BULLETIN QUOTIDIEN
La faille du décodeur Brotli à l'origine de l'exécution de code à distance dans Node.js affecte également Bun, Python et d'autres langages largement utilisés…
Le briefing d'aujourd'hui porte sur les nombreux bugs du décodeur Brotli, une fuite dans la chaîne d'approvisionnement de LiteLLM et de nouvelles failles de sécurité actives signalées par la CISA.
5 actualités4 min de lecture
Les risques liés à la chaîne d'approvisionnement logicielle et les failles d'infrastructure non corrigées dominent les enjeux de sécurité actuels. Les organisations qui s'appuient sur des composants open source et des appliances d'entreprise doivent effectuer des opérations de maintenance urgentes.
Premièrement, une vulnérabilité de corruption de mémoire dans le décodeur Brotli de Google affecte des écosystèmes logiciels largement utilisés, notamment Node.js, Bun, Python et Envoy. Parallèlement, la CISA a ajouté des vulnérabilités activement exploitées dans Collabora Online et Arista VeloCloud Orchestrator à son catalogue de vulnérabilités connues.
Les équipes de sécurité doivent immédiatement auditer les secrets exposés dans les référentiels de développeurs, appliquer les correctifs des fournisseurs pour les systèmes de périmètre répertoriés dans le catalogue CISA et mettre à jour les dépendances Brotli dans tous les environnements.
Fuite de la clé principale LiteLLM : des attaquants volent des jetons GitHub et détournent le processus de déploiement.
Une fuite de clé principale de la plateforme Agent, divulguée fin mai 2026 dans un dépôt GitHub public (LiteLLM-Labs/lite-harness), a permis à des attaquants de dérober des jetons GitHub. Ces derniers ont ensuite exploité cet accès volé pour détourner le processus de déploiement de LiteLLM et publier une version malveillante du package Python.
- Que faire
- Faites tourner les clés API exposées et les jetons GitHub, auditez les pipelines de déploiement CI/CD et vérifiez l'intégrité du package LiteLLM.
La CISA signale deux failles critiques activement exploitées dans Collabora Online et Arista VeloCloud
La CISA a ajouté les vulnérabilités CVE-2026-110447 (Collabora Online Built-in CODE Server) et CVE-2026-114625 (Arista VeloCloud Orchestrator) à son catalogue de vulnérabilités connues suite à leur exploitation active. Ces failles permettent respectivement l'injection de commandes système et l'injection SQL.
- Que faire
- Mettez à jour Collabora Online Built-in CODE Server vers la version 26.4.303 ou ultérieure et appliquez les correctifs pour Arista VeloCloud Orchestrator.
Une faille dans le décodeur Brotli, à l'origine de l'exécution de code à distance (RCE) dans Node.js, affecte également Bun, Python et d'autres logiciels largement utilisés.
Une faille de corruption de mémoire dans le décodeur Brotli de Google se trouve dans de nombreux programmes qui décompressent les données compressées Brotli, parmi lesquels Bun, les packages Python Brotli et brotlicffi, et les proxys Envoy configurés pour décompresser Brotli.
- Pourquoi c'est important
- Étant donné que chaque application concernée intègre sa propre copie du décodeur Brotli de Google, les organisations qui utilisent ces environnements d'exécution et ces proxys doivent suivre et appliquer les mises à jour individuelles des fournisseurs afin d'empêcher l'exécution de code.
- Que faire
- Mettez à jour les environnements d'exécution et les packages concernés, notamment les dépendances Bun, Envoy et Python Brotli, vers des versions corrigées.
Google affirme que les données de Gmail et de Photos partagées avec la recherche par IA pourraient être utilisées pour des publicités ciblées.
Google a mis à jour sa politique de confidentialité, applicable à compter du 16 octobre 2026, précisant que les données partagées depuis Google Photos, Gmail et Drive avec les fonctionnalités d'IA dans la recherche ou les applications Gemini peuvent être traitées pour diffuser des publicités ciblées.
- Pourquoi c'est important
- Les utilisateurs et les organisations qui intègrent des données personnelles ou Workspace à la recherche Google et aux fonctionnalités d'IA Gemini peuvent exposer du contenu provenant de Gmail, Photos et Drive à un ciblage publicitaire personnalisé.
- Que faire
- Vérifiez les paramètres de confidentialité de votre compte Google pour limiter le partage de données entre les applications Workspace et Search/Gemini.
Des chercheurs déploient plus de 2 millions de mises à jour pour désactiver à distance le système de mise à jour de Popcorn Time, susceptible d'alimenter un réseau de bots.
La société de sécurité néerlandaise Eye Security a mené l'opération IXIM, déployant plus de deux millions de mises à jour à distance pour désactiver un programme de mise à jour en arrière-plan vulnérable (Updater.exe) dans l'application abandonnée Time4Popcorn. Le domaine non enregistré interrogé par ce programme présentait un risque de détournement par un vaste réseau de zombies.
- Que faire
- Recherchez et supprimez les logiciels obsolètes non autorisés tels que Time4Popcorn et bloquez les connexions aux domaines de mise à jour non vérifiés.
Points clés
- Mise à jour des implémentations du décodeur Brotli dans Node.js, Bun, Python et Envoy pour corriger la faille de corruption de mémoire CVE-2026-111497.
- Correctif Collabora Online Built-in CODE Server (CVE-2026-110447) et Arista VeloCloud Orchestrator (CVE-2026-114625) suite aux avertissements de la CISA.