Plex Media Server : Des serveurs piratés à distance pour miner du Monero via la chaîne d'exploits Plex2Shell!!

Salut à tous les amoureux de l'high-tech,

Si vous hébergez vos films, séries et musiques sur un serveur Plex Media Server, une mise à jour urgente s'impose. Plusieurs vulnérabilités en chaîne, regroupées sous le nom Plex2Shell, font actuellement l'objet d'une campagne d'attaques actives visant à prendre le contrôle complet des serveurs non corrigés pour y installer le logiciel de minage de cryptomonnaies XMRig.

Comment fonctionne la chaîne d'attaques Plex2Shell ?

Révélée mi-octobre 2026 par des chercheurs en sécurité, cette méthode d'attaque combine quatre failles consécutives pour compromettre une machine sans la moindre authentification préalable :

[ REQUÊTE SANS AUTHENTIFICATION ]
                │
                ▼
[ TRAVERSÉE DE REPRÉTOIRE (Path Traversal / Fuite du Token) ]
                │
                ▼
[ FORGERIE DE REQUÊTES (SSRF / Contrôle des chemins Transcoder) ]
                │
                ▼
[ INJECTION ET EXÉCUTION DE CODE DANS LE DOSSIER CODECS ]
                │
                ▼
[ DÉPLOIEMENT DU MINEUR XMRIG & PROXY LINUX ]

• Exécution de code à distance (RCE) : En détournant des paramètres de requêtes et la chaîne de traitement des codecs, les pirates parviennent à déposer un fichier partagé ELF malveillant (.so) et à le faire exécuter automatiquement par le serveur Plex.

• Vol du jeton d'accès (PlexOnlineToken) : L'une des failles permet de récupérer le jeton de session administrateur, donnant un contrôle total sur le compte Plex et les réglages de la machine.

• Impact matériel : Le logiciel de minage XMRig s'accapare l'intégralité des ressources du processeur (CPU), provoquant des surchauffes, un ralentissement généralisé du serveur et une consommation électrique anormale.

Comment protéger et vérifier son installation ?

Pour vous prémunir contre cette vague d'attaques, la priorité absolue est d'installer les versions corrigées fournies par l'éditeur :

• Version minimale requise : Passez immédiatement à Plex Media Server 1.43.3.10861 (ou supérieure) et Plex Desktop 1.115.0.

• Alerte pour les conteneurs Docker et serveurs NAS (Synology, QNAP, Unraid) : Les dépôts d'applications automatiques accusent souvent un retard. Il est vivement conseillé de vérifier manuellement le numéro de build exact dans la console d'administration Plex ou d'utiliser les packages officiels à jour.

• Mesures d'isolement : Si vous n'utilisez pas l'accès à distance, désactivez le relais distant dans les paramètres de réseau et fermez le port externe 32400 sur votre routeur ou pare-feu.

En cas de doute sur une éventuelle infection, vérifiez les processus en cours (recherche de xmrig ou lovelyminer), observez l'activité du processeur et inspectez l'apparition de nouveaux fichiers récents dans le dossier Codecs de votre installation Plex.

L'Avis

L'exploit Plex2Shell rappelle l'exposition critique des serveurs multimédias autohébergés lorsque le port d'accès distant est ouvert directement sur Internet sans couche de protection intermédiaire.

Alors que beaucoup d'utilisateurs considèrent leur serveur Plex comme un simple outil de divertissement local, l'intégration de fonctionnalités de transcodage et de codecs à distance en fait une cible de choix pour les botnets de minage. Pour les passionnés d'infrastructures domestiques (homelabs), c'est l'occasion de rappeler l'importance d'isoler ce type de service derrière un VPN (WireGuard, Tailscale) ou un reverse proxy authentifié au lieu d'exposer directement les ports applicatifs aux scanners du Web.

Connectivité spatiale : Big Four européen (dont Orange) s'allie pour contrer le monopole de Starlink sur les smartphones!!

Salut à tous les amoureux de l'high-tech,

C'est une initiative industrielle majeure pour la souveraineté numérique du Vieux Continent. Les quatre géants européens de la télécommunication — Orange, Deutsche Telekom, Telefónica et Vodafone — ont officiellement signé une lettre d'intention ce lundi 19 octobre 2026.

Leur objectif commun : postuler ensemble à la réattribution des fréquences satellitaires de la bande des 2 GHz pilotée par la Commission européenne. Cette bande stratégique est la clé de voute permettant la technologie Direct-to-Cell, c'est-à-dire la connexion directe de nos smartphones standards aux satellites en zones blanches, sans antennes supplémentaires ni terminaux dédiés.

Une stratégie d'infrastructure au sol plutôt que des fusées

Contrairement aux idées reçues, ce quatuor d'opérateurs ne compte pas fabriquer sa propre constellation de satellites en repartant de zéro :

[ CONSTELLATION SATELLITAIRE (Partenaire à sélectionner) ]
                            │
                            ▼
[ INFRASTRUCTURE TERRESTRE & SUPERVISION (Alliance des 4 Opérateurs) ]
                            │
                            ▼
[ ACCÈS OUVERT AUX SMARTPHONES (Orange, DT, Telefónica, Vodafone + MVNOs/Concurrents) ]

• Déploiement des stations sol : Les quatre partenaires comptent construire les passerelles terrestres, les centres de supervision et assurer la compatibilité réseau globale.

• Sélection d'un partenaire spatial : La constellation sera louée ou exploitée en partenariat avec un acteur satellitaire qui reste à désigner (avec le regard tourné vers des acteurs comme Eutelsat OneWeb ou le projet européen IRIS²).

• Ouverture de l'accès : L'alliance s'engage à offrir un accès « ouvert et non discriminatoire », ce qui permettra à d'autres opérateurs comme Free, SFR ou Bouygues Telecom de raccorder leurs abonnés en itinérance spatiale.

L'enjeu géopolitique : La bande des 2 GHz et les menaces de Washington

Cette bataille pour les fréquences dépasse largement le cadre commercial pour devenir une véritable confrontation diplomatique entre Bruxelles et Washington :

• L'échéance de mai 2027 : Les licences actuelles des fréquences 2 GHz (détenues par Viasat et EchoStar) arrivent à leur terme. SpaceX ayant racheté les actifs d'EchoStar, Elon Musk comptait mettre la main sur ces fréquences en Europe.

• Le découpage européen : Pour bloquer un monopole américain, la Commission européenne propose de découper le spectre en trois blocs de 10 MHz (un pour le réseau gouvernemental IRIS², un réservé aux acteurs européens et un ouvert).

• Mise en garde américaine : La réaction des États-Unis a été immédiate. L'ambassadeur américain auprès de l'UE, Andrew Puzder, a brandi la menace de « représailles commerciales dévastatrices » contre les entreprises européennes si Starlink se voyait restreindre l'accès à ces fréquences.

L'Avis

Cette alliance entre Orange, Deutsche Telekom, Telefónica et Vodafone est un sursaut vital pour l'écosystème européen des télécoms. Séparément, aucun opérateur européen ne possède la puissance de frappe financière ou spatiale de SpaceX.

En regroupant leurs forces pour sécuriser les fréquences terrestres et imposer un accès ouvert, ces opérateurs évitent le scénario cauchemar dans lequel Starlink deviendrait à terme un opérateur mobile supranational vendant ses forfaits en direct sur iPhone ou Android sans passer par eux. La route reste néanmoins longue jusqu'à l'attribution définitive prévue entre 2027 et 2029, dans un contexte d'intenses tensions diplomatiques sino-américaines et transatlantiques.

Vinted et Leboncoin : déferlement d'annonces de produits volés après les récents pillages!!

Salut à tous,

Dans la foulée des violents événements et des scènes de pillage qui ont frappé plusieurs grandes agglomérations françaises au cours du week-end des 17 et 18 octobre 2026, l'écosystème de la revente entre particuliers se retrouve en première ligne. Les plateformes comme Vinted et Leboncoin font face à une vague inédite d'annonces de produits d'origine frauduleuse.

Ropa, smartphones, consoles ou parfum : de nombreux articles dérobés dans des enseignes nationales et des commerces de proximité se sont retrouvés en ligne en quelques heures à peine.

Des emballages sous antivol et des indices flagrants

Le manque de précaution de certains pilleurs sur les applications C2C (Consumer-to-Consumer) a rapidement provoqué l'indignation des utilisateurs et l'alerte des algorithmes :

[ PILLAGE EN MAGASIN (17-18 Octobre) ]
                   │
                   ▼
[ PUBLICATION D'ANNONCES SUSPECTES ]
(Vêtements avec antivols/étiquettes, descriptions explicites, volumes anormaux)
                   │
                   ▼
[ COOPÉRATION AVEC LES FORCES DE L'ORDRE ]
(Réquisition judiciaire des données KYC : IBAN, CNI, IP, adresses)

• Des preuves manifestes : Plusieurs annonces affichaient des vêtements pris en photo avec l'étiquette de magasin et l'antivol encore fixé, ou des descriptions faisant directement référence aux émeutes du 17 octobre pour justifier des prix bradés.

• Des données d'identification exploitables : Contrairement à la revente à la sauvette dans la rue, la vente sur Vinted ou Leboncoin laisse des traces indélébiles. Les règles européennes sur la transparence (Directive DAC7) imposent l'enregistrement d'identités réelles, de coordonnées bancaires (IBAN), d'adresses IP et parfois de pièces d'identité.

La réplique des plateformes et la traque des recéleurs

Face à la pression gouvernementale et à l'indignation publique, les géants de la seconde main ont renforcé leurs protocoles de modération :

• Fermeture de comptes et suppression d'annonces : Vinted a confirmé l'ajustement de ses filtres de modération automatique par IA pour repérer les mots-clés suspects et bloquer les profils associés.

• Réquisitions judiciaires : Les forces de l'ordre s'appuient sur les réquisitions auprès des plateformes pour croiser les comptes vendeurs avec les fichiers de géolocalisation et les images de vidéoprotection capturées durant les vols.

• Le risque juridique du recel : La législation rappelle que l'achat ou la revente d'un bien en sachant qu'il provient d'un crime ou d'un délit constitue un acte de recel, passible en France de 5 ans d'emprisonnement et 375 000 euros d'amende.

L'Avis

Ce phénomène de revente immédiate sur Vinted ou Leboncoin met en lumière la naïveté de certains délinquants face à l'empreinte numérique qu'imposent désormais les plateformes e-commerce.

Pensant monétiser rapidement leur butin à l'abri d'un pseudo, les revendeurs oublient que le cadre réglementaire européen a totalement verrouillé l'anonymat bancaire et numérique sur ces réseaux. La collaboration directe entre les algorithmes de modération et les services de police risque de transformer ces annonces d'apparence facile en pièces à conviction directes devant les tribunaux.

Transports verts : 3 bus à hydrogène à 1,7 million d'euros finissent à la casse dans le Tarn!!

Salut à tous les amoureux de l'high-tech,

C'est un véritable fiasco financier et technologique qui secoue la communauté d'agglomération Castres-Mazamet (Tarn). Achetez en 2016 pour la somme de 1,7 million d'euros (dont plus de 500 000 euros de subventions publiques), trois bus à hydrogène pionniers vont être expédiés directement à la casse.

Après avoir parcouru à peine 5 000 kilomètres sur le réseau local Libellus, ces véhicules accumulaient les pannes à répétition. Bilan de l'opération : un retour forcé vers des bus thermiques et une facture globale pour le contribuable frôlant les 3 millions d'euros.

La trajectoire d'un naufrage industriel et financier

La promesse d'une mobilité zéro émission a rapidement viré au cauchemar opérationnel pour la collectivité locale :

[ 2016 : ACHAT DE 3 BUS HYDROGÈNE SAFRA (1,7 M€) ]
                        │
                        ▼
[ 2018-2026 : PANNES CHRONIQUES (Moins de 5 000 km parcourus) ]
                        │
                        ▼
[ FAILLITE DU CONSTRUCTEUR SAFRA & IMPOSSIBLE REMBOURSEMENT ]
                        │
                        ▼
[ MISE À LA CASSE (7 500 €) + ACHAT DE BUS THERMIQUES (1,1 M€) ]

• Des pannes dès les premières sorties : Selon le président de la communauté d'agglomération, les véhicules ne parvenaient pas à assurer un service régulier sans tomber en panne au bord de la route.

• Mise à la casse et dépollution : Faute de solution technique ou de pièces de rechange, les bus vont être désossés par une entreprise spécialisée pour un surcoût de 7 500 euros à la charge de la collectivité.

• Impasse juridique : Les recours engagés devant le tribunal administratif de Toulouse pour obtenir le remboursement sont restés lettre morte. Le constructeur français Safra a été placé en redressement judiciaire début 2025 avant d'être racheté par le groupe chinois Wanrun en mai 2026.

Retour aux moteurs thermiques : L'échec de la transition locale

Face à l'urgence de maintenir le service public de transport, l'agglomération a fait le choix du pragmatisme économique et technique :

• Remplacement par le diesel : La collectivité a voté l'acquisition de trois bus thermiques traditionnels pour un montant de 1,1 million d'euros, jugés infiniment plus fiables pour assurer les trajets quotidiens des usagers.

• L'addition finale pour le contribuable : Entre l'achat initial, la mise au rebut et l'achat de la flotte de remplacement thermique, la facture globale s'élève à près de 3 millions d'euros.

L'Avis

Ce fiasco tarnais met en lumière les risques associés aux commandes publiques précurseurs dans des technologies encore peu matures à l'époque comme l'hydrogène lourd.

Si soutenir l'innovation et l'industrie locale part d'une intention louable, le manque de garanties financières et la fragilité des jeunes constructeurs exposent directement les collectivités au risque de faillite. Le retour vers des bus thermiques constitue un recul symbole regrettable pour la transition écologique locale, illustrant la difficulté de déployer des alternatives vertes fiables sur le terrain sans essuyer les plâtres.

Arnaques en ligne : La CJUE oblige les banques à rembourser immédiatement les victimes, même en cas de négligence grave!!

Salut à tous les amoureux de l'high-tech,

C'est un véritable coup de tonnerre pour le secteur bancaire et un soulagement majeur pour les victimes de phishing ou de fraudes au faux conseiller. Dans un arrêt fondamental rendu le 15 octobre 2026, la Cour de justice de l'Union européenne (CJUE) vient d'encadrer strictement les modalités de remboursement des paiements non autorisés.

Désormais, les banques européennes ont l'obligation légale de rembourser immédiatement le client lésé, et elles ne peuvent plus invoquer une « négligence grave » pour bloquer ou retarder la restitution des fonds.

L'obligation de remboursement immédiat : Ce que change la CJUE

Jusqu'à présent, de nombreux établissements bancaires utilisaient l'argument de la « négligence grave » (comme la communication d'un code SMS ou la validation d'une notification push) pour refuser d'indemniser leurs clients victimes d'ingénierie sociale.

[ SIGNALEMENT DE L'OPÉRATION NON AUTORISÉE PAR LE CLIENT ]
                            │
                            ▼
[ REMBOURSEMENT IMMÉDIAT OBLIGATOIRE (Au plus tard à J+1 ouvrable) ]
                            │
             ┌──────────────┴──────────────┐
             ▼                             ▼
   [ EXCEPTION 1 : FRAUDE DU CLIENT ]   [ EXCEPTION 2 : PROUVAGE A POSTERIORI ]
   (Soupçons raisonnables de            (La banque prouve la négligence grave
    complicité ou fausse déclaration)   devant la justice pour récupérer la somme)

• Remboursement sans délai : La banque doit créditer le compte du payeur au plus tard à la fin du premier jour ouvrable suivant le signalement de l'opération frauduleuse.

• Inversion de la charge chronologique : La banque ne peut pas auto-proclamer la « négligence grave » du client pour s'opposer au remboursement instantané. Elle doit d'abord rembourser, puis engager une procédure a posteriori si elle souhaite contester.

Deux exceptions strictement encadrées

Le texte prévoit uniquement deux cas de figure où l'établissement bancaire peut suspendre ou exiger le remboursement des sommes :

1. Soupçon raisonnable de fraude du client : Si la banque dispose d'indices graves montrant que l'utilisateur a lui-même orchestré la fraude pour toucher indûment l'indemnisation (le signalement doit alors être transmis aux autorités compétentes).

2. Action en recouvrement a posteriori : Si la banque démontre devant les tribunaux que le client a commis une négligence grave avérée, elle peut engager des poursuites juridiques pour récupérer le montant remboursé. La charge de la preuve repose intégralement sur les épaules de l'institution financière.

Un arrêt né d'un cas de phishing au quotidien

Cette décision de la CJUE trouve son origine dans le litige d'une épargnante polonaise piégée par un faux site Web. Après avoir transmis ses identifiants sous la pression d'une interface de hameçonnage et perdu environ 700 euros, sa banque avait catégoriquement rejeté sa demande d'indemnisation.

En France, des pratiques similaires faisaient régulièrement l'objet de contentieux (comme les refus d'indemnisation sur des fraudes au SIM swapping ou au faux conseiller bancaire, au motif que la clé digitale avait été activée). La jurisprudence européenne fixe désormais une règle du jeu uniforme pour l'ensemble du marché unique.

L'Avis

Cet arrêt de la CJUE remet l'équilibre des forces au centre de la relation entre banques et consommateurs. Face à la sophistication croissante des cyberattaques et de l'ingénierie sociale (usurpation de numéros, faux conseillers générés par IA, faux sites miroirs), faire reposer le risque financier sur l'utilisateur final était devenu intenable.

En imposant le remboursement automatique à J+1, la justice européenne contraint les établissements bancaires à investir massivement dans la prévention des risques, la détection des transactions atypiques en temps réel et le renforcement des mécanismes d'authentification forte.

Permis de conduire : La France se prépare à la fin du permis à vie d'ici 2028!!

Salut à tous les amoureux de l'high-tech,

C'est une évolution majeure pour les conducteurs français. Adoptée par le Parlement européen sous la directive (UE) 2025/2205, la fin du « permis valable à vie » est officiellement actée à l'échelle de l'Union européenne.

Les États membres, dont la France, ont désormais jusqu'au 21 octobre 2028 (ou au plus tard fin novembre 2028 pour la transposition complète) pour intégrer l'obligation de renouveler le titre de conduite tous les 15 ans dans leur droit national.

Que prévoit concrètement le texte européen ?

La directive fixe un cadre minimal visant à harmoniser la sécurité routière et les titres de conduite dans toute l'Europe :

[ TOUS LES 15 ANS : RENOUVELLEMENT ADMINISTRATIF (Permis B / A) ]
                               │
               ┌───────────────┴───────────────┐
               ▼                               ▼
     [ OPTION 1 : AUTO-ÉVALUATION ]   [ OPTION 2 : EXAMEN MÉDICAL ]
     (Déclaration sur l'honneur /     (Aptitude vérifiée par un médecin)
      questionnaire chez soi)

• Durée de validité plafonnée à 15 ans : Pour les catégories de permis légers (voiture/permis B, moto/permis A). Le texte laisse la possibilité aux pays d'abaisser cette durée à 10 ans si le titre sert aussi de pièce d'identité officielle (ce qui est le cas en France).

• Conducteurs de 65 ans et plus : Les États peuvent appliquer des durées de validité plus courtes (par exemple 5 ans) afin d'imposer des bilans médicaux ou des remises à niveau plus fréquents.

• Poids lourds et bus : Aucune nouveauté majeure pour les catégories professionnelles (C et D), dont le renouvellement sous contrôle médical s'effectue déjà tous les 5 ans.

Examen médical ou simple auto-évaluation : L'arbitrage français à venir

Contrairement aux idées reçues, la directive européenne ne rend pas obligatoirement le passage devant un médecin systématique pour tous :

• L'option de l'auto-évaluation (Alinéa 3) : Chaque pays peut choisir de remplacer la visite médicale par un système déclaratif ou une auto-évaluation réalisée chez soi (questionnaire sur l'honneur). C'est l'option soutenue par plusieurs élus français pour éviter un engorgement des cabinets médicaux.

• Aucun examen de conduite à repasser : Le renouvellement ne remet pas en cause le droit de conduire acquis. Il s'agit d'une démarche administrative de mise à jour des données (photo, adresse) couplée à la vérification d'aptitude.

L'Avis

L'alignement de la France sur le reste de l'Europe clôt une exception culturelle historique : celle du permis de conduire considéré comme un acquis gravé dans le marbre pour l'éternité.

Même si le principe d'un renouvellement tous les 15 ans choque une partie des usagers, la formalité administrative se rapprochera de celle de la carte d'identité ou du passeport, notamment avec la généralisation du permis numérique sur smartphone via France Identité. L'enjeu principal du gouvernement d'ici 2028 sera de trancher entre la souplesse d'une auto-évaluation et la rigidité d'un contrôle médical, sans bloquer la mobilité des seniors en milieu rural.

Tesla Roadster : décryptage de la prétendue "voiture volante" d'Elon Musk!!

Salut à tous les amoureux de l'automobile,

La présentation du nouveau Tesla Roadster le 15 octobre 2026 près de Waco au Texas a enflammé la Toile. Qualifié par beaucoup de « voiture volante » et doté de propulseurs issus de la technologie spatiale de SpaceX, cet événement marque un tournant spectaculaire dans la communication d'Elon Musk.

Mais derrière les effets de scène d'un véhicule capable de faire des sauts spectaculaires, qu'en est-il de la réalité technique, tarifaire et réglementaire ?

Ce que cache la technologie des propulseurs SpaceX

Loin de l'image de la voiture volante traditionnelle ou de l'aéronef de croisière, le nouveau Roadster intègre des options pour le moins radicales :

[ MODÈLES DU TESLA ROADSTER ]
            │
            ├─► Version Performance : Route & aérodynamique active
            ├─► Version Thrust : Piste & propulseurs à gaz froid à l'arrière
            └─► Version Rocket : Conçue pour les airs (10 propulseurs / sur invitation)

• Le système à gaz froid : Empruntés directement aux fusées Falcon 9 de SpaceX, ces propulseurs permettent des accélérations fulgurantes (0 à 100 km/h en moins d'une seconde) et des « sauts » ou vols en rafale courte de quelques secondes.

• L'effet Venturi : Des ventilateurs sous le châssis créent une dépression maintenant la voiture collée au sol ou sur des rampes inclinées à l'envers, comme l'a démontré le show au Texas.

Entre fantasme marketing et impasses réglementaires

Si l'objet a de quoi faire rêver les amateurs de science-fiction, la réalité juridique et pratique est nettement plus complexe :

• Interdit sur route ouverte : La version équipée des propulseurs de vol (« Rocket ») n'est absolument pas homologuée pour circuler sur la voie publique. La Federal Aviation Administration (FAA) américaine et les autorités européennes ne reconnaissent pas ce type d'engin comme un véhicule routier ou un aéronef certifié.

• Le calendrier et les tarifs : Annoncé avec une production prévue pour 2028, le Roadster accumule les retards depuis sa première esquisse en 2017. Côté prix, les acomptes requis s'envolent (de 50 000 $ à 250 000 $ selon les versions), tandis que la variante volante est réservée sur invitation.

Vidéo de la démonstration

L'Avis

Avec la présentation de ce nouveau Roadster, Elon Musk démontre une fois de plus sa capacité à captiver l'attention médiatique mondiale en repoussant les frontières entre ingénierie automobile et spectacle de science-fiction.

Si l'intégration de propulseurs spatiaux SpaceX relève avant tout du coup d'éclat technologique et du démonstrateur de savoir-faire, les contraintes physiques, d'homologation routière et de sécurité rendent l'usage quotidien d'un tel véhicule totalement irréaliste à court terme. Il n'en reste pas moins que Tesla réussit son pari marketing en refaisant du Roadster le sujet de conversation numéro un de la tech automobile.

Des box Orange et SFR peuvent se faire pirater à distance grâce à une faille Wi-Fi!!

Salut à tous les amoureux de l'high-tech,

C'est une découverte qui fait frémir les abonnés internet. Lors de la conférence Hexacon à Paris, le chercheur en cybersécurité belge Quentin Kaiser a révélé une vulnérabilité critique permettant de pirater à distance certaines box internet, et ce, sans même avoir besoin de connaître le mot de passe Wi-Fi.

En France, la Livebox 5 d'Orange et les box SFR sont directement concernées, tandis qu'en Belgique, jusqu'à 1,5 million d'appareils se trouvent exposés.

Un bug vieux de seize ans dans le WPS de Broadcom

La brèche a été découverte dans une ancienne version du protocole WPS (Wi-Fi Protected Setup) développé par Broadcom, dont les puces équipent une grande variété de routeurs et box du marché :

[ PROXIMITÉ WI-FI (Portée du réseau) ]
                │
                ▼
[ EXPLOITATION DE LA FAILLE WPS (Broadcom) ]
                │
                ▼
[ ACCÈS TOTAL À LA BOX & RÉCUPÉRATION DU MOT DE PASSE ]

• Le mécanisme de l'attaque : Le chercheur a mis en évidence un défaut dans la gestion des données échangées lors de l'authentification sans mot de passe via le WPS. Un pirate se trouvant simplement à la portée du réseau (par exemple, de l'autre côté de la rue) peut s'immiscer et prendre le contrôle complet de l'équipement.

• Le rôle de l'IA : Quentin Kaiser a reconnu s'être appuyé sur des « modèles d'IA de pointe » pour analyser et dénicher cette vulnérabilité en moins d'une semaine — un travail qui lui aurait pris des mois en solitaire.

• L'angle mort des CVE : Présente depuis 2010 et corrigée par Broadcom en 2018, cette faille n'a jamais reçu d'identifiant CVE de la part du fabricant, expliquant pourquoi de nombreux opérateurs n'ont jamais déployé le correctif sur leur parc installé.

Quelles sont les box concernées en France ?

Après avoir arpenté les rues de Paris pour scanner les réseaux Wi-Fi environnants, le chercheur a dressé la liste des équipements hexagonaux toujours vulnérables :

• Orange : La Livebox 5 (uniquement la version Sagemcom Fast5656). À l'inverse, la Livebox 6 est protégée.

• SFR : La Box Plus (uniquement la version NB6VAC).

• Les épargnés : La Bbox Wi-Fi 7 de Bouygues Telecom a reçu les correctifs nécessaires, et aucune Freebox n'apparaît touchée.

Modifier son propre mot de passe Wi-Fi ne sert à rien : le correctif doit impérativement provenir d'une mise à jour logicielle déployée directement par l'opérateur.

L'Avis

Cette affaire illustre de manière spectaculaire le poids de la « dette technique » accumulée dans nos infrastructures réseau. Qu'une faille vieille de seize ans sommeille dans des puces Broadcom omniprésentes dans nos foyers donne la mesure des angles morts de la cybersécurité grand public.

Alors que l'intelligence artificielle accélère désormais aussi bien la découverte de ces brèches par les chercheurs que leur exploitation potentielle par des acteurs malveillants, le maintien à jour des équipements n'est plus une option. Pour les abonnés Orange et SFR possédant les modèles ciblés, il conviendra de s'assurer que les mises à jour automatiques sont bien activées en attendant un correctif d'opérateur.

LineageOS 24 offre Android 17 à des millions de smartphones pour leur éviter l’obsolescence!!

Salut à tous les amoureux de l'high-tech,

Alors que les Pixel 6 et 6 Pro viennent de recevoir leur toute dernière mise à jour officielle de sécurité de la part de Google, bouclant ainsi leur cycle de cinq ans, l'écosystème du logiciel libre réagit au quart de tour. La célèbre ROM alternative LineageOS officialise le lancement de sa version LineageOS 24, taillée pour propulser ces appareils (et 173 autres) sous Android 17.

174 appareils pris en charge : la lutte contre la fin de vie programmée

La nouvelle version majeure de LineageOS élargit considérablement le parc d'appareils compatibles, passant à 174 modèles pris en charge (contre 104 un an plus tôt pour la version 23.0) :

• Le cas des Pixel 6 : Abandonnés par Google en octobre 2026 sans correctifs futurs pour leurs modules de paiement sans contact ou de stockage sécurisé, ils obtiennent un sursis majeur grâce à la communauté.

• Le rétrofit historique : Des modèles plus anciens comme le Pixel 4a (sorti sous Android 11 et abandonné en 2023) se voient ainsi prolongés jusqu'à Android 17, soit quatre versions majeures au-delà de la fin de vie officielle décrétée par le constructeur.

L'installation : entre simplification web et contraintes techniques

Si l'initiative prolonge la durée de vie matérielle de millions de téléphones, l'accès à LineageOS reste une manipulation réservée à un public averti :

[ DÉVERROUILLAGE DU BOOTLOADER ]
                │
                ├─► Outil de flash par navigateur (flash.lineageos.org)
                │   (Gestion partielle ADB / Fastboot / Odin)
                │
                └─► Absence native des services Google (MicroG / GAPPS en option)

• L'outil web de flash : Introduit pour simplifier la procédure via les navigateurs compatibles, il permet d'alléger le recours aux lignes de commande complexes, bien que les guides du wiki restent indispensables.

• Le choix de la souveraineté logicielle : LineageOS arrive sans aucun service Google préinstallé, garantissant une confidentialité accrue... au prix d'une configuration initiale plus technique pour réintégrer le Google Play Store ou opter pour des alternatives libres.

Le contraste réglementaire : quand l'UE impose cinq ans

Cette transition met en lumière l'évolution récente des exigences légales en Europe. Depuis le 20 juin 2025, un règlement européen impose aux fabricants de smartphones commercialisés dans l'UE d'assurer au moins cinq ans de mises à jour logicielles.

Sortis un peu trop tôt, les Pixel 6 s'arrêtent précisément sur ce plancher réglementaire de cinq ans. Les générations suivantes (Pixel 7, Pixel 8 et au-delà) bénéficieront quant à me de la garantie légale ou des promesses constructeurs sur sept ans, réduisant progressivement le besoin de recourir à des ROMs customisées. Pour les flottes de smartphones plus anciennes, LineageOS reste toutefois le rempart ultime contre l'obsolescence matérielle.

L'avis

LineageOS 24 rappelle à quel point le logiciel libre et la communauté des développeurs indépendants jouent un rôle critique dans la lutte contre l'obsolescence programmée.

Alors que les fabricants fixent des dates de péremption arbitraires pour pousser au renouvellement du matériel, offrir Android 17 à des smartphones sortis il y a cinq ans démontre que les composants techniques ont souvent une durée de vie bien supérieure à celle que veulent bien admettre les services marketing. Un pied de nez salutaire à l'ère du tout jetable numérique.

Écosystème domotique : Dix ans après, Google continue de mettre à jour ses premières enceintes Home!!

Salut à tous les amoureux de la domotique,

Dans un secteur technologique trop souvent marqué par l'obsolescence programmée, l'annonce de Google concernant son matériel domotique fait figure de très bonne surprise.

La firme de Mountain View teste actuellement une nouvelle mise à jour logicielle (préversion 3.79.550760) destinée à quatre de ses enceintes connectées historiques :

• Google Home (l'enceinte originale lancée en 2016, il y a tout juste 10 ans !)

• Google Home Mini

• Google Nest Mini

• Google Nest Audio

Que contient cette mise à jour 3.79 ?

Il ne s'agit pas de bouleverser l'interface, mais d'optimiser en profondeur le fonctionnement de ces appareils toujours très présents dans les foyers :

[ MISE À JOUR 3.79.550760 ]
            │
            ├─► Amélioration du rendu audio & gestion de la stabilité du volume
            ├─► Correctifs Wi-Fi & appairage réseau pour éviter les déconnexions
            └─► Fluidité des commandes domotiques & intégration de Gemini

• Stabilité audio & réseau : Meilleure gestion de la diffusion multimédia et résolution de bugs récurrents liés à la connectivité Wi-Fi.

• Maison connectée & Gemini : Optimisation de la réactivité lors du contrôle des objets domotiques et amélioration de l'interaction vocale avec le modèle IA maison (qui a désormais remplacé l'ancien Google Assistant).

Le grand écart stratégique : Google vs Amazon vs Apple

Cette politique de suivi logiciel sur une décennie met en lumière trois visions diamétralement opposées du marché de la smart home :

Constructeur	Modèles historiques (2014-2020)	Accès à la nouvelle IA vocale	Suivi des mises à jour
Google	Google Home (2016), Home Mini	Oui (Passage à Gemini déployé)	Actif (Correctifs & fonctionnalités)
Amazon	Echo Gen 1 (2014)	Non (Exclu d'Alexa+)	Restreint (Mises à jour de sécurité uniquement)
Apple	HomePod 1 & HomePod mini 1	Non (Siri AI réservé au HomePod mini 2)	Restreint (Pas d'accès aux fonctions avancées)

L'avis

Le maintien en condition opérationnelle de la première enceinte Google Home de 2016 est une excellente nouvelle pour les utilisateurs et pour la durabilité des équipements tech.

En intégrant Gemini sur des appareils conçus il y a dix ans tout en continuant d'optimiser leurs pilotes réseau et leur pile domotique, Google montre qu'un hub vocal n'a pas besoin d'être remplacé tous les trois ans pour rester performant. Une approche responsable qui contraste avec la stratégie de segmentation d'Apple et d'Amazon, qui réservent leurs intelligences artificielles de dernière génération à des achats de matériel neuf.