3 failles critiques sur Fortra BoKS 🔐, MI5 traque espionnage académique 🕵️, ANSSI durcit le cap post-quantique ⏳

Veille
• 3 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 4 octobre 2026 !

Une série de trois vulnérabilités critiques corrigées sur la solution de gestion des accès privilégiés Fortra BoKS, une alerte inédite du MI5 sur le financement secret de chercheurs britanniques par le renseignement chinois, et la confirmation des échéances fixées par l'ANSSI pour la transition post-quantique : l'actualité du jour met en avant la nécessité de sécuriser les accès à haut privilège autant que les secrets stratégiques.

Retrouve les trois articles à la une du jour :

  • Fortra corrige les failles CVE-2026-79901, CVE-2026-79898 et CVE-2026-12627 dans son PAM BoKS, permettant l'exécution root et le contournement d'authentification
  • Espionnage scientifique : le MI5 met en garde contre une entité chinoise finançant des travaux d'IA et de cybersécurité dans plus de 100 universités
  • Cryptographie post-quantique : l'ANSSI impose ses premières exigences de qualification dès 2027 et vise l'arrêt des achats classiques en 2030

Trois failles critiques touchent le gestionnaire d'accès BoKS de Fortra

Fortra a publié des correctifs pour huit failles dans Core Privileged Access Manager (BoKS), dont trois critiques. Cette solution assure la gestion centralisée de parcs Unix et Linux, avec application de politiques et contrôle d'accès aux comptes.

La CVE-2026-79901 (CVSS 9.9) permet de contourner l'authentification, car les mots de passe des comptes de service AD proviennent d'une séquence pseudo-aléatoire prévisible, initialisée avec l'horodatage Unix. La CVE-2026-79898 (CVSS 9.1) est une injection de commandes dans crlserver, exécutées en root. La CVE-2026-12627 (CVSS 9.8) est un dépassement de tampon exploitable à distance.

Points d'attention

  • Selon Fortra, CVE-2026-79901 n'exige aucun accès administrateur : un compte Active Directory standard peut demander le ticket de service du SPN visé.
  • Un ticket de service préalablement capturé peut servir de matériel de vérification hors ligne, l'attaquant testant un ensemble limité de mots de passe candidats.
  • BCC et l'API WSI, REST ou SOAP, sont joignables par le réseau sans règle sudo ou suexec locale. Fortra ne signale aucune exploitation en conditions réelles.

→ Lire la source

Le MI5 alerte sur un financement chinois de chercheurs britanniques

Le MI5 a publié le 30 septembre 2026 une alerte d'espionnage inédite. Selon l'agence, plus de 100 universitaires liés au Royaume-Uni ont contribué à des recherches financées par le ministère chinois de la Sécurité d'État (MSS), via le China General Technology Research Institute (CGTRI).

Selon le MI5, le CGTRI serait une société écran du MSS (Ministry of State Security). Il finance des travaux sur l'IA, la cybersécurité, les communications clandestines et la stéganographie. Les universités britanniques sont invitées à réexaminer immédiatement leurs collaborations. L'ambassade de Chine dénonce des accusations « imaginaires et purement fabriquées ».

Points d'attention

  • Certains universitaires peuvent ignorer que le CGTRI finance le projet auquel ils contribuent. Les universités sont aussi invitées à tracer l'origine des fonds.
  • Maintenir ces collaborations expose à des poursuites au titre du National Security Act 2023, pour assistance matérielle à un service de renseignement étranger.
  • Selon le think tank UK-China Transparency, le CGTRI partage des personnels identifiables avec l'Université des relations internationales, réputée très proche du MSS.

→ Lire la source

L'ANSSI prépare deux échéances pour la cryptographie post-quantique

Keyfactor a alerté sur deux jalons fixés par l'ANSSI pour la transition post-quantique. Dès 2027, l'agence prévoit d'introduire des exigences post-quantiques pour l'entrée en qualification de certaines solutions de cryptographie. À l'horizon 2030, elle recommande de ne plus acquérir de solutions dépourvues de mécanismes résistants à la menace quantique.

Selon Keyfactor, entreprises et fournisseurs doivent désormais cartographier leurs usages cryptographiques (certificats, clés, bibliothèques logicielles, infrastructures cloud, chaînes CI/CD), souvent dispersés sans vision centralisée, puis engager leur migration. Son Trust Control Plane vise à inventorier les actifs, automatiser le cycle de vie des certificats et des clés et préparer le déploiement progressif de mécanismes post-quantiques.

Points d'attention

  • Le risque « harvest now, decrypt later » vise des données interceptées et stockées dès aujourd'hui, déchiffrables plus tard par des ordinateurs quantiques suffisamment puissants.
  • Selon Keyfactor, la crypto-agilité est particulièrement critique pour les systèmes à longue durée de vie : équipements industriels, infrastructures critiques, logiciels embarqués et objets connectés.
  • Le constat émane d'une tribune de Keyfactor, qui présentera ses leviers de crypto-agilité aux Assises de la Sécurité, du 7 au 10 octobre 2026.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere