Faille d'accès Microsoft Exchange 📧, NIS 2 arrive à l'Assemblée 🏛️, Apple restreint l'accès disque sur Mac 💽

Veille

06 octobre 2026 • 3 minutes de lecture

Bonjour, voici ta veille Cybere du 6 octobre 2026 !

Un correctif hors cycle de Microsoft pour bloquer l'interception de boîtes mail internes sur Exchange, l'arrivée à l'Assemblée nationale du projet de loi NIS 2 qui va encadrer 15 000 organisations françaises, et le coup de vis d'Apple sur les autorisations globales de macOS : l'actualité du jour illustre la pression croissante sur le contrôle des accès, du paramétrage des serveurs jusqu'au cadre réglementaire.

Retrouve les trois articles à la une du jour :

Microsoft corrige en urgence la CVE-2026-96940 (CVSS 8.8) sur Exchange Server, une faille permettant à un compte interne de lire les mails d'autres utilisateurs
Transposition de NIS 2 : examen à l'Assemblée du projet de loi étendant le périmètre régulé de 500 à 15 000 entités sous peine de lourdes sanctions
Sécurité macOS : Apple renforce le contrôle de l'accès complet au disque pour contrer la récupération abusive de données par des applications et agents IA

Une faille Exchange permet de lire les boîtes d'autres utilisateurs

Microsoft a publié des mises à jour hors cycle pour la CVE-2026-96940 (CVSS 8.8), une faille d'élévation de privilèges dans Exchange Server. Selon son avis du 2 octobre 2026, une autorisation faible permet à un attaquant authentifié d'agir à distance, via le réseau.

L'attaquant peut accéder aux boîtes d'autres utilisateurs de la même organisation et lire messages et pièces jointes, sans accès inter-tenants. Exchange Online bénéficie d'un correctif côté service et n'exige aucune action. Sont concernées Exchange Server Subscription Edition RTM, 2016 Cumulative Update 23, ainsi que 2019 Cumulative Update 15 et 14.

Points d'attention

L'attaque suppose un compte authentifié, et l'autorisation faible du service lui permet de dépasser ses droits pour atteindre les boîtes d'une même organisation.
Aucune exploitation en conditions réelles n'est constatée, mais Microsoft a attribué à la faille l'évaluation « Exploitation More Likely ».
La divulgation survient quelques jours après l'alerte de Symantec sur Warlock, un acteur lié à la Chine qui exploite des failles SharePoint pour déployer son ransomware.

→ Lire la source

Le projet de loi NIS2 vise près de 15 000 entités

Le projet de loi n° 1112 sur la résilience des infrastructures critiques et le renforcement de la cybersécurité sera examiné en séance publique à l'Assemblée nationale à partir du 7 octobre. Adopté au Sénat, il transpose NIS2 et porte le périmètre régulé d'environ 500 à près de 15 000 entités.

Le texte transpose aussi la directive REC et celle associée à DORA. Le titre II fait passer les secteurs régulés de 6 à 18, dont la santé et l'industrie manufacturière. Les entités devront déclarer leurs incidents à l'ANSSI, sous peine d'une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Points d'attention

L'article 16 bis, ajouté au Sénat, interdirait d'imposer des portes dérobées aux messageries instantanées et pourrait rester l'un des sujets de débat les plus sensibles à l'Assemblée.
L'État, les collectivités locales et leurs établissements publics administratifs échappent aux amendes, mais restent soumis aux obligations de sécurité et de notification.
L'examen du 7 octobre n'active pas NIS2 : l'ANSSI indique que la loi, les décrets et les arrêtés doivent tous être promulgués.

→ Lire la source

Apple encadre l'accès complet au disque face aux agents IA

Apple a annoncé le 2 octobre 2026 un encadrement plus strict de l'autorisation « accès complet au disque » sur macOS. Selon l'entreprise, certains développeurs en font un usage qui expose les utilisateurs à des risques, en donnant accès à leurs fichiers, courriels, messages et historique de navigation sans qu'ils en aient pleinement conscience.

Conçue pour les logiciels de sauvegarde, cette option contourne en grande partie le système de permissions par type de donnée de macOS. Apple ne la supprime pas, mais veut qu'elle ne puisse être accordée qu'au prix d'une action très explicite de l'utilisateur. L'entreprise n'a précisé ni la forme de ces étapes ni leur calendrier.

Points d'attention

D'après Apple, l'accès complet au disque suffit à lui seul à exposer les messages, ce qui fragilise l'explication avancée par Meta à propos de son agent Muse.
Le communiqué ne cite aucune entreprise, mais il survient deux semaines après la polémique sur Muse, l'agent IA lancé par Meta sur Mac le 8 septembre.
Le 21 septembre, le chercheur Patrick Wardle a révélé une faille permettant à un programme malveillant de prendre le contrôle de Muse. Meta l'a corrigée le lendemain.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere