Histoire en vedette

Google publie une mise à jour critique de Chrome pour l’exploit CVE-2025-6558 actif dans la nature

Google a publié une mise à jour critique pour Chrome qui corrige six vulnérabilités, dont la CVE-2025-6558, un zero-day de haute sévérité exploité dans la nature. La faille, classée CVSS 8.8, implique une validation insuffisante dans les composants ANGLE et GPU, ce qui permet d’échapper à la sandbox par le biais de pages HTML élaborées. Ce type de vulnérabilité permet aux attaquants de contourner les barrières de sécurité de Chrome simplement en attirant un utilisateur sur un site malveillant.

Analyse SOC : Ce zero-day critique permet de s’échapper de la sandbox via un contenu web malveillant sans interaction de l’utilisateur. Les entreprises doivent mettre en priorité à jour Chrome 138.0.7204.157+ et surveiller l’activité anormale du GPU. Avec cinq zero-day Chrome déjà en 2025, les menaces basées sur les navigateurs s’accélèrent, exigeant une plus grande surveillance des points finaux et une discipline plus stricte en matière de correctifs.

Autres histoires

La faille Google Gemini détourne les résumés d’e-mails à des fins d’hameçonnage

Une nouvelle menace dans Google Gemini for Workspace permet aux attaquants de manipuler les résumés de courriels générés par l’IA à l’aide d’injections d’invites cachées. En intégrant des commandes invisibles dans le contenu HTML d’un courriel, les attaquants peuvent tromper Gemini en résumant des instructions malveillantes en tant que contenu légitime, guidant ainsi les utilisateurs vers des sites de phishing sans utiliser de liens ou de pièces jointes évidents.

Analyse SOC : Ce vecteur d’attaque exploite la confiance dans les outils d’IA. Les organisations devraient limiter l’utilisation de Gemini pour résumer les courriels, en particulier dans les contextes de haute sécurité. Les campagnes d’Awareness doivent souligner que même les résumés générés par l’IA peuvent être manipulés, et que les contenus sensibles doivent être examinés manuellement.

Cisco révèle une faille « 10 » dans l’ISE et l’ISE-PIC

Cisco a révélé CVE-2025-20337, une vulnérabilité CVSS 10.0 dans Identity Services Engine (ISE) et ISE-PIC. Elle permet à des attaquants distants non authentifiés d’exécuter des commandes du système d’exploitation au niveau racine via des requêtes API malveillantes. Elle vient s’ajouter à deux autres failles critiques (CVE-2025-20281 et -20282) divulguées récemment, toutes dues à une mauvaise validation des entrées.

Analyse SOC : Cette vulnérabilité CVSS 10 nécessite une action immédiate. Apportez un correctif à tous les systèmes Cisco ISE concernés avec le correctif 7 de la version 3.3 ou le correctif 2 de la version 3.4. Supposez une compromission potentielle et vérifiez les journaux d’accès pour détecter les anomalies. Les infrastructures critiques ne devraient jamais s’appuyer uniquement sur des défenses périmétriques – l’activité de l’API doit être étroitement surveillée.

Attention aux SMS suspects provenant des péages français

Des cybercriminels exploitent le nouveau système français de péage sans barrière en envoyant des SMS de phishing demandant de faux paiements d’environ 6,80 euros. Les messages imitent les communications officielles des péages et dirigent les utilisateurs vers des sites web frauduleux, les incitant à saisir des informations de paiement sous de faux prétextes.

Analyse SOC : Cette campagne exploite le manque de familiarité des utilisateurs avec le nouveau système de péage français. Le montant peu élevé rend l’escroquerie plus crédible. Sensibilisez les utilisateurs à vérifier les URL et à ne pas donner suite à des demandes de paiement inattendues par SMS. Les messages suspects d’hameçonnage peuvent être signalés à :