NEW

Les pentests automatisés par IA sont arrivés chez Mobeta

Planifier un échange

[ LE LAB MOBETA ]

La recherche offensive de nos pentesters.

Active Directory, Azure, mobile, web. Le fruit de notre R&D et de nos missions terrain.

Cyber Resilience Act, règlement (UE) 2024/2847 : quatre chiffres à retenir. 24 h : alerte précoce, dès la prise de connaissance. 72 h : notification, avec les mesures prises. 14 jours : rapport final, après mise à disposition du correctif, pour les vulnérabilités activement exploitées ; pour un incident grave, le délai est d’un mois après la notification à 72 h. 5 ans : période d’assistance, au moins, sauf usage plus court, à partir du 11 décembre 2027.

Conformité

Cyber Resilience Act : ce que le délai de 24 heures change pour les pentests et la gestion des vulnérabilités

Depuis le 11 septembre 2026, le CRA impose une alerte sous 24 h en cas de vulnérabilité activement exploitée. Et une faille trouvée en pentest ?

CVE-2026-59309 checker output: the SASL SRP bind completes as administrator@vsphere.local with no password, then lists the members of the Administrators group.

Reverse Engineering

CVE-2026-59309 & CVE-2026-59310: Patch-diffing VMware vCenter to auth bypass and RCE

Exploitation de CVE-2024-1813 : le PoC dépose un webshell footer.php sur le WordPress vulnérable, et un curl confirme l’exécution de commandes en tant que www-data

Web

Simple Job Board ≤ 2.11.0 – Unauthenticated RCE (CVE-2024-1813)

Écran de connexion d’une application mobile proposant l’authentification via Microsoft (OAuth)

Mobile

Intents Android (2/2) : Deep Links, App Links, attaques et mitigation

Une WebView exécute un script injecté via une donnée d’Intent piégée : XSS réfléchie sur Android

Mobile

Intents Android (1/2) : fonctionnement, sécurité et exemples d’attaques

ntlmrelayx relaie l’authentification de NORTH\robb.stark vers GLPI et promeut arya.stark en Super-Admin, à côté de l’interface GLPI d’ajout d’habilitation

Active Directory

Guide pour relayer NTLM sur HTTP – l’exemple de GLPI

Schéma du flux de demande d’un jeton d’accès via l’IMDS d’une identité managée Azure

Azure

Usurpation d’Identités managées dans Azure

Politique d’accès conditionnel restreignant l’enregistrement de nouveaux appareils dans Entra ID

Azure

État de l’art sur le phishing Azure en 2025 (partie 2) – Étendre l’accès

Page de connexion par code d’appareil de Microsoft, où la victime saisit le code généré

Azure

État de l’art sur le phishing Azure en 2025 (partie 1) – Device code flow

Accès administrateur au partage C$ d’un poste, obtenu via un Silver ticket forgé à partir du secret de son compte machine

Active Directory

Les comptes machines dans Active Directory

Page de synthèse d’un rapport de pentest Mobeta : 5 vulnérabilités, niveau de sécurité global « critical » et récapitulatif par criticité

Web

Qu’est-ce qu’un Pentest ?

Quel est votre niveau
d’exposition réel ?

30 minutes avec un expert pour le savoir. Sans engagement.

Planifier un échange Ou envoyez-nous un message →