Global Security Mag Online

Articles

• Vulnérabilité dans Metabase (10 septembre 2026)

  10 septembre

  Le 06 août 2026, Metabase a publié un avis de sécurité concernant une vulnérabilité critique permettant à un attaquant non authentifié de provoquer une injection SQL (SQLi) dans la base de donnée de l'application Metabase. Cette injection SQL permet d'obtenir les droits administrateur de...

  Voir en ligne : https://www.cert.ssi.gouv.fr/alerte...

• On ne sécurise pas ce qu’on n’a jamais regardé

  10 septembre, par Valentin Jangwa, Global Security Mag — cybersecurite_home_droite

  Fabrice Bérose, Directeur Commercial, IDECSI, a accordé un entretien à Global Security Mag, à quelques semaines du début des Assises de la cybersécurité qui se dérouleront du 7 au 10 octobre 2026 à Monaco.

  

  Global Security Mag : Quelle sera votre actualité lors de cette 26ème édition des Assises de la cybersécurité ?

  IDECSI : cette année, IDECSI sera au stand E12. Nous y présentons deux nouveautés qui répondent à une même question : quels risques pèsent sur vos données dans M365, en particulier les plus sensibles ?

  Nous lançons une nouvelle fonctionnalité DSPM qui identifie automatiquement les données sensibles et les risques associés sur l'environnement M365.

  Dans le cadre des Assises, nous proposons également une offre PICTURE, un audit flash du tenant M365 : en quelques jours, il livre une photographie chiffrée des risques d'accès et de la volumétrie/stockage des données.

  Enfin, nous animons un atelier réunissant deux clients : Abeille Assurances et le groupe Louis-Dreyfus. Ils partageront un regard croisé sur la sécurité des données M365 ainsi que les résultats concrets obtenus avec notre solution phare DETOX.

  Global Security Mag : Quels sont les points forts des solutions que vous allez présenter à cette occasion ?

  IDECSI : notre point fort est de permettre de passer aisément du diagnostic à l'action.
  • Sur le volet diagnostic : notre approche DSPM https://www.idecsi.com/fr/challenges/dspm/ cartographie les risques sur les données, qualifie automatiquement leur sensibilité et les hiérarchise. PICTURE ouvre la démarche par un checkup : une vision chiffrée du tenant, base objective d'un plan de remédiation.
  • Sur le volet action : DETOX associe les utilisateurs eux-mêmes à la remédiation des accès et des partages, sous supervision de l'IT et avec des campagnes opérées à 100 % par les équipes IDECSI. Concrètement : 4 semaines de campagne, des premiers résultats dès 7 jours et une remédiation de masse en quelques clics.

  Global Security Mag : Cette 26ème édition des Assises de la cybersécurité aura pour thème « Osons ! » ; comment IDECSI répond à cet impératif ?

  IDECSI : oser, pour nous, c'est renverser la charge : arrêter de demander aux équipes IT et sécurité de corriger seules ce que des milliers d'utilisateurs créent, partagent et exposent chaque jour.
  Nous osons confier aux utilisateurs la validation - ou la coupure - des accès et partages à risque, obsolètes ou illégitimes. Le pari est assumé, et nos clients le confirment : cette responsabilisation fonctionne, sans ajouter de charge à des équipes déjà sous tension. Oser, au fond, c'est faire confiance aux utilisateurs plutôt que de les contourner.

  Global Security Mag : Comment les technologies doivent-elles évoluer pour répondre aux problématiques cyber (IA, Quantique et Post-Quantique ?)

  IDECSI : côté données métier, l'IA ne fait qu'exposer plus vite et plus largement des failles de gouvernance qui existaient déjà. Chez Abeille Assurances comme chez le groupe Louis Dreyfus, le constat est le même : si la gouvernance des données n'a pas été traitée avant, ce n'est pas par manque de conscience du risque - c'est que personne n'a le temps de trier des milliers d'accès et de partages. C'est ce que DETOX prend en charge : diagnostic, remédiation, implication des utilisateurs pour des gains de sécurité mesurables.

  Côté innovation, l'IA renforce nos capacités de détection : elle identifie les données sensibles, corrèle l'impact d'une compromission et permet de prioriser les efforts - pour consolider les dispositifs de classification en place ou combler un angle mort.

  Global Security Mag : Quel message souhaitez-vous transmettre à nos lectrices et lecteurs, aux RSSI, CISO, DPO, DSI, Responsables Cyber ?

  IDECSI : on ne sécurise pas ce qu'on n'a jamais regardé. Avant tout projet, tout outil, toute mise en conformité, une question doit pouvoir trouver une réponse : qui a accès à vos données sensibles, et depuis quand ?
  PICTURE, c'est la photo avant l'action :
  https://info.idecsi.com/fr/audit-picture?utm_campaign=50445900-FR_2026_LesAssises&utm_source=GSM&utm_medium=GSM&utm_term=GSM&utm_content=GSM
  Quelques jours pour savoir ce que Copilot verra et pourra exposer de votre tenant.

• L’IA est une formidable opportunité pour les entreprises

  10 septembre, par Valentin Jangwa, Global Security Mag — affiche, cybersecurite_home_droite

  Florent Mauzé, Regional Sales Director, France & BeLux, Checkmarx, a accordé un entretien à global Security Mag, à quelques semaines du début des Assises de la cybersécurité qui se dérouleront du 7 au 10 octobre 2026 à Monaco.

  

  Global Security Mag : Quelle sera votre actualité lors de cette 26ème édition des Assises de la cybersécurité ?

  Florent Mauzé : Cette édition des Assises intervient à un moment charnière pour la sécurité applicative. L'IA transforme profondément la manière dont les applications sont conçues, avec des volumes de code beaucoup plus importants et des cycles de développement toujours plus rapides. Le problème est que les approches traditionnelles de sécurité n'ont pas évolué au même rythme. Nous présenterons donc plusieurs évolutions majeures de Checkmarx One, avec un fil conducteur : comment permettre aux équipes de sécurité de suivre le rythme imposé par le développement assisté par IA, sans faire de compromis sur la précision ni sur le contrôle.
  Nous mettrons notamment en avant Checkmarx Fusion, notre nouvelle approche du scan hybride, disponible en accès anticipé pour les clients Checkmarx. Fusion combine nos moteurs de sécurité applicative éprouvés et notre contexte de sécurité propriétaire avec les capacités de raisonnement de l'IA, notamment Claude, afin d'enrichir la détection des vulnérabilités.
  L'objectif est de pouvoir élargir considérablement la couverture de détection, y compris sur des bases de code et des langages nouveaux ou générés par l'IA, tout en conservant la précision attendue par les entreprises. Cette approche permet notamment de confirmer les véritables vulnérabilités et de réduire les faux positifs. Elle affiche aujourd'hui un score F1 de 0,741, soit près de quatre fois la moyenne de sa catégorie.
  Nous présenterons également les évolutions de notre famille d'agents Assist et notre approche de la sécurité applicative autonome. Developer Assist permet désormais d'intégrer la détection, la correction et la vérification des vulnérabilités directement dans l'environnement de développement, avant même que le code ne soit soumis. Les agents Triage Assist et Remediation Assist prennent ensuite le relais pour analyser les vulnérabilités du portefeuille applicatif, identifier celles qui représentent réellement un risque et proposer des correctifs prêts à être intégrés.

  Global Security Mag : Quels sont les points forts des solutions que vous allez présenter à cette occasion ?

  Florent Mauzé : Le principal point fort de notre approche est de faire travailler ensemble les technologies de sécurité éprouvées et l'IA, plutôt que de les opposer. Avec Checkmarx Fusion, nous combinons nos moteurs de sécurité applicative, développés sur plus de 20 ans de recherche, avec les capacités de raisonnement de l'IA et notre contexte de sécurité propriétaire. Fusion croise les résultats de plusieurs moteurs pour confirmer les véritables vulnérabilités et réduire les faux positifs. C'est essentiel dans un contexte où les volumes de code augmentent très rapidement. Il y a également un enjeu particulièrement important pour le marché français : celui de la confiance et du contrôle des données. Pour les entreprises des secteurs réglementés, l'architecture de Fusion permet d'exécuter les scans dans leur propre environnement cloud, via Amazon Bedrock, afin que le code source reste dans leur périmètre d'infrastructure. Cela répond directement aux exigences de résidence des données et de conformité, qui ont jusqu'à présent constitué un frein à l'adoption à grande échelle des solutions de sécurité basées sur l'IA. Notre approche est donc de couvrir toute la chaîne : détecter avec davantage de précision, comprendre le risque réel, puis accélérer la remédiation. Le tout avec un impératif qui devient central avec l'IA : permettre aux entreprises d'aller plus vite sans perdre le contrôle de leur code, de leurs données et de leur sécurité.

  Global Security Mag : Cette 26ème édition des Assises de la cybersécurité aura pour thème « Osons ! » ; comment Checkmarx répond à cet impératif ?

  Florent Mauzé : Pour nous, « oser » signifie accepter de remettre en question des modèles qui ont longtemps fonctionné, mais qui atteignent aujourd'hui leurs limites. Pendant des années, la sécurité applicative a essentiellement consisté à détecter les vulnérabilités, à les remonter aux développeurs puis à attendre qu'elles soient corrigées. Cette approche devient difficilement tenable lorsque l'IA permet de produire du code à une vitesse sans précédent.
  Il faut donc oser changer de paradigme : passer de la détection à la prévention, et de la prévention à la remédiation autonome. Pourquoi attendre qu'une vulnérabilité soit détectée dans un pipeline ou dans une application en production si elle peut être identifiée et corrigée au moment même où le code est écrit ? Les chiffres montrent d'ailleurs l'urgence de cette évolution. Selon notre étude 2026 Future of Application Security https://checkmarx.com/report-future-of-appsec-2025/ , 96 % des développeurs utilisent désormais des outils de développement assistés par IA, alors que seulement 18 % intègrent une approche de sécurité continue pendant l'écriture du code. « Osons ! », c'est donc aussi oser faire de la sécurité une capacité native du développement assisté par IA, et non plus un contrôle supplémentaire qui intervient après coup.

  Global Security Mag : Comment les technologies doivent-elles évoluer pour répondre aux problématiques cyber (IA, Quantique et Post-Quantique ?)

  Florent Mauzé : L'IA comme le quantique nous obligent à repenser la cybersécurité avec une logique d'anticipation plutôt que de réaction. Avec l'IA, le développement applicatif s'accélère considérablement : 49 % du code utilisé en production est désormais généré par l'IA selon notre rapport 2026 Future of Application Security
  https://checkmarx.com/report-future-of-appsec-2025/ . La sécurité doit donc être capable de fonctionner à la même vitesse, en combinant automatisation, contexte et raisonnement.
  Le quantique pose une problématique différente, mais tout aussi structurante. Les mécanismes cryptographiques actuels comme RSA ou ECC seront à terme vulnérables à un ordinateur quantique suffisamment puissant. Et le phénomène de « harvest now, decrypt later » signifie que certaines données sensibles peuvent déjà être collectées aujourd'hui pour être déchiffrées demain. Les entreprises doivent donc commencer dès maintenant par inventorier leurs usages cryptographiques, y compris dans le code, les bibliothèques, les dépendances et les composants d'infrastructure. C'est une condition indispensable pour savoir ce qui devra évoluer. La deuxième priorité est la crypto-agilité : les architectures doivent permettre de remplacer un algorithme cryptographique sans devoir refondre les applications. Enfin, l'hybridation, combinant cryptographie classique et post-quantique, constitue une approche pragmatique pour accompagner progressivement la transition tout en préservant l'interopérabilité. Chez Checkmarx, nous travaillons notamment sur cette capacité de visibilité au niveau du code. La dernière version de CxSAST propose des requêtes permettant de cartographier les algorithmes cryptographiques utilisés et d'identifier ceux qui sont trop faibles ou, au contraire, adaptés aux exigences de l'ère post-quantique.
  Qu'il s'agisse de l'IA ou du quantique, le véritable enjeu est finalement le même : construire des systèmes capables d'évoluer rapidement lorsque les technologies et les menaces changent.

  Global Security Mag : Quel message souhaitez-vous transmettre à nos lectrices et lecteurs, aux RSSI, CISO, DPO, DSI, Responsables Cyber ?

  Florent Mauzé : mon message serait de ne pas chercher à lutter contre la vitesse de l'IA avec davantage de processus manuels. Ce serait une bataille perdue d'avance. L'IA est une formidable opportunité pour les entreprises, mais cela signifie aussi que les équipes de sécurité doivent changer leur manière de travailler. Si chaque nouvelle ligne de code générée par l'IA doit être contrôlée manuellement, le modèle ne passera tout simplement pas à l'échelle.
  Il faut donc automatiser ce qui peut l'être, tout en conservant le contrôle humain là où il apporte réellement de la valeur. Je dirais surtout aux responsables cyber de ne pas attendre que les pratiques de développement aient changé pour adapter leur modèle de sécurité. Le développement assisté par IA est déjà une réalité. La question est comment le faire sans créer une dette de sécurité impossible à maîtriser.

• Vigilance.fr - Notepad++ : exécution de code via Traffic Hijacking, analysé le 09/12/2025

  9 septembre, par Vigilance.fr

  Un attaquant peut utiliser une vulnérabilité de Notepad++, via Traffic Hijacking, afin d'exécuter du code.

  Voir en ligne : https://vigilance.fr/vulnerabilite/...

• Vigilance.fr - Notepad++ : code execution via Traffic Hijacking, analyzed on 09/12/2025

  9 septembre, par Vigilance.fr

  An attacker can use a vulnerability of Notepad++, via Traffic Hijacking, in order to run code.

  View online : https://vigilance.fr/vulnerability/...