MacSouverain

radar

Quand iMessage lâche, tes messages partent en clair

Quand iMessage décroche, l'iPhone bascule en SMS ou en RCS non chiffré sans vraie alerte. Trois réglages de Messages empêchent la bascule.

Nextcloud auto-hébergé, la faille Collabora déjà exploitée

Une faille critique du Collabora intégré à Nextcloud ouvre ton serveur sans mot de passe. Vérifie, cherche l'intrus, mets-le à jour ou supprime-le.

Quad9 menace de quitter la France, prépare ton plan B DNS

beIN réclame jusqu'à 580 000 euros par jour à Quad9, qui envisage de couper la France. Rien n'est tranché, mais ton DNS mérite un second résolveur.

Signal, WhatsApp, l'intrus passe par tes appareils liés

Des enquêteurs allemands ont lu WhatsApp via un appareil intrus qui se fait passer pour un des leurs, chiffrement intact. Vérifie ta liste WhatsApp et Signal.

Faille root macOS, le code d'attaque est public

Une faille macOS corrigée le 14 septembre donne le root à une simple app, et son code d'attaque est public. Les versions à viser, et comment vérifier la tienne.

Siri AI lit tes apps, les réglages pour le brider

Une fois activé, Siri AI lit ce que tes apps lui ouvrent. Les réglages macOS 27 et iOS 27 pour le brider, et les angles morts qui restent.

macOS 27 verrouille tes données, sans le dire

macOS 27 verrouille en silence les données de huit apps (navigateurs, wallets). Bonne parade anti-vol, mais non documentée, et ça casse des backups.

Ta montre Apple t'écoute en continu

Ta montre Apple écoute en continu. Où part ton audio, et pourquoi le Secure Exclave se joue au niveau du silicium.

Google, Microsoft, un clic et ton MFA saute

Le FBI alerte. Un clic sur un vrai écran Google ou Microsoft, et un inconnu tient ta boîte mail. Ton mot de passe et ton MFA n'y peuvent rien.

Données et loi

Un ordre américain a suffi à faire disparaître autistici.org

Les États-Unis ont désigné le collectif Autistici « terroriste » et peuvent faire saisir son domaine .org. Ce que ça dit de la souveraineté de tes propres services.

Un stealer Mac s'attaque à tes sessions Claude

AMOS et les voleurs macOS s'en prennent aux sessions Claude. Le maillon faible n'est ni Apple ni Claude, c'est la commande que tu colles dans le Terminal.

ChatGPT lit tes Messages, le prix c'est ton disque entier

ChatGPT lit et envoie tes iMessage sur Mac. Le ticket d'entrée, c'est l'Accès complet au disque, la permission la plus large de macOS.

Données et loi

Le traité ONU qui peut blanchir la preuve spyware

Le Canada a signé la Convention ONU cybercrime. Un canal de partage de preuves qui, une fois ratifié, peut blanchir des données volées par spyware.

Apple Private Relay ne te protège de rien

Une large part des abonnés iCloud+ prend Private Relay pour un tunnel. Trois fuites WebKit disent le contraire, et Apple est attaqué pour fraude.

Données et loi

Londres réclame tes sauvegardes iCloud chiffrées

Apple attaque une injonction britannique visant tes sauvegardes iCloud. Réduite au Royaume-Uni, le précédent ne connaît pas de frontière.

La fausse mise à jour Zoom qui vide ton trousseau iCloud

Un contact Telegram de confiance t'invite en visio, une fausse mise à jour Zoom surgit en plein appel, et ton trousseau iCloud se vide.

Claude Cowork en local, l'agent sort du bac à sable

Sur macOS en mode local, Claude Cowork monte tout ton disque dans la VM de l'agent. Un dossier connecté, un message, et il en sort sans rien demander.

Hugging Face compromis, et ton modèle local ?

Hugging Face a révélé le 16 juillet s'être fait compromettre. Les modèles publics n'ont pas été touchés, et l'attaquant était une IA d'OpenAI en test.

Un malware notarisé Apple passe Gatekeeper

CrashStealer, signé et notarisé par Apple, franchit Gatekeeper sans une alerte. La notarisation valide la signature, pas l'intention.

Données et loi

Chat Control 1.0, adopté par ceux qui ont voté contre

Le 9 juillet, le Parlement européen a laissé passer la reconduction de Chat Control 1.0, faute des 361 voix requises pour la bloquer, alors que la majorité votait contre. Ce que ça change, et ce qui repart en trilogue en septembre.

Wazuh 5.0 débarque, ton SIEM maison évolue

Wazuh 5.0 en bêta publique, sortie fin juin/début juillet. Filebeat vire, cluster par défaut, nouveau moteur. Ton install 4.x va évoluer. Pas de panique, on t'explique tout.

Données et loi

Chat Control, l'UE joue le sort de ton chiffrement

Ta position fuite par le réseau, pas par ton iPhone

Des sociétés de surveillance localisent n'importe quel mobile via les failles d'interconnexion télécom. Rien à patcher sur ton iPhone.

Siri AI bloqué dans l'UE, confidentialité signée Google

Apple lance Siri AI à la WWDC, mais le bloque sur iPhone et iPad dans l'UE. Une plateforme vendue confidentielle, construite sur Google Gemini. Décryptage.

Certificat OpenAI compromis, mets à jour ChatGPT Mac avant le 12 juin

ChatGPT, Codex et Atlas sur Mac, mise à jour obligatoire avant le 12 juin 2026. Certificat OpenAI révoqué après attaque supply-chain npm.

Stalkerware domestique, le malware du conjoint jaloux

Stalkerware Spyzie, Cocospy, Spyic, plus de 3 millions de victimes cumulées. Ton iPhone siphonné via ton Apple ID. Comment vérifier et reprendre le contrôle.

Cinq ans de défense mémoire M5 tombent en cinq jours

Trois chercheurs Calif.io bypassent Memory Integrity Enforcement M5 en cinq jours grâce à Mythos. Premier exploit kernel public sur silicon Apple M5. Patch dans macOS Tahoe 26.5.

CVE iOS et macOS, patche puis règle tes profils Safari

iOS 26.5 corrige 98 CVE dont 21 sur WebKit, macOS Tahoe 26.5 98 dont 22. Plutôt qu'activer Lockdown Mode partout, segmente avec un profil Safari dédié.

Proton Mail passe au chiffrement post-quantique (et c'est gratuit)

Proton Mail propose une option de chiffrement résistant au quantique, dispo sur tous les plans gratuit inclus. À activer manuellement, et sans illusion.

iOS 26.5 chiffre enfin les RCS iPhone-Android (mais Signal reste devant)

Apple active le E2EE sur les messages RCS avec iOS 26.5, sur protocole MLS. Fin des SMS en clair cross-platform, mais Signal reste le gold standard souverain.

Trellix, partenaire d'Europol, se fait piquer son code source

Le négociateur ransomware bossait pour le gang

MCP d'Anthropic, 200 000 instances exposées au RCE

Mythos, le modèle qui trouve des failles tout seul, vient de fuiter

GPT-5.5 jugé à haute capacité cyber, OpenAI serre les accès

Une IA grand public a fabriqué un exploit Chrome pour 2 283 dollars

Données et loi

Vérification d'âge EU, hackée en 2 minutes, la surveillance mal codée

Paul Moore bypasse l'app de vérification d'âge de la Commission européenne en moins de 2 minutes. Le standard EUDI prévoyait du zero-knowledge. L'implémentation stocke le PIN dans un XML éditable.

Le FBI a récupéré des messages Signal effacés. Merci les notifications iPhone.

Le FBI a reconstitué des messages Signal effacés en passant par les métadonnées de notifications push iPhone. Le chiffrement E2E n'y change rien.

« Aucun accès », et l'app lit quand même tes fichiers

macOS grave un accès permanent sur tes fichiers quand tu utilises le sélecteur Open/Save. L'interface Confidentialité & Sécurité ne le montre pas. Depuis 2019.

108 extensions Chrome piégées, ton Google et ton Telegram avec

108 extensions Chrome malveillantes identifiées dans le Chrome Web Store par les chercheurs de Socket. Vol d'OAuth Google, backdoors, exfiltration Telegram. Google notifié, extensions encore en ligne à la publication. Si tu utilises Chrome sur Mac, tu es concerné.

Données et loi

Google livre tes données à l'immigration — sans te prévenir

Sur simple subpoena administratif d'ICE, Google a transmis les données d'un journaliste sans notification préalable, rompant une promesse décennale.

L'ANSSI place Claude Cowork et OpenClaw en alerte

L'ANSSI publie une alerte officielle sur les agents IA autonomes sur postes de travail. Claude Cowork et OpenClaw nommément cités. Ce que tu dois faire.

Données et loi

AI Act, l'UE protège l'essentiel et reporte le reste

Ta localisation vendue en temps réel depuis 3 ans, sans que tu le saches

Données et loi

Chat Control 2.0, l'UE veut scanner tes messages

Sous prétexte de protéger les enfants, l'UE prépare une infrastructure de surveillance de masse de toutes les messageries chiffrées. Le trilogue s'accélère.

APT28 vole tes tokens Microsoft sans toucher à ton Mac

Le renseignement militaire russe exploite des routeurs non patchés pour intercepter silencieusement tes tokens OAuth Office. Ce que tu dois faire.

ClickFix macOS, Script Editor contourne l'alerte Terminal

Apple a ajouté un avertissement anti-ClickFix dans le Terminal avec macOS 26.4. Les attaquants ont aussitôt basculé sur Script Editor pour diffuser Atomic Stealer sans friction.

SparkCat revient sur l'App Store et scanne ta galerie

SparkCat accède à ta galerie Photos, scanne tout avec OCR et exfiltre les seed phrases crypto. Ne stocke jamais une phrase mnémonique en screenshot.

Coruna, un toolkit US aux mains de pirates russes

Coruna exploite 23 failles iOS 13 à 17.2.1, s'installe en silence. Déjà aux mains de criminels russes. Active Lockdown Mode maintenant.

DarkSword, mise à jour iOS 18.7.7 obligatoire

Le code source de DarkSword est sur GitHub. Apple publie iOS 18.7.7 pour corriger WebKit, Kernel et Keychain. Update obligatoire.