Ah bah super, la fuite. Ça va encore être un carnage au niveau des arnaques.

Y'a une nouvelle faille RCE dans php 😭

Le patch pour la faille php n'est disponible que pour les versions ultérieures à php 8.1.
Un développeur - Sury - s'est fait chier à backporter les correctifs dans php 8.1, 7 et même 5. C'est déjà exceptionnel pour un correctif d'une telle taille (plus de 13000 lignes de code, si j'ai bien lu.)
Sury a donc fourni des paquets pour Debian 13... jusqu'à 11.

Pour aider plus de clients à se protéger contre la faille, mon hébergeur (ScalarX) a backporté les paquets pour Debian 9 et 10... et fournit gratuitement les dépôts au public.

Il y a vraiment des gens qui dépensent beaucoup d'énergie pour que les autres soient en sécurité.

Chapeau bas à Christophe et son équipe. 😎

Une autorité de certification indienne a laissé fuiter des clés privées, permettant la génération de certificats TLS/https VALIDES pour des tas de sites.
Tout le monde est en train de nettoyer, c'est le bordel.

Par contre fait troublant : En principe une clé privée, c'est un très grand nombre, trop grand pour être devinable. Là une des clés privées était 4. Juste 4.
Un autre 56. Et une autre 115.
Alors qu'en fait il devrait s'agit d'un nombre entre 0 et 2 puissance 384.
C'est absolument lamentable.

EDIT: Voir aussi : https://arstechnica.com/security/2026/10/the-internet-goes-on-high-alert-after-discovery-of-8-compromised-tls-certs/
et https://next.ink/262991/certificats-tls-nimporte-qui-pouvait-certifier-un-site-via-des-cles-passoires/

EDIT: ça va être un sacré bordel à nettoyer. Par exemple, GoDaddy va révoquer plus de 400 000 certificats : https://bugzilla.mozilla.org/show_bug.cgi?id=2083191

EDIT: Concrètement, techniquement, ce que ça implique au niveau certificats : https://www.bortzmeyer.org/emudhra.html

EDIT: eMudhra met la clé sous la porte : https://next.ink/263432/apres-ses-cles-passoires-emudhra-met-la-cle-sous-la-porte-des-certificats/

Oups... y'a 281 Giga-octets de données du parti d'extrême-droite allemand AfD qui ont fuité (emails, attachements, documents, factures, contrats...).
🍿

Wokay... tous les acteurs d'internet sont très pressés que vous utilisiez les Passkeys. Dans la pratique ils empêchent le vol de mot de passe et sont simples à utiliser.

Mais quand on gratte un peu l'aspect technique, ça devient nettement plus compliqué.
Copiable ou non-copiable ?
Transférable ou non-transférable ?
Logiciel ou matériel ?
Avec vérification de la présence utilisateur ou non ?
Avec attestation matérielle ou non ?

Quand on commence à combiner ces paramètres, ça n'est plus simple du tout. Avec les combinaisons, on arrive à 16 type de Passkeys différents, avec chaucun des limites spécifiques.

Et là où ça commence à poser problème, c'est le fait que les sites peuvent exiger des Passkeys avec attestation matérielle.
Par exemple, Twitter pourrait exiger que ses Passkey soient attestés uniquement sur Android et iOS, vous empêchant d'accéder à votre compte Twitter sous GrapheneOS.
Ou encore, Netflix pourrait exiger Windows, et vous empêcherait d'accéder à votre compte sous Linux.
YouTube pourrait exiger Chrome et refuser de vous laisser vous connecter ou accéder au site sur un autre navigateur.
Oui, c'est comme les DRM, mais en pire.
Avec des conséquences potentielles pour les dissidents politiques.

Et autant avec un mot de passe vous pouvez le copier, le stocker, ou le transférer selon votre bon vouloir à quelqu'un, les Passkeys sont généralement prisonniers de votre périphérique (smartphone, ou puce TPM sur PC). Et vous n'avez pas forcément la possibilité de les transférer.
Tout semble bien fonctionner jusqu'au jour où vous perdez votre périphérique ou vous vous le faites voler.

Je ne suis pas impatient d'utiliser les Passkeys. OUI ils apportent indéniablement une sécurité plus élevée que les mots de passe pour le commun des mortels, mais ils viennent avec diverses contraintes qui peuvent restreindre votre liberté de manière conséquente (et un risque accru de perdre *totalement* votre compte).

EDIT: Un contre-argument à cet article : https://sebsauvage.net/p/#/framapiaf.org/s/117428259114281844?view=full
et voir aussi cette critique : https://sebsauvage.net/p/#/framapiaf.org/s/117429130676430059?view=full


EDIT: Il est à noter que dans l'alliance FIDO qui définit les standards comme les Passkeys, il n'y a aucun représentant du grand public, des utilisateurs.

EDIT: Au final, pour "simplifier", finalement les Passkeys sont à peu près l'équivalent de certificats clients ssh créés à la volée et stockés dans un processeur sécurisé spécialisé. Par défaut, pour la plupart des gens, ça sera stocké dans le stockage sécurisé du smartphone. Je vois ce que ça donne quand qqun perd/casse son smartphone, et sans sauvegarde je m'attend à voir plein de genre PERDRE leurs comptes sur les sites web.
(Mais j'imagine que, probablement, les différents sites prévoient une méthode de récupération en cas de perte des Passkeys... que je m'attends à être, comme d'habitude, le mail (What else ?) si l'utilisateur l'a donné.)

EDIT: Encore une chose. Dans l'immédiat, les Passkeys résolvent, sans effort, un des problèmes majeurs de sécurité: Le vol de mots de passe. En rendant l'opération tout simplement impossible. Mais techniquement, même si ça n'est *pas* actuellement utilisé, j'imagine qu'il pourrait tout à fait être possible pour les services/sites web de n'accepter que *certains* modèles de Passkey (exemple: Accepter "Google Password Manager" mais refuser "Keepass" (passkeucépasûr, vous comprenez, c'est un Logiciel Libre))
La liste des AAGUID (identifiants des authenticateurs) est là : http://aaguid.nicolasuter.ch/

Cela offre la *possibilité technique* d'un verrouillage pour les GAFAMs assez énorme. D'autant que certains authenticateurs sont spécifiques à certaines plateformes/GAFAM/OS: Apple Passwords (lié à iOS et MacOS), Google Password Manager (lié à Android), Microsoft Password Manager...
Les GAFAMs n'étant pas des champion de l'interopérabilité et de l'ouverture à la concurrence, je me méfie. D'expérience, dès qu'un standard est créé c'est Embrace/Extend/Extinguish.
On a déjà les banques qui refusent GrapheneOS et les autres OS alternatifs à Android/iOS soit-disant "parce que ce n'est pas sûr". Je ne me fais pas d'illusion.

EDIT: voir aussi https://scotthelme.co.uk/passkeys-are-not-a-trap/

Microsoft est sur le point de laisser CoPilot accéder à tous vos fichiers. Mais Microsoft promet que ça sera sûr.
WHAT COULD GO WRONG ?

Si même l'ANSSI se fait pirater...
( ANSSI = Agence nationale de la sécurité des systèmes d’information ; https://fr.wikipedia.org/wiki/Agence_nationale_de_la_s%C3%A9curit%C3%A9_des_syst%C3%A8mes_d%27information)

Les boîtes d'IA, ces connards irresponsables : Deux mois avant l'attaque de HugginFace, OpenAI a uploadé des centaines de packages malveillants dans RubyGems, la bibliothèque de packages Ruby. Des packages malveillants qui ont été utilisés pour pirater d'autres systèmes.
Jamais ils ne vont être tenus responsables de leurs conneries et punis ?
Je veux dire: Si vous ou moi faisons ce genre de chose, normalement c'est de la PRISON.

(Astuce: quand une société se pavane dans les médias d'avoir commis quelque-chose d'illégal, c'est du marketing.)

Voir : https://www.rubyhack.ai/

EDIT: Je ne suis pas le seul à penser que leur histoire d'IA qui s'«échappe» et attaque d'autres systèmes, c'est du marketing : https://www.theregister.com/ai-and-ml/2026/09/15/anthropic-and-openai-look-to-uncle-sam-to-make-them-too-big-to-fail/5296403

Extrait: "Au vu du nombre et de la qualité de ses signataires, la lettre ouverte a été très largement reprise telle quelle dans les médias, mais étonnamment très peu recontextualisée ni décryptée à l’aune de ce qu’en pensent les professionnels de la cybersécurité.

Plusieurs d’entre eux dénoncent pourtant une forme de panique morale ne reposant pas sur des menaces avérées et réellement exploitées par les pirates informatiques. Des menaces d’autant plus hypothétiques que les pirates n’ont ni accès aux modèles de langage dédiés à la cybersécurité d’OpenAI et d’Anthropic, ni aux budgets colossaux nécessaires pour les exploiter, et qui se chiffrent facilement en centaines de milliers de dollars.

Plutôt qu’un « marketing de la peur », ils critiquent le « storytelling » associé, sur fond de spéculations entre « doomers » (catastrophistes), « accélérationnistes » et autres prévisionnistes croyant en l’avènement d’une supposée « intelligence artificielle générale » (IAG, ou AGI) capable d’effectuer l’ensemble des tâches intellectuelles qu’un être humain peut effectuer. D’autant qu’il suffirait d’appliquer et respecter des mesures de cybersécurité élémentaires pour éviter d’être victimes de telles cyberattaques."

hahah je vous l'avais dit, c'est du marketing, c'est du flan.

Edit: voir aussi https://next.ink/254794/le-storytelling-autour-de-la-securite-des-agents-ia-a-perdu-le-contact-avec-la-realite/

Si vous avez un DokuWiki, mettez à jour en version 2026-07-14c pour corriger une faille de sécurité.

Ouch.
(merci à cjp pour le lien)

Mais bordel.... 🤬

"cette fuite expose 1,22 million d’élèves distincts (dont de nombreux mineurs), 4,35 millions d’identifiants de personnels et 602 000 comptes académiques, touchant tout particulièrement Créteil et Versailles."

Et ça inclue : identités, dates de naissance, numéros de sécurité sociale, adresses postales, emails, numéros de téléphone, dossier scolaire, détails logistiques (transports, cantine...), coordonnées des parents, dossiers professionnels...

Bwaa pfouuu... plus personne n'en a rien à foutre. C'est yolo avec toutes nos données.

EDIT: Voir aussi https://www.huffingtonpost.fr/economie/article/ce-que-l-on-sait-de-la-double-cyberattaque-massive-visant-les-finances-publiques_304791.html

Mise à jour de rsync en 3.5 avec...  33 failles de sécurité corrigées ! 😱

EDIT: Est-ce que ça serait dû à la slopification du logiciel ? (cf. https://sebsauvage.net/links/?lumWUQ)
https://github.com/RsyncProject/rsync/issues/929

Sous le coude: Let's Encrypt étant américain, je garde sous le coude Actalis.it, une société italienne qui possède un service gratuit de délivrance de certificats.
Pour le jour où ça part encore plus en couille aux USA.

Microsoft élu "Plus mauvaise entreprise" pour avoir menacé de procès des spécialistes en sécurité qui ont remonté des failles.

Microsoft : "Votre sécurité est importante pour nous !"
Microsoft GitHub : Rempli de malwares et de liens d'arnaques.

Une faille monstrueuse sur WordPress.

Sécurité : un chiffon imbibé d'huile peut spontanément prendre feu.
Toujours laisser dans l'eau.

L'IA d'Elon Musk pique les données de votre projet informatique (en les faisant passer par des serveurs Google), y compris les fichiers .env (qui peuvent contenir des mots de passe).

Un ensemble d'outils pour protéger de manière défensive les données d'un serveur.
- USB: Si vous retirez la clé USB de l'ordinateur, les clés LUKS sont écrasées et l'ordinateur rebooté (ce qui équivaut à reformater les disques puisque les données sont indéchiffrables sans les clés).
- Dead man switch : Si vous n'envoyez pas un signal de vie à un service toutes les 24 heures, même effet: Écrasement des clés LUKS et redémarrage.

C'est un peu comme dans les films d'espionnage quand vous ne voulez pas que vos données tombent entre de mauvaises mains.

Faille de sécurité critique dans ffmpeg.

Si une porte blindée prétend être super-sécurisée mais que sur la porte est accrochée - à l'extérieur - une clé de secours, alors le blindage de la porte ne sert à rien.

Le contournement de BitLocker n'est pas une faille. C'est la preuve que BitLocker est une farce.

Ah... ayé ?  Le DMP a fuité ?