Veille cyber : Secure Boot contourné malgré les mises à jour Windows

Windows : la faille Baton Drop permet encore de contourner Secure Boot sur des postes à jour

Kaspersky a analysé BlackX, un « bootkit » UEFI. C’est un programme malveillant qui s’installe dans la toute première étape du démarrage, avant Windows. L’UEFI est le logiciel intégré à la carte mère qui lance le système.

Découvert début 2026, BlackX a servi dans une campagne d’espionnage visant des agences diplomatiques d’Asie centrale. Elle est attribuée, avec une confiance moyenne, au groupe APT41, soutenu par l’État chinois. Pour s’installer, BlackX exploite Baton Drop (CVE-2022-21894), une faille de 2022 déjà utilisée par le bootkit BlackLotus.

Le point qui compte pour vous : selon Kaspersky, toutes les victimes utilisaient un Windows entièrement à jour.

Concrètement, le correctif de Microsoft prévoit de révoquer le certificat « Windows Production PCA 2011 », qui signait les composants vulnérables. Cette révocation doit être déclenchée manuellement, ce que les administrateurs font très rarement après une mise à jour, selon les chercheurs. L’expiration de ce certificat, le 19 octobre 2026, ne change rien : les fichiers vulnérables se chargent toujours tant que le certificat n’est pas inscrit sur une liste de blocage.

Cette campagne visait des diplomates, pas des PME. Mais la technique est éprouvée, et la faiblesse concerne tout parc Windows où la révocation n’a pas été faite.

1. Faites le point. Demandez à votre informaticien ou à votre prestataire si la révocation liée à Baton Drop est appliquée sur vos postes et serveurs.
2. Appliquez la révocation. Suivez les instructions de Microsoft, référencées dans l’article de BleepingComputer cité en sources. Testez d’abord sur quelques machines avant de généraliser.
3. Mettez à jour les firmwares. Installez les mises à jour UEFI proposées par les fabricants de vos ordinateurs et serveurs.
4. Surveillez le démarrage. Un EDR, logiciel qui détecte les comportements suspects sur chaque poste, doit remonter les alertes liées au démarrage. C’est le rôle d’un EDR et d’un SOC managés.

LiteLLM : une clé oubliée sur GitHub a permis de piéger un paquet Python d’IA

LiteLLM a révélé vendredi que, le 27 mai 2026, un fichier de configuration publié par erreur dans l’un de ses dépôts GitHub publics contenait la clé maître de sa plateforme d’agents. Un attaquant s’en est servi pour publier une version malveillante de son paquet Python, très utilisé. Selon l’éditeur, il a aussi volé des jetons d’accès GitHub et détourné la chaîne automatique de publication.

Sont concernées les entreprises qui développent en interne ou font développer des outils d’IA en Python. L’extrait dont nous disposons ne précise ni le numéro de la version piégée ni son comportement exact : reportez-vous à la source et aux communications de LiteLLM.

À faire : listez les projets qui utilisent LiteLLM, chez vous ou chez vos prestataires, et vérifiez la version installée. Contrôlez les paquets mis à jour récemment, puis changez les clés d’API et jetons GitHub utilisés dans ces environnements.

Plex Media Server : une faille activement exploitée, à corriger ou désinstaller

La CISA a ajouté le 20 octobre une faille de Plex Media Server à sa liste des failles activement exploitées. Plex sert à partager des vidéos et de la musique sur un réseau, souvent depuis un NAS (serveur de stockage). La faille permet à un attaquant d’appeler les fonctions d’autres extensions de Plex en y injectant ses propres paramètres, et elle peut être combinée à trois autres failles.

Peu de PME utilisent Plex au bureau, mais il tourne parfois sur un NAS ou chez un salarié en télétravail, sur le même réseau que son poste professionnel. Appliquez les correctifs indiqués par Plex. La CISA recommande de cesser d’utiliser le produit si aucune correction n’est disponible : s’il ne sert à rien, désinstallez-le.

Google : vos usages de l’IA dans Search et Gemini peuvent nourrir la publicité ciblée

Google a mis à jour sa politique de confidentialité. Utiliser les fonctions d’IA personnalisées de Search ou de Gemini peut lui permettre d’afficher des publicités ciblées en fonction de votre activité sur d’autres services Google connectés, comme Gmail ou Photos. L’utilisateur peut choisir d’autoriser ou non cet accès croisé.

Le risque pour une entreprise : des informations professionnelles, présentes dans une messagerie ou des photos, alimentent le profil publicitaire d’un compte utilisé au travail. Vérifiez les paramètres Gemini et de partage de données des comptes Google employés en entreprise, et précisez la règle dans votre charte d’usage de l’IA. Une formation à l’IA aide vos équipes à faire ces réglages elles-mêmes.

DeepSeek interdit dans les administrations civiles américaines, y compris via des outils tiers

Le département américain de la Sécurité intérieure impose aux agences fédérales civiles de retirer les technologies DeepSeek et de ne plus en acheter. L’ordre, émis le 24 juillet 2026, a été rendu public le 19 octobre. Il vise aussi les solutions de fournisseurs tiers construites sur ces technologies. Washington invoque des risques d’accès aux données sensibles et de transfert vers la Chine, sans qu’un transfert précis soit démontré.

Cette décision ne s’applique pas aux entreprises françaises. Elle rappelle toutefois qu’un modèle d’IA peut se cacher dans un logiciel acheté auprès d’un tiers. Demandez à vos fournisseurs quels modèles d’IA leurs outils utilisent, et où vont vos données.

Notre conseil de la semaine

Posez une seule question à votre informaticien ou à votre prestataire : « La révocation du certificat Windows Production PCA 2011 liée à Baton Drop est-elle appliquée sur nos postes et serveurs ? » La réponse est oui ou non. Si c’est non, planifiez-la avec un test préalable sur quelques machines : c’est la seule mesure qui ferme la porte utilisée par BlackX.