Incidents de Sécurité & Post-Mortems

Analyses techniques approfondies des brèches de sécurité majeures et des évasions d'agents IA autonomes.

Chaque incident documenté ici est un événement public réel, sourcé auprès des avis de sécurité officiels et des entrées CVE.

Injection

Expression Injection · CWE-917 · CVSS 10.0

Log4Shell : le jour où écrire dans un journal est devenu une exécution de code à distance

Analyse technique de Log4Shell (CVE-2021-44228) : comment l'évaluation JNDI dans Log4j 2 a transformé de simples chaînes journalisées en exécution de code à distance (RCE).

December 2021 · CVE-2021-44228 · Apache Log4j 2 Expression Injection · CWE-917 · 147M records

Equifax : un correctif vieux de deux mois, 147 millions de personnes exposées

Analyse technique de la brèche Equifax (CVE-2017-5638) : comment un en-tête Content-Type dans Apache Struts a permis l'exécution de code OGNL.

2017 · CVE-2017-5638 · Apache Struts 2 SQL Injection · CWE-89 · Mass exploitation

MOVEit Transfer : une injection SQL, des milliers d'organisations touchées

Autopsie technique de MOVEit Transfer (CVE-2023-34362) : comment une vulnérabilité SQLi non authentifiée a permis le pillage de données de milliers d'entreprises.

May 2023 · CVE-2023-34362 · Progress MOVEit Transfer SQL Injection · CWE-89 · Vulnerability chain

CVE-2025-1094 : quand la fonction d'échappement elle-même constituait la vulnérabilité

Autopsie technique de CVE-2025-1094 : comment PQescapeLiteral() dans libpq a échoué face à des encodages malformés, compromettant le Trésor américain.

2024–2025 · CVE-2025-1094 · PostgreSQL, BeyondTrust

Path Traversal & SSRF

Path Traversal · CWE-22 · CVSS 10.0

CVE-2026-85706 : comment une requête non authentifiée lisait n'importe quel fichier sur GitLab

Autopsie technique de CVE-2026-85706 : comment une simple requête HTTP permettait d'extraire n'importe quel fichier sur un serveur GitLab.

September 2026 · CVE-2026-85706 · GitLab CE/EE SSRF · CWE-918 · 100M+ records

Capital One : le SSRF qui a transformé une requête web en identifiants cloud

Autopsie technique de la brèche Capital One : comment une faille SSRF a permis d'interroger l'IMDS d'AWS et de dérober les dossiers de 106 millions de clients.

2019 · AWS EC2 instance metadata · Capital One

Sécurité Mémoire (C, C++ et unsafe Rust)

Out-of-bounds Read · CWE-125 · C

Heartbleed : un contrôle de limites manquant, la moitié du web vulnérable

Autopsie technique de Heartbleed (CVE-2014-0160) : comment l'extension TLS Heartbeat dans OpenSSL a permis de lire jusqu'à 64 Ko de mémoire serveur par requête.

2014 · CVE-2014-0160 · OpenSSL Out-of-bounds Read · CWE-125 · C

Citrix Bleed : comment une erreur sur une valeur de retour a rendu le MFA inutile

Autopsie technique de Citrix Bleed (CVE-2023-4966) : comment une mauvaise utilisation de snprintf dans NetScaler a permis de voler des jetons de session actifs.

2023 · CVE-2023-4966 · Citrix NetScaler ADC/Gateway Out-of-bounds Write · CWE-787 · C

Baron Samedit : dix ans d'accès root dissimulés derrière un antislash

Autopsie technique de Baron Samedit (CVE-2021-3156) : comment un caractère d'échappement mal géré dans sudo a offert les privilèges root à tout utilisateur local.

2021 · CVE-2021-3156 · sudo Out-of-bounds Write · CWE-787 · unsafe Rust

Quand Rust perd sa sécurité mémoire : blocs unsafe et dépassement de tampon dans smallvec

Autopsie technique du dépassement de tas dans smallvec (CVE-2021-25900) : les périls de size_hint() au sein de blocs unsafe en Rust.

2021 · CVE-2021-25900 · RUSTSEC-2021-0003 · smallvec Chaîne d'Exploitation · CWE-787 / CWE-122 · Zero-Day

Chaîne Zero-Day BlueMoon : Chrome et Windows

Analyse technique de la chaîne zero-day BlueMoon : combiner un débordement V8 dans Chrome et une corruption de heap ALPC du noyau Windows pour obtenir les droits SYSTEM.

Septembre 2026 · CVE-2026-87491 · CVE-2026-85880 · BlueMoon Accès Hors Limites · CWE-125 / CWE-787 · Faille Zero-Day Mobile

Faille Zero-Day Universelle dans ANGLE

Autopsie technique de la CVE-2025-14174 : comment une écriture hors limites dans la couche graphique ANGLE a compromis Chrome et WebKit sur iOS.

Décembre 2025 · CVE-2025-14174 · ANGLE / WebKit / Chrome Résolution de Lien Non Sécurisée · CWE-59 · Zero-Day Actif

Élévation de Privilèges par Symlink Windows Update

Autopsie technique de la CVE-2026-81963 : zero-day dans Windows Update (MoUsoCoreWorker) où des jonctions de dossiers NTFS ont permis une élévation vers SYSTEM.

Septembre 2026 · CVE-2026-81963 · Windows Update Stack

Chaîne d'Approvisionnement

Embedded Malicious Code · CWE-506 · CVSS 10.0

Le backdoor de XZ Utils : l'attaque sur la chaîne logistique qui a failli contrôler l'écosystème Linux

Analyse technique de la porte dérobée XZ Utils (CVE-2024-3094) : comment une campagne d'ingénierie sociale de trois ans a ciblé sshd via liblzma et systemd.

2024 · CVE-2024-3094 · XZ Utils / liblzma Untrustworthy Component · CWE-1357 · Nation-state

SUNBURST : quand le pipeline d'intégration logicielle devient le vecteur d'attaque

Autopsie technique de SUNBURST : comment un implant malveillant a été injecté dynamiquement dans la chaîne d'intégration et de compilation de SolarWinds Orion.

2020 · SolarWinds Orion · CVE-2020-10148 Embedded Malicious Code · CWE-506 · Self-propagating

Shai-Hulud : le ver npm qui se propageait et publiait de nouvelles versions de manière autonome

Autopsie technique du ver Shai-Hulud sur npm : comment l'exécution automatique de scripts postinstall a détourné les jetons de centaines de mainteneurs.

September 2025 · npm registry ecosystem

Agents IA Autonomes

Protection Mechanism Failure · CWE-693

Guides d'Architecture

Guide de Durcissement

Plan de Sécurité pour Agents IA : Sandboxing, Contrôle d'Outils et Filtrage Sortant

Guide pas à pas : isolation de l'environnement d'exécution des agents, coupure des flux sortants des conteneurs et mécanismes de validation humaine.

Guide de référence · Systèmes d'agents