leHACK 2026

Dev, cloud & sécu26–27 juin 2026Paris, Cité des Sciences et de l'Industrie

Thème : Brave New World (« Le Meilleur des Mondes »)

Site officiel (nouvel onglet) ↗Programme (nouvel onglet) ↗Chaîne YouTube (nouvel onglet) ↗Synthèse de juin 2026 →

La plus ancienne conférence de hacking française a réuni plus de 3 500 personnes autour d'un message simple : les outils changent, les erreurs beaucoup moins, et l'IA de pointe n'est pas indispensable pour trouver des failles sérieuses.

6 sessions résumées · mise à jour le samedi 3 octobre 2026 · synthèse à compléter

Sources lues et limites de cette synthèse

Corpus : Programme officiel détaillé (lehack.org/2026, descriptifs des talks), un compte-rendu participant détaillé (blog Néosoft de Gabriel Ange Pivaty, 07/09/2026) et le fil Mastodon des organisateurs pendant l'événement (26 au 29/06).

Limites : Corpus très mince : un seul retour participant, aucun post LinkedIn trouvé, et aucune vidéo 2026 publiée sur la chaîne officielle au 03/10 (dernières mises en ligne : talks 2025). La synthèse reste volontairement au niveau des enseignements défensifs et des tendances, sans détail technique offensif.

Synthèse globale

1. Une culture hacker intacte, des sponsors institutionnels

Plus de 3 500 participants à la Cité des Sciences pour la plus ancienne conférence de hacking française, sur deux jours et une nuit. Le compte-rendu de Néosoft souligne l'équilibre entre la culture « underground » historique de l'événement et la présence d'acteurs publics de la cybersécurité parmi les sponsors (ANSSI, DGSE).

2. « Les outils changent, les erreurs beaucoup moins »

C'est la formule retenue par Gabriel Ange Pivaty (Néosoft) : gestion de la mémoire défaillante, analyseurs trop permissifs ou confiance excessive dans le réseau interne traversent les décennies malgré les changements de technologie. Le thème « Brave New World » faisait écho à cette continuité.

3. L'IA, sans le culte des grands modèles

Fil rouge de l'édition, de la keynote de Patrick Ventuzelo (« No need to be a Mythos… ») au talk de SecMate : l'IA aide réellement à trouver des vulnérabilités, mais des modèles locaux et plus petits, bien outillés, suffisent souvent, avec un bénéfice de confidentialité et de reproductibilité.

Le programme précise le contexte : la keynote part de l'annonce de Claude Mythos par Anthropic (avril 2026), dont l'accès a été réservé à 40 organisations, pour défendre que des modèles ouverts tournant sur du matériel accessible suffisent à une recherche offensive sérieuse.

4. Des enseignements défensifs très concrets

Identité et jetons dans le cloud (Kondah), limites de la segmentation (Maccary) : les talks les plus commentés se traduisent en actions claires pour les équipes de défense. Les descriptifs officiels insistent sur l'échelle des cibles étudiées : WSO2 déployé dans la banque, la défense ou l'administration, puces Espressif présentes à des milliards d'exemplaires.

5. Une convention autant qu'une conférence

Le fil Mastodon des organisateurs montre la vie de l'événement au-delà des talks : village OSINT complet dès l'ouverture, ateliers de lockpicking, leLAB hardware, espace enfants complet, bug bounty live de YesWeHack sur deux jours, soirée musicale et wargame de nuit jusqu'à 6 h. OVHcloud, sponsor depuis douze ans, y a tenu un stand avec ses équipes SOC et CERT.

6. Biais du corpus

Un seul compte-rendu participant public lu (Néosoft), aucun post LinkedIn trouvé et aucune vidéo 2026 publiée au 3 octobre. Le reste vient du programme officiel et de sources organisateurs ou sponsors.

Actions concrètes citées

  1. Traiter l'identité comme le nouveau périmètre : après une compromission, révoquer les jetons et sessions actifs, pas seulement réinitialiser le mot de passe (Kondah, via Néosoft).
  2. Ne pas compter sur la seule segmentation réseau : des failles internes peuvent être enchaînées vers des systèmes réputés protégés (Maccary, via Néosoft).
  3. Pour la recherche de vulnérabilités en secteur régulé, des petits modèles locaux associés à une analyse structurée du code préservent la confidentialité et la reproductibilité (SecMate, via Néosoft).
  4. Surveiller les consentements d'applications et l'usage des services collaboratifs dans le cloud (Kondah, via Néosoft).

Session par session

Vendredi 26 juin

Keynoted'après le programme

No need to be a Mythos to do offensive work

Patrick Ventuzelo — FuzzingLabs

  • Keynote d'ouverture, intitulée au programme « Pas besoin d'être un Mythos pour faire de l'offensif ». Point de départ : en avril 2026, Anthropic dévoile Claude Mythos, capable de trouver des 0-days dans les grands OS, et en réserve l'accès à 40 organisations (descriptif officiel).
  • Thèse annoncée : des modèles ouverts (Gemma 4, Qwen 3.6 cités) atteignent désormais des scores d'orchestration comparables sur du matériel accessible ; la keynote passe en revue ce que Mythos change réellement, les briques de recherche disponibles et des exemples de recherche offensive sans modèle de pointe (programme).
  • Le compte-rendu Néosoft en fait le fil rouge de l'édition ; aucun retour détaillé de participant sur la keynote elle-même.

Conférence

Entra ID & Microsoft 365 Under Siege

Hamza Kondah

Retours : Blog Néosoft (Gabriel Ange Pivaty, 07/09/2026)

  • L'identité est le nouveau périmètre : compromettre un mot de passe n'est que la porte d'entrée ; le vrai risque tient aux jetons, aux consentements d'applications non souhaités et aux services collaboratifs du cloud.
  • Leçon défensive retenue : réinitialiser un mot de passe ne révoque pas les sessions actives, il faut révoquer les jetons.

Conférence

From USB to ESP: Security Vulnerabilities in Espressif Firmware

Maxime Rossi Bellom — SecMate, Ramtine Tofighi Shirazi — SecMate

Retours : Blog Néosoft (Gabriel Ange Pivaty, 07/09/2026)

  • Sujet (programme) : des vulnérabilités dans le SDK et la pile USB d'Espressif, fabricant de puces Wi-Fi et Bluetooth à bas coût, qui touchent des milliards de puces déployées ; le talk relie les bugs firmware aux risques des produits réels.
  • Méthode retenue par Néosoft : des modèles d'IA locaux et plus petits, combinés à une analyse rigoureuse du code (graphes de propriétés de code), se montrent aussi efficaces que les grands modèles pour cette recherche.
  • Intérêt souligné pour les secteurs régulés : confidentialité des données et reproductibilité des résultats.

Conférence

Attacking WSO2: 0-Days and N-Day Chains for Pre-Auth RCE

Noel Maccary — Ambionics Security

Retours : Blog Néosoft (Gabriel Ange Pivaty, 07/09/2026)

  • Cible (programme) : les produits WSO2 (API Manager, Identity Server), massivement déployés dans des infrastructures critiques (banque, assurance, défense, administration) ; le talk présente une douzaine de 0-days et une chaîne de sept vulnérabilités menant à une exécution de code sans authentification.
  • Leçon retenue par Néosoft : la segmentation réseau ne suffit pas, des failles exploitables « à l'aveugle » peuvent servir de point de départ vers des systèmes censés être protégés.
  • Leçon défensive : compléter la segmentation par d'autres contrôles et corriger aussi les failles jugées « internes ».

Samedi 27 juin

Conférence

De la PS Vita au Flipper Zero en quelques milliers de lignes de code

Jérémie Amsellem

Retours : Blog Néosoft (Gabriel Ange Pivaty, 07/09/2026)

  • Session du leLAB (village hardware) : le développement d'outils de sécurité pour une PS Vita modifiée, du simple scanner réseau jusqu'à des fonctions proches du Flipper Zero (programme).
  • Néosoft y voit un projet passion qui aide à comprendre un écosystème et fait vivre une recherche indépendante hors des cadres institutionnels.

Conférenced'après le programme

From NDH2K11 to LeHack XXVI: A 15 year Retrospective

Jayson E. Street

  • Rétrospective de quinze ans d'ingénierie sociale et d'intrusion physique, de la Nuit du Hack 2011 à 2026 (programme).
  • Thèse annoncée : la technologie a beaucoup évolué, mais les failles humaines persistent ; les méthodes d'attaque changent (jusqu'à la tromperie assistée par IA), pas la nature humaine.
  • Aucun retour de participant trouvé.

Sessions sans retour trouvé (22)

  • Trust Me, I'm A Shortcut: New LNK Abuse Methods (Wietze Beukema)
  • RF : une menace invisible ? Le monde caché du TSCM (Stéphane)
  • Getting Lost in SAP (Tao Sauvage)
  • Overcast Panda (Jake Lomas, Antoine Vianey-Liaud)
  • The Hidden Agenda: Exposing Qilin Ransomware Operations (Thibault Seret)
  • Reversense: One Hook, Then the Universe (Georges-Bastien Michel)
  • The Art of Staying In, Part II: Target Weakening (m101)
  • Reverse Engineering of FCC Unlocks in DJI Fly clones (Klcium)
  • Gestion de crise at scale : le cas Leboncoin (Zakaria Rachid)
  • Crypto-surprise (Florian Boudot, Charlie Bromberg)
  • n8ive by Design: One Leaked Key, Three Attack Chains (Guillaume Valadon)
  • Physical intrusion: Success and Failure (Nicolas Aunay)
  • Parcours d'un fraudeur (Cybermoustache)
  • macOS Zero Mercy (Zoziel Freire)
  • Sighax deep dive: breaking the 3DS chain of trust (Cyprien Molinet)
  • Warez for the working man (biero-el-corridor, Mayeul Fargier)
  • Pwning Bluetooth Devices in Unexpected Ways (Virtualabs)
  • R4di0_P1r4cy (Noë Flatreaud)
  • Permis d'illuminer toute la ville (Benoît Forgette)
  • ALL ACCESS AUTHORIZED: How to infiltrate major events (SkyZe)
  • simple_IMSI-catcher déjà 11 ans ! (Oros)
  • Ateliers leLAB (hardware), village OSINT, lockpicking, bug bounty live YesWeHack, wargame

Sources