622 correctifs en une seule journée, le Pentagone qui suspend sa propre certification cyber, Bruxelles qui planifie une capacité qu'elle n'a pas, et les données de Lidl qui quittent un bâtiment que Lidl ne possède pas.
Au sommaire
- 01622 correctifs en une journée. Les deux activement exploités ont obtenu 7,2 et 5,3.
- 02Le Pentagone a suspendu la certification cyber qu'il a mis six ans à construire.
- 03Bruxelles a un plan pour les attaques pilotées par l'IA. L'application commence dans trois semaines.
- 04Vous ne pouvez pas corriger 622 éléments. Alors cessez de vous demander si vous êtes à jour.
- 05Les données clients de Lidl ont quitté un bâtiment que Lidl ne possède pas.
Recevez le prochain GRC Brief dans votre boîte mail.
S'abonner à The GRC Brief622 correctifs en une journée. Les deux activement exploités ont obtenu 7,2 et 5,3.
Le Patch Tuesday de juillet de Microsoft comportait des correctifs pour 622 CVE uniques, la plus grande publication de l'histoire du programme. En mai, le vice-président ingénierie de Microsoft avait prévenu que les lots mensuels allaient grossir, car l'IA accélère la découverte de vulnérabilités. Peu de gens anticipaient 600 correctifs deux mois plus tard. Le détail : 416 failles dans Windows, 82 dans Office et 82 dans Office 2016, 46 dans Edge, 17 dans SharePoint Server. Plus de 60 critiques, 26 avec un score CVSS supérieur à 9,0, 13 à 9,8. Trois zero-days, dont deux déjà exploités : une élévation de privilèges dans Active Directory Federation Services (CVSS 7,2) et une faille d'authentification manquante dans SharePoint Server (CVSS 5,3). Les deux figurent dans le catalogue des vulnérabilités connues exploitées de CISA, avec des échéances fédérales au 17 et au 28 juillet. Le troisième, connu publiquement mais non exploité, contourne le chiffrement BitLocker avec un accès physique. Les chercheurs cités y voient la fin du Patch Tuesday comme rituel mensuel et le début d'un cycle de correctifs continu et à fort volume ; ils sont quasi unanimes pour dire que la priorisation par CVSS seul est terminée.
Source: Dark Reading · Microsoft July 2026 Patch Tuesday, 14 Jul 2026
Mon analyse
Le chiffre phare est 622. La leçon, c'est 7,2 et 5,3. Ce sont les scores des deux failles que les attaquants utilisent réellement ce mois-ci. Vos treize vulnérabilités à 9,8 ne sont pas celles qui vous font du mal. Si votre programme de correctifs trie par CVSS et descend la liste, vous corrigez dans le mauvais ordre, avec plus de confiance que les données ne le justifient.
Voici le détail qui devrait clore le débat. Tenable a souligné que les notes d'exploitabilité ne tiennent pas compte de la vitesse à laquelle l'IA construit désormais des exploits : un modèle frontier a produit des preuves de concept fonctionnelles pour 13 des 14 vulnérabilités que Microsoft avait classées comme peu probables ou moins probables à exploiter. « Peu probable » est désormais un constat sur le passé. Ce n'est pas une prédiction sur laquelle vous pouvez planifier un mois entier.
Ce qu'il faut faire dès lundi : cesser de traiter le CVSS comme file de priorité. Utilisez CISA KEV et EPSS pour identifier ce qui est réellement exploité, puis intégrez votre propre contexte : ce qui est exposé sur Internet, ce qui détient des privilèges. Des SLA à plusieurs niveaux : quelques heures pour tout ce qui est dans KEV, quelques jours pour le reste. Et acceptez le constat structurel : personne ne corrige 622 éléments. La priorisation est désormais le contrôle principal, pas la couverture des correctifs.
Le Pentagone a suspendu la certification cyber qu'il a mis six ans à construire.
Le 13 juillet, le département américain de la Défense a suspendu la phase deux du Cybersecurity Maturity Model Certification, qui devait entrer en vigueur en novembre, et a ouvert une révision complète du programme avec une task force de 60 jours et une demande publique d'informations. Le CMMC, annoncé début 2020, obligeait les sous-traitants de la défense à prouver, via des évaluateurs privés agréés, leur capacité à traiter des informations gouvernementales sensibles. Le DSI du département a déclaré que les exigences actuelles et prévues génèrent des coûts de conformité prohibitifs et des charges bureaucratiques inacceptables, en particulier pour les petites entreprises, tout en insistant sur le fait que la cybersécurité reste une priorité non négociable et que les prestataires doivent toujours respecter leurs obligations réglementaires et les exigences de la phase un. Le sous-secrétaire à l'acquisition a présenté cela comme une mise en mode pied de guerre de la passation de marchés, plutôt que de noyer les fournisseurs dans la paperasse en temps de paix. Et une raison plus discrète figure dans l'annonce : il n'y a pas assez d'évaluateurs pour conduire toutes les évaluations avant l'échéance de novembre.
Source: US War Department · CMMC phase two suspension, 13 Jul 2026
Mon analyse
Lisez au-delà du discours politique jusqu'à la phrase qui compte : pas assez d'évaluateurs. Le dispositif n'a pas échoué sur le principe ; il a échoué sur la capacité. C'est le fil conducteur de toute cette édition. Un programme de certification n'est réel qu'à hauteur du nombre de personnes compétentes pour le conduire, et la demande de certificats dépasse toujours l'offre de personnes qualifiées pour les délivrer. Je vois la même pression dans l'univers ISO chaque année.
Si vous êtes sous-traitant de la base de défense américaine, ne mal interprétez pas cela. Ils ont suspendu la certification, pas l'obligation. La phase un tient. Vos obligations contractuelles et réglementaires de protection de ces informations tiennent. Un audit en pause n'est pas une obligation en pause ; et quand la révision aboutira dans 60 jours, la dette accumulée entre-temps sera exigible en une seule fois.
Notez aussi la divergence avec l'Europe. La semaine dernière, Bruxelles a traîné quatre gouvernements devant les tribunaux pour non-transposition de NIS2. Cette semaine, Washington a suspendu son propre dispositif pour abaisser la barrière pour les petits fournisseurs. Même problème, instinct opposé : l'un impose la paperasse, l'autre la suspend. Ni l'un ni l'autre n'a réellement résolu le fond du problème : le travail a dépassé le nombre de personnes disponibles pour le réaliser.
Bruxelles a un plan pour les attaques pilotées par l'IA. L'application commence dans trois semaines.
Le 7 juillet, la Commission européenne a présenté son plan d'action sur la cybersécurité et l'intelligence artificielle, présentant l'IA avancée comme à double usage : elle peut trouver des vulnérabilités, automatiser des attaques et faire monter en charge des incidents à une vitesse sans précédent, mais elle peut aussi renforcer la détection et la réponse. Trois objectifs : promouvoir l'utilisation sûre de l'IA avancée, renforcer la cyber-résilience de l'UE, et développer les capacités européennes en matière d'IA pour la cybersécurité. Les éléments concrets comprennent la construction d'une capacité d'évaluation de l'UE pour soutenir l'évaluation par des tiers des modèles d'IA réalisée par l'AI Office, un référentiel développé avec ENISA, un environnement de test sécurisé, et environ 100 millions d'euros d'investissement du Fonds EIC dans des startups cyber et IA d'ici fin 2026. Le plan appelle également à une capacité d'IA frontier souveraine pour éviter de nouvelles dépendances stratégiques. Il s'appuie sur le cadre existant : l'AI Act, le Cyber Resilience Act, NIS2 et DORA ; les dispositions de l'AI Act relatives à l'IA à usage général commencent à être appliquées le 2 août. La capacité d'évaluation elle-même est ciblée pour 2027.
Source: European Commission · Action Plan on Cybersecurity and AI, 7 Jul 2026
Mon analyse
Il y a quelques semaines, je vous ai dit que l'accès à l'IA frontier était devenu une licence que Washington accorde et révoque, et que vous devriez disposer d'une option qui ne dépend de personne. C'était mon opinion. Lisez maintenant le plan de la Commission elle-même : capacité d'IA frontier souveraine, pour éviter de nouvelles dépendances stratégiques. Cet argument n'est plus un point de vue de newsletter. C'est la politique de l'UE, par écrit.
Le crédit là où il est dû : c'est un document sérieux qui connecte l'AI Act, NIS2, DORA et le CRA au lieu d'inventer un nouveau cadre. C'est important. Mais soyons honnêtes sur ce qu'est un plan. La capacité d'évaluation est ciblée pour 2027. Les 622 CVE en tête de cette édition sont arrivés mardi. L'écart entre le plan et la menace se mesure en années, et l'attaquant n'attend pas le référentiel d'ENISA.
La date à mettre dans votre agenda n'est pas 2027. C'est le 2 août, date à laquelle l'AI Act commencera à être appliqué aux fournisseurs d'IA à usage général. Si vous construisez sur ces modèles, les obligations de votre fournisseur vont bientôt devenir votre problème de preuve. Allez leur demander maintenant ce qu'ils vous fourniront, avant d'en avoir besoin lors d'un audit.
Vous ne pouvez pas corriger 622 éléments. Alors cessez de vous demander si vous êtes à jour.
Un avertissement d'abord : il s'agit d'un article fournisseur, un contenu sponsorisé rédigé par la société de sécurité Picus. L'argumentation vaut néanmoins la peine d'être examinée, et les chiffres cités proviennent d'autres sources. Le premier semestre 2026 a produit plus de CVE que n'importe quelle année complète avant 2024, à raison d'environ un toutes les 7,4 minutes. Le Zero Day Clock, qui mesure le délai entre la divulgation et un exploit fonctionnel sur des dizaines de milliers de CVE, place désormais la médiane 2026 bien en dessous d'une journée, contre plusieurs semaines il y a quelques années. Seule une infime fraction de ces CVE donne lieu à une attaque réelle. Les tests en conditions réelles ne peuvent pas combler l'écart : un exploit ne peut être déclenché que là où il existe et où il est sûr de le faire, ce qui, selon le décompte de Picus, couvre 10 à 15 % de la surface d'attaque typique d'une entreprise. Le reste, les failles sans exploit public, les systèmes réglementés ou isolés, l'avis de ce matin, reste non éprouvé. Leur proposition : tout exploit est une chaîne d'étapes dépendantes (exécution, contournement des défenses, élévation de privilèges, vol d'identifiants, mouvement latéral). Associez une vulnérabilité aux étapes qu'elle requiert, testez chacune par rapport aux contrôles que vous déployez réellement, et si une étape nécessaire n'a pas de chemin dans votre environnement, la chaîne ne peut pas se compléter sur cet actif, même si la faille est toujours présente.
Source: BleepingComputer · Picus sponsored post, 14 Jul 2026
Mon analyse
Je vous précise que cela vient d'un fournisseur parce que vous devez savoir qui parle. Prenez la logique, ignorez la démo. Et la logique tient : avec un nouveau CVE toutes les 7,4 minutes et des exploits disponibles en moins d'une journée, « sommes-nous à jour dans nos correctifs » a cessé d'être une question à laquelle on peut répondre. « Cette chaîne peut-elle se compléter ici » reste une question valide.
Regardez le début de cette édition et tout s'articule. Les deux failles exploitées ont obtenu 7,2 et 5,3. Une file de sévérité les enterre. La pensée par chaîne les identifie, parce qu'elle demande ce dont un attaquant a réellement besoin pour réussir dans votre environnement, plutôt que de savoir à quel point le chiffre est effrayant dans une feuille de calcul.
La partie inconfortable que personne ne vous vend : cela ne fonctionne que si vous savez ce que vos contrôles bloquent, et la plupart des organisations ne le savent pas. Si vous ne pouvez pas répondre à « le vol d'identifiants via shadow copy serait-il détecté ici » avec des preuves plutôt qu'une fiche technique fournisseur, aucune analyse de chaîne ne vous sauvera. Commencez par l'inventaire honnête, pas par la plateforme.
Les données clients de Lidl ont quitté un bâtiment que Lidl ne possède pas.
Le vendredi 10 juillet, Lidl a commencé à notifier les clients de sa boutique en ligne en Allemagne, en Belgique et aux Pays-Bas que leurs données avaient été volées. Pas chez Lidl. La violation s'est produite chez l'un de ses prestataires informatiques, où un fichier de données clients stocké séparément a été brièvement consulté et partiellement copié. Données concernées : civilité, prénom et nom, numéro de téléphone, adresse e-mail, date de naissance et numéro de client. Lidl indique qu'il n'y a pas d'indication que les mots de passe, adresses de facturation ou de livraison, coordonnées bancaires ou informations de paiement aient été affectés, et que les comptes clients restent sécurisés. Le prestataire n'a pas été nommé, le nombre de clients concernés n'a pas été communiqué, et personne n'a revendiqué l'attaque. Le prestataire a restauré ses systèmes, déposé une plainte et fait appel à une équipe forensics ; les autorités de protection des données ont été notifiées. Lidl, qui fait partie du Groupe Schwarz, exploite environ 12 900 magasins dans 32 pays. Pour contextualiser, le rapport annuel de l'autorité néerlandaise de protection des données du 8 juillet recensait plus de 39 000 notifications de violations en 2025, avec des signalements liés aux cyberattaques en hausse d'environ 1 500 à 2 400, et les signalements de prise de contrôle de comptes en hausse d'environ 600 à plus de 1 700.
Source: The Record · Lidl third-party breach, disclosed 10 Jul 2026
Mon analyse
Pas de numéros de carte, donc les gens hausseront les épaules. Ne le faites pas. Nom, date de naissance, téléphone, e-mail et numéro de client constituent un kit de phishing clé en main ciblant quelqu'un qui fait déjà ses achats là-bas ; Lidl l'a dit lui-même en demandant aux clients de se méfier du phishing et de l'usurpation d'identité. Les signalements de prise de contrôle de comptes aux Pays-Bas ont presque triplé en un an. C'est à cela que servent ces données.
Voici maintenant ce qui vous concerne. Lidl n'a pas été victime d'une violation. Le fournisseur de Lidl l'a été. Et pourtant, les notifications, le régulateur, les e-mails aux clients et les gros titres sont tous sous le nom de Lidl. Vous pouvez externaliser le traitement. Vous ne pouvez pas externaliser la responsabilité. En vertu du GDPR, vous êtes le responsable du traitement, ce prestataire est votre sous-traitant, et l'article 28 n'est pas une formalité que vous avez signée une fois en 2019.
Posez cette question dès lundi, à voix haute : lequel de nos fournisseurs détient un fichier stocké séparément avec nos données clients ? Qui l'a approuvé ? Quand a-t-il été contrôlé pour la dernière fois ? Et apprendrions-nous un incident de leur part, ou de la presse ? Lidl n'a pas nommé son prestataire. La question intéressante est de savoir si le vôtre vous nommerait.