilisation de leurs données.
Ce fonctionnement contraste avec ce que beaucoup de personnes s’attendent à voir lorsqu’il est question de données médicales particulièrement sensibles. Nombre d’utilisateurs estiment qu’un consentement explicite (opt-in) aurait été plus approprié.
La formulation du courriel envoyé aux utilisateurs a également été critiquée. Celui-ci mettait principalement en avant un « laboratoire de recherche en santé », alors que la page détaillée évoque plus précisément un laboratoire consacré à l’IA clinique. Plusieurs observateurs ont estimé que cette communication pouvait manquer de clarté pour le grand public.
Le RGPD autorise-t-il une telle utilisation ?
La question revient régulièrement, et contrairement à une idée largement répandue, le RGPD n’impose pas systématiquement un consentement explicite pour tout traitement de données personnelles.
Un organisme peut parfois s’appuyer sur une autre base légale, notamment une obligation légale, une mission d’intérêt public, l’exécution d’un contrat ou bien l’intérêt légitime.
Dans le cas présenté, Doctolib indique s’appuyer sur cette dernière base juridique afin de mener son projet de recherche.
L’intérêt légitime est prévu par l’article 6 du RGPD mais il impose plusieurs conditions :
- le traitement doit poursuivre un objectif légitime
- il doit être nécessaire
- il doit respecter un équilibre entre les intérêts de l’entreprise et les droits des personnes concernées
- chaque utilisateur doit pouvoir exercer facilement son droit d’opposition
Les données de santé bénéficiant d’une protection renforcée au titre de l’article 9 du RGPD, ce type de traitement fait naturellement l’objet d’une attention particulière de la part des autorités de protection des données.
Peut-on refuser ?
Bien heureusement, oui ! Les utilisateurs disposent d’un droit d’opposition, et Doctolib permet de refuser l’utilisation de ses données pour ce programme de recherche via un formulaire ou depuis les paramètres de confidentialité du compte.
L’entreprise précise que ce refus n’aura aucune conséquence sur :
- l’accès à la plateforme
- la prise de rendez-vous
- les échanges avec les professionnels de santé
- les fonctionnalités habituelles du service
Les utilisateurs qui ne souhaitent pas participer au projet doivent toutefois effectuer cette démarche eux-mêmes avant le lancement effectif du programme.
Une tendance de fond dans le secteur médical
Cette actualité dépasse largement le cas de Doctolib.
L’ensemble de l’écosystème médical investit massivement dans l’intelligence artificielle et les principaux domaines concernés sont notamment :
- les assistants de consultation capables de générer automatiquement un compte-rendu médical
- les systèmes d’aide au diagnostic
- l’analyse d’imagerie médicale
- la prédiction des risques de complications
- l’aide à la prescription
- l’optimisation des parcours de soins
Ces outils nécessitent tous d’immenses volumes de données afin d’être entraînés, validés puis évalués.
Plus les données sont nombreuses et diversifiées, plus les modèles sont susceptibles d’être performants. C’est précisément ce qui explique l’intérêt des grandes plateformes de santé pour les projets de recherche utilisant des bases de données à grande échelle.
La question de la confiance
Au-delà des aspects purement juridiques, cette affaire illustre un enjeu majeur : la confiance.
Les données de santé figurent parmi les informations les plus sensibles qu’un individu puisse partager et même lorsqu’elles sont pseudonymisées et utilisées dans un objectif scientifique, leur exploitation nécessite une transparence irréprochable.
Les utilisateurs attendent généralement de savoir :
- quelles données sont utilisées
- dans quel objectif précis
- pendant combien de temps
- par quels chercheurs
- avec quelles garanties de sécurité
- comment exercer leurs droits
Plus cette communication est claire, plus l’acceptabilité sociale de ces projets est élevée.
À l’inverse, une information jugée ambiguë ou insuffisamment explicite peut rapidement susciter des inquiétudes, même lorsque le projet poursuit un objectif d’intérêt général.
Conclusion
Le projet de recherche lancé par Doctolib illustre parfaitement le défi auquel est confrontée la santé numérique.
D’un côté, l’intelligence artificielle représente une opportunité majeure pour améliorer la qualité des soins, réduire la charge administrative des professionnels de santé et accélérer la recherche médicale.
De l’autre, ces avancées reposent sur l’exploitation de données particulièrement sensibles, ce qui impose un niveau d’exigence très élevé en matière de transparence, de sécurité et de respect des droits des patients.
Cette controverse rappelle finalement qu’en matière d’IA, la question n’est pas uniquement de savoir ce que la technologie permet de faire, mais également dans quelles conditions les citoyens acceptent qu’elle soit utilisée.
(sources : zataz.com, journaldugeek.com, lesnumeriques.com)
🌍Zoom International
1- Januscape : une faille KVM vieille de 16 ans ouvre la voie à une évasion de machine virtuelle
Des chercheurs en cybersécurité ont récemment dévoilé une vulnérabilité particulièrement préoccupante affectant KVM (Kernel-based Virtual Machine), l’hyperviseur intégré au noyau Linux. Baptisée Januscape et référencée CVE-2026-53359, cette faille est d’autant plus remarquable qu’elle est restée présente dans le code pendant près de 16 ans, depuis Linux 2.6.36 (2010), avant d’être corrigée en juin 2026.
Au-delà de son ancienneté, Januscape attire l’attention car elle remet en cause l’un des principes fondamentaux de la virtualisation : l’isolation entre une machine virtuelle (VM) et son hôte. Dans certaines conditions, un attaquant peut en effet sortir de sa machine virtuelle pour compromettre directement le système hôte.
KVM : le pilier de la virtualisation Linux
KVM est aujourd’hui l’un des hyperviseurs les plus utilisés au monde. Intégré directement au noyau Linux, il constitue la base de nombreuses infrastructures :
- fournisseurs de cloud public
- hébergeurs VPS
- infrastructures OpenStack
- plateformes Kubernetes utilisant des micro-VM
- laboratoires de virtualisation et environnements de test
L’une des raisons de son succès est son excellente intégration avec les technologies de virtualisation matérielle des processeurs Intel (VT-x) et AMD (AMD-V), offrant des performances proches du matériel natif.
Cependant, lorsque certaines fonctionnalités avancées sont utilisées, notamment la virtualisation imbriquée (Nested Virtualization), KVM doit parfois abandonner les mécanismes modernes de traduction mémoire (EPT/NPT) pour revenir vers un ancien système appelé Shadow Paging. C’est précisément dans ce composant historique que se cache Januscape.
Une erreur discrète dans le Shadow MMU
La vulnérabilité réside dans le Shadow Memory Management Unit (Shadow MMU).
Son rôle consiste à maintenir des tables de correspondance entre les adresses mémoire de la machine virtuelle et celles de l’hôte.
Pour améliorer les performances, KVM réutilise certaines structures mémoire déjà créées. Le problème provient d’un contrôle incomplet lors de cette réutilisation.
Le code vérifiait uniquement le Guest Frame Number (GFN), c’est-à-dire l’identifiant de la page mémoire virtuelle, sans vérifier que cette page possédait toujours le même rôle (role.word).
Cette vérification incomplète peut conduire à la réutilisation d’une structure mémoire qui ne correspond plus à son usage initial.
Le résultat est un classique Use-After-Free :
- une structure est libérée
- elle est réutilisée pour un autre objet
- KVM continue malgré tout à écrire dedans
- ces écritures corrompent alors la mémoire du noyau
Même si l’attaquant ne contrôle pas totalement les données écrites, il peut influencer leur emplacement, ce qui suffit à construire une exploitation avancée.
Passer de la machine virtuelle jusqu’au système hôte
Le scénario d’attaque est relativement simple, l’attaquant loue une machine virtuelle chez un fournisseur cloud ou dispose d’un accès administrateur sur une VM interne, et si la virtualisation imbriquée est activée, il peut provoquer la corruption mémoire dans KVM.
Le Proof-of-Concept public démontre déjà qu’il est possible de provoquer un kernel panic sur l’hôte, entraînant l’arrêt brutal de toutes les machines virtuelles hébergées sur celui-ci.
Le chercheur ayant découvert Januscape affirme cependant disposer d’un exploit privé permettant d’aller beaucoup plus loin :
- exécution de code arbitraire sur l’hôte
- obtention des privilèges root
- compromission potentielle de toutes les autres machines virtuelles présentes sur le serveur
À ce jour, cette chaîne complète n’a pas été publiée, ce qui limite le risque d’exploitation massive immédiate, mais augmente l’intérêt des chercheurs et des attaquants pour développer leur propre exploit.
Toutes les infrastructures ne sont pas vulnérables
Une précision importante mérite d’être apportée : toutes les installations KVM ne sont pas automatiquement exposées.
Pour exploiter Januscape, plusieurs conditions doivent être réunies :
- un accès root à l’intérieur de la machine virtuelle
- la virtualisation imbriquée activée
- un hôte x86 utilisant KVM
En pratique, la virtualisation imbriquée est largement utilisée dans les laboratoires de sécurité, pour les environnements CI/CD, par certains fournisseurs cloud, pour les plateformes de développement ou lors de l’exécution de Docker dans des VM ou de micro-hyperviseurs.
À l’inverse, de nombreux serveurs de production ne l’activent jamais, ce qui réduit fortement leur surface d’attaque.
Intel et AMD concernés
Contrairement à certaines vulnérabilités limitées à une architecture, Januscape touche aussi bien Intel que AMD.
Le code vulnérable est partagé entre les deux implémentations x86 de KVM, et les différences apparaissent uniquement dans les dernières étapes permettant de transformer la corruption mémoire en exécution de code, chaque constructeur nécessitant des techniques d’exploitation différentes.
Une correction finalement très simple
Comme souvent dans les vulnérabilités les plus marquantes, le correctif est étonnamment succinct. En effet, le noyau ajoute simplement une condition supplémentaire dans la fonction de réutilisation des Shadow Pages, à savoir qu’au lieu de vérifier uniquement le Guest Frame Number, KVM vérifie désormais également le rôle de la page avant de la réutiliser (simple non ? je vous l’avais dis).
Cette simple comparaison empêche qu’une page mémoire soit réaffectée dans un contexte incompatible, supprimant ainsi la condition de Use-After-Free.
Des correctifs déjà disponibles
Le correctif a été intégré au noyau principal en juin 2026 puis rétroporté dans les branches stables du noyau Linux.
Les versions corrigées comprennent notamment :
- 7.1.3
- 6.18.38
- 6.12.95
- 6.6.144
- 6.1.177
- 5.15.211
- 5.10.260
Les principales distributions Linux publient progressivement leurs propres mises à jour, souvent sous forme de rétroportage. Il est donc recommandé de consulter les bulletins de sécurité du fournisseur plutôt que de se fier uniquement au numéro de version affiché par uname -r.
Mesures de protection
En attendant l’application des correctifs, plusieurs mesures permettent de réduire significativement le risque :
- installer les mises à jour du noyau proposées par la distribution
- vérifier que les correctifs de sécurité ont bien été rétroportés
- désactiver la virtualisation imbriquée lorsqu’elle n’est pas indispensable (
kvm_intel.nested=0oukvm_amd.nested=0) - limiter l’exécution de charges de travail non fiables sur les hôtes KVM
- surveiller les crashs inhabituels du noyau ou des hyperviseurs pouvant révéler une tentative d’exploitation
Une nouvelle démonstration de la difficulté à sécuriser les hyperviseurs
Januscape rappelle que les composants les plus critiques d’un système d’exploitation peuvent conserver des erreurs pendant de très nombreuses années sans être détectées. La faille est d’autant plus notable qu’elle affecte directement l’isolation entre les machines virtuelles, un mécanisme considéré comme l’un des fondements de la sécurité des environnements cloud.
Même si son exploitation nécessite plusieurs prérequis, notamment un accès privilégié à une VM et l’activation de la virtualisation imbriquée, son impact potentiel est majeur : une compromission réussie de l’hyperviseur permettrait non seulement de prendre le contrôle du système hôte, mais aussi d’accéder à l’ensemble des machines virtuelles qu’il héberge.
Enfin, cette vulnérabilité s’inscrit dans une série récente de failles touchant KVM et souligne que les mécanismes historiques, encore utilisés pour assurer la compatibilité avec certaines fonctionnalités avancées, constituent toujours une cible privilégiée pour les chercheurs en sécurité comme pour les attaquants.
(sources : thehackernews.com, tuxcare.com, it-connect.fr)
2- GhostLock : une faille vieille de 15 ans permet d’obtenir les privilèges root sur la majorité des distributions Linux
J’ai l’impression que l’IA nous « déterre » de nombreuses failles paléolithiques ces derniers temps, et pour cause, des chercheurs en cybersécurité ont récemment dévoilé GhostLock (CVE-2026-43499), une vulnérabilité critique affectant le noyau Linux depuis 2011. Restée inaperçue pendant près de quinze ans, cette faille permet à n’importe quel utilisateur authentifié, sans privilège particulier, d’obtenir les droits root sur une machine vulnérable en seulement quelques secondes. Plus inquiétant encore, elle permet également de s’échapper d’un conteneur (Docker, Kubernetes, LXC…) afin de compromettre le système hôte.
Cette découverte intervient quelques mois seulement après plusieurs autres vulnérabilités majeures du noyau Linux, confirmant que les mécanismes historiques du kernel restent une cible privilégiée pour les chercheurs comme pour les attaquants.
Une vulnérabilité enfouie au cœur du système de verrouillage Linux
GhostLock affecte le sous-système rtmutex (Real-Time Mutex) ainsi que les Priority Inheritance Futexes (PI Futexes).
Les futex (Fast Userspace Mutexes) sont des mécanismes de synchronisation utilisés quotidiennement par des milliers d’applications Linux afin de gérer efficacement les accès concurrents aux ressources partagées.
Dans certains scénarios complexes de verrouillage (deadlock ou interblocage), le noyau utilise une fonction appelée remove_waiter() pour retirer un processus d’une file d’attente.
Le problème provient du fait que cette fonction utilisait le pointeur current au lieu du véritable processus associé au verrou (waiter::task). Lors d’opérations particulières de proxy locking exécutées par futex_requeue(), cette hypothèse devient fausse et conduit à la création d’un pointeur suspendu (dangling pointer) vers une zone mémoire de la pile du noyau déjà libérée.
Il s’agit là encore d’une vulnérabilité de type Use-After-Free (UAF).
Une fois cette corruption mémoire obtenue, un attaquant peut détourner le flux d’exécution du noyau afin d’exécuter son propre code avec les privilèges les plus élevés.
Une exploitation extrêmement simple
Contrairement à de nombreuses vulnérabilités locales nécessitant des configurations particulières, GhostLock est particulièrement inquiétante car son exploitation est très peu contraignante.
L’attaquant doit simplement disposer d’un compte utilisateur local, pouvoir exécuter un programme sur la machine, lancer l’exploit, et … c’est tout !
Aucun privilège administrateur préalable n’est nécessaire, aucun accès réseau n’est requis ni aucune configuration spécifique du noyau n’est demandée.
Les chercheurs indiquent que leur Proof-of-Concept obtient les privilèges root en environ cinq secondes, avec un taux de réussite d’environ 97 % lors de leurs essais.
Une menace importante pour les environnements conteneurisés
L’un des aspects les plus préoccupants de GhostLock est sa capacité à sortir d’un conteneur Linux.
Aujourd’hui, de très nombreuses infrastructures reposent sur :
- Docker
- Kubernetes
- OpenShift
- plateformes CI/CD7
- environnements multi-locataires
Ces technologies supposent que le noyau Linux assure une séparation fiable entre les différents conteneurs, or GhostLock permet à un processus exécuté dans un conteneur de compromettre directement le noyau de l’hôte.
Une fois le système hôte compromis, l’attaquant peut accéder aux autres conteneurs exécutés sur le même serveur, ce qui représente un risque majeur dans les environnements cloud ou mutualisés.
Une vulnérabilité présente dans pratiquement toutes les distributions Linux
Le code vulnérable a été introduit avec Linux 2.6.39 en 2011.
Depuis cette date, il a été intégré par défaut dans la quasi-totalité des distributions Linux majeures, notamment :
- Ubuntu
- Debian
- Red Hat Enterprise Linux (RHEL)
- Rocky Linux
- AlmaLinux
- Fedora
- SUSE
- Arch Linux
Autrement dit, la très grande majorité des serveurs Linux déployés ces quinze dernières années sont potentiellement concernés, sous réserve qu’ils exécutent un noyau non corrigé.
Une chaîne d’attaque baptisée « IonStack »
Les chercheurs présentent GhostLock comme la seconde étape d’une chaîne d’exploitation plus large appelée IonStack.
Le premier maillon repose sur une vulnérabilité affectant Firefox (CVE-2026-10702) permettant une exécution de code dans le navigateur tout en contournant son sandbox.
GhostLock constitue ensuite l’étape d’élévation de privilèges : le code exécuté dans le contexte du navigateur obtient les privilèges root sur la machine, transformant une simple compromission applicative en prise de contrôle complète du système.
Une découverte réalisée grâce à l’intelligence artificielle
GhostLock marque également une évolution importante dans la recherche de vulnérabilités.
Les chercheurs indiquent avoir découvert cette faille grâce à VEGA, un outil d’analyse assisté par intelligence artificielle conçu pour examiner automatiquement le code source du noyau Linux.
Après avoir identifié un comportement suspect, les chercheurs ont développé un exploit fiable qui leur a permis de remporter 92 337 dollars dans le cadre du programme Google KernelCTF. Cette découverte illustre le rôle croissant des outils d’IA dans l’analyse de vastes bases de code, capables de mettre au jour des erreurs logiques restées invisibles pendant plus d’une décennie.
Des correctifs déjà disponibles
Le correctif a été intégré au noyau Linux au printemps 2026, toutefois, les chercheurs attirent l’attention sur un point important : la première correction introduisait elle-même un problème supplémentaire (CVE-2026-53166), nécessitant une révision ultérieure.
Il est donc essentiel de ne pas se contenter d’installer la première version corrigée, mais de vérifier que la distribution fournit bien la version finale du correctif.
Mesures de protection
En attendant le déploiement complet des mises à jour, plusieurs recommandations peuvent être suivies :
- appliquer les dernières mises à jour du noyau proposées par la distribution
- vérifier explicitement que le correctif de GhostLock est bien inclus dans le paquet installé
- limiter l’accès local aux machines sensibles
- renforcer la surveillance des environnements multi-utilisateurs et des plateformes exécutant du code non fiable
- appliquer le principe du moindre privilège afin de limiter les possibilités d’exploitation après une compromission initiale
Pour conclure
GhostLock illustre une nouvelle fois la difficulté de sécuriser un projet aussi vaste et ancien que le noyau Linux. Une erreur introduite en 2011 a traversé quinze années de développement, des milliers de contributions et des millions de systèmes déployés avant d’être identifiée. Si la vulnérabilité nécessite un accès local, elle abaisse considérablement la barrière vers une compromission complète du système et remet en question la sécurité des environnements conteneurisés, aujourd’hui omniprésents dans les infrastructures cloud.
Cette découverte souligne également un tournant dans la recherche de vulnérabilités : les outils d’analyse assistés par intelligence artificielle deviennent capables d’examiner d’immenses bases de code et d’y déceler des failles subtiles, là où les audits traditionnels n’avaient rien révélé pendant plus d’une décennie. Pour les administrateurs système, le message est clair : maintenir un noyau Linux à jour reste l’une des mesures les plus efficaces pour préserver la sécurité des infrastructures.
(sources : thehackernews.com, wired.com, tuxcare.com)
3- Joomla : plusieurs extensions critiques activement exploitées, la CISA appelle à une mise à jour immédiate
Les administrateurs de sites Joomla font une nouvelle fois face à une vague de vulnérabilités particulièrement préoccupante. Plusieurs extensions populaires présentent des failles critiques permettant une exécution de code à distance (Remote Code Execution – RCE), et certaines sont déjà exploitées activement par des attaquants.
Face à la gravité de la situation, la Cybersecurity and Infrastructure Security Agency (CISA) américaine a intégré ces vulnérabilités à son catalogue des Known Exploited Vulnerabilities (KEV), une liste regroupant les failles dont l’exploitation est confirmée dans des attaques réelles. Cette décision est généralement réservée aux vulnérabilités présentant un risque élevé pour les organisations et nécessite une remédiation rapide.
Deux extensions Joomla particulièrement visées
Les deux vulnérabilités récemment mises en avant concernent les extensions iCagenda et Balbooa Forms, largement utilisées pour enrichir les fonctionnalités des sites Joomla.
Les deux failles reposent sur un mécanisme similaire : une mauvaise gestion des fichiers téléversés (upload), permettant à un attaquant de déposer un script PHP malveillant sur le serveur.
Une fois ce fichier exécuté, l’attaquant obtient la possibilité d’exécuter du code arbitraire avec les privilèges du serveur web, ouvrant la voie à une compromission complète du site.
Les vulnérabilités concernées sont :
- CVE-2026-48939 : iCagenda
- CVE-2026-56291 : Balbooa Forms
Toutes deux sont considérées comme critiques, avec un score CVSS maximal ou proche du maximum selon les évaluations publiées.
iCagenda : une vulnérabilité dans le système de pièces jointes
iCagenda est une extension open source permettant de gérer des événements sur Joomla.
La vulnérabilité identifiée affecte la fonctionnalité d’ajout de pièces jointes.
En l’absence de contrôles suffisants sur les fichiers envoyés, un attaquant peut téléverser un fichier PHP exécutable au lieu d’un document légitime.
Une simple requête HTTP permet ensuite d’appeler ce fichier afin d’obtenir une exécution de code sur le serveur.
Les versions corrigées publiées par l’éditeur sont :
- 4.0.8
- 3.9.15 (branche maintenue)
Toutes les versions antérieures doivent être considérées comme vulnérables.
Balbooa Forms : une faille exploitée avant même la publication du correctif
Le cas de Balbooa Forms est encore plus préoccupant.
Cette extension commerciale permet de créer des formulaires de contact, d’inscription ou de collecte de documents.
La vulnérabilité réside dans le mécanisme de téléversement de fichiers accessible depuis les formulaires publics.
Avant sa correction, plusieurs protections essentielles étaient absentes :
- aucune authentification n’était requise
- aucun contrôle CSRF n’était effectué
- aucun filtrage efficace des extensions de fichiers n’était appliqué
- le nom du fichier fourni par l’utilisateur était largement conservé
Un attaquant pouvait ainsi envoyer directement un fichier shell.php, lequel était stocké dans un répertoire accessible depuis Internet puis exécuté simplement via son URL.
Cette vulnérabilité est d’autant plus critique qu’elle a été découverte lors de l’analyse d’une attaque en cours. Les premiers indices montrent qu’elle était exploitée comme un zero-day, c’est-à-dire avant même qu’un correctif ne soit disponible.
La version 2.4.1 corrige cette faiblesse en introduisant plusieurs protections :
- contrôle des extensions autorisées
- validation côté serveur
- renommage des fichiers
- ajout d’une protection CSRF
Pourquoi les failles d’upload sont-elles si dangereuses ?
Les vulnérabilités de type Unrestricted File Upload (CWE-434) figurent parmi les plus critiques dans les applications web.
Lorsqu’un serveur accepte le téléversement d’un fichier sans contrôler correctement son extension, son type MIME, son contenu réel ou bien son emplacement de stockage, il devient possible pour un attaquant de déposer un programme exécutable.
Dans le cas des applications PHP comme Joomla, cela conduit généralement à l’installation d’un web shell, véritable porte dérobée permettant d’exécuter des commandes système, de manipuler les fichiers ou de compromettre entièrement le serveur.
Une telle compromission peut ensuite être utilisée pour :
- voler la base de données du site
- créer de nouveaux comptes administrateurs
- modifier les contenus publiés
- installer des portes dérobées persistantes
- distribuer des malwares aux visiteurs
- utiliser le serveur comme point de rebond pour d’autres attaques
Une exploitation largement automatisée
Les chercheurs en sécurité indiquent que les tentatives d’exploitation sont désormais automatisées.
Les attaquants utilisent des robots qui parcourent Internet afin d’identifier les sites Joomla exposant les extensions vulnérables.
Une fois la cible identifiée, quelques requêtes HTTP suffisent à déposer un web shell, souvent en quelques secondes seulement.
Cette automatisation réduit considérablement le délai entre la divulgation d’une vulnérabilité et les premières compromissions, rendant les correctifs urgents.
L’inscription au catalogue KEV de la CISA
L’ajout de ces vulnérabilités au catalogue Known Exploited Vulnerabilities constitue un signal fort.
Contrairement aux simples publications de CVE, cette liste ne recense que des vulnérabilités dont l’exploitation est confirmée dans des attaques réelles.
Les agences fédérales américaines sont tenues d’appliquer les correctifs avant l’échéance fixée par la CISA, mais cette recommandation concerne également les entreprises privées et les administrateurs de sites Internet.
Comment vérifier si un site a déjà été compromis ?
La mise à jour de l’extension empêche les attaques futures, mais elle ne supprime pas les éventuelles portes dérobées déjà installées.
Après l’application des correctifs, il est recommandé de procéder à une analyse complète du serveur afin de rechercher notamment :
- des fichiers PHP récemment ajoutés dans les répertoires de téléversement
- des web shells connus
- des comptes administrateurs Joomla inconnus
- des tâches planifiées suspectes
- des modifications inhabituelles dans les fichiers du site
- des connexions anormales dans les journaux HTTP
Une vérification de l’intégrité des fichiers du CMS et des extensions constitue également une bonne pratique.
Les extensions Joomla restent une cible privilégiée
Cette nouvelle série de vulnérabilités confirme une tendance observée depuis plusieurs années : les extensions Joomla représentent une surface d’attaque particulièrement attractive.
Les composants permettant le téléversement de fichiers, la gestion de formulaires, les éditeurs de contenu on encore les constructeurs de pages (Page Builders) sont régulièrement visés par des vulnérabilités critiques, notamment parce qu’ils manipulent directement des données fournies par des utilisateurs.
L’exploitation de ces failles est souvent simple à automatiser et peut conduire à une compromission complète du serveur en une seule requête.
Recommandations
Les administrateurs Joomla devraient agir sans attendre :
- identifier les versions installées des extensions iCagenda et Balbooa Forms
- appliquer immédiatement les mises à jour disponibles (iCagenda 4.0.8 ou 3.9.15, Balbooa Forms 2.4.1 ou version ultérieure)
- rechercher toute trace de compromission antérieure
- supprimer les fichiers suspects présents dans les répertoires d’upload
- vérifier les comptes administrateurs Joomla
- maintenir l’ensemble des extensions à jour et supprimer celles qui ne sont plus utilisées
Conclusion
Les vulnérabilités affectant iCagenda et Balbooa Forms illustrent une nouvelle fois la rapidité avec laquelle les cybercriminels exploitent les failles des CMS populaires. Le fait que certaines aient été utilisées comme zero-day, puis intégrées au catalogue KEV de la CISA, montre que le risque n’est plus théorique.
Pour les administrateurs de sites Joomla, une simple mise à jour ne doit pas être considérée comme suffisante : lorsqu’une vulnérabilité a déjà été exploitée dans la nature, il est essentiel de partir du principe que le serveur a pu être compromis et d’effectuer une véritable investigation post-correctif afin de détecter d’éventuels mécanismes de persistance laissés par les attaquants.
(sources : usine-digitale.fr, securityweek.com, techradar.com, thehackernews.com)
🎯 Conclusion
Cette semaine met une nouvelle fois en évidence une réalité incontournable : la cybersécurité ne se résume plus à la seule protection des systèmes informatiques. Elle englobe désormais des enjeux réglementaires, éthiques, technologiques et organisationnels qui concernent aussi bien les administrations, les entreprises que les particuliers.
Les vulnérabilités découvertes dans Linux rappellent que même les composants les plus éprouvés peuvent renfermer des failles critiques pendant de nombreuses années, tandis que les attaques visant Joomla démontrent la rapidité avec laquelle les cybercriminels exploitent les nouvelles vulnérabilités. Dans le même temps, les incidents touchant la Fédération Française d’Équitation et les débats autour des données de santé chez Doctolib soulignent que la protection des informations personnelles demeure un défi majeur à l’heure où les volumes de données ne cessent de croître.
Sur le plan réglementaire, la procédure engagée contre la France pour son retard dans la transposition de NIS2 rappelle que la résilience numérique est désormais considérée comme une priorité stratégique à l’échelle européenne. Les organisations concernées auraient tout intérêt à anticiper ces nouvelles exigences plutôt que d’attendre leur entrée en vigueur définitive.
Enfin, une tendance se confirme : l’intelligence artificielle ne transforme plus seulement les usages, elle bouleverse également la recherche en sécurité. Capable de mettre au jour des vulnérabilités restées invisibles pendant plus d’une décennie, elle devient un outil incontournable pour les chercheurs… mais pourrait tout autant renforcer les capacités des attaquants dans les années à venir.
Plus que jamais, maintenir ses systèmes à jour, appliquer le principe du moindre privilège, surveiller activement ses infrastructures et développer une véritable culture de la cybersécurité restent les meilleures défenses face à un paysage de menaces en constante évolution.
Je vous donne rendez-vous la semaine prochaine pour un nouveau tour d’horizon de l’actualité cyber. D’ici là, restez curieux… et surtout, restez vigilants !
