Puisqu’il ne reste plus de bugs (connus) dans Windows 11, les ingénieurs de Microsoft ont tout loisir de boucher les vulnérabilités dans leurs différents logiciels. Ils ne s’en privent pas : à l’échelle du vaste catalogue produit de l’éditeur, le dernier patch tuesday contient la bagatelle de 165 correctifs de sécurité. La volumétrie pour avril surpasse largement les mois précédents : Microsoft publiait 97 avis en mars, 61 en février, et 124 en janvier.
On dénombre dans le lot 8 vulnérabilités critiques : 7 permettent d’exécuter du code à distance, 1 est un déni de service, déchiffre Bleeping Computer. Le lot comprend aussi deux correctifs pour des failles « zero-day » : CVE-2026-32201 a déjà été exploitée dans des attaques, CVE-2026-33825 avait été rendue publique avant le correctif.
La première zero-day, exploitée activement, concerne SharePoint Server, elle permet à un malandrin de se faire passer pour quelqu’un d’autre et d’accéder à des informations sensibles. La seconde, qui touche Microsoft Defender, permet une élévation de privilèges jusqu’au niveau le plus élevé sur Windows (SYSTEM). Le correctif est déployé automatiquement via une mise à jour de la plateforme de sécurité.
Plusieurs failles d’exécution de code à distance touchant Office (en particulier Word et Excel) sont également au menu de cette livraison. Les pirates peuvent exploiter ces failles dès que leurs victimes ouvrent des fichiers malveillants comme des pièces jointes. Il est (évidemment) fortement recommandé d’appliquer ces mises à jour sans tarder.
L’application de vérification de l’âge européenne est « techniquement prête ». À la veille d’une réunion du groupe spécial sur la sécurité des enfants en ligne, Ursula von der Leyen vient d’annoncer que cette app sera bientôt accessible aux citoyens.
« Cette application permettra de prouver son âge lors de l’accès à des plateformes en ligne, de la même manière qu’un commerce demande une pièce d’identité pour l’achat d’alcool », décrit la présidente de la Commission européenne. L’app fonctionne sur smartphone, tablette et ordinateur, et le mode d’emploi se veut aussi simple que possible.
Après avoir fourni « un passeport ou une carte d’identité » (sans plus de précisions à ce stade), l’application transmettra aux services en ligne compatibles la preuve du respect de l’âge minimum de l’utilisateur, « sans divulguer d’autres informations personnelles ». Dans les faits, le processus de vérification passe par un tiers de confiance chargé d’émettre cette fameuse preuve.
Le système est « totalement anonyme et ne permet pas de suivre les utilisateurs », assure la dirigeante. Le code source des versions iOS et Android est disponible sur GitHub, il est open-source avec une licence EUPL version 1.2. Le développement a été confié aux bons soins d’un consortium, T-Scy, composé des éditeurs suédois Scytales et allemand T-Systems International. Ils fournissent aux plateformes la brique nécessaire au support de la solution européenne.
L’initiative a été lancée l’été dernier avec la publication des lignes directrices. Plusieurs États membres avaient alors annoncé tester le prototype européen pour la version nationale de leurs propres apps, dont la France. « Il n’y a donc plus d’excuse : l’Europe propose un outil gratuit et simple pour protéger les enfants contre les contenus nuisibles et illégaux », indique Ursula von der Leyen.
Apple l’affirme : l’App Store est « l’endroit le plus sûr pour trouver les apps que vous aimez » grâce aux équipes chargées d’examiner de près les applications soumises par les développeurs du monde entier. Un message de sécurité repris aussi par Google pour le Play Store, qui est régulièrement mis à mal par la validation d’escroqueries dans les boutiques officielles.
Coup sur coup, deux exemples montrent que l’App Store n’est pas cette plateforme « sûre et fiable » si souvent vantée par Apple. Deux applications malveillantes sont passées dans les trous de la raquette. La première est une app macOS baptisée Ledger Live, distribuée sur le Mac App Store. Elle singeait celle de Ledger, un wallet de cryptos bien connu. Une fois téléchargée et installée, « Ledger Live » réclamait des utilisateurs leurs phrases de récupération (seed).
L’arnaque crypto d’un wallet validé par l’App Store
En possession de cette information, les attaquants obtenaient un accès complet aux portefeuilles de leurs victimes ; ils pouvaient par la suite facilement transférer les actifs numériques vers des adresses externes. Ces fonds étaient redirigés vers plus de 150 adresses de dépôt liées à KuCoin, une plateforme d’échange centralisée qui a temporairement gelé les comptes concernés (jusqu’au 20 avril), le temps que les autorités se saisissent de l’affaire.
KuCoin n’est a priori pas impliquée dans l’arnaque en elle-même, néanmoins elle a déjà été épinglée par le passé pour des manquements liés à la lutte contre le blanchiment. C’est pourquoi son rôle ici attire l’attention. Selon le chercheur en sécurité spécialisé dans la blockchain Zachary Wolk, alias ZachXBT, l’app frauduleuse a volé pour 9,5 millions de dollars auprès d’une cinquantaine d’utilisateurs.
Cette fausse application est éditée par un compte qui n’est bien sûr pas du tout associé à Ledger, dont on trouvera l’app légitime pour Mac directement sur son site web. Une application pour iPhone est aussi disponible sur l’App Store, à cette adresse. Après des signalements, Apple a supprimé l’application de sa boutique.
Mise à jour 17/04 — Charles Guillemet, le directeur technique de Ledger, rappelle que l’entreprise ne demandera « jamais » les 24 mots de la phrase de récupération. « Si une personne ou une application vous les réclame, partez du principe qu’il y a un problème », explique-t-il à Next. Pour lui, la seule solution réellement sécurisée reste de stocker ses clés privés dans un wallet physique car « vous ne pouvez pas faire confiance à l’environnement software qui vous entoure, ni à votre navigateur, ni à votre app store, ni même à votre ordinateur. Les attaquants exploitent toutes les opportunités, y compris via des plateformes de distribution officielles », ce qui est le cas ici. Il ne faut en tout cas « jamais saisir sa phrase de récupération dans une application ou sur un site web ».
Autre exemple de la difficulté, pour Apple mais aussi pour Google, d’assurer la sûreté des utilisateurs de leurs boutiques : l’app Freecash. Celle-ci a atteint le sommet du classement des applications gratuites de l’App Store aux États-Unis au mois de janvier, bien aidée par des publicités sur TikTok promettant aux utilisateurs de recevoir de l’argent simplement en consultant le flux vidéo du réseau social.
Ces réclames laissaient entendre que les utilisateurs seraient embauchés directement par TikTok pour regarder des vidéos. Comme l’explique Malwarebytes, TikTok a supprimé plusieurs de ces annonces car elles enfreignaient ses règles en matière de représentation financière. Mais le mal est fait : des utilisateurs ont téléchargé Freecash. Et plutôt que d’être rémunérés pour scroller sans fin dans TikTok, ils étaient poussés à installer des jeux mobiles en échange d’une somme d’argent.
Le modèle de cette app est redoutable : diriger les utilisateurs vers des jeux où ils sont susceptibles de dépenser de l’argent, de voir des publicités et d’alimenter les bases de données avec des informations très sensibles. Sans compter que chaque jeu installé peut lui aussi collecter des données personnelles. Des listes d’utilisateurs vulnérables aux escroqueries ou à des comportements compulsifs en ligne s’échangeraient entre courtiers de données ; ces profils peuvent être encore affinés et ciblés grâce à ce genre d’application.
Capture d’écran du site de Freecash.
Suite à un signalement de TechCrunch, Apple et Google ont supprimé Freecash de leurs boutiques respectives. Almedia, l’éditeur allemand de l’application, dément les accusations selon lesquelles il gonflerait artificiellement le trafic vers sa plateforme ou aurait recours à des techniques de marketing trompeuses. Et en veut pour preuve le fait que les deux contrôleurs d’accès validaient régulièrement les mises à jour de l’app…
Mais la présence de Freecash sur l’App Store est elle-même suspecte. L’application a en effet connu un parcours mouvementé : une première version, publiée à mars 2024 par Almedia, a été retirée deux mois plus tard. Quelques mois plus tard, l’app Rewards développée par 256 Rewards a été rebaptisée Freecash, sans qu’on sache si Almedia a acquis le compte développeur associé. C’est cette seconde version qui a grimpé dans les classements de la boutique.
Utiliser un autre compte développeur pour contourner un bannissement est une pratique courante, mais contraire aux règles de l’App Store. Tout comme les techniques dites de « bait-and-switch », visant à attirer l’utilisateur avec une offre avant de lui en proposer une autre.
En distribuant avec parcimonie les accès pour Mythos, Anthropic a mis les régulateurs européens à l’écart. Sur le Vieux continent, seul le Royaume-Uni a obtenu un sésame. L’analyse qui en découle souligne les performances du nouveau grand modèle d’Anthropic, mais elle en pondère aussi le potentiel dévastateur utilisé par l’entreprise dans sa communication.
Mythos est le nouveau grand modèle de langage d’Anthropic, un LLM soi-disant si puissant que l’entreprise a décidé de le contraindre à un domaine spécifique, celui de la cybersécurité. Et histoire d’entretenir un sentiment d’exclusivité au motif de ne pas tenter des hackers mal intentionnés, la distribution de Mythos est limitée à une quarantaine d’organisations et une dizaine d’entreprises, toutes américaines.
Les participants au projet Glasswing sont censés laisser le LLM examiner le code de leurs logiciels afin de détecter et de corriger les bugs, et de boucher les vulnérabilités. Les autorités et les gouvernements, dont les infrastructures informatiques auraient elles aussi bien besoin d’un sérieux ménage, n’ont pas été conviés à la fête.
La courte liste des invités d’Anthropic
Lors de l’annonce du projet, Anthropic indiquait avoir engagé des discussions avec des responsables du gouvernement américain : « la sécurisation des infrastructures critiques constitue une priorité majeure de sécurité nationale pour les pays démocratiques ». Depuis, on a appris que l’entreprise avait présenté Mythos à l’administration Trump ; à tel point que les banques US ont été encouragées à utiliser Mythos pour sécuriser leurs systèmes informatiques. JPMorgan Chase est le seul établissement partenaire du projet, pour le moment.
Malgré les tensions, il existe au moins une sorte de dialogue soutenu entre Anthropic et les autorités américaines. En Europe, c’est le flou le plus total. Sur les 8 agences de cybersécurité européennes interrogées par Politico, seule la représentante allemande (BSI) a indiqué avoir entamé des discussions avec la start-up IA au sujet de Mythos. Mais l’agence fédérale n’a pas pu tester le modèle.
Le NCSC-NL, l’agence nationale de cybersécurité des Pays-Bas, a indiqué de son côté que l’impact réel des vulnérabilités identifiées était difficile à vérifier en l’absence de détails techniques. Une manière de dire que l’agence ne sait pas grand chose de Mythos… Plusieurs institutions gouvernementales européennes ont cependant laissé entendre qu’elles avaient un accès au LLM, mais fragmentaire.
« Mythos nous donne un avant-goût de l’importance que va prendre l’accès aux capacités d’IA de pointe dans les années à venir », explique à nos confrères Daniel Privitera, de l’ONG allemande KIRA qui promeut une IA éthique, ouverte et bénéfique pour la société. « L’Europe ne dispose actuellement d’aucun plan pour garantir cet accès. »
Malgré l’arsenal réglementaire européen, en particulier l’AI Act, l’Union reste manifestement dépendante du bon vouloir des acteurs américains pour accéder aux technologies les plus sensibles.
Le Royaume-Uni limite la portée des promesses associées à Mythos
Contrairement aux voisins européens, le Royaume-Uni a lui obtenu un sauf-conduit pour Mythos. L’AISI, organisme britannique dédié à la sécurité de l’IA, a publié lundi 13 avril une première évaluation indépendante des capacités cyber offensives du modèle. Il y a une progression nette par rapport aux générations précédentes de LLM : Mythos est ainsi capable de mener des attaques en plusieurs étapes sur des réseaux vulnérables, affirme l’institut.
Mythos atteint ainsi 73 % de réussite sur des tâches « capture-the-flag » niveau expert. Avant 2025, aucun modèle ne pouvait compléter ces tâches. L’étude va plus loin avec une attaque en 32 étapes (« The Last Ones »), qui représente environ 20 heures de travail humain. Mythos est le premier modèle à réussir l’attaque de bout en bout. Certes, il n’a réussi que 3 tentatives sur 10, mais tout de même. En moyenne, le LLM réalise 22 étapes sur 32. Claude Opus 4.6, le précédent modèle le plus performant, complète une moyenne de 16 étapes.
Du côté du verre à moitié vide, l’AISI relève que Mythos échoue dans certains environnements, notamment industriels, et il peut rester bloqué sur des étapes techniques. Les chercheurs rappellent aussi que les environnements de test sont simplifiés par rapport à la réalité. Ils ne prennent pas en compte les systèmes de défense actifs, les outils de détection ni les réactions humaines en temps réel (les humains peuvent encore servir à quelque chose, ouf !).
En revanche, Mythos est bien en mesure de compromettre des systèmes mal protégés de manière autonome, en sachant que les capacités du modèle devraient logiquement continuer à progresser.
C’est la raison pour laquelle Anthropic insiste sur la nécessité de travailler avec les pouvoirs publics, et plaide pour une coopération plus large entre industriels et institutions, pour mieux encadrer les usages de ces outils. L’entreprise évoque même la création d’un organisme indépendant capable de superviser ces travaux. Un point de vue que l’on pourrait trouver paradoxal, compte tenu de la façon dont les acteurs de la tech luttent contre les tentatives d’encadrement réglementaire du développement de l’IA, notamment en Europe. La même ambigüité se retrouve d’ailleurs dans les dernières communications d’OpenAI et de Sam Altman sur le sujet, comme s’il fallait à la fois impressionner et rassurer quant à l’avenir de l’IA générative…
Depuis 2023 et le lancement de la 3e génération de Surface Hub, Microsoft était restée bien silencieuse sur cette gamme de grands écrans tactiles de salles de réunion. On risque bien d’en entendre encore moins parler : selon Windows Central, le constructeur a tout simplement cessé de la produire.
Les éventuels clients qui attendaient une génération 4 pour passer à la caisse en seront quitte pour trouver une autre solution, rien ne serait en effet prévu du côté de Redmond pour la suite. La lignée de cette famille d’appareils, lancée en 2015, s’éteint donc sans fleur ni couronne. Ceux qui auraient tout de même l’intention de s’équiper peuvent toujours se renseigner auprès des revendeurs tiers ou fouiner dans la boutique en ligne de Microsoft, où des cartons peuvent encore traîner.
Les Surface Hub sont (étaient ?) des produits destinés aux entreprises, conçus pour « favoriser le travail d’équipe » autour d’un écran 4K de 50 ou de 85 pouces sous Windows 10 et 11. La 3e génération apportait un fonctionnement en portrait ou en paysage et des performances en hausse. Les écrans intègrent une baie de 8 microphones, ils sont fournis avec une caméra, et on peut dessiner ou écrire dessus en duo puisqu’ils prennent en charge deux stylets.
Les dernières générations de Surface Hub ont ceci de particulier que l’écran et l’ordinateur à proprement parler sont séparés. Il est donc possible de mettre à jour les composants matériels de l’appareil tout en conservant l’écran. Microsoft vendait d’ailleurs une cartouche pour Surface Hub 2S : il suffisait de la glisser dans l’emplacement à l’arrière de l’écran pour bénéficier des capacités de la Surface Hub 3. Ce module coûte 3 149 euros, ce qui représente une solution économique par rapport aux prix plein pot de la dernière génération : de 10 699 à 25 999 euros en fonction de la taille de la dalle. Au moins ils n’ont pas augmenté comme le reste de la gamme Surface !
Les possesseurs d’une Surface Hub 3 n’ont pas besoin de la transformer en table à manger tout de suite : Microsoft assure un support logiciel jusqu’en 2030.
Connexion
