En bref#
- Instructure (Canvas) rançonnée : ShinyHunters revendique 3.65 To de données, rançon payée.
- Exchange Server zero-day (CVE-2026-42897) : XSS dans OWA, pas de patch, exploitation active.
- BitLocker YellowKey (CVE-2026-45585) : contournement du chiffrement disque avec accès physique.
- Gitea/Forgejo (CVE-2026-27771) : 30 000+ instances exposent leurs images privées depuis 4 ans.
- Verizon DBIR 2026 : 48 % des brèches impliquent un tiers, +60 % sur un an.
- Chrome 148 : 2 correctifs critiques sur Linux (WebRTC UAF, UI spoofing).
Canvas (Instructure) : la plus grosse rançon éducation de l’année#
Le groupe ShinyHunters a frappé Instructure, l’éditeur de la plateforme LMS Canvas, utilisée par plus de 8 800 établissements dans le monde. Selon les sources publiques, 3.65 To de données ont été exfiltrées, concernant 275 millions d’utilisateurs (élèves, enseignants, personnels).
Le mode opératoire : exploitation d’une vulnérabilité XSS dans le service Free-For-Teacher, escalade vers un accès administrateur, puis exfiltration massive. Instructure a initialement tenté de colmater sans payer, mais ShinyHunters a récidivé une semaine plus tard via la même classe de vulnérabilité, allant jusqu’à défigurer les portails de connexion de centaines d’établissements.
Résultat : rançon payée, données « détruites » selon ShinyHunters (on sait ce que valent ces promesses). Un cas d’école sur la concentration du risque dans le SaaS éducation.
Krebs on Security - Canvas Breach
Exchange Server zero-day : CVE-2026-42897 exploitée activement#
Microsoft a confirmé le 14 mai une vulnérabilité XSS dans Outlook Web Access (OWA) activement exploitée, sans patch disponible. Un simple email piégé suffit : si la victime l’ouvre dans OWA, du JavaScript arbitraire s’exécute dans son contexte de session.
Les conséquences : compromission de boîte aux lettres, vol de jetons de session, règles de forwarding persistantes. Pas de compromission du serveur complet, mais l’attaquant peut lire les emails, en envoyer au nom de la victime et s’y maintenir.
CISA a ajouté ce CVE à son catalogue KEV le 15 mai, avec deadline de correction au 29 mai. La seule mitigation officielle passe par EEMS (Exchange Emergency Mitigation Service), qui désactive le rendu des images inline et les calendriers imprimables dans OWA.
Microsoft Security Response Center - CVE-2026-42897
BitLocker YellowKey : le chiffrement contourné par une clé USB#
Le chercheur Chaotic Eclipse a publié YellowKey (CVE-2026-45585), un exploit qui permet de contourner intégralement BitLocker avec un accès physique à la machine. Il suffit de copier quelques fichiers sur une clé USB et de démarrer sur l’environnement de récupération Windows (WinRE) pour monter le volume chiffré en clair.
Microsoft a publié une mitigation le 20 mai (pas de vrai patch pour l’instant). Les versions affectées : Windows 11, Windows Server 2022 et 2025. GreenPlasma, un second exploit du même chercheur, cible l’escalade de privilèges via CTFMON.
Les laptops d’entreprise perdus ou volés redeviennent un risque tangible malgré le chiffrement.
BleepingComputer - BitLocker Zero-Day
Gitea et Forgejo : 30 000 instances exposent leurs images privées#
Les chercheurs de NoScope ont identifié une faille (CVE-2026-27771) dans Gitea et Forgejo : les images de conteneurs privées hébergées sur ces instances étaient accessibles sans authentification depuis l’extérieur. Pendant 4 ans.
Les secteurs concernés : santé, aérospatial, infrastructures critiques. Si vous hébergez des registres OCI sur une instance Gitea/Forgejo, vérifiez vos permissions immédiatement.
NoScope - Gitea Private Container Images
Chrome 148 : deux correctifs critiques sur Linux#
Google a poussé une mise à jour de Chrome 148 (version 148.0.7778.179) pour corriger 16 vulnérabilités, dont deux critiques. La première (CVE-2026-9111) est un use-after-free dans WebRTC, exploitable à distance via une page HTML piégée — exécution de code arbitraire sur Linux. La seconde (CVE-2026-9110) est un défaut d’implémentation dans l’interface utilisateur permettant un UI spoofing.
Chrome 148 cumule désormais plus de 350 correctifs de sécurité depuis sa sortie début mai, une cadence inhabituellement élevée, probablement liée à l’utilisation de l’IA dans le fuzzing interne de Google.
Malwarebytes - Update Chrome Now
Verizon DBIR 2026 : le tiers est devenu le risque majoritaire#
Le Data Breach Investigations Report 2026 de Verizon confirme une tendance que l’on sentait venir : 48 % des brèches impliquent désormais un tiers, contre 30 % l’an dernier et 15 % il y a deux ans.
Autres chiffres qui marquent :
- Exploitation de vulnérabilité : premier vecteur d’accès initial (31 %), dépasse l’abus de credentials
- Ransomware : présent dans 48 % des brèches, mais les paiements continuent de baisser (médiane à 115 000 $)
- Espionnage : +163 % sur un an, désormais 17 % des incidents
- Shadow AI : 45 % des employés utilisent régulièrement l’IA sur leur poste pro, majoritairement via des comptes personnels
Le message est clair : votre sécurité vaut celle de votre plus faible fournisseur.
Command Line Corner#
column -t reformate une entrée délimitée en colonnes alignées. Pratique quand vous pipez mount, df, ou du CSV sans séparateur propre :
$ mount | column -t
$ df -h | column -t
$ cat services.csv | column -t -s ','Weekly #16, fin de la transmission. Remettez vos Gitea à jour et verrouillez vos postes nomades.
