Quotidien suisseJeudi 15 octobre 2026Édition de 13h, technologie
Prochaine publication le 15 octobre 2026 à 17h
Une · Sécurité · Matériel · Chaîne d’approvisionnement
Portefeuilles Ledger piégés : un implant lisait la phrase de récupération à l’écran et l’envoyait par réseau mobile
Le fabricant français de portefeuilles matériels pour cryptomonnaies Ledger a confirmé que des appareils vendus par CryptoBilis, un revendeur agréé basé en Malaisie, contenaient un composant ajouté avant la vente. Selon Donjon, l’équipe de sécurité de Ledger, ce composant reconnaît les 24 mots de la phrase de récupération quand ils s’affichent à l’écran, puis les transmet en LTE grâce à une eSIM. Ledger a suspendu les ventes chez tous ses distributeurs d’Asie du Sud-Est et de Hong Kong.
Ledger a ouvert une enquête le 9 octobre 2026 après des signalements de pertes, puis confirmé le lendemain qu’un appareil contenait « un implant matériel non autorisé ». Selon la société, toutes les pertes confirmées concernent des appareils vendus par CryptoBilis. Le cabinet d’analyse Bitquery, cité par heise, a compté sur six blockchains 324 portefeuilles vidés, pour l’équivalent de 102 millions de dollars au 13 octobre ; Tether a gelé l’équivalent de 10 millions de dollars en USDT. Ledger ne confirme pas ces montants et met en garde contre les chiffres non vérifiés qui circulent. Bitquery relève aussi que 40 % des portefeuilles vidés avaient reçu leur premier versement il y a plus de 90 jours, alors que l’avertissement de Ledger ne vise que les achats des 90 derniers jours.
L’implant ne touche ni l’élément sécurisé, la puce qui garde les clés, ni le système de Ledger, et ne modifie aucune transaction. Il lit ce que la puce envoie à l’écran. Tibane Labs a décrit deux variantes dans des Nano X achetés au Japon. La première remplace la batterie par une plus petite pour loger un microcontrôleur STM32 (Arm Cortex-M4), une eSIM de 2 mm sur 2 et un module LTE blindé. La seconde, sur un circuit souple fabriqué en série, prend la place de la mousse sous l’écran OLED et utilise la batterie d’origine : à l’ouverture, seul un fil d’antenne la trahit. Ledger reconnaît que son contrôle d’authenticité « Genuine Check » ne peut pas détecter un tel ajout tant que l’élément sécurisé d’origine est intact.
L’affaire touche aussi l’Europe. Un client en Allemagne dit avoir trouvé un implant dans deux appareils achetés dans deux magasins MediaMarkt Saturn, livrés selon lui par un distributeur autrichien. MediaMarktSaturn a retiré les produits Ledger « à l’international, dans tous les pays où nous sommes présents », a déclaré un porte-parole à Cointelegraph. Le 14 octobre, Ledger a indiqué que Donjon avait inspecté des stocks de magasins et de distributeurs dans toute l’Allemagne, y compris ceux des enseignes citées, sans trouver de manipulation, et qu’aucune perte liée à un implant n’avait été signalée en Europe. La société n’a pas encore examiné les appareils montrés en ligne. Mark Karpelès, ancien patron de Mt. Gox, dit avoir trouvé un implant dans un Ledger Flex acheté à l’aéroport de Singapour, dans un distributeur automatique. Le concurrent Trezor, qui dit n’avoir trouvé aucun appareil compromis, réduira son réseau de revendeurs au 1er janvier 2027.
Ledger recommande de ne pas initialiser un appareil acheté chez CryptoBilis et, si c’est déjà fait, de transférer les fonds vers un nouvel appareil avec une nouvelle phrase de récupération. Elle conseille d’acheter par les canaux officiels et rappelle qu’elle ne demande jamais les 24 mots.
Cisco : une pièce jointe piégée suffit à devenir root sur les passerelles Secure Email Gateway
Cisco a corrigé le 14 octobre 2026 une faille déjà exploitée dans ses passerelles de messagerie Secure Email Gateway, physiques et virtuelles. CVE-2026-76519 est une traversée de répertoire dans la fonction d’analyse des pièces jointes Advanced Malware Protection : sans compte, un attaquant envoie un courriel avec une pièce jointe préparée, écrit des fichiers où il veut et exécute des commandes en root. Seules les passerelles où le service File Reputation est actif dans une politique de messagerie, avec une version de Content Scanner Tools antérieure à 25.3.0.5525, sont touchées. La CISA l’a ajoutée mercredi à son catalogue des failles exploitées.
Le correctif passe par AsyncOS 15.5.5-014 ou 16.5.0-780 (rien n’est prévu pour la branche 16.0), ou plus simplement par la mise à jour de Content Scanner Tools en 25.3.0.5525, sans redémarrage. La commande contentscannerstatus donne la version installée. Comme un attaquant root peut effacer ses traces, Cisco conseille de vérifier aussi les journaux du pare-feu et, pour les appareils compromis, de renouveler identifiants et clés. Shadowserver compte près de 300 passerelles exposées sur Internet. C’est la troisième faille de ces passerelles exploitée en un an, après CVE-2025-20393 et CVE-2026-76461 en septembre.
curl 8.23.0 : 24 failles corrigées, dont une exécution de code via HTTP/2, et la fin de SMB
curl 8.23.0, publié le 14 octobre 2026, corrige 24 vulnérabilités, si nombreuses que Daniel Stenberg, son auteur, renonce à les lister dans l’annonce. La plus grave, CVE-2026-92392 (sévérité haute), est selon lui l’une des pires de curl depuis longtemps : une utilisation de mémoire libérée pendant un envoi en HTTP/2. Le serveur bloque l’envoi en ramenant sa fenêtre à zéro, renvoie un morceau de réponse puis ferme le flux. curl termine le transfert mais garde un pointeur vers son descripteur. Quand l’application libère ce descripteur puis nettoie le reste, libcurl réécrit des données du serveur dans la mémoire libérée et finit par appeler un pointeur de fonction remplacé. Une requête envoyée au passage révèle des adresses locales, ce qui aide à contourner la randomisation de la mémoire (ASLR).
Les conditions sont étroites : envoi d’environ 135 Ko vers un serveur malveillant au certificat valide, architecture connue, ordre d’allocations précis, une vingtaine d’octets pour la charge. L’issue la plus probable est un plantage. La faille a été signalée par Luna Tong, d’Anthropic. Selon heise, Stenberg répète que curl ne sera pas réécrit, en Rust par exemple. La version retire aussi SMB et SMBS : curl ne gérait que SMBv1, avec une implémentation NTLM fragile. Les 23 autres failles sont de faible sévérité.
Secondes intercalaires : pourquoi elles cassent le logiciel, et comment mesurer le temps sans se tromper
La Conférence générale des poids et mesures (CGPM), réunie cette semaine, vote ce jeudi après-midi le projet de résolution C. S’il est adopté, l’UTC deviendra continu le 20 mai 2027 : l’écart toléré avec la rotation de la Terre passera de 0,9 seconde à une heure, ce qui supprime les secondes intercalaires pour des siècles. L’occasion de comprendre pourquoi cette seconde fait peur aux informaticiens, et quelles habitudes restent bonnes.
1. Deux temps qui divergent. Le temps atomique international (TAI) avance de façon parfaitement régulière. UT1 suit la rotation de la Terre, qui ne l’est pas. L’UTC avance au rythme atomique, mais depuis 1972 on lui ajoute des secondes pour qu’il reste à moins de 0,9 seconde d’UT1 : 27 au total, la dernière le 31 décembre 2016 à 23:59:60. L’UTC a aujourd’hui 37 secondes de retard sur le TAI. Chaque seconde intercalaire est annoncée environ six mois à l’avance par l’IERS, le service international de la rotation terrestre.
2. Le temps Unix fait comme si elles n’existaient pas. Un time_t compte 86 400 secondes par jour, sans exception. Pour placer 23:59:60, le noyau Linux, prévenu par le démon NTP, ramène son horloge d’une seconde en arrière à minuit : la même valeur de CLOCK_REALTIME revient deux fois. Un programme qui soustrait deux lectures de l’horloge murale peut alors obtenir une durée négative. C’est ce qui est arrivé à Cloudflare le 1er janvier 2017 : dans son serveur DNS écrit en Go, une valeur qui ne devait jamais descendre sous zéro est devenue négative et a fait planter le choix des résolveurs. Au pic, environ 0,2 % des requêtes DNS ont échoué.
3. Lisser plutôt que sauter. Depuis 2008, Google ne fait plus sauter ses horloges : il étale la seconde sur 24 heures, de midi à midi UTC, en ralentissant légèrement les horloges, d’environ 11,6 millionièmes, bien en dessous des 500 millionièmes que NTP peut corriger. AWS applique le même lissage. Le prix : pendant ces 24 heures, l’heure s’écarte de l’UTC officiel, jusqu’à une demi-seconde au moment de la seconde intercalaire. Mélanger des serveurs de temps lissés et non lissés donne des machines qui ne s’accordent plus entre elles.
4. La seconde négative, jamais testée. La Terre tourne un peu plus vite ces dernières années. Des experts cités par The Register estiment à 30 % la probabilité qu’il faille retirer une seconde d’ici 2035, ce qui n’a jamais été fait : 23:59:59 serait sauté, un chemin de code que presque aucun système n’a éprouvé. Le projet de résolution rappelle que l’UIT, l’IEEE 1588 (synchronisation de précision des réseaux) et des industriels ont demandé d’avancer la réforme précisément pour éviter ce risque.
5. Ce qui reste vrai après 2027. Les durées, délais et temporisations se mesurent avec une horloge monotone, jamais avec l’heure murale : clock_gettime(CLOCK_MONOTONIC) en C, time.monotonic() en Python, System.nanoTime() en Java. Depuis Go 1.9, time.Now() embarque une lecture monotone que les soustractions utilisent automatiquement. Les dates se stockent en UTC et ne se convertissent qu’à l’affichage. Un analyseur de dates doit accepter la seconde 60, que la RFC 3339 autorise. Enfin, les 27 secondes passées ne disparaissent pas : calculer exactement l’intervalle entre deux dates anciennes demande toujours la table des secondes intercalaires, et l’horloge CLOCK_TAI de Linux n’est juste que si le démon de temps lui a fourni le décalage.
Palo Alto : faille exploitée dans l’interface d’administration de PAN-OS
Palo Alto Networks a publié le 14 octobre 2026 des correctifs pour CVE-2026-0322 (score 8,6), déjà exploitée de façon « très limitée ». Un attaquant disposant d’identifiants et d’un accès réseau à l’interface d’administration peut exécuter du code en root sur les pare-feu PA-Series et VM-Series et sur Panorama. Cloud NGFW et Prisma Access ne sont pas touchés. Les branches 10.2, 11.1, 11.2, 12.1 et 12.2 sont corrigées, la version 11.2.16 étant annoncée pour ce 15 octobre. Il n’existe pas de contournement : Palo Alto conseille de limiter l’interface d’administration à des adresses internes de confiance. La CISA exige une correction d’ici au 17 octobre dans les agences fédérales américaines.
Noyau Linux : plus besoin de déclarer l’aide d’une IA dans un correctif
Le Maintainers Summit a décidé d’abandonner la balise « Assisted-by », que la documentation du noyau exigeait depuis janvier 2026 pour tout correctif écrit avec un outil de programmation avancé, a annoncé Sasha Levin. Laurent Pinchart voulait garder une obligation de déclaration. Linus Torvalds a refusé toute règle sur les outils utilisés : il attend seulement que les contributeurs comprennent ce qu’ils envoient. LWN a signalé le 14 octobre la première série de correctifs de Torvalds préparée avec l’aide d’un modèle de langage.
