Fondateur et directeur général de Flawfence
Consultant en sécurité offensive depuis plus de dix ans, Thibaud a fondé Flawfence pour rendre le pentest continu accessible aux PME et aux ETI : un moteur algorithmique qui cartographie le périmètre exposé et détecte les failles, puis un agent de pentest IA qui tente l’exploitation et conserve la preuve.
Il signe les analyses du blog : les chaînes d’exploitation WordPress (wp2shell, xss2shell, CVE-2026-87902), les failles GitLab et Proxmox, l’attaque des superviseurs frigorifiques Danfoss, et les articles de fond sur le pentest IA, la surface d’attaque externe et la conformité NIS2 et ISO 27001. Chaque article de faille s’accompagne d’un test de détection non destructeur, que le lecteur peut rejouer.
Le moteur et l’agent Flawfence tournent sur des programmes de bug bounty YesWeHack, où une faille ne compte que si l’entreprise visée la valide. Les résultats sont publics sur le profil du hunter trackflaw.
Du plus récent au plus ancien. Les articles d’actualité portent une date de mise à jour quand les faits ont bougé depuis la publication.
Nuit du 11 au 12 octobre 2026 : des superviseurs frigorifiques Danfoss AK-SM et AK-SC exposés sur Internet ont été détournés dans environ 700 supermarchés français, puis des contrôleurs Dixell la nuit suivante. Chronologie mise à jour, produits et CVE en cause, recommandations du CERT-FR.
Pentest IA, pentest agentique, agent de pentest : définition, fonctionnement d'un test d'intrusion par intelligence artificielle, ce qu'il trouve, ce qu'il rate, et comment juger une offre.
Agent de pentest IA : la boucle observer-supposer-tester-prouver, les outils, les garde-fous, et ce qui sépare un vrai agent d'un scanner dont une IA commente les résultats.
Un pentest IA fait transiter les réponses de votre production par un modèle de langage. Où tourne-t-il, dans quel pays, avec quelle rétention ? Pourquoi un pentest IA souverain n'est pas qu'un argument marketing.
Deux failles critiques (CVSS 9.9) dans le moteur d'expressions régulières de GitLab CE/EE : une regex CI/CD façonnée corrompt la mémoire du serveur et peut mener à l'exécution de code. Versions touchées, détection par la version, correctif 19.2.7 / 19.3.3 / 19.4.1.
CVE-2026-87902 affecte WordPress 4.7.0 à 7.1.1 : un path traversal non authentifié permet d'inclure un fichier PHP local. Versions concernées, correctif 7.1.2, test de détection et remédiation.
Pentest automatisé, pentest continu, PTaaS, scan : les différences réelles, ce que l'automatisation trouve et rate, la conformité, et sept questions pour évaluer une offre.
CVE-2026-85706 : une faille CVSS 10 dans l'API des dépôts de GitLab laisse un anonyme lire n'importe quel fichier du serveur. Mécanisme, versions touchées, détection et correctif.
Contournement d'authentification pré-auth dans Proxmox VE 7 (CVE-2023-54391) : accès root@pam sans mot de passe via tfa-challenge. Détection et remédiation.
Piratage DGFiP : trois intrusions en juin, juillet et août 2026, 678 000 dossiers fiscaux volés. Êtes-vous concerné, et que faire contre la fraude ?
xss2shell (CVE-2026-64638) touche toutes les versions de WordPress avant la 7.0.3 et peut mener à la prise de contrôle complète d’un site. Ce que la faille change pour votre organisation, comment vérifier votre exposition et comment vous protéger.
Où en est la transposition de NIS2 en France, qui est concerné, ce que la loi renvoie aux décrets ANSSI, et les trois chantiers à lancer dès maintenant.
Méthode pas à pas pour lister vos actifs exposés sur Internet : sous-domaines oubliés, Shadow IT, ports ouverts, posture mail. Avec les commandes et les outils gratuits.
Prix d'un pentest, d'un scan de vulnérabilités et d'un audit 360° en 2026 : fourchettes du marché, ce qui fait varier un devis, et comment le lire sans se faire avoir.
wp2shell est une RCE pré-authentification dans WordPress Core (CVE-2026-63030 + CVE-2026-60137). Fonctionnement, versions vulnérables, PoC, détection et remédiation.
Contrôle A.8.8, fréquence des scans, preuves d'audit : le guide pratique pour mettre en place un scan de vulnérabilités automatisé conforme à l'ISO 27001:2022.
Le score CVSS seul ne dit pas quoi corriger en premier. Méthode pour prioriser ses vulnérabilités en croisant exposition, KEV et EPSS, avec les commandes et un exemple chiffré.
Structure type, mesures de l'article 21, preuves techniques attendues : le guide complet pour rédiger un rapport de conformité NIS2 clair et exploitable.
Cartographier le système d'information et ses actifs exposés sur Internet : ce qu'une cartographie contient, pourquoi la DSI en a besoin, les outils, et une méthode en deux temps pour l'infrastructure externe, avec un aperçu gratuit.
Choisir un scan de vulnérabilités en 2026 est un moment délicat. Quel outil choisir ? Quel type de scan ? Pour quel type de système ? Nous vous éclairons sur le sujet.
