– Article en partenariat avec Surfshark –

Qui n’a jamais ressenti un petit frisson en se connectant à un Wi-Fi public ? Entre la parano légitime et le ras-le-bol du pistage permanent, la frontière est mince. Pourtant, la plupart d’entre vous s’en remettent encore souvent au hasard, à défaut de solutions simples… ou abordables. En creusant un peu, Surfshark VPN s’impose aujourd’hui comme LA réponse à cette anxiété numérique, avec une conception faite pour disparaître complètement derrière votre usage quotidien, que vous soyez néophyte ou vieux barbu du net.

Oubliez le cliché du VPN qui rame

C’est terminé l’époque où activer un VPN c’était un peu comme brancher la PlayStation sur une ligne RTC : Surfshark a choisi de miser sur le muscle technique, pas la poudre aux yeux. Non content d’être passé d’un parc de 3200 machines à plus de 4500, les serveurs 100 Gb/s déployés depuis quelques semaines sur leurs hubs principaux ne sont pas qu’un chiffre choc pour faire joli dans les benchmarks. Résultat ? Que vous streamiez en 4K, télétravailliez avec dix onglets ouverts, ou téléchargiez à la volée depuis un aéroport à l’autre bout du monde, le débit tient la route. On oublie presque qu’il y a un VPN en route.

Mieux : la connexion simultanée illimitée et multiplateforme (macOS, iOS, Windows, Android …) met fin aux petites querelles de famille pour savoir qui a droit à sa session sécurisée. Tablette, box TV, ordi pro, téléphone, console… tout le monde roule en Surfshark, dans la foulée, sans coût caché ni micro-gestion.

La vraie force réside dans cette sensation de légèreté. On décolle pour l’étranger ? Netflix, Prime, chaînes nationales, tout redevient disponible comme si vous n’aviez pas quitté le salon. Surfshark gère les géorestrictions comme VPN Messi Lionel Messi évite les défenseurs adverses. Gauche-droite, tir au but (enfin un truc comme ça, vous savez que moi et le foot …). Plus besoin de jongler avec des extensions louches ou de jouer au chat et à la souris avec les catalogues internationaux.

L’appli, agréable à utiliser, ne pollue pas l’écran de pop-ups ou de réglages abracadabrants : trois clics, et la sécurité devient presque invisible. Besoin d’une couche supplémentaire ? Mode camouflage, MultiHop : activable en deux secondes pour ajouter de l’opacité selon le contexte, ou contourner les réseaux d’entreprise/fac/campus un peu trop curieux.

Sécurité de bout en bout… même quand tout part en vrille

Ce qui marque surtout, c’est l’effort pour ne jamais exploiter vos données : politique no-log auditée régulièrement par des organismes indépendants (encore récemment, le dernier audit date de juin), serveurs en RAM pure, fonctionnalité CleanWeb intégré pour bloquer pubs et malwares, etc. Et une volonté affichée de ne rien laisser trainer, surtout pas sous la pression d’on ne sait quelle demande tierce. Même si le serveur plante ou redémarre, aucune donnée ne reste stockée. Lorsque le VPN décroche (coupure Wi-Fi, extinction PC…) le Kill Switch fait le ménage en fermant tous les robinets, impossible de lâcher accidentellement votre IP ou vos habitudes de surf dans la jungle d’internet.

Marre de voir votre boîte mail infectée après chaque inscription banale ? Surfshark propose l’ Alternative ID , un générateur d’identités temporaires pour s’inscrire aux sites en limitant le spam et le pistage. Couplé à CleanWeb, c’est la fin des bannières intrusives, redirections foireuses et tentatives d’hameçonnage. Naviguer sur le web redevient aussi paisible que de lire un bouquin chez soi.

Le prix chute, la sécurité s’universalise

Black Friday ou non, l’offre du moment ne souffre aucune concurrence : moins de 2 € HT par mois sur 2 ans, et trois mois gratuits pour compléter la panoplie (soit 64.48€ TTC pour 27 mois). Pas d’options indispensables planquées dans des add-ons premium, pas de pièges à la reconduction tacite. Au contraire puisque l’abonnement ne fait qu’ajouter des options : ad-blocker, IP rotative, bypasser …

Un VPN ne doit plus être vécu comme une rustine de geek, mais comme le socle totalement transparent de votre vie connectée. Surfshark n’essaie pas de réinventer la roue : il la fait simplement tourner à pleine vitesse, sans bruit, partout, tout le temps et pour une fois, c’est le prix qui s’adapte à la vraie vie, pas l’inverse. Pour ceux qui veulent tenter sans risque, c’est la promesse d’une sécurité totale, même en mobilité ou sur les réseaux publics, et sans jamais rogner sur le débit ni votre compte bancaire.

Et ce qui fait vraiment la différence à mes yeux, c’est la boulimie d’activité du VPN. Rien qu’en 2025, on lui doit les nouvelles technologies Everlink et FastTrack, un bloqueur de contenu web, le lancement de la VPN Trust Initiative, la mise en place de serveurs DNS publics (utilisables par tout le monde, pas seulement les abonnés), des tonnes d’améliorations de fonctionnalités existantes, etc. Plus, comme je le disais plus haut, le passage de ses serveurs du standard 10Gb/s à 100Gb/s. Bref ils bougent tout le temps et ça, c’est plutôt un gage de confiance.

Surfshark VPN  à -87% !

IBM is cutting thousands of jobs as it pivots toward AI and software. The tech giant’s restructuring highlights a major shift in Big Tech’s new priorities.

The post IBM Confirms Layoffs Impacting Up to 5,000 Workers as It Shifts Focus to AI appeared first on TechRepublic.

Je vais vous raconter la meilleure de la semaine… Microsoft vient quand même de passer 5 ans à gueuler sur tous les toits que BinaryFormatter est dangereux (ça servait à sérialiser/desérialiser des objets en binaire ave .NET) et qu’il faut arrêter de l’utiliser… et pourtant, on vient d’apprendre qu’ils continuent secrètement de l’utiliser dans WSUS (Windows Server Update Services), leur système censé sécuriser les mises à jour Windows.

Et bien sûr, ce qui devait arriver, arriva… Une magnifique faille critique dans WSUS vient d’être rendue publique, ce qui met en danger environ 500 000 serveurs WSUS actuellement accessibles via le net.

L’histoire commence en réalité en 2020. A cette date, Microsoft déclare officiellement que BinaryFormatter est dangereux, ce qui ne les empêche pas de se faire poutrer Exchange, Azure DevOps, SharePoint en 2021/2021 justement à cause de ça. Du coup, en 2023, ils annoncent le bannissement total de BinaryFormatter en interne. En 2024, ils effectuent même une mise au rebus complète de .NET 9.

Mais c’était sans compter sur cette jolie CVE-2025-59287 d’octobre 2025 qui exploite à son tour BinaryFormatter dans WSUS !

Un oubli ? Pas si sûr, car Microsoft l’utilisait toujours pour déchiffrer les cookies d’authentification de WSUS, rendant ainsi ce système de mises à jour censé protéger Windows vulnérable. La faille, c’est donc une désérialisation non sécurisée. Un attaquant non authentifié envoie une requête SOAP craftée au endpoint GetCookie de WSUS, avec un cookie AuthorizationCookie contenant un payload malveillant. Et de son côté le serveur déchiffre ce truc avec AES-128-CBC, puis passe le résultat directement à BinaryFormatter pour désérialisation.

Et là, bim bam boum, une magnifique exécution de code arbitraire avec privilèges SYSTEM !

Techniquement, la vulnérabilité touche donc les Windows Server 2012 à 2025 qui ont le rôle WSUS activé. Le score CVSS de cette faille est quand même de 9,8 sur 10 ce qui est fait une faille super critique.

L’exploitation de cette faille débute le 24 octobre soit juste après la publication du patch d’urgence de Microsoft sortie la veille c’est à dire le 23 octobre, pour corriger lui-même un autre patch publié juste avant le 8 octobre. Bref un vrai bordel et il faut croire que les attaquants ont attendu la sortie de ce patch d’urgence pour comprendre comment fonctionnait la faille ( l’exploit est ici ).

De son côté, Google Threat Intelligence traque l’acteur cybercriminel UNC6512 qui a ciblé plusieurs organisations et les chiffres font pas plaisir puisque ce sont environ 100 000 tentatives d’exploitation en 7 jours qui ont eu lieues, et 500 000 serveurs WSUS exposés sur le net sur les ports par défaut (8530 HTTP, 8531 HTTPS).

Microsoft a dû sentir la douille arriver puisqu’ils ont déprécié WSUS en septembre de l’année dernière au profit d’autres solutions comme Intune ou WUfb, soit un an avant la sortie de la CVE. Mais bien sûr, comme l’outil reste dans Windows Server 2025 avec ses 10 ans de support réglementaire, des centaines de milliers d’entreprises l’utilisent encore…

Le chaos était garanti ! Maintenant vous me connaissez, je n’aime pas vous laisser sans solution, alors pour les admins sys qui lisent ça, sachez qu’il existe un script PowerShell baptisé Find-WSUS qui permet de détecter tous les serveurs WSUS configurés dans vos GPO. C’est pratique pour faire l’inventaire et vérifier que tout est patché. Et notez aussi que le patch d’urgence c’est le KB5070883. Et si vous ne pouvez pas patcher immédiatement parce que la vie est injuste, désactivez quand même le rôle WSUS de vos Windows Server, ou bloquez les ports 8530/8531 directement dans votre firewall.

Le vrai problème en fait, c’est que WSUS n’est qu’un symptôme car une grosse partie du code en entreprise est constitué de dette technique. C’est à dire du code “mort” qui continue de tourner car personne n’ose y toucher. Brrr… ça fait peur c’et sûr ! Surtout que même Microsoft n’arrive pas à tuer sa propre création 5 ans après l’annonce de sa mort officielle, donc autant dire qu’on a tous un sérieux problème.

Bref, patchez au plus vite !

Source

– Article en partenariat avec Surfshark –

Utiliser un VPN solide, en 2025, n’est plus l’apanage de l’admin-parano ou du téléchargeur du dimanche. Avec l’explosion de la surveillance commerciale, la multiplication des tentatives de phishing, sans oublier la géographie des contenus online toujours plus segmentée, le VPN relève désormais du kit de survie numérique. Et je ne parle pas d’un kit d’urgence à la con tout pourrit en mode gouvernement français 2025. Surfshark, dans ce paysage saturé, a tiré son épingle du jeu en multipliant les fonctionnalités de protection tout en accélérant la connectivité et en simplifiant l’accès à l’anonymat. Le tout en restant l’un des moins chers du marché.

Les grandes forces de Surfshark VPN

Puisqu’il faut toujours rappeler les bases pour savoir de quoi l’on parle, voici en quelques points :

• Chiffrement de niveau militaire (AES-256, ChaCha20) pour assurer la confidentialité totale : vos données restent incompréhensibles sans la clé, même en cas d’interception.
• Kill Switch : internet coupé automatiquement si le VPN décroche. Pas de fuites accidentelles, on évite d’aller placarder involontairement l’IP ou les habitudes de navigation.
• Mode Camouflage : même votre FAI ne sait pas ce que vous faites avec votre VPN, utile face à la censure et dans certains pays restrictifs.
• Connexion illimitée sur tous les appareils ; pas de limite familière à 5 ou 7 slots, tout le foyer peut se connecter sans surcoût.
• No Log, audit indépendant, CleanWeb, split tunneling, MultiHop, etc. — liste longue comme le bras, aucune collecte d’activité persistante vérifiée par des audits externes ; Surfshark ajoute même des outils pour gérer l’identité en ligne ( Alternative ID ) ou supprimer ses traces sur le web (Incogni).

L’initiative VPN Trust Initiative (VTI) : redéfinir la confiance

Protéger les données, c’est bien ; prouver qu’on le fait, c’est mieux ! Les scandales récurrents dans l’industrie du VPN (fuites, ventes de logs) ont mené à la création de la VPN Trust Initiative. Cette alliance des principaux fournisseurs ( dont Surfshark , NordVPN, ExpressVPN, etc.) vise à poser des normes techniques et éthiques claires autour de 5 piliers : sécurité, confidentialité, pratiques publicitaires, transparence et responsabilité sociale.

Pour les utilisateurs, le label VPN Trust Seal fonctionne comme un repère : il atteste qu’un service respecte une charte, limite les logs à l’indispensable, utilise du chiffrement sérieux, ne fait pas de promesses mensongères et agit dans l’intérêt de l’utilisateur. Cette labellisation favorise la confiance, démystifie l’industrie, et pousse tous les acteurs vers une transparence attendue.

Sous prétexte de protéger la sécurité ou l’ordre public, de nombreux gouvernements pressent pour créer des portes dérobées ou affaiblir le chiffrement — et ça, Surfshark, épaulé par la VTI, s’y oppose frontalement. Pour eux, brider le chiffrement (au profit d’un accès simplifié pour les autorités), c’est ouvrir grand la porte aux cybercriminels, mettre en danger la vie privée de tous, et piétiner la sécurité même des États et entreprises.

La défense de l’AES-256 et du chiffrement de bout en bout n’a donc rien d’une posture marketing, c’est la garantie minimale contre l’interception de masse et le piratage industriel. Sans chiffrement fort, VPN ou pas, nul n’est à l’abri de la compromission de ses données bancaires, médicales ou stratégiques.

Le futur des VPN, entre IA et résistance au quantique

Seulement, le secteur VPN ne s’arrête pas à la stricte confidentialité du surf. Face à l’avènement de l’internet quantique, des IA prédictives, et d’une segmentation toujours plus poussée des usages, Surfshark imagine déjà la suite : chiffrement post-quantique, routage dynamique et IA anti-censure sont sur la feuille de route. L’objectif : un service adaptatif, capable de rester invisible même sous surveillance avancée, tout en conservant le confort utilisateur (débits constants, streaming instantané…). À eux de nous montrer qu’il ne s’agit pas que de buzzwords, mais qu’il y a quelque chose derrière.

On assiste à l’émergence de « super VPN » capables de mixer anonymat, suppression d’empreinte numérique et gestion automatisée d’identités virtuelles. Chez Surfshark, le réseau Nexus (routage dynamique) ou la toute nouvelle  solution FastTrack posent déjà les premiers jalons d’une défense active, plutôt que réactive.

En somme, un VPN n’est plus juste un « tunnel chiffré », mais la pierre angulaire d’une vie numérique digne de ce nom. Et autant qu’elle soit guidée par des standards de confiance stricts, un refus catégorique des compromissions sur le chiffrement, et une vision claire du futur de la confidentialité. VTI, audits, innovations : à l’ère des menaces structurelles et de la surveillance tous azimuts, ce sont ces signaux qu’il faut traquer, bien plus qu’un effet d’annonce ou une promo temporaire.

Et vous pouvez avoir tout ça durant** 27 mois (abo 2 ans + 3 mois gratuits) pour moins de 65€ TTC** ! Presque 2026 et vous pouvez encore disposer d’un VPN parmi les meilleurs pour moins de 2.4€/mois. Avec toujours la garantie satisfait ou remboursé sur 30 jours et la possibilité de payer en cryptomonnaies pour un peu plus d’anonymat (un peu j’ai dit, ne vous emballez pas trop).

Je profite de l’offre Surfshark VPN !

Severe bugs in Dell Storage Manager let hackers bypass authentication and gain remote access. Patch now to secure enterprise storage systems.

The post Critical Dell Storage Bugs Open Door to Remote Attacks appeared first on TechRepublic.

Vous vous êtes déjà demandé d’où venaient tous ces SMS bidons qui vous disent “Bonjour c’est le coursier…” ou vous demande “Est ce que vous êtes chez vous " ? En gros, ces messages de smishing (phishing par SMS) qui polluent nos téléphones tous les jours ?

Et bien figurez-vous que dans beaucoup de cas, ils viennent de petits routeurs cellulaires industriels planqués dans des placards à balais. Ce sont des trucs conçus à la base pour connecter des feux de circulation ou des compteurs électriques à Internet, qui sont détournés par des escrocs pour balancer des milliards de SMS frauduleux.

Selon Sekoia , la boîte de cybersécurité française qui a mené l’enquête, c’est en analysant des traces réseau suspectes dans leurs honeypots qu’ils sont tombés sur ce système. En creusant un peu, ils ont découvert comme ça plus de 18 000 routeurs cellulaires Milesight accessibles sur Internet, dont au moins 572 d’entre eux qui permettaient à n’importe qui de se connecter à leurs interfaces d’admin sans authentification. Bref, la porte grande ouverte…

Ces routeurs, fabriqués par Milesight IoT , c’est du matériel industriel costaud. Ce sont des boîtiers 3G/4G/5G qui servent normalement à connecter des équipements à distance, genre des capteurs ou des systèmes de contrôle. Ils sont équipés de cartes SIM et peuvent être contrôlés par SMS, scripts Python ou via interfaces web. Du coup, pour un attaquant, c’est le jackpot car une fois qu’il met la main dessus, il peut envoyer des SMS en masse sans se faire choper.

Les chercheurs de Sekoia ont alors envoyé des requêtes aux API non protégées de ces routeurs et ont récupéré le contenu des boîtes de réception et d’envoi de SMS. Et là, surprise, ils ont trouvé des campagnes de smishing qui dataient d’octobre 2023. Les messages visaient principalement des numéros en Suède, en Belgique et en Italie. Les textos envoyés demandaient aux gens de se connecter à des services gouvernementaux bidon pour “vérifier leur identité”, avec des liens qui menaient vers des sites frauduleux récupérant les identifiants.

Rien qu’en analysant les SMS, on dénombre de 42 044 numéros suédois uniques et 31 353 numéros italiens ciblés dans des campagnes de masse lancées simultanément. La Belgique serait même le pays le plus touché, avec plusieurs campagnes observées entre novembre 2022 et juillet 2025.

Alors comment ces routeurs se sont-ils retrouvés compromis ?

Et bien c’est pas encore totalement clair. Une première piste, c’est la CVE-2023-43261 , une vulnérabilité corrigée en 2023 avec la version 35.3.0.7 du firmware. En gros, il s’agit d’une mauvaise config qui rendait les fichiers de stockage du routeur publiquement accessibles via l’interface web. Pire encore, certains de ces fichiers contenaient les mots de passe chiffrés des comptes admin, mais aussi la clé de chiffrement et le vecteur d’initialisation pour les déchiffrer. Donc autant dire que c’était cadeau pour les cybercriminels.

Selon le chercheur Bipin Jitiya , qui a découvert cette faille, un attaquant pouvait récupérer le mot de passe en clair et prendre le contrôle total du routeur. À noter que la majorité des 572 routeurs identifiés comme non sécurisés tournaient avec des versions de firmware 32 ou antérieures, donc ultra-vulnérables.

Mais attention, l’histoire se complique. Les chercheurs de Sekoia ont trouvé des incohérences avec cette théorie. Par exemple, un cookie d’authentification trouvé sur un routeur piraté ne pouvait pas être déchiffré avec la clé et le vecteur d’initialisation décrits dans l’article de Jitiya. Et puis, certains routeurs utilisés abusivement dans les campagnes de smishing tournaient avec des versions de firmware qui n’étaient pas sensibles à la CVE-2023-43261.

Du coup, il y a probablement d’autres méthodes d’exploitation en jeu.

Les sites de phishing eux-mêmes étaient assez bien foutus. Ils utilisaient du JavaScript pour ne délivrer du contenu malveillant que si vous accédiez au site depuis un téléphone mobile. Un autre site désactivait carrément le clic droit et les outils de débogage du navigateur. Bref, des techniques pour compliquer l’analyse et le reverse engineering.

Certains de ces sites loggaient aussi les interactions des visiteurs via un bot Telegram appelé “GroozaBot”. Ce bot serait opéré par un acteur nommé “Gro_oza”, qui semble parler arabe et français. De plus, les artefacts JavaScript trouvés font référence à “Grooza”, ce qui suggère une continuité entre l’infrastructure, les outils et l’identité de l’opérateur.

Mais surtout, ce qui est dingue avec cette histoire, c’est que c’est un vecteur d’attaque relativement simple mais très efficace. Ces routeurs permettent en effet une distribution décentralisée de SMS dans plein de pays différents, ce qui complique énormément la détection et la suppression des campagnes. Les chercheurs estiment qu’il est d’ailleurs très probable que d’autres équipements similaires soient déjà exploités dans des campagnes en cours ou à venir.

Bref, on n’est pas vraiment plus avancé, mais voilà, la prochaine fois que vous recevrez un SMS chelou qui vous demande de confirmer vos infos, pensez à ces petits boîtiers oubliés dans des placards techniques, qui bossent tranquillement pour arnaquer des milliers de personnes chaque jour.

Et si vous gérez ce genre de matériel dans votre job, pensez à mettre à jour le firmware et à sécuriser les interfaces, parce que là, visiblement c’est vraiment trop facile pour les pirates…

Source

Alors celle-là, je ne l’avais pas vue venir… Vous utilisez BitLocker depuis des années pour protéger vos données sensibles, vous dormez sur vos deux oreilles en pensant que votre laptop est un vrai coffre-fort… et puis paf, on découvre qu’il y avait une faille MONUMENTALE dans TOUS les boot managers de Windows créés entre 2005 et 2022 ! Et oui, la vulnérabilité affecte même des boot managers sortis un an avant que BitLocker n’existe !

L’équipe de SySS a analysé dernièrement cette vulnérabilité baptisée BitPixie (CVE-2023-21563) et comme j’ai trouvé leur article intéressant, je me permet de vous le partager. En fait, le bug dormait tranquillement dans le Windows Boot Manager depuis octobre 2005, et personne ne s’en était rendu compte. BitLocker est ensuite arrivé en 2006 avec Windows Vista, et a donc été bâti littéralement sur des fondations déjà pourries.

L’attaque paraît simple en surface… un câble réseau, un clavier et environ 5 minutes si tout est préparé. De plus, son exploitation est totalement non-invasive et ne laisse aucune trace permanente sur l’appareil. Mais attention, derrière cette simplicité apparente se cache quand même pas mal de technique… Il faut créer un fichier BCD personnalisé (Boot Configuration Data), configurer un serveur TFTP/DHCP, et dans certains cas exploiter une faille Linux (CVE-2024-1086) pour contourner les protections du kernel. Donc bon, c’est pas non plus à la portée du premier venu, mais ça reste faisable pour quelqu’un de motivé.

Concrètement, voilà comment ça marche. L’attaquant modifie le fichier BCD pour activer le démarrage réseau, puis effectue ce qu’on appelle un “PXE soft reboot” en utilisant un ancien boot manager non patché (celui de 2011 fait très bien l’affaire). Le problème, c’est que pendant ce redémarrage PXE, le système oublie complètement de nettoyer la mémoire où est stockée la clé maître du volume BitLocker (VMK pour Volume Master Key). Du coup, on peut tranquillement démarrer sur un Linux, scanner la mémoire, récupérer la clé et déverrouiller le disque. C’est aussi simple que ça…

Faut savoir que le TPM (cette puce de sécurité dans votre ordi) utilise des trucs appelés PCR (Platform Configuration Registers) pour vérifier que personne n’a trafiqué le processus de démarrage. Normalement, si quelque chose change, pouf, le TPM refuse de donner la clé BitLocker. Sauf que l’attaque BitPixie arrive à contourner ça en exploitant le fait que le redémarrage PXE ne réinitialise pas correctement la mémoire.

Même les systèmes configurés avec l’authentification pré-démarrage (PBA) et protection par code PIN restent partiellement vulnérables. Alors attention, nuance importante ici : si vous avez mis un code PIN et qu’un voleur pique votre laptop, il sera bien embêté car l’attaque ne marchera pas sans le PIN. Par contre, si l’attaquant connaît le PIN (genre un employé mécontent ou quelqu’un qui vous a vu le taper), il peut toujours escalader ses privilèges locaux via des techniques de manipulation mémoire. Donc votre PIN à 4 chiffres est une protection, oui, mais pas la muraille de Chine face à un insider malveillant avec BitPixie.

D’ailleurs, certains systèmes résistent mieux que d’autres. Plusieurs ordinateurs portables HP, par exemple, ne permettent pas de démarrer des boot managers tiers, ce qui bloque l’attaque. Mais bon, on peut pas vraiment compter là-dessus comme stratégie de sécurité…

C’est le chercheur Rairii qui a découvert cette vulnérabilité en août 2022, mais ce n’est qu’en février 2023 que Microsoft l’a publiquement divulguée. Entre temps, ils ont sorti le patch KB5025885 en mai 2023. Ce patch remplace l’ancien certificat Microsoft de 2011 par le nouveau certificat Windows UEFI CA 2023, et il ajoute l’ancien certificat à la liste de révocation. Comme ça, impossible de faire une attaque par downgrade avec un vieux boot manager. Sauf que… à cause de certaines limitations dans le standard Secure Boot, la vulnérabilité reste exploitable aujourd’hui sur les systèmes qui n’ont pas appliqué ce patch.

Ce qui est sûr c’est que Microsoft savait pertinemment que leurs certificats allaient expirer. D’après le support Microsoft , les trois certificats Microsoft (Microsoft Corporation KEK CA 2011, Microsoft Windows Production PCA 2011, et Microsoft UEFI CA 2011) expirent tous en juin 2026. C’est cette expiration qui va enfin forcer tout le monde à mettre à jour. Il aura donc fallu attendre une contrainte administrative pour que tout le monde corrige une faille critique vieille de presque 20 ans.

Compass Security a même publié un PoC (Proof of Concept) montrant comment exploiter BitPixie avec une édition WinPE personnalisée.

Microsoft is rolling out July update for Xbox which comes with several new features and performance improvements. This update is now rolling out across Xbox One, Xbox Series X|S, and PC. Here’s a short overview of the Xbox July 2025 update, with more details available at Xbox Wire: Microsoft is extending its ‘Stream Your Own Game’ […]

Microsoft has released Windows 11 Insider Preview Build 27902 to the Canary Channel. This new build comes with the fixes, known issues and changes and improvements. Checkout the full changelog below. Changelog: Changes and Improvements [General] This update includes a small set of general improvements and fixes that improve the overall experience for Insiders running this […]

Microsoft has released Windows 11 Insider Preview Build 26200.5702 to the Dev Channel. This new build comes with New Copilot+ PC experiences where you can “describe image” action in Click to Do to get detailed descriptions of images, charts and graphs – useful to get a quick overview of the visual content. The new build also […]

Si comme moi, vous avez une imprimante Brother qui traîne dans votre bureau, alors accrochez-vous bien à vos cartouches d’encre, parce que Rapid7 vient de balancer une bombe. Pas moins de 689 modèles d’imprimantes Brother sont touchés par 8 vulnérabilités dont certaines sont carrément flippantes. Et la plus critique d’entre elles permet à n’importe quel pirate de générer le mot de passe administrateur de votre imprimante sans même avoir besoin de s’authentifier !

Après avoir secoué Google avec leur moteur de recherche IA qui cartonne (près de 2% du trafic mondial de recherche, quand même), Perplexity débarque maintenant avec Comet, un navigateur qui pourrait bien mettre tout le monde d’accord. En plus, la beta Windows vient tout juste d’être lancée pour quelques chanceux testeurs !

Durant des années, on a tous galéré avec nos navigateurs, à jongler entre 50 onglets ouverts, à chercher ce mail important auquel on a jamais répondu, ou à comparer des prix sur 15 sites différents. Eh bien figurez-vous que les mecs de Perplexity se sont dit “et si on foutait une IA directement dans le navigateur pour que ça fasse tout ça tout seul ?”.

Bon, je sais ce que vous allez me dire : “PNG ? Sérieux Korben ? On est en 2025 et tu nous parles d’un format d’image qui date de l’époque où on écoutait encore Britney Spears sur nos lecteurs CD ?” Eh bah figurez-vous que ce bon vieux format PNG qui dormait tranquillement depuis 20 ans vient de se réveiller, et il a visiblement pris des vitamines pendant son sommeil !

Bon, je vais faire court parce que je sais que vous êtes là pour une raison : ChatGPT qui refresh en boucle et ça vous fait péter un câble !! A juste titre !

L’URL qui alterne entre chatgpt.com et chatgpt.com/?refresh_account=true, la page qui se recharge toutes les 2 secondes… Je connais, ça m’est arrivé hier et la bonne nouvelle c’est que j’ai trouvé une solution ultra simple qui marche dans 99,99 % des cas.

Une question que je me pose avec Linux, c’est quand est-ce qu’on va arrêter de découvrir des failles qui transforment n’importe quel utilisateur lambda en super master absolu du système ?? Eh bien la réponse est surement “Pas aujourd’hui !!” parce que Qualys vient de sortir 2 CVE qui mettent à poil toutes les principales distros.

Je vous avoue que quand j’ai lu le rapport de Qualys TRU, j’ai d’abord cru à une blague. 2 lignes de code, 3 secondes d’exécution, et hop, vous voilà root sur Ubuntu, Debian, Fedora et openSUSE. Les CVE-2025-6018 et CVE-2025-6019, qui viennent d’être découvertes, c’est pas juste 2 failles de plus dans la longue liste des vulnérabilités Linux. C’est une combinaison dévastatrice qui exploite des services tellement basiques qu’ils tournent sur pratiquement toutes les installations Linux par défaut. Et ça concerne UDisks (le daemon de gestion du stockage) et PAM (les modules d’authentification), donc autant dire des composants qu’on trouve partout.

Vous savez ce qui est plus fort qu’un hacker qui vous demande de cliquer sur un lien louche ? Un hacker qui n’a même pas besoin que vous cliquiez !

EchoLeak, la nouvelle vulnérabilité de Microsoft 365 Copilot, prouve qu’en matière d’IA, on n’a pas fini de découvrir des trucs qui font froid dans le dos, du genre notre assistant virtuel préféré qui peut devenir une balance sans même qu’on s’en rende compte.

Si vous pensiez que Linux c’était compliqué, attendez de voir ce que les développeurs nous ont concocté pour 2025. Entre les systèmes “immutables” qui changent tout le temps (je vous explique juste après) et les distros spécialisées gaming qui font tourner Cyberpunk mieux que Windows, on n’est pas sortis de l’auberge ! Mais rassurez-vous, c’est pour le meilleur !

Terminé le temps où on se contentait d’Ubuntu avec un nouveau fond d’écran d’animal chelou, maintenant, les nouvelles distributions qui sortent sont ultra spécialisées et n’ont d’autre objectif que de bien faire leur taf. Et la plupart adoptent même une approche révolutionnaire : les mises à jour atomiques 💥. Concrètement, ça veut dire que vous pouvez tester une nouvelle version sans risquer de planter votre installation et si ça foire (parce que ça foire toujours), un redémarrage et vous revoilà sur la version précédente. C’est exactement ce dont je rêvais depuis des années pour pouvoir expérimenter sans stress.

Deux nouvelles vulnérabilités découvertes dans SecureBoot prouvent une fois de plus que, même les meilleurs systèmes de sécurité peuvent avoir des failles signées par… Microsoft en personne. Moi, j’dis standing ovation !!!

CVE-2025-3052 et CVE-2025-47827 vont faire mal à la tête des admins système durant les prochains mois car ces failles exploitent des outils légitimement signés par Microsoft pour désactiver les protections que Microsoft a elle-même conçues. C’est comme si le serrurier qui pose votre serrure gardait un double de vos clés dans sa poche pour revenir taper dans vos Délichocs quand vous n’êtes pas là.

At Expo 2025 Osaka, among the eight Signature Pavilions redefining the architectural dialogue of the future, null² emerges as a standout vision. Designed by Tokyo- and Taipei-based studio NOIZ in collaboration with media artist and researcher Yoichi Ochiai, the pavilion is more than just a building, it’s a living experiment in hybrid space-making, where the boundaries between physical and digital, static and dynamic, dissolve into a shimmering architectural interspace.

Conceived as a speculative model for future architecture, null² occupies a unique conceptual realm: it’s neither fully real nor entirely virtual, but something in between, a meta-environment that interacts with its users and surroundings. Its form is built from voxel-like modules, cubic units of 2, 4, or 8 meters, arranged to create a flowing sequence of exhibition, support, and rest spaces. These modules vary from rigid geometric blocks to more warped, organic shapes, each clad in a newly developed mirrored membrane that shifts with the wind and reflects the changing world around it.

Designer: NOIZ

This tensile membrane does more than just mirror its environment. Designed to be reactive, it shimmers and moves in response to environmental forces, creating a visual rhythm that gives the structure a sense of breath. In doing so, it transforms the building’s presence from a static object to a living system, one that visually and metaphorically blurs into its context.

From its very conception, null² has been designed with agility in mind. In response to the tight timeline and uncertain future beyond Expo 2025, NOIZ developed a modular framework that prioritizes speed, flexibility, and reuse. The structure can be rapidly deployed, easily dismantled, and potentially relocated. The innovative membrane not only enhances the structure’s aesthetics but also offers solar reflectance and thermal insulation, features that hint at sustainable applications beyond the Expo, such as retrofitting existing buildings.

Inside the pavilion, visitors are drawn into a multisensory exhibition experience built around the concept of digital twins. These avatars reflect and respond to the user’s presence, making the act of visiting itself a kind of co-creation. Within select modules, robotic arms and embedded woofers interact with the mirrored surfaces through movement and sound, producing an environment that feels both tactile and intelligent. The building, in this way, becomes a responsive interface, a medium for communication between the visitor and the space.

But null² is not confined to its physical form. It extends into the digital, offering a participatory platform where remote users can engage with the pavilion through robotic avatars or augment their on-site experience using AR overlays. Visitors are encouraged to digitally reinterpret the structure, creating personalized spatial edits and contributing to an evolving archive of user-generated designs. This participatory approach redefines architectural authorship, replacing the singular vision of the designer with a collective, crowd-sourced process.

The post Expo 2025’s Most Futuristic Pavilion Feels Alive and Responds to Your Presence first appeared on Yanko Design.