Quotidien suisseVendredi 9 octobre 2026Édition de 13h, technologie
Prochaine publication le 9 octobre 2026 à 17h
Une · Sécurité · Espionnage
Le FBI saisit les outils de piratage d’une société chinoise liée au groupe Flax Typhoon
Le FBI a saisi sept noms de domaine utilisés par Integrity Technology Group, une société chinoise sous contrat avec le gouvernement chinois selon la justice américaine. Ils servaient à faire tourner deux outils, MicroScan et FishHub, employés pour repérer puis pénétrer des réseaux d’infrastructures critiques dans plusieurs pays. Sept gouvernements publient en parallèle un avis commun.
MicroScan est un scanner de vulnérabilités écrit en Python qui contient plus de 1 300 scripts de test d’intrusion visant des logiciels très répandus (Oracle WebLogic, Apache Struts, WordPress, Jenkins). Selon les documents judiciaires rendus publics jeudi, il a servi, avec un réseau d’objets connectés infectés par le logiciel malveillant Mirai, à sonder en 2022 une compagnie d’électricité de Caroline du Sud, des aéroports au Japon et en Pologne, une ONG internationale et des entreprises taïwanaises du gaz et de l’électricité. Deux universités taïwanaises scannées de cette façon ont ensuite été effectivement compromises, en août 2022 et en mars 2023. Le FBI ne dit pas si les autres cibles nommées ont été pénétrées.
FishHub, le second outil, prenait le relais après un hameçonnage réussi : il téléchargeait d’autres programmes malveillants, cherchait des fichiers précis, les compressait et les envoyait vers des serveurs de la société. Cinq des domaines saisis servaient à cette distribution encore en mars ; un serveur contenait des données de plus de 20 organisations. L’avis commun des États-Unis, du Royaume-Uni, de l’Australie, du Canada, du Japon, de la Nouvelle-Zélande et de l’Espagne décrit aussi des attaques par pulvérisation de mots de passe contre des serveurs Microsoft Exchange et l’usage du logiciel VPN SoftEther pour garder l’accès. Parmi les failles les plus exploitées figurent de très anciennes, comme Shellshock (Bash, 2014) ou celle du VPN Pulse Secure de 2019 : corriger les vieux systèmes exposés reste la première défense. L’avis fournit des indicateurs de compromission (adresses IP, domaines, empreintes de fichiers). Integrity Tech est déjà sanctionnée par le Royaume-Uni et l’Union européenne, et son précédent réseau de plus de 200 000 appareils infectés avait été démantelé en 2024.
Cisco : cinq failles critiques permettent de prendre le contrôle de commutateurs Nexus
Cisco corrige cinq failles critiques dans NX-OS, le système de ses commutateurs de centre de données Nexus 3000 et 9000 en mode autonome. Elles permettent d’exécuter du code avec les droits les plus élevés (root) ou, à défaut, de faire redémarrer l’appareil. Toutes viennent d’un défaut de validation des données reçues et ne sont exploitables que si l’une de trois fonctions est active : l’interface de programmation NX-API (désactivée par défaut), les outils de diagnostic NGOAM ou MPLS OAM (ce dernier aussi désactivé par défaut). Les Nexus 7000 et les Nexus 9000 en mode ACI ne sont pas touchés.
Cisco recommande de mettre à jour et de couper ces fonctions si elles ne servent pas. Des protections temporaires sont proposées pour les commutateurs qu’on ne peut pas redémarrer tout de suite. L’éditeur a trouvé ces failles lui-même et ne connaît pas d’exploitation. Le même jour, il corrige aussi son logiciel de gestion de licences License On-Prem, dont une faille de vérification de signature est notée 10 sur 10.
NetScaler : Citrix demande de corriger sans attendre une nouvelle faille critique liée à SAML
Quelques jours après une mise à jour d’urgence (faille CVE-2026-88779, dont nous parlions le 5.10), Citrix publie de nouveaux correctifs pour ses passerelles NetScaler ADC et NetScaler Gateway. La faille CVE-2026-107406, notée 9,5 sur 10, est un débordement de mémoire qui peut mener à l’exécution de code à distance ou à un plantage. Seuls les appareils configurés pour l’authentification unique SAML sont exposés ; on le vérifie en cherchant dans la configuration des lignes comme add authentication samlAction ou add authentication samlIdPProfile.
Les versions corrigées sont 14.1-73.46 et 13.1-64.29 (et les variantes FIPS indiquées par Citrix). L’éditeur dit ne pas connaître d’exploitation, mais les NetScaler sont une cible constante : l’agence américaine CISA recense 27 failles Citrix exploitées depuis 2021. L’organisation Shadowserver voit plus de 21 000 adresses NetScaler exposées sur Internet.
Ce que le logiciel d’Apollo enseigne encore : priorités, surcharge et programmation défensive
Margaret Hamilton, qui dirigeait au MIT l’équipe du logiciel de bord des missions Apollo habitées, est morte le 30 septembre à 90 ans. On lui doit l’expression « génie logiciel ». Atelier pédagogique sur trois idées de ce logiciel qui restent des réflexes de base pour tout développeur.
1. Prévoir la surcharge, et choisir ce qu’on sacrifie. Pendant la descente d’Apollo 11 vers la Lune, en juillet 1969, l’ordinateur de guidage du module lunaire affiche les alarmes 1202 puis 1201 : il a plus de travail qu’il ne peut en faire. Le MIT attribue la surcharge à un défaut de commutateur matériel ; The Register précise qu’elle venait de données inutiles envoyées par le radar de rendez-vous. Un programme naïf aurait pris du retard partout, y compris dans le pilotage. Celui d’Apollo était organisé par priorités : chaque tâche avait un rang, et en cas de surcharge les tâches secondaires étaient abandonnées pour que les calculs de guidage continuent. Le contrôle au sol a jugé que l’alarme ne justifiait pas d’interrompre l’atterrissage. heise rappelle que ce principe d’ordonnancement par priorités a été conçu par J. Halcombe Laning : c’est une œuvre d’équipe, que Hamilton a dirigée. Aujourd’hui, c’est ce qu’on appelle le délestage de charge : un serveur saturé doit refuser ou différer les requêtes les moins importantes (avec des files séparées, une limite de concurrence, une réponse « réessayez plus tard ») plutôt que de ralentir toutes les requêtes jusqu’à l’effondrement.
2. Savoir redémarrer sans perdre le fil. L’autre mécanisme cité par The Register est la « protection au redémarrage » : elle a permis aux tâches essentielles de l’atterrissage de continuer malgré la surcharge. Le principe de fond se généralise : survivre à un incident sans perdre le travail en cours. Un programme qui note régulièrement où il en est (un point de reprise) et dont les étapes peuvent être rejouées sans effet double (on dit qu’elles sont idempotentes) peut être arrêté brutalement puis relancé sans dégât. C’est ce que font un journal de base de données, une file de messages qui redistribue un message non acquitté, ou un traitement par lots qui reprend au dernier lot validé.
3. Ne pas parier que l’utilisateur ne se trompera pas. Un jour, la fille de Hamilton, Lauren, quatre ans, lance dans le simulateur du module de commande le programme de pré-lancement P01 alors que la simulation est en plein vol ; le simulateur plante. Hamilton propose un garde-fou logiciel, refusé : des astronautes entraînés ne feront jamais cette erreur. En 1968, pendant Apollo 8, Jim Lovell lance P01 par erreur et les données de navigation sont effacées. La correction est ensuite intégrée. La leçon est celle de la programmation défensive : une commande valide dans un état du système (au sol) doit être refusée, ou au moins confirmée, dans un autre (en vol). Concrètement, on modélise les états et les transitions permises, et on vérifie l’état avant chaque action dangereuse plutôt que de s’en remettre à la documentation. Hamilton a ensuite consacré sa carrière à cette approche, prévenir l’erreur dès la conception, avec ses entreprises Higher Order Software et Hamilton Technologies.
Vaud explique pourquoi le dossier patient des HUG a été écarté au profit d’Epic
Répondant au député Fabrice Moscheni, le Conseil d’État vaudois précise qu’aucune comparaison détaillée entre le logiciel américain Epic et le DPI+ des Hôpitaux universitaires de Genève n’a été faite : les HUG n’avaient pas déposé d’offre, seulement une présentation générale arrivée hors délai. Le gouvernement relève que six des 21 groupes de fonctions spécialisées du DPI+ (anesthésie, blocs opératoires, soins intensifs) dépendent d’applications tierces, et met en avant l’expérience d’Epic pour déployer un même système dans plusieurs établissements en deux à trois ans. Le projet, qui remplacera le système Soarian au CHUV et dans onze hôpitaux vaudois, est chiffré à 207,6 millions de francs.
Pwn2Own Irlande : bilan final de 98 failles inconnues et 1,262 million de dollars
Suite de notre édition d’hier. Le troisième jour a ajouté 21 failles inconnues et 641 000 dollars de primes, dont 300 000 pour une chaîne de failles qui a compromis le Google Pixel 10. L’équipe Ikotas Labs gagne le concours (361 000 dollars) après avoir aussi piraté le Galaxy S26, l’agent Codex d’OpenAI et la base de données Oracle. Les éditeurs ont 90 jours pour corriger.
GitHub reconstruit son stockage Git, saturé par les agents de programmation
GitHub remplace Spokes, son architecture actuelle, qui garde des copies complètes des dépôts sur plusieurs disques et attend l’accord d’une majorité de copies à chaque écriture : chaque envoi est donc aussi lent que la copie la plus lente. Le nouveau système écrit une seule fois dans un stockage objet qui gère lui-même la réplication, sépare les lectures et sort la maintenance du chemin des requêtes. Les premiers tests montrent des écritures 35 fois plus rapides. Le trafic a doublé en un an, à 473 milliards d’événements par mois. Aucun calendrier n’est donné.
