La pire semaine de l’histoire de la cybersécurité... jusqu’ici

7/10

IAFireship3 novembre 2026 à 19:475:33

Lecteur audio

INTRO

Une semaine de défaillances majeures en matière de sécurité a vu une extension de code compromise, une attaque de chaîne d’approvisionnement visant Polymarket, un vol de 6,3 milliards de dollars chez Binance, et une faille critique du noyau Linux démontrée comme exploitable à distance avec l’aide de l’IA.

POINTS CLÉS

L’extension Cursor a exposé des machines de développeurs

Une extension officielle Cursor pour Claude Code a été brièvement publiée avec un comportement dangereux: elle analysait les machines locales à la recherche de clés et de jetons et créait une porte dérobée pour un accès ultérieur. Le paquet est resté disponible environ 11 heures et a été installé par près de 5 000 utilisateurs avant d’être retiré. L’impact a été quelque peu limité, car le mécanisme de persistance nécessitait des droits administrateur, des autorisations que beaucoup d’utilisateurs n’accordent pas à un éditeur de code.

Les utilisateurs de Polymarket ont perdu des fonds via le détournement d’un script tiers

Des utilisateurs de Polymarket ont signalé que leurs fonds étaient vidés du simple fait de se connecter au site. La compromission a été attribuée à un script détourné de DebugBear, un service utilisé pour la surveillance des performances. Les attaquants s’en sont servis pour liquider les positions actives des utilisateurs et envoyer le produit vers un portefeuille codé en dur, volant plus de 2 millions de dollars avant que le script ne soit supprimé.

Binance a subi le plus grand vol jamais enregistré

En environ 20 minutes, des attaquants ont déplacé 6,3 milliards de dollars de cryptoactifs depuis les hot wallets de Binance sur 10 blockchains, ce qui en fait le plus grand vol de l’histoire recensée. Binance a indiqué qu’un ordinateur portable DevOps compromis avait permis aux attaquants de soumettre des demandes de retrait ensuite signées par les propres systèmes de la plateforme. Le FBI a ensuite attribué l’attaque au groupe nord-coréen TraderTraitor, déjà lié à d’importants vols sur des plateformes d’échange.

Les émetteurs de stablecoins ont aidé à contenir les pertes de Binance

Les pertes réelles ont été rapidement réduites, car des émetteurs centralisés pouvaient geler une partie du butin. Tether et Circle auraient gelé environ 3 milliards de dollars en stablecoins volés en moins d’une heure. Binance a ensuite suspendu les retraits, réalimenté les portefeuilles avec des fonds de trésorerie et d’assurance, rétabli les retraits dès le dimanche, puis publié des données de preuve de réserves montrant que les soldes des utilisateurs étaient intégralement couverts.

Les utilisateurs se sont malgré tout empressés de retirer leurs fonds de Binance

Malgré les mesures de reprise de la plateforme, la confiance a été ébranlée. Les utilisateurs ont retiré environ 3,6 milliards de dollars de Binance après la reprise des services, soulignant des inquiétudes persistantes quant au risque de garde, même lorsqu’une plateforme peut absorber les pertes en interne.

La faille Linux existait depuis 2016

Une grave faille du noyau Linux, ensuite notée 9,8 sur l’échelle CVSS, a été retracée à un code de gestion des connexions présent depuis 2016. Le bug impliquait une condition de concurrence lors de nouvelles connexions TCP: si un client renvoyait un paquet initial exactement au bon moment, un chemin du noyau pouvait libérer de la mémoire pendant qu’un autre la lisait encore. Cela ouvrait la voie à un comportement de type use-after-free dans les réponses du noyau.

Le chemin d’exploitation est passé de la théorie à l’accès root

La faille paraissait au départ difficile à exploiter de manière fiable, ce qui a conduit Red Hat à lui attribuer une note modérée de 5,9 et à considérer initialement qu’un plantage du noyau était l’issue la plus probable. Cette vision a changé après des tests montrant qu’un attaquant pouvait forcer suffisamment de tentatives pour obtenir le bon timing. Le risque clé était qu’une fuite de mémoire du noyau puisse servir de tremplin vers une exécution complète de code.

Anthropic a démontré une exploitation assistée par IA

Le 27 octobre, Anthropic a indiqué que son équipe red team avait confié le bug à un modèle Claude non publié. En environ 48 minutes, le modèle a obtenu une fuite de mémoire du noyau, puis environ 5 minutes plus tard, il exécutait des commandes en tant que root sur un serveur non corrigé. Le résultat a montré comment les systèmes d’IA peuvent automatiser la persistance face à des conditions de concurrence à faible probabilité qui offraient autrefois aux défenseurs une certaine protection pratique.

La réponse aux correctifs a varié selon les fournisseurs

Debian et Oracle ont publié des noyaux corrigés dans la journée suivant la divulgation publique du CVE. Red Hat a mis environ deux semaines à publier des correctifs après avoir réévalué la gravité, tandis qu’Ubuntu n’avait pas encore diffusé de correctif au moment décrit. Cette réponse inégale a laissé de nombreux serveurs Linux exposés à Internet sans protection pendant une période d’attention accrue autour de la faille.

CONCLUSION

Les incidents de la semaine ont montré que les défaillances de sécurité modernes touchent désormais à la fois les chaînes d’approvisionnement logicielles, l’infrastructure crypto centralisée et des bogues anciens au cœur des systèmes d’exploitation. Ils ont aussi démontré que l’IA peut réduire fortement les barrières pratiques à l’exploitation de vulnérabilités autrefois jugées trop peu fiables pour compter.

Poser une question

Sur le même sujet : IA