Le Résumé de la semaine 2026-W28

July 13, 2026

Catégories

• summary
• weekly

Tags

• CSA
• CSP Bypass
• CVE
• CVE-2026-42824
• CVSS
• Chainguard Actions
• Cloud Security Alliance
• Data Exfiltration
• Dependabot
• DevSecOps
• EPSS
• GitHub
• GitHub Actions
• KEV
• M365 Copilot
• MTTB
• MTTP
• OIDC
• Patch Management
• Prompt Injection
• SLSA
• SSRF
• SearchLeak
• Varonis
• WAAP
• branch protection
• plumber
• secret scanning
• supply chain

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

💬TL;DR

48 minutes pour compromettre un SI, 5 jours pour patcher ; GitHub qui réglage sans suffisamment sécuriser la supply chain ; et M365 Copilot transformé en outil d'exfiltration silencieuse : trois sujets qui illustrent à quel point les pratiques défensives courantes accusent un retard structurel.

La semaine dernière vous avez peut etre loupé :

---

⏱️ Mean Time to Breach : pourquoi vos cycles de patch ne vous protègent plus - 06/07/2026

La CSA vient de chiffrer l’écart absurde entre la vitesse d’attaque (48 min) et la lenteur de patch (5 jours), et je mets ce constat face à ma propre matrice CVE/CVSS/EPSS/KEV pour voir ce qu’il faut vraiment changer en priorité….

Lire l’article

---

🔗 Le minimum syndical sur GitHub : ce qu’il manque encore contre la supply chain - 07/07/2026

GitHub liste 6 réglages à activer, c’est un début ; mais entre CODEOWNERS, signature de commits, OIDC et provenance SLSA, la route vers une supply chain vraiment sécurisée est encore longue pour un mainteneur sérieux….

Lire l’article

---

🕵️ SearchLeak : comment transformer M365 Copilot en arme d’exfiltration en un clic - 08/07/2026

Varonis Threat Labs a disséqué une chaîne d’exploitation en trois étapes où un simple lien Microsoft suffit à exfiltrer emails et fichiers d’entreprise via Copilot, sans que l’utilisateur réalise quoi que ce soit….

Lire l’article

---

#DevSecOps #OWASP #CloudSecurityAlliance

Partager Tweet LinkedIn Reddit Substack

Articles lies

5 risques des Agent Skills que tout CISO doit connaître:

Relai commenté de l'article CSA sur les 5 risques de sécurité des Agent Skills. Analyse des menaces, correspondance OWASP Agentic Skills Top 10, et...

13/07/2026

SearchLeak : comment transformer M365 Copilot en arme d'exfiltration en un clic

Relai commenté de SearchLeak (CVE-2026-42824) : injection P2P, race condition de rendu HTML et SSRF via Bing pour exfiltrer les données M365 Copilo...

08/07/2026

Le minimum syndical sur GitHub: ce qu'il manque encore contre la supply chain

Les 6 réglages GitHub sont le strict minimum. Voici ce qu'il faut ajouter pour se protéger réellement des attaques de supply chain.

07/07/2026

Le Résumé de la semaine 2026-W27

Résumé de la semaine 2026-W27 : Pwn Requests : pourquoi GitHub verrouille pull_request_target (et ce que ça dit de vos pipelines GitLab ou Jenkins)...

06/07/2026

Mean Time to Breach : pourquoi vos cycles de patch ne vous protègent plus

Relai commenté de l'article CSA sur le Mean Time to Breach, mis en perspective avec la matrice de priorisation CVE/CVSS/EPSS/KEV et le patch manage...

06/07/2026