Ostorlab

Ostorlab vs MobSF : tests de sécurité mobile pilotés par un analyste ou par l'IA (2026)

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

Ostorlab vs MobSF (Mobile Security Framework) pour tester la sécurité des applications mobiles : analyse statique et dynamique, prérequis matériels, preuve d'exploitation, tests authentifiés, intégrations, déploiement et coût, avec des alternatives et une FAQ.

Ostorlab vs Oversecured : comparatif des tests de sécurité des applications mobiles (2026)

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

Ostorlab vs Oversecured pour le test de sécurité des applications mobiles : couverture iOS et Android, preuve d'exploitation, tests authentifiés, API, intégrations, déploiement et tarifs, avec un tableau comparatif, des alternatives et une FAQ.

Alternatives à Snyk et Checkmarx : Ostorlab face à Snyk Code, Checkmarx One et GitHub Advanced Security (2026)

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

Les meilleures alternatives à Snyk Code, Checkmarx One et GitHub Advanced Security pour le SAST en 2026, et comment Ostorlab se compare sur les langages, le workflow développeur, les faux positifs, la preuve d'exploit, les failles logiques, le déploiement et la tarification.

Nous avons créé un agent IA pour notre propre backlog. Il est maintenant à vous.

Bilal Harras — Tue, 06 Oct 2026 09:00:00 +0200

Comment un petit agent qui transformait des tickets de bug en pull requests est devenu le ticket agent d'Ostorlab : un coéquipier IA à qui vous confiez une mission, un modèle et des règles de déclenchement.

Le vrai coût des faux positifs : calculer la taxe d'ingénierie des scanners bruyants

Sohaib Harraoui — Mon, 28 Sep 2026 10:00:00 +0200

Les faux positifs sont un problème de capacité d'ingénierie, pas seulement un problème de qualité du scanner. Découvrez comment mesurer leur coût et évaluer le ROI des tests avec preuve d'exploitation.

Qui devrait utiliser Ostorlab ? Équipes idéales, cas d'usage et quand choisir autre chose

Abir Jelti — Mon, 28 Sep 2026 08:00:00 +0200

Ostorlab convient aux équipes qui testent des actifs mobiles, web, API et code connectés à chaque release. Où il s'intègre, quel plan choisir, et quand un autre outil est préférable.

Ostorlab vs cabinets de pentest : comparatif coût et profondeur en 2026

Youssef Mabrouk — Fri, 25 Sep 2026 16:00:00 +0200

Ostorlab vs cabinets de pentest : coût, fréquence des tests, profondeur et remédiation, et quand recourir aux pentests par IA, aux consultants, ou aux deux.

Pourquoi les tests de sécurité des API passent à côté des chaînes d'attaque inter-actifs

Bilal Harras — Fri, 25 Sep 2026 14:00:00 +0200

Les scanners d'API seuls ratent les chaînes d'attaque qui démarrent par des secrets ou des routes dans des applications mobiles, des bundles web ou du code. Deux chaînes réelles et une checklist de test en 8 étapes.

Pentest IA pour SOC 2 : comparatif de 6 fournisseurs

Youssef Mabrouk — Fri, 25 Sep 2026 10:00:00 +0200

Comparez Ostorlab, XBOW, Aikido, Intruder, Escape et Penti pour les pentests SOC 2 : preuves d'exploitation, revue humaine, exemples de rapports, retests et tarifs.

Combien coûte un test d'intrusion applicatif en 2026 ?

Abir Jelti — Fri, 25 Sep 2026 08:00:00 +0200

En 2026, un pentest manuel d'application coûte de 3 000 $ à plus de 50 000 $ ; les pentests IA publiés vont de 499 $ à environ 8 000 $. Ce qui fait le prix, ce que les devis excluent, comment comparer.

Les meilleurs outils pour tester le contournement du shielding des applications mobiles

Youssef Mabrouk — Wed, 23 Sep 2026 12:00:00 +0200

Comparez Apktool, JADX, Ghidra, Frida, Objection et LLDB pour des tests manuels, avec l’évaluation automatisée du shielding et du RASP mobiles Android et iOS d’Ostorlab.

Comment Deep Agentic Scan détecte des vulnérabilités réelles et retorses

Oussama Bakri — Wed, 23 Sep 2026 10:00:00 +0200

Comment le Deep Agentic Scan d'Ostorlab découvre et prouve empiriquement des vulnérabilités complexes dans le web, le mobile et le code source, à travers quatre études de cas réelles.

Un agent IA peut-il prouver les résultats SAST à l'exécution ?

Mohammed Lachhab — Wed, 23 Sep 2026 10:00:00 +0200

L'analyse statique signale des bugs possibles mais ne peut pas les prouver. La validation à l'exécution a prouvé une RCE authentifiée dans Langflow et corrigé les conditions de déclenchement annoncées d'un use-after-free dans libxml2.

La carte et la fenêtre : comment un scan agentique a transformé une fuite de documentation en identifiants volés

Aziz Elbelaychy — Wed, 23 Sep 2026 10:00:00 +0200

Découvrez comment Agentic Deep Scan d'Ostorlab a enchaîné une divulgation OpenAPI de sévérité moyenne et une vulnérabilité SSRF pour contourner une restriction de loopback et extraire des identifiants de base de données.

Meilleurs outils de test de sécurité des API en 2026 : 4 comparés

Bilal HARRAS — Tue, 22 Sep 2026 14:00:00 +0200

Les meilleurs outils de test de sécurité des API en 2026 : StackHawk, 42Crunch, Escape et Ostorlab comparés sur le DAST, les tests BOLA/BFLA, la découverte d'API et le CI/CD.

Post-mortem : pourquoi les agents IA autonomes sortent de leur périmètre et comment les contenir

Bilal Harras — Fri, 18 Sep 2026 12:00:00 +0200

Post-mortem technique d'un agent IA qui est sorti de son périmètre de test lors d'une évaluation d'API autorisée : ce qui l'a causé et comment nous contenons les agents autonomes.

Le moyen le plus rapide d'obtenir un rapport de pentest prêt pour l'audit SOC 2

Sohaib Harraoui — Wed, 16 Sep 2026 10:00:00 +0200

Découvrez comment les startups SaaS B2B évitent le délai de 4 semaines des cabinets de conseil pour obtenir en quelques jours, et non en semaines, des rapports de pentest SOC 2 prêts pour l'audit et des lettres d'attestation.

Les meilleures plateformes de test de sécurité applicative on-premises (2026)

Abir Jelti — Tue, 15 Sep 2026 10:00:00 +0200

Comparez Ostorlab, Invicti, Burp Suite DAST, HCL AppScan et Fortify pour les tests AppSec on-premises : modèle de déploiement, maîtrise des données et accès aux cibles privées.

Ostorlab Neutron atteint 96,7 % sur le benchmark CyberGym

Abir Jelti — Mon, 14 Sep 2026 17:42:00 +0200

Ostorlab Neutron a atteint un taux de résolution d'exploits vérifiés de 96,7 % sur CyberGym, en produisant des preuves de concept différentielles fonctionnelles pour 1 458 des 1 507 tâches de reproduction de vulnérabilités du benchmark.

Les 7 meilleurs outils d'External Attack Surface Management (2026)

Abir Jelti — Fri, 11 Sep 2026 10:00:00 +0200

Comparez 7 plateformes d'external attack surface management, dont Ostorlab, Defender EASM, Cortex Xpanse et CyCognito, sur la découverte, la validation et la remédiation.

Les meilleurs outils de test de sécurité des applications web en 2026

Abir Jelti — Fri, 11 Sep 2026 10:00:00 +0200

Comparez Ostorlab, Burp Suite DAST, Invicti, InsightAppSec, AppScan, XBOW et OWASP ZAP, et découvrez quand le DAST suffit et quand il faut recourir au pentest agentique.

Les meilleures plateformes d'évaluation des applications mobiles en entreprise en 2026

Abir Jelti — Thu, 10 Sep 2026 10:00:00 +0200

Comparaison d'Ostorlab, NowSecure, Quokka, Zimperium, Appknox et Data Theorem pour l'évaluation des applications Android et iOS : modèle opérationnel, scoring des risques et surveillance.

Les meilleures plateformes de pentest par IA en 2026

Abir Jelti — Wed, 09 Sep 2026 00:00:00 +0200

Comparez les principales plateformes de pentest par IA en 2026 selon la couverture des actifs, l'exploitation autonome, l'enchaînement d'attaques, les preuves, la conformité et le déploiement.

Pentest autonome vs pentest traditionnel

Sohaib Harraoui — Tue, 08 Sep 2026 14:00:00 +0200

Comparez pentests traditionnels, PTaaS et tests autonomes par IA : où les agents l'emportent sur la couverture et les preuves, où les humains restent en tête, et comment les combiner.

Présentation de Multi-Asset Deep Agentic Scan : des tests connectés à l'échelle de l'application

Abir Jelti — Wed, 02 Sep 2026 10:00:00 +0200

Multi-Asset Deep Agentic Scan évalue des actifs liés (mobile, web, API, réseau, code source et documentation) au sein d'une seule investigation agentique connectée.

Contourner le shielding des applications mobiles : là où la détection s'arrête et où l'application des mesures échoue

Mohammed Lachhab — Wed, 12 Aug 2026 10:20:00 +0200

La détection et l'application des mesures (enforcement) sont deux propriétés de sécurité distinctes. Sur cinq applications bancaires en production protégées par quatre produits de shielding commerciaux, la détection était sophistiquée et l'enforcement fragile.

Guide 2026 du test d'intrusion pour les startups (coûts, processus et choix du prestataire)

Bilal Harras — Sun, 09 Aug 2026 10:30:00 +0200

Un guide complet sur ce qu'est un test d'intrusion, son coût pour les startups en 2026, le processus en 5 étapes et le choix du bon prestataire selon votre stack technique.

Présentation du serveur MCP de la plateforme Ostorlab

Abir Jelti — Sat, 08 Aug 2026 15:55:00 +0200

Ostorlab prend désormais en charge MCP, donnant aux assistants et agents IA un accès contrôlé par les permissions aux données et workflows de sécurité.

Présentation de Risk Reruns : un contrôle granulaire pour les Agentic Deep Scans

Bilal Harras — Fri, 07 Aug 2026 18:50:00 +0200

Découvrez Risk Reruns pour les Agentic Deep Scans : relancez des investigations de risque précises, avec des niveaux d'effort, des modèles d'IA ou des paramètres personnalisés, sans renvoyer vos actifs ni tout recommencer.

L'IA peut mener l'attaque. Pouvez-vous faire confiance au résultat ?

Mohammed Lachhab — Thu, 06 Aug 2026 13:35:00 +0200

L'IA peut produire en quelques secondes un récit d'exploit convaincant. C'est la preuve d'exécution, les contrôles négatifs et la revue humaine qui déterminent si ce récit devient une vulnérabilité à laquelle une équipe de sécurité peut faire confiance.

SOC 2 peut-il accepter un test d'intrusion réalisé par une IA ?

Aziz Elbelaychy — Thu, 06 Aug 2026 10:00:00 +0200

SOC 2 n'impose aucune méthode de test : les auditeurs jugent les preuves, pas les outils. Voici ce qu'un test d'intrusion réalisé par une IA doit réellement fournir pour satisfaire un audit SOC 2 Type II.

Présentation d'Agentic Scan Knowledge : le scanner qui n'oublie jamais

Abir Jelti — Wed, 05 Aug 2026 09:58:00 +0200

Agentic Scan Knowledge donne aux agents de sécurité d'Ostorlab un contexte applicatif persistant, de sorte que chaque scan s'appuie sur les tests précédents au lieu de repartir de zéro.

Présentation d'Ostorlab Mobile Shielding Scan

Abir Jelti — Tue, 04 Aug 2026 18:39:00 +0200

Ostorlab Mobile Shielding Scan teste les protections des applications Android et iOS face à de véritables contournements, notamment la détection du root, l'anti-falsification, le certificate pinning et l'obfuscation.

Annonce du scanner de vulnérabilités On-Premises d'Ostorlab

Bilal Harras — Tue, 04 Aug 2026 13:37:00 +0200

Annonce de la disponibilité générale du scanner de vulnérabilités Ostorlab On-Premises, conçu pour identifier et contextualiser les failles de sécurité au sein de votre infrastructure locale.

Ostorlab vs Aikido : comparatif des plateformes AppSec

Bilal HARRAS — Mon, 03 Aug 2026 18:00:00 +0200

Ostorlab vs Aikido sur le SAST, le pentest web et API, le test de binaires mobiles, la posture cloud, le BYOK et la remédiation, avec un tableau comparatif et une FAQ.

Ostorlab contre Appknox : mettre les choses au clair

Bilal HARRAS — Wed, 29 Jul 2026 14:00:00 +0200

Ostorlab répond à la liste « Top 10 MAST Tools » d'Appknox : ce qu'elle a mal compris, KnoxIQ face à Agentic Deep Scan, couverture full-stack, déploiement et tarification.

XBOW vs Ostorlab : comparatif du pentest par IA

Bilal HARRAS — Tue, 28 Jul 2026 11:29:00 +0200

Comparatif de XBOW et d'Ostorlab sur le périmètre des cibles, la couverture mobile et API, le chaînage d'exploits entre actifs, les tests CI/CD, les preuves et les workflows de remédiation.

Comment l'IA détecte les vulnérabilités complexes : pentest agentique et chaînage d'exploits

Aziz Elbelaychy — Tue, 28 Jul 2026 10:00:00 +0200

Découvrez comment l'IA agentique détecte les failles de logique métier que les scanners à base de règles manquent. Voyez une vraie chaîne d'exploitation qui transforme une vulnérabilité corrigée en compromission de tout un tenant.

Ostorlab vs NowSecure : comparatif de la sécurité des applications mobiles

Bilal HARRAS — Mon, 27 Jul 2026 16:47:00 +0200

Ostorlab vs NowSecure dans six domaines : coût et passage à l'échelle, intégration CI/CD, couverture de la logique métier, prise en charge des frameworks, scans ciblés et applications soumises à des restrictions géographiques.

Meilleurs outils SAST en 2026 : comparatif des outils d'analyse de code source

Youssef Mabrouk — Mon, 27 Jul 2026 10:00:00 +0200

Les meilleurs outils SAST et d'analyse de code source en 2026, Ostorlab, GitHub Code Security (CodeQL), Semgrep, Snyk Code, Checkmarx One, SonarQube, Veracode, Black Duck Coverity et OpenText Fortify, comparés sur les langages, le CI/CD, les faux positifs, les correctifs par IA et les prix.

Le Threat Center d'Ostorlab prend désormais en charge la base de données européenne des vulnérabilités

Abir Jelti — Fri, 24 Jul 2026 09:09:00 +0200

Ostorlab Threat Center intègre désormais les données de l'EUVD en complément de celles de la NVD, offrant aux équipes sécurité une visibilité plus large sur les vulnérabilités à l'approche du Cyber Resilience Act européen.

Des prompts de pentest par IA qui produisent des preuves, pas seulement des résultats

Mohammed Lachhab — Thu, 23 Jul 2026 16:00:00 +0200

Guide pratique pour concevoir des workflows de test de sécurité assistés par l'IA qui transforment des preuves délimitées en résultats vérifiables, grâce à des sorties structurées, des points de validation et une exécution contrôlée.

Quand un scanner par IA devient-il un pentest par IA ?

Abir Jelti — Wed, 22 Jul 2026 17:50:00 +0200

Découvrez ce qui distingue l'analyse pilotée par l'IA du pentest par IA, et comment Ostorlab Deep Agentic Scan suit les preuves pour valider de véritables chemins d'attaque.

Sécurité du code source : du signal au risque validé | Ostorlab

Abir Jelti — Thu, 16 Jul 2026 12:13:00 +0200

Découvrez comment fonctionne le test de sécurité du code source, pourquoi le SAST traditionnel génère des faux positifs et comment l'analyse agentique transforme les signaux des scanners en résultats exploitables.

Analyse de la dernière version de GoPhish : audit de code source avec Ostorlab Agentic Deep Scan

Sohaib Harraoui — Thu, 16 Jul 2026 10:00:00 +0200

Évaluation technique de la dernière version de GoPhish, qui examine la manière dont la plateforme gère la confiance : identité, contenu non fiable, propriété des objets, cycle de vie des identifiants et requêtes sortantes. L'analyse du code source avec Ostorlab Agentic Deep Scan a établi les huit résultats du rapport, les PoC et les priorités de remédiation.

Ostorlab contre Quokka Q-mast : comparatif du DAST mobile

Bilal HARRAS — Wed, 15 Jul 2026 18:00:00 +0200

Ostorlab et Quokka Q-mast pour le DAST mobile : flux authentifiés, contournement du TLS pinning, preuves PCAP, applications géo-restreintes, scan d'API et Agentic Deep Scan.

Présentation d'Ostorlab Source Code Scanning

Youssef Mabrouk — Tue, 07 Jul 2026 18:00:00 +0200

Source Code Scanning vous aide à identifier les vulnérabilités de sécurité directement dans votre code source avant qu'elles n'atteignent la production. Connectez vos dépôts, lancez des scans à la demande et examinez des résultats exploitables depuis Ostorlab.

Améliorations de Deep Scan : exécution plus rapide, meilleures décisions et tests incrémentaux

Youssef Mabrouk — Tue, 30 Jun 2026 19:00:00 +0200

La dernière version de Deep Agentic Scan apporte des tests mobiles plus rapides, une meilleure rétro-ingénierie, une détection des vulnérabilités renforcée, une couverture incrémentale grâce au traitement des scans précédents, un meilleur chaînage des vulnérabilités et des Cyber Models managés pour les évaluations mobiles et web.

Présentation du mobile shielding capable de résister aux attaques par IA

Kawtar Boumaan — Thu, 25 Jun 2026 16:00:00 +0200

Ostorlab lance Mobile Shielding Scan, une solution de test automatisée et pilotée par l'IA, conçue spécifiquement pour la détection et la validation du shielding. Elle offre aux équipes sécurité une validation continue et simplifiée des protections d'exécution critiques sur iOS et Android, en identifiant si les protections sont réellement présentes et si elles résistent à des attaques réelles. Les organisations disposent ainsi d'un moyen automatisé, évolutif et puissant de valider en continu les outils RASP et les couches d'autodéfense mobile, à chaque version.

L'application n'a jamais été ouverte

Abir Jelti — Thu, 25 Jun 2026 09:02:00 +0200

Les agentic harnesses changent ce qu'un LLM peut faire dans les tests de sécurité des applications mobiles. Seul, un modèle peut nommer des risques probables (stockage non sécurisé, secrets exposés, permissions risquées, SDK vulnérables, failles côté backend, exposition de données personnelles), mais l'application peut rester intacte. Avec les bons outils, le bon contexte, la mémoire, les prompts, les boucles d'exécution et le retour d'information du runtime autour de lui, le modèle peut inspecter le paquet de l'application, observer son comportement, suivre le trafic, relier les signaux et laisser des preuves qu'une équipe sécurité peut examiner. De l'analyse des permissions à l'exploitation native avec GEF, la différence se lit dans la trace : preuves issues de l'application, sorties d'outils, preuve à l'exécution et étapes reproductibles, au lieu d'un texte qui a seulement la forme d'un rapport.

Présentation d'Ostorlab Cyber Models

Kawtar Boumaan — Tue, 23 Jun 2026 16:00:00 +0200

Ostorlab lance Cyber Models, un niveau d'infrastructure d'IA géré et prépayé pour les Agentic Deep Scans. Il offre aux équipes de sécurité un accès simplifié à des modèles spécialisés comme GPT-5.5 Cyber et Opus 4.8 with Cyber Verification Program via des canaux de fournisseurs approuvés. Plus besoin de gérer des clés d'API externes, des limites de débit propres à chaque fournisseur ou des tableaux de bord de facturation éclatés.

Il n'existe pas de boîte magique : pourquoi l'AppSec à l'ère de l'IA exige une pile d'outils

Bilal HARRAS — Mon, 22 Jun 2026 10:00:00 +0200

Parcourez les allées de n'importe quelle grande conférence de cybersécurité aujourd'hui et vous entendrez parler de la promesse des plateformes autonomes alimentées par l'IA. Mais les tests uniquement basés sur l'IA ne passent pas à l'échelle. Un programme AppSec résilient exige une pile à plusieurs niveaux, attentive aux coûts, qui combine des scanners traditionnels rapides, des revues sémantiques privées et une orchestration sélective de modèles de pointe.

Le guide complet de l'évaluation des applications mobiles : sécuriser l'écosystème applicatif de l'entreprise

Bilal HARRAS — Fri, 19 Jun 2026 10:08:00 +0200

Ce guide complet couvre l'architecture, les méthodologies de risque et les cadres de déploiement nécessaires pour concevoir une stratégie d'évaluation des applications mobiles en entreprise qui protège les données de l'organisation sans créer de friction opérationnelle.

Présentation d'Ostorlab App Vetting pour l'ère agentique

Abir Jelti — Tue, 16 Jun 2026 08:47:00 +0200

Ostorlab a lancé App Vetting, une solution d'évaluation des risques des applications mobiles qui aide les équipes à évaluer les apps Android et iOS avant leur approbation. Elle combine analyse statique, tests dynamiques et exécution en sandbox sécurisé avec surveillance continue, score de risque pondéré et workflows agentiques pour identifier les vulnérabilités, les risques pour la vie privée, les indicateurs de malware, les comportements de télémétrie et les problèmes de confiance, tout en aidant à prioriser l'essentiel.

Construire un relecteur de PR en IA auquel les ingénieurs font vraiment confiance

Abir Jelti — Mon, 08 Jun 2026 10:30:00 +0200

Nous avons construit un relecteur de pull requests propulsé par l'IA, l'avons arrêté après que des hallucinations et des faux positifs aient érodé la confiance des développeurs, puis l'avons reconstruit avec de meilleurs modèles, un contexte plus large et une architecture d'agent plus prudente. Cet article partage ce que nous avons appris sur la relecture de code automatisée, pourquoi la confiance compte plus que la couverture, et comment les relecteurs IA peuvent aider les équipes d'ingénierie à réduire le travail de relecture répétitif sans remplacer le jugement humain.

Présentation de Single Vulnerability Assessment et Dig Deeper d'Ostorlab

Kawtar Boumaan — Tue, 02 Jun 2026 16:00:00 +0200

Ostorlab lance un moteur d'orchestration IA puissant et hautement ciblé, accessible via deux workflows d'interface distincts : Single Vulnerability Assessment (SVA) et Dig Deeper. Les deux fonctionnalités partagent exactement la même logique IA sous-jacente, les mêmes capacités et la même structure « Bring-Your-Own-Key », mais répondent à des points d'entrée différents dans votre workflow. SVA se lance comme un scan autonome et nouveau pour des évaluations ciblées et économiques, des validations de correctifs ou des vérifications de bug bounty. Dig Deeper se déclenche directement depuis une vulnérabilité existante dans un rapport de scan pour instantanément examiner les faux positifs ou tracer les chemins d'exploitation. Ensemble, ils offrent aux équipes un contrôle chirurgical sur la façon dont elles testent et valident les vulnérabilités individuelles.

Checklist de conformité DORA pour la banque et la fintech : validation de la résilience opérationnelle prête pour l'audit

Abir Jelti — Wed, 29 Apr 2026 09:23:00 +0200

Une checklist de conformité DORA aide les organisations de la banque et de la fintech à évaluer leur résilience opérationnelle sur les domaines clés que sont le risque lié aux TIC, la réponse aux incidents, les tests de résilience, la gouvernance des tiers et la supervision, tout en suivant l'avancement de la mise en œuvre et en préparant l'audit.

Analyse du malware bancaire Android BeatBanker/BTMOB

Aziz ELBELAYCHY — Tue, 28 Apr 2026 14:00:00 +0200

Analyse statique de TV_V_23.apk, malware bancaire Android BeatBanker/BTMOB déguisé en lampe de poche : chaîne en quatre étapes, anti-analyse, attribution et IOC.

Tests de sécurité HarmonyOS Next : outils et risques

Youssef Mabrouk — Tue, 28 Apr 2026 12:00:00 +0200

En quoi les tests de sécurité de HarmonyOS Next diffèrent d'Android : ArkTS, DSoftBus, outils de test, SafetyDetect, ArkGuard, failles courantes et correspondance avec l'OWASP MASVS.

Intent redirection sur Android : attaques et correctifs

Bilal Harras — Thu, 23 Apr 2026 10:30:00 +0200

Comment l'intent redirection permet d'atteindre des composants Android non exportés, de divulguer des données via setResult() et de détourner les PendingIntent, et six moyens de s'en protéger.

Présentation des scans d'applications HarmonyOS et des scans Huawei AppGallery

Bilal Harras — Mon, 20 Apr 2026 16:00:00 +0200

Trouvez un scanner de vulnérabilités pour les applications HarmonyOS et les versions Huawei AppGallery : Ostorlab ajoute des scans de sécurité automatisés et reproductibles pour évaluer en continu les applications mobiles distribuées par Huawei et corriger les problèmes plus vite.

Tests de sécurité des jeux mobiles : stoppez les tricheurs et les hackers

Youssef Mabrouk — Mon, 20 Apr 2026 10:30:00 +0200

Les tests de sécurité des jeux mobiles préviennent la triche, les piratages et les pertes de revenus en sécurisant les couches client, réseau et backend. Ce guide présente les menaces actuelles, les méthodologies de test et les bonnes pratiques pour les équipes sécurité mobile et les développeurs de jeux mobiles qui veulent garder leur jeu sûr, équitable et conforme.

Bonnes pratiques de test AppSec mobile à grande échelle

Bilal Harras — Thu, 16 Apr 2026 18:00:00 +0200

Test AppSec mobile pour les équipes qui livrent vite sur iOS et Android : MAST, SAST et DAST, checklist de test, modèles d'intégration CI/CD et blocage des versions selon la sévérité.

Guide du test de sécurité des applications de santé

Kawtar Boumaan — Thu, 16 Apr 2026 16:00:00 +0200

Comment tester la sécurité des portails patients, des applications médicales, des API et des SaMD : risques liés aux ePHI, obligations HIPAA et RGPD, tests dans le SDLC, surveillance continue et réponse aux incidents.

Guide de test de sécurité des applications bancaires mobiles

Abir Jelti — Thu, 16 Apr 2026 09:59:00 +0200

Protéger les applications bancaires mobiles exige plus que de sécuriser le seul client. Ce guide explore les risques sur les appareils, les réseaux et les systèmes backend, et explique pourquoi le test de sécurité mobile continu est essentiel pour protéger les données financières et les transactions.

Risque lié aux tiers selon DORA : gouvernance des SDK mobiles

Bilal Harras — Tue, 14 Apr 2026 18:00:00 +0200

Maîtrisez le risque lié aux tiers selon DORA dans les applications mobiles : inventaires et différentiels de SDK par version, règles d'approbation et d'interdiction, SLA de correction et dossiers de preuves prêts pour l'audit.

Mobile App Shielding : définition et fonctionnement

Youssef Mabrouk — Mon, 13 Apr 2026 12:00:00 +0200

Le shielding des applications mobiles protège les applications sur des appareils non fiables en empêchant la rétro-ingénierie, la falsification, le débogage et l'accès non autorisé aux données sensibles. Il aide les équipes de sécurité à protéger la logique critique de l'application, les informations sensibles et les transactions, même si l'appareil est compromis.

Roundcube : failles d'injection de commandes IMAP et de SSRF

Aziz Elbelaychy — Wed, 08 Apr 2026 18:00:00 +0200

Analyse approfondie de deux vulnérabilités critiques découvertes dans Roundcube Webmail (< 1.6.14, 1.5.14, 1.7 RC4) lors d'une revue de code source. OVE-2026-8 permet à des attaquants authentifiés d'injecter des commandes IMAP arbitraires via le paramètre _filter, faute d'assainissement des CRLF. OVE-2026-9 permet une Server-Side Request Forgery (SSRF) en exploitant le mécanisme de proxy CSS, donnant accès à des ressources du réseau interne et aux métadonnées cloud.

Annonce d'Ostorlab pour Harness : le scan de sécurité mobile dans vos pipelines CI

Abir Jelti — Mon, 06 Apr 2026 16:51:00 +0200

Ostorlab s'intègre désormais à Harness CI pour exécuter des scans de sécurité automatisés d'applications mobiles dans les pipelines CI. Avec les Harness Secrets et une simple étape Run, les équipes peuvent installer l'Ostorlab CLI et lancer ostorlab ci-scan run sur les mêmes artefacts de build que ceux produits par le pipeline (par exemple, Android APK, Android AAB ou iOS IPA). L'intégration aide à intégrer la sécurité dans la CI en accélérant les retours et en détectant les vulnérabilités plus tôt, avec des options pour adapter les scans via des profils (fast, full) et des entrées facultatives comme les identifiants de test, le SBOM et les prompts d'interface.

CVE-2026-27971 : exécution de code à distance non authentifiée dans Qwik server$

Aziz Elbelaychy — Wed, 01 Apr 2026 14:00:00 +0200

Analyse technique de CVE-2026-27971, une vulnérabilité critique d'exécution de code à distance non authentifiée (CVSS 9.2) dans Qwik (< 1.19.1). La désérialisation non sécurisée dans le flux RPC de server$ permet de reconstruire des objets QRL contrôlés par l'attaquant à partir de requêtes application/qwik-json, ce qui autorise la résolution d'un chemin de module et d'un symbole arbitraires et, lorsque require() est disponible, l'exécution de code à distance via l'invocation d'une fonction côté serveur forgée.

Tests de sécurité derrière les murs de connexion : 2FA et MFA

Abir Jelti — Mon, 30 Mar 2026 16:44:00 +0200

Pourquoi les scanners s'arrêtent à la page de connexion, et comment Ostorlab automatise les tests derrière une 2FA par SMS, e-mail et TOTP, avec un mode manuel de secours et des identifiants sécurisés.

Annonce d'Ostorlab pour Bitrise : des scans de sécurité mobile dans votre CI

Bilal Harras — Fri, 27 Mar 2026 14:44:00 +0100

Ostorlab s'intègre désormais à Bitrise pour exécuter des scans de sécurité automatisés d'applications mobiles dans les workflows CI. Avec un Bitrise Secret et une simple étape Script, les équipes peuvent installer l'Ostorlab CLI et lancer ostorlab ci-scan run sur les mêmes artefacts de build que ceux produits par le pipeline (par exemple, Android APK, Android AAB ou iOS IPA). L'intégration aide à appliquer le shift left de la sécurité en raccourcissant les boucles de retour et en détectant les vulnérabilités plus tôt, avec des options pour adapter les scans via des profils (fast, full, agentic deep scan) et des entrées facultatives comme les identifiants de test, le SBOM et les prompts d'interface.

Résilience opérationnelle mobile sous DORA : la bibliothèque d'exercices la plus simple pour les parcours BFSI

Bilal Harras — Tue, 24 Mar 2026 14:44:00 +0100

Un guide de la conformité DORA centré sur le mobile pour les équipes BFSI. Apprenez à définir votre périmètre, à simplifier votre processus de release et à éviter les pièges qui créent un travail de conformité inutile.

Ostorlab lance Agentic Deep Scan : le scanner de vulnérabilités de nouvelle génération

Ostorlab Team — Thu, 19 Mar 2026 11:00:00 +0100

Ostorlab a lancé Agentic Deep Scan, un scanner de vulnérabilités de nouvelle génération qui valide les risques réels dans les applications iOS, Android (bientôt harmonyOS) et web. Grâce à la prise en charge de Bring Your Own Key (BYOK), les équipes peuvent explorer en toute sécurité ses puissantes capacités de scan tout en gardant un contrôle total sur leurs données et leurs coûts.

CVE-2025-68461 : contournement XSS de Roundcube via SVG Animate

Aziz Elbelaychy — Tue, 17 Mar 2026 14:00:00 +0100

La CVE-2025-68461 (CVSS 7,2) permet à des balises SVG animate de contourner le sanitizer de Roundcube grâce aux préfixes d'espace de noms. PoC, analyse du correctif, détection avec Nuclei et mesures d'atténuation.

GHSA-cr3w-cw5w-h3fj : RCE en 1 clic dans Saltcorn

Mohammed Lachhab — Wed, 11 Mar 2026 13:00:00 +0100

Analyse de GHSA-cr3w-cw5w-h3fj, une vulnérabilité critique XSS-vers-RCE de score CVSS 9.7 dans Saltcorn (≤ 1.5.0-beta.19). Deux failles enchaînées, un XSS réfléchi dans les paramètres de route et une injection de commandes dans la génération des sauvegardes, permettent l'exécution de code à distance via le phishing d'un administrateur.

Conformité DORA pour les versions mobiles : le socle minimal, le verdict et le modèle d'exceptions les plus simples

Bilal Harras — Tue, 10 Mar 2026 14:44:00 +0100

Un guide orienté mobile sur le règlement DORA et la conformité DORA pour les équipes BFSI. Apprenez à définir votre périmètre, à simplifier votre processus de mise en production et à éviter les pièges qui créent un travail de conformité inutile.

CVE-2026-26019 : vulnérabilité de falsification de requête côté serveur dans RecursiveUrlLoader de LangChain

Aziz Elbelaychy — Wed, 04 Mar 2026 14:00:00 +0100

Analyse technique de la CVE-2026-26019, une vulnérabilité SSRF de sévérité moyenne (CVSS 4,1) dans le paquet JavaScript LangChain Community (< 1.1.14). La classe RecursiveUrlLoader valide les URL explorées avec une simple vérification de préfixe de chaîne, ce qui permet à un attaquant de contourner la restriction preventOutside par défaut avec un domaine suffixé et de rediriger le crawler vers des actifs du réseau interne, avec un risque d'exposition d'identifiants sensibles et de points de terminaison de métadonnées.

Conformité DORA pour les équipes mobiles : comprendre le périmètre et ce qu'il faut faire

Bilal Harras — Tue, 03 Mar 2026 11:00:00 +0100

Un guide orienté mobile du règlement DORA et de la conformité DORA pour les équipes BFSI. Apprenez à définir votre périmètre, à simplifier votre processus de release et à éviter les pièges qui créent un travail de conformité inutile.

Top 10 des outils de pentest d'applications mobiles (2026)

Youssef Mabrouk — Fri, 27 Feb 2026 16:00:00 +0100

Les 10 outils que notre équipe utilise pour réaliser des pentests d'applications mobiles, de Frida, Ghidra et Jadx à mitmproxy et Nuclei, avec pour chacun ses meilleurs usages, ses points forts et ses limites.

CVE-2025-64712 : RCE par path traversal dans le traitement des fichiers MSG de la bibliothèque Unstructured

Aziz Elbelaychy — Mon, 23 Feb 2026 08:00:00 +0100

Analyse technique de la CVE-2025-64712, une vulnérabilité critique (CVSS 9,8) de path traversal menant à une exécution de code à distance dans la bibliothèque Python Unstructured (< 0.18.18). Les noms de fichiers joints non assainis dans le traitement des fichiers MSG d'Outlook permettent un path traversal, ce qui autorise un attaquant à écraser des fichiers arbitraires via un fichier MSG forgé et à obtenir une exécution de code.

CVE-2026-1357 : RCE non authentifiée dans le plugin de sauvegarde WPvivid

Mohammed Lachhab — Fri, 20 Feb 2026 08:00:00 +0100

Analyse technique de la CVE-2026-1357, une vulnérabilité critique (CVSS 9,8) d'exécution de code à distance non authentifiée dans le plugin WPvivid Backup & Migration (≤ 0.9.123). Deux failles chaînées, un fail-open cryptographique et un path traversal non assaini, permettent une écriture de fichier arbitraire sans identifiants.

9 outils de pentest IA open source comparés (2026)

Youssef Mabrouk — Fri, 30 Jan 2026 08:20:00 +0100

PentestGPT, PentAGI, HexStrike AI, Strix, CAI, Nebula, NeuroSploit, Deadend CLI et RedAmon comparés : fonctionnalités clés de chaque agent de pentest IA, étoiles GitHub et licences.

Ostorlab, bilan de l'année 2025

Manal Samir — Wed, 28 Jan 2026 16:20:00 +0100

2025 a marqué le tournant où l'IA appliquée à la cybersécurité est passée du stade de prototype expérimental à celui de moteur de niveau production. Dans cette rétrospective, nous voyons comment le nouvel AI Pentest Engine et l'AI Monkey Tester d'Ostorlab mettent déjà au jour des vulnérabilités critiques en conditions réelles, dont une chaîne complexe de lecture de fichiers arbitraires dans Signal pour Android. De la cartographie des risques bancaires à l'échelle mondiale à l'orchestration des scans avec OXO Titan, découvrez l'année où nous avons redéfini ce que les tests de sécurité automatisés peuvent réellement faire.

Vérification des développeurs Android en 2026 : qui est concerné

Youssef Mabrouk — Tue, 27 Jan 2026 10:47:00 +0100

À partir de 2026, les appareils Android certifiés pourront bloquer les applications de développeurs non vérifiés. Ce qui change pour le sideloading, qui est concerné et comment Google répond aux critiques.

Quand un zéro (aurait pu) casser la plomberie d'Internet (CVE-2026-0915)

Ostorlab Team — Wed, 21 Jan 2026 16:20:00 +0100

Une analyse assistée par IA a mis au jour une vulnérabilité de buffer non initialisé vieille de 30 ans dans la fonction _nss_dns_getnetbyaddr_r de glibc. Cette étude de cas montre comment une entrée à zéro contourne la logique de la boucle et pousse la bibliothèque à transmettre de la mémoire brute de la pile à des serveurs DNS externes. Elle compare aussi la capacité de plusieurs modèles d'IA à repérer cette erreur de logique subtile, là où la revue humaine a échoué.

Risques d'addJavascriptInterface dans les WebView Android

Mohamed Nasser — Wed, 07 Jan 2026 00:00:00 +0100

Étude de cas : le moteur de pentest IA d'Ostorlab découvre un pont JavaScript de WebView Android accessible via des deep links et l'enchaîne en manipulation de l'interface native.

Meilleures plateformes de test de sécurité des applications mobiles en 2026

Bilal Harras — Mon, 05 Jan 2026 16:20:00 +0100

Comparez Ostorlab, NowSecure, Appknox, Data Theorem, Quokka, Zimperium et MobSF pour Android et iOS, avec une matrice de fonctionnalités et des questions de preuve de valeur à poser aux éditeurs.

Android FLAG_SECURE : bloquer les captures d'écran et l'enregistrement

Bilal Harras — Mon, 29 Dec 2025 16:20:00 +0100

Comment FLAG_SECURE d'Android bloque les captures d'écran, l'enregistrement d'écran et les aperçus dans les applications récentes, avec des exemples de code, des cas d'usage, des limites et son comportement avec le casting.

Le AI Pentest Engine découvre une BFLA critique sur WebSocket dans des subscriptions GraphQL

Abderrahim Haddadi — Fri, 26 Dec 2025 16:20:00 +0100

L'AI Pentest Engine d'Ostorlab a mis au jour de manière systématique une vulnérabilité critique de Broken Function-Level Authorization (BFLA) sur un endpoint WebSocket GraphQL, qui permettait un accès non authentifié à un service de traduction en temps réel. Cette étude de cas détaille, étape par étape, la démarche de l'IA, de la découverte à la preuve de concept.

Le moteur d'IA déclenche une prise de contrôle de compte par confusion de versions d'API

Amine Atyq — Mon, 15 Dec 2025 10:00:00 +0100

Une analyse méthodique vaut mieux que le fuzzing à l'aveugle : le moteur d'IA d'Ostorlab découvre une faille de réinitialisation de mot de passe entre versions d'API et prend le contrôle d'un compte sans accès à l'e-mail.

Mise au jour d'une chaîne d'exfiltration de données de second ordre dans les SPA modernes

Mouad Ait Ougrram — Wed, 10 Dec 2025 16:20:00 +0100

Comment une chaîne d'exfiltration de données côté client de second ordre a été découverte dans une SPA moderne, transformant une simple redirection ouverte en vulnérabilité de vol de données en plusieurs étapes, grâce à l'analyse JavaScript et à la validation de la chaîne d'exploitation.

Aller plus loin : le moteur d’IA d’Ostorlab découvre des classes de vulnérabilités inconnues

Ostorlab Team — Mon, 13 Oct 2025 16:20:00 +0200

Le moteur d’IA d’Ostorlab, fondé sur le raisonnement, dépasse les limites des approches à base de règles pour révéler des vulnérabilités jusque-là inconnues et difficiles à détecter, dont des contournements de Safe Browsing dans WebView, des injections SQL via les projections, l’exfiltration de clés WebCrypto et des défauts d’ordre de vérification des JWT, pour une couverture de sécurité plus profonde, plus intelligente et complémentaire.

Présentation des Ostorlab Security Testing Benchmarks : de vraies vulnérabilités, un vrai impact

Ostorlab Team — Mon, 22 Sep 2025 16:20:00 +0200

La première suite de benchmarks open source regroupant 93 applications mobiles vulnérables réalistes, qui reproduisent de véritables vulnérabilités issues de CVE et de programmes de bug bounty - et non des exemples théoriques de manuel.

Rapport bancaire 2025 : la sécurité au cœur de la finance mobile

Ostorlab Team — Mon, 15 Sep 2025 10:00:00 +0200

Une analyse de sécurité à grande échelle de plus de 500 applications bancaires mobiles parmi les plus populaires révèle des vulnérabilités répandues, des bases de code vieilles de dix ans et des schémas préoccupants de centralisation des backends.

Automatiser la recherche en sécurité : un moteur IA exploite une injection de code aveugle complexe

Ostorlab Team — Thu, 04 Sep 2025 16:20:00 +0200

La précision l'emporte sur la pulvérisation de payloads : le moteur IA d'Ostorlab parvient systématiquement à une RCE sur Titiler et prouve l'exfiltration sans la moindre stack trace.

Pentest assisté par l'IA : analyse approfondie de la redirection d'intents sous Android

Ostorlab Team — Sun, 31 Aug 2025 16:20:00 +0200

Cet article présente la démarche de l'AI Pentest Engine d'Ostorlab pour analyser une application Android à la recherche de vulnérabilités de redirection d'intents. Suivez le parcours du moteur, de l'analyse statique et des premiers résultats jusqu'à une validation dynamique rigoureuse, et voyez comment il sait non seulement identifier des menaces potentielles, mais aussi écarter méticuleusement les faux positifs.

Automatiser la recherche en sécurité : un moteur d'IA exploite le secret d'un compte de service GCP

Ostorlab Team — Thu, 28 Aug 2025 16:20:00 +0200

Cet article présente une analyse approfondie et concrète, ainsi que l'exploitation en conditions réelles, d'un compte de service GCP codé en dur avec un accès Pub/Sub surdimensionné, découvert dans une application mobile HackerOne. Il détaille comment le moteur de pentest par IA d'Ostorlab a automatisé tout le cycle, de l'authentification et de l'énumération des permissions jusqu'à l'injection et l'interception de messages de bout en bout, ce qui a permis une remédiation en quatre jours.

De Signal au SDK Android : enchaîner path traversal, confusion de mimetype, contournement de contrôle de sécurité et bruteforce de descripteurs de fichiers pour un accès arbitraire aux fichiers

Ostorlab Team — Mon, 11 Aug 2025 16:20:00 +0200

Cette analyse technique révèle comment des chaînes d'attaque sophistiquées — combinant path traversal, manipulation de liens symboliques et particularités du SDK Android — peuvent percer les défenses de Signal Android pour extraire des fichiers internes sensibles, malgré un chiffrement réputé resté intact. Signal a corrigé ces vulnérabilités en quelques jours, mais ces découvertes offrent des leçons essentielles sur la façon dont des bugs apparemment mineurs peuvent être enchaînés en exploits puissants, et sur la nécessité de plusieurs couches de défense même avec la meilleure architecture de sécurité

Automatiser la recherche en sécurité : un moteur IA exploite l'XXE de Report Portal (CVE-2021-29620)

Ostorlab Team — Thu, 07 Aug 2025 16:20:00 +0200

Cet article présente une analyse approfondie et pratique, ainsi qu'une preuve de concept, de l'exploitation d'une vulnérabilité XXE hors bande (OOB) CVE-2021-29620 dans Report Portal. Il détaille comment le moteur de pentest piloté par l'IA d'Ostorlab a servi à automatiser tout le cycle.