Ledger rattache CryptoBilis au drainage de 93 millions

Ledger a confirmé le 11 octobre que les cas liés à l’incident de drainage du 9 octobre concernaient des appareils vendus en Asie du Sud-Est par CryptoBilis. Le fabricant parisien de portefeuilles matériels a publié cette mise à jour après trois jours de signalements concernant des portefeuilles vidés. Le montant associé atteint 93 millions de dollars selon le bilan repris par Help Net Security. Ledger indique que les cas confirmés restent liés à ce revendeur. Cette déclaration établit le périmètre communiqué par l’entreprise. Elle ne décrit pas d’autres appareils comme affectés. L’incident concerne donc la distribution identifiée dans cette mise à jour.

La faille npm concernait Trusted Publishing, la fonction de publication de paquets de npm. Les chercheurs de Bloom Security ont expliqué qu’un attaquant pouvait pousser une nouvelle version d’un paquet sans dérober de justificatif. Il lui suffisait d’enregistrer un nom de dépôt GitHub abandonné par le mainteneur. Bloom a recensé plus de 1 500 paquets exposés par ce mécanisme. GitHub, propriétaire de npm, a déclaré avoir déployé des correctifs. Le problème associait ainsi un dépôt laissé vacant à une possibilité de publication au nom d’un autre projet. Cette séquence touche directement la chaîne de diffusion des logiciels dépendant de paquets npm.

Les paquets npm restent exposés

AWS a présenté Strands Box, un bac à sable en code ouvert destiné aux agents d’IA. L’outil associe l’isolation du système d’exploitation à des règles capables d’évaluer les actions déjà réalisées par un agent avant d’autoriser une nouvelle opération. Strands Box est disponible en préversion pour les développeurs. Il fonctionne sur les Mac équipés de puces Apple Silicon. Une prise en charge de Linux est prévue. Cette annonce intervient parmi plusieurs sujets liés au contrôle des agents. Michael Scott, directeur de la sécurité des systèmes d’information d’Immuta, estime que les agents doivent être traités comme des identités moins fiables que leurs utilisateurs.

Les correctifs Microsoft ont couvert plus de 1 400 failles lors d’un Patch Tuesday présenté comme record. Parmi elles, CVE-2026-96951, une vulnérabilité de contournement de Mark of the Web, était exploitée dans la nature. Cette faille d’injection de commandes dans Windows Shell pouvait être déclenchée à distance par un fichier spécialement conçu. GitLab a également demandé aux administrateurs d’instances auto-hébergées d’appliquer un correctif contre CVE-2026-97229. Cette faille critique affecte les éditions Community et Enterprise. Elle se situe dans le compilateur d’expressions régulières de la chaîne CI/CD et peut permettre l’exécution de code arbitraire sur des serveurs GitLab.

Les certificats Let’s Encrypt raccourcissent

Le marché de la sécurité montre aussi une pression sur les équipes spécialisées. Les employeurs américains ont publié 235 786 offres en cybersécurité entre janvier et septembre 2026. CyberSN indique que ce total est le plus faible observé pour ces mois sur les quatre années suivies. Dans un autre registre, Let’s Encrypt réduira la durée par défaut de ses certificats TLS à 64 jours le 10 février 2027, contre 90 jours auparavant. Microsoft conseille également de mettre à jour les appareils Windows avant l’expiration de certificats utilisés par Windows Update. Selon la version, les échéances tomberont le 17 mai ou le 19 juin 2027.