Accès root via Tailscale SSH 🚨, Atlassian corrige 75 failles 🛠️, Europe : 5 milliards d'amendes RGPD 💶

Veille
• 3 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 26 octobre 2026 !

Des mécanismes d'accès réseau chiffrés jusqu'à la gouvernance des données, la sécurité informatique se joue sur tous les fronts. Une chercheuse dévoile une méthode d'élévation de privilèges root via Tailscale SSH exploitant une condition de concurrence. De son côté, Atlassian publie un bulletin massif corrigeant 75 vulnérabilités issues de ses dépendances tierces. Enfin, un bilan révèle que plus de 5 milliards de dollars d'amendes RGPD ont été infligés en Europe, avec une écrasante majorité portée par l'Irlande. Voici les faits marquants du jour.

Retrouve les trois articles à la une du jour :

  • Risque root sur Tailscale SSH : selon une chercheuse, une condition de concurrence sur socket système permet une escalade de privilèges depuis une machine compromise
  • Bulletin d'octobre Atlassian : correction de 75 failles critiques et élevées contenues dans les bibliothèques tierces de Jira, Confluence et Bitbucket
  • Bilan RGPD européen : 5,16 milliards de dollars de sanctions recensés, dont 94 % infligés par la Data Protection Commission irlandaise aux géants de la tech

Une chercheuse décrit des accès root via Tailscale SSH

Erica Windisch, de Cyberdione Labs, a publié le 25 octobre un rapport baptisé Tailworm, selon lequel un appareil compromis sur un réseau Tailscale peut servir à obtenir un accès root sur d'autres serveurs. Les tests ont visé Tailscale 1.104.2 et headscale 0.29.5, sans bulletin, CVE ni version corrigée à ce jour.

L'attaque exige Tailscale SSH avec redirection de ports et un appareil déjà contrôlé, autorisé par les règles d'accès. Selon le rapport, une session ordinaire amène le processus Tailscale root à se connecter à un socket système, puis une condition de concurrence contourne un contrôle de fichiers.

Points d'attention

  • Sur headscale 0.29.5, la redirection ne peut pas être désactivée, si bien que le rapport assimile chaque autorisation SSH à un accès root sur la cible.
  • La chaîne la plus avancée a capturé une clé d'enrôlement et ajouté une machine de l'attaquant au réseau, sauf si Tailnet Lock était activé.
  • Les constats reposent sur le seul rapport de Windisch : nul n'a reproduit les tests et Tailscale n'a pas confirmé les détails techniques.

→ Lire la source

Atlassian corrige 75 failles héritées de bibliothèques tierces

Atlassian a publié mardi son bulletin de sécurité d'octobre 2026, qui recense 176 entrées, dont 162 failles de sévérité élevée et 14 critiques. Toutes relèvent de dépendances tierces. Selon le décompte de SecurityWeek, le bulletin couvre 75 CVE uniques, dont six critiques.

Le bulletin touche Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible et les produits Jira. Les six CVE critiques sont CVE-2026-65637, CVE-2026-65182 et CVE-2026-68525 (Apache Tomcat), CVE-2026-58062 (Bouncy Castle), CVE-2026-75595 (Netty) et CVE-2026-77185 (Apache SSHD). Atlassian estime que son usage de ces composants présente un risque non critique.

Points d'attention

  • La CVE-2026-65905, faille critique d'Apache Tomcat touchant Data Center et Crowd, figure sur le portail de divulgation au 20 octobre, mais pas dans le bulletin.
  • Les autres failles de sévérité élevée touchent Jackson, Axios, Spring, Apache Struts et ActiveMQ, avec surtout des dénis de service, mais aussi des exécutions de code.
  • Atlassian ne signale aucune exploitation, mais la CVE-2026-21589, critique dans Data Center, avait été ciblée en quelques heures après la publication d'un PoC.

→ Lire la source

Plus de 5 milliards $ d'amendes RGPD en Europe, l'Irlande loin devant

Une étude de Surfshark a recensé 5,16 milliards $ d'amendes RGPD en Europe depuis 2020 contre dix grandes plateformes, soit environ un cinquième des plus de 26 milliards recensés dans le monde.

L'Irlande en totalise 4,87 milliards $, soit 94 % du montant européen. La France suit avec 245 millions $, devant le Royaume-Uni (36 millions), l'Espagne (11,6 millions) et les Pays-Bas (870 000 dollars). Les deux plus lourdes sanctions visent des transferts internationaux: 1,39 milliard $ pour Facebook vers les États-Unis et 615 millions pour TikTok vers la Chine, soit près de 40 % du total européen.

Points d'attention

  • Le poids irlandais tient au rôle de chef de file de la DPC (Data Protection Commission), car Alphabet et Meta y ont leur siège européen.
  • Seules les sanctions d'au moins 200 000 € entrent dans le décompte, converties au taux de 1 dollar pour 0,87 euro.
  • Pour la France, l'étude ne précise ni les plateformes visées ni les motifs des 245 millions $ de sanctions recensées.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere