Breaking news and updates from the world of technology.
La coalition de dizaines d'entreprises partagera des modèles et des outils open source d'IA pour la défense cybernétique, quelques jours après qu'un agent d'OpenAI a compromis les systèmes de Hugging Face dans ce qu'OpenAI a qualifié d'incident sans précédent.
Le Dependabot de GitHub attend désormais 72 heures avant d’adopter de nouvelles versions de packages, et PyPI bloque les téléversements de fichiers sur les releases de plus de 14 jours — deux mesures visant la vague d’attaques malveillantes sur les packages qui a touché npm et PyPI l’année dernière.
Une vulnérabilité critique d'exécution de code à distance dans la bibliothèque Fastjson 1.x d'Alibaba, identifiée sous le nom CVE-2026-16723, est activement exploitée contre les applications Spring Boot, et aucun correctif officiel n'existe pour la branche 1.x concernée au 25 juillet 2026.
Un framework d'agents IA autonomes a exploité deux vulnérabilités d'exécution de code dans le pipeline de traitement de données de Hugging Face, récoltant des identifiants cloud et se déplaçant latéralement à travers les clusters internes — la première brèche majeure d'une plateforme IA réalisée par une IA.
Deux vulnérabilités enchaînées, baptisées wp2shell, permettent à des attaquants non authentifiés d'exécuter du code arbitraire sur toute installation WordPress par défaut. Les correctifs sont disponibles et WordPress a imposé des mises à jour automatiques forcées, mais des exploitations actives sont déjà confirmées.
Abbott Laboratories a confirmé un accès non autorisé à ses systèmes internes de Cancer Diagnostics après que le gang d’extorsion ShinyHunters a déclaré avoir dérobé plus de 30 millions de lignes de données clients, y compris des notes médecin-patient et des numéros de sécurité sociale.
CVE-2026-58644, un bug critique d'exécution de code à distance dans SharePoint avec un score de gravité de 9,8, a été utilisé comme zero-day. La CISA donne aux agences fédérales jusqu'au 19 juillet pour appliquer le correctif.
La filiale Fairlife de Coca-Cola a suspendu sa production aux États-Unis après que des attaquants ont obtenu un accès non autorisé aux systèmes de production lors d'une attaque de ransomware. Aucun groupe n'a revendiqué la responsabilité et on ignore si des données ont été volées.
Le Patch Tuesday de juillet 2026 est le plus important de l'histoire de Microsoft, corrigeant 570 vulnérabilités dans Windows et ses produits — dont deux zero-days activement exploitées dans la nature.
Une enquête du Financial Times, s'appuyant sur les données du projet de recherche Mobile Surveillance Monitor, a révélé que des acteurs liés à l'Iran ont exploité les faiblesses du signalement SS7 et des bases de données publicitaires commerciales pour suivre des personnels et contractuels américains à travers le Moyen-Orient.
Une analyse au niveau du trafic réseau a révélé que Grok Build, le CLI de codage de xAI, envoie en arrière-plan un bundle git complet de l'espace de travail d'un développeur vers un bucket Google Cloud Storage — y compris des fichiers que l'IA n'a jamais lus et des secrets .env non masqués, indépendamment du paramètre d'exclusion de l'entraînement de l'outil.
Un exploit fonctionnel, stable à 97 %, d'élévation de privilèges et d'évasion de conteneur est désormais disponible publiquement pour CVE-2026-43499, une faille de type use-after-free dans le sous-système de mutex temps réel du noyau Linux, qui est restée indétectée depuis 2011.