L'actu cyber du jour

dimanche 11 octobre 2026

10 actualités, 34 sources. Chaque information est attribuée à ses sources d'origine : suivez les liens pour en lire le détail.

L'essentiel

Le périmètre réseau reste la cible n°1 : la campagne FortiBleed aurait compromis plus de 86 644 équipements Fortinet dans 194 pays (FBI + Secret Service), avec verrouillage d'administrateurs et revente d'accès à des ransomwares ; en parallèle, une troisième faille NetScaler (CVE-2026-88779) entre au catalogue KEV de la CISA, et la faille critique Atlassian CVE-2026-21589 (CVSS 9.3) est déjà activement tentée quelques heures après la publication d'un PoC.
L'IA est à la fois arme et surface d'attaque : un simple prompt a permis de prendre le contrôle de toute une flotte d'agents AWS Bedrock AgentCore (« AgentCorruption ») ; des malwares ciblent désormais explicitement les serveurs LLM auto-hébergés (botnet PoeLLM, >3 400 serveurs) et les secrets des outils de développement IA (ver volé via le paquet npm tensorlake, configs Claude/Cursor/MCP).
La chaîne d'approvisionnement logicielle s'attaque au maillon « développeur » : FakeGit réactive 17 610 faux dépôts GitHub (dont de faux « skills IA » et serveurs MCP) livrant SmartLoader/StealC, tandis que le ver Shai-Hulud revient par un paquet npm compromis.
Le mobile sous surveillance étatique : une variante inédite du kit d'exploitation iOS P7 DarkSword ajoute le vol du trousseau de clés et des portefeuilles crypto, avec un canal C2 bidirectionnel.
L'infrastructure critique et l'OT restent dangereusement exposés : 8 547 systèmes de parcs éoliens et solaires sont accessibles sur Internet en Europe, et le détournement des ccTLD .gh, .sl, .as a produit des certificats HTTPS frauduleux couvrant des domaines Google.
La justice et la régulation continuent de rattraper l'écosystème : arrestation d'un dirigeant de société de négociation de rançons lié à ShinyHunters, arrestation d'un membre présumé de Qilin en Allemagne, et échéances KEV de la CISA (dont le 11 octobre pour Flax Typhoon).

01CritiqueVulnérabilité

Atlassian CVE-2026-21589 : lecture de fichiers sans authentification, exploitation déjà lancée

Ce qui s'est passé: Une faille d'accès arbitraire à des fichiers permet à un attaquant distant non authentifié de lire des fichiers du répertoire racine de l'application web, via une bibliothèque partagée par les produits. L'exploitation exige de connaître au préalable le nom et le chemin exacts du fichier ciblé (pas d'énumération de répertoire possible). Le risque devient grave lorsque Jira est intégré à Crowd (gestion d'identités) : l'attaquant peut alors lire un fichier de configuration qui stocke les identifiants d'application Crowd en clair.
Ce que ça change: Avec les identifiants Crowd récupérés, watchTowr a démontré la création d'un nouvel utilisateur et son ajout au groupe des administrateurs Jira, autrement dit, d'une simple lecture de fichier on obtient une prise de contrôle administrative de la plateforme de gestion de projets/dev, point d'appui idéal pour pivoter dans le SI.
Ce qu'il faut faire: Mettre à jour vers les versions corrigées en priorité ; sinon isoler du réseau les instances Data Center exposées ; rechercher les tentatives d'accès anormales depuis le 6 octobre ; auditer la création de comptes et les changements de groupe admin ; vérifier que Crowd n'expose pas de fichier de configuration en clair.
Ce qui reste incertain: Nombre d'organisations réellement compromises non communiqué ; attribution inconnue ; recoupement avec les autres failles Atlassian récentes non établi.

Sources :securityweek.com thehackernews.com helpnetsecurity.com

02ÉlevéeAttaque

FortiBleed : plus de 86 000 équipements Fortinet compromis, des administrateurs verrouillés hors de leurs pare-feu

Ce qui s'est passé: Les attaquants mènent des attaques par bourrage d'identifiants et pulvérisation de mots de passe à partir de fuites Fortinet antérieures et de journaux d'infostealers. Ils extraient les hachages de mots de passe des appareils compromis et les cassent sur un cluster GPU (Hashcat + Hashtopolis), puis enrichissent et trient les identifiants valides en filtrant les honeypots et en priorisant les cibles à forte valeur (chiffre d'affaires, structure réseau). Une fois à l'intérieur, ils énumèrent les comptes Active Directory, chassent les utilisateurs privilégiés et revendent l'accès aux affiliés des groupes de rançongiciels INC/Lynx et Payload.
Ce que ça change: Contrôle d'équipements périmétriques critiques, verrouillage des administrateurs légitimes (comptes originaux changés ou supprimés), persistance et mouvement latéral, alimentation d'une filière de rançongiciel. Les appareils continuent d'être scannés avec des identifiants compromis.
Ce qu'il faut faire: Auditer tous les comptes des appareils Fortinet (comptes créés/supprimés anormalement), réinitialiser les identifiants, faire tourner les secrets, activer la MFA, restreindre l'interface d'administration à des IP de confiance, surveiller les connexions avec identifiants compromis, ne pas payer de rançon et signaler tout incident.
Ce qui reste incertain: Nombre exact d'organisations distinctes derrière les 86 644 appareils ; chevauchement possible avec d'autres campagnes ; le chiffre provient d'un fournisseur tiers cité par l'avis, non d'un recensement officiel.

Sources :helpnetsecurity.com thehackernews.com helpnetsecurity.com

03ÉlevéeVulnérabilité

NetScaler CVE-2026-88779 : troisième faille Citrix exploitée, ajoutée au KEV un dimanche

Ce qui s'est passé: Une faille de débordement mémoire peut faire planter (déni de service) les appliances NetScaler ADC/Gateway vulnérables. Les attaques ciblent les configurations SAML, courantes dans les déploiements d'authentification unique d'entreprise. Son inscription au catalogue KEV implique, pour les agences fédérales américaines, une remédiation dans un délai contraint.
Ce que ça change: Indisponibilité des passerelles d'accès (les NetScaler concentrent l'authentification et l'accès distant), avec un risque d'interruption de service pour toute l'organisation ; une faille mémoire peut dans certains cas dépasser le simple déni de service.
Ce qu'il faut faire: Appliquer le KEV en priorité absolue ; patcher NetScaler ADC/Gateway ; surveiller les redémarrages/crashs inexpliqués ; restreindre l'exposition Internet des interfaces d'administration ; corréler avec les avis Citrix/CISA.
Ce qui reste incertain: Score CVSS et versions corrigées exactes non confirmés dans les sources consultées ; lien précis avec CVE-2026-107406 (faille NetScaler signalée la veille) non établi.

Sources :helpnetsecurity.com cisa.gov

04ÉlevéeIA & Sécurité

« AgentCorruption » : un seul prompt suffisait à prendre le contrôle de toute une flotte d'agents AWS

Ce qui s'est passé: Les chercheurs de Zenity Labs ont montré que des agents déployés via Bedrock AgentCore pouvaient accéder à l'Instance Metadata Service (IMDS) d'AWS, qui contient des données sensibles (identifiants temporaires, identifiants d'instance, configurations). À partir d'un unique prompt adressé à un chatbot public, il était possible de prendre le contrôle de l'agent ciblé, puis de tous les agents du même compte et de la même région AWS.
Ce que ça change: Prise de contrôle d'une flotte d'agents IA, accès aux identifiants temporaires et métadonnées cloud, et donc pivot vers les ressources AWS de l'organisation, un agent mal configuré devient une porte d'entrée à fort privilège.
Ce qu'il faut faire: Imposer IMDSv2 et la moindre exposition des métadonnées ; cloisonner les agents (réseau, IAM par agent) ; appliquer le moindre privilège aux rôles d'exécution ; journaliser et revoir toutes les actions d'agents ; exiger une approbation humaine sur les actions sensibles.
Ce qui reste incertain: Portée exacte de la faille corrigée non détaillée publiquement ; aucune exploitation dans la nature rapportée.

Sources :darkreading.com labs.zenity.io

05ÉlevéeAttaque

P7 DarkSword : le kit d'exploit iOS ajoute le vol de trousseau et de portefeuilles crypto

Ce qui s'est passé: Une variante inédite du kit DarkSword, baptisée P7 DarkSword, réduit son empreinte sur l'appareil, ajoute le vol du trousseau de clés (keychain) et des portefeuilles crypto, et instaure une communication C2 bidirectionnelle avec l'infrastructure de l'attaquant. Le kit enchaîne plusieurs vulnérabilités iOS pour sortir du bac à sable du navigateur, élever les privilèges jusqu'au noyau et injecter la charge dans SpringBoard. C'est un produit commercial revendu sur un marché secondaire, utilisé contre l'Arabie saoudite, la Turquie, la Malaisie et l'Ukraine, notamment par le vendeur de surveillance turc PARS Defense et l'acteur aligné sur la Russie Star Blizzard / COLDRIVER.
Ce que ça change: Espionnage complet de l'appareil mobile et vol des clés et portefeuilles cryptomonnaies, pertes financières directes au-delà de l'espionnage.
Ce qu'il faut faire: Maintenir iOS à jour ; durcir les appareils sensibles (MDM, verrouillage) ; surveiller les indicateurs du kit ; limiter la gestion de cryptomonnaies sur mobile non durci.
Ce qui reste incertain: Attribution précise par victime ; nombre d'appareils compromis non communiqué.

Sources :thehackernews.com

06ÉlevéeSupply Chain

Le ver Shai-Hulud revient par le paquet npm `tensorlake` et cible les secrets des outils IA

Ce qui s'est passé: La version 0.5.144 du paquet contenait un malware obfusqué (campagne ChainDrop / Shai-Hulud) déclenché par un hook `preinstall` lançant un loader JavaScript puis le ver voleur de secrets (Math_Symbol.js) via le runtime Bun. Le voleur récolte des identifiants dans les fichiers locaux, les environnements CI, Kubernetes et Vault, dépose le binaire HackBrowserData, exfiltre les données, établit une persistance et exécute du code distant. Il dérobe notamment des jetons npm et GitHub, identifiants AWS, clés Vault/Kubernetes, clés SSH, fichiers `.env`, portefeuilles crypto et fichiers de configuration et MCP d'outils IA (Claude, Cursor, Kiro, Windsurf, Zed).
Ce que ça change: Vol massif et automatisé de secrets de développement et de CI, persistance après suppression de la dépendance et propagation de proche en proche (le ver énumère les paquets accessibles), un seul paquet compromis peut faire tomber toute une chaîne logicielle.
Ce qu'il faut faire: Retirer/épingler la dépendance ; faire tourner immédiatement tous les secrets accessibles au processus d'installation ; auditer les hôtes et runners CI/CD ; surveiller les accès anormaux aux registres npm et aux configs d'outils IA.
Ce qui reste incertain: Nombre d'organisations victimes non communiqué.

Sources :thehackernews.com

07ÉlevéeSupply Chain

FakeGit : 17 610 faux dépôts GitHub, dont de faux « skills IA » et serveurs MCP

Ce qui s'est passé: La campagne FakeGit est réactivée et diffuse le malware SmartLoader (menant à l'infostealer StealC) via 17 610 faux dépôts GitHub. Les dépôts réutilisent des fiches README crédibles avec un bouton « Download » pointant vers une archive ZIP piégée ; l'opérateur utilise surtout des comptes jetables, mais ~700 comptes semblent appartenir à de vrais développeurs. La campagne reprend une vague de juillet (7 600 dépôts, dont ~800 déguisés en « skills IA » ou serveurs MCP). L'éditeur Apiiro explique que la survie de FakeGit vient de ce que les listes de suppression ne couvrent qu'une fraction des dépôts et qu'une blocklist DNS ne peut pas bloquer un fichier isolé sans bloquer tout GitHub.
Ce que ça change: Installation de malware par des développeurs à la recherche d'outils (y compris outils IA), puis vol d'identifiants et de secrets ; empoisonnement de l'écosystème de développement.
Ce qu'il faut faire: Ne jamais exécuter une archive « Download » d'un dépôt non vérifié ; privilégier les sources officielles d'outils IA/MCP ; surveiller les dépôts récemment créés/modifiés ; maintenir des blocklists au niveau fichier (URLhaus) ; sensibiliser les équipes dev.
Ce qui reste incertain: Nombre exact de victimes ; attribution non établie.

Sources :bleepingcomputer.com

08ÉlevéeIA & Sécurité

PoeLLM : un botnet de minage qui cache ses serveurs de commande dans un poème GitHub et cible les serveurs IA

Ce qui s'est passé: Le malware PoeLLM (campagne Canto Incognito, acteur italophone motivé financièrement) lit les adresses de ses serveurs de commande dans un poème publié sur GitHub, une résolution de C2 « guidée par poème » qui rend le blocage plus difficile. Il s'introduit dans des services IA/LLM exposés et vulnérables, y mine de la cryptomonnaie et les utilise pour chercher de nouvelles victimes. Les chercheurs soulignent que les serveurs IA/LLM sont doublement attractifs : ils recèlent de l'intelligence (données, modèles) et sont des services auto-hébergés exposés avec des vulnérabilités connues.
Ce que ça change: Détournement de la puissance de calcul de serveurs IA, vol de données/d'identifiants, et propagation à d'autres serveurs, au détriment d'organisations qui testent des outils IA en interne.
Ce qu'il faut faire: Ne jamais exposer LiteLLM/Ollama sur Internet ; patcher les services vulnérables ; segmenter les serveurs IA ; surveiller les connexions sortantes vers GitHub et les schémas de minage ; contrôler l'egress.
Ce qui reste incertain: Attribution précise non confirmée ; ampleur réelle au-delà des 3 400 serveurs recensés.

Sources :helpnetsecurity.com thehackernews.com

09ÉlevéeRecherche

8 547 systèmes de parcs éoliens et solaires accessibles depuis Internet en Europe

Ce qui s'est passé: Modat et le NCSC-NL (centre gouvernemental néerlandais) ont identifié 8 547 systèmes exposés sur Internet dans des parcs éoliens et solaires de 35 pays d'Europe, découverts par clustering d'apprentissage automatique. Certains présentent une page de contrôle de turbine avec des boutons Start/Stop/Reset accessibles à quiconque a un navigateur, un lien vers le serveur web d'un automate Siemens ET 200SP, et la localisation du site visible sur une carte (certaines pages mentionnent même un identifiant par défaut root). Le nombre réel est supérieur, le recensement n'ayant retenu que les systèmes rattachables à un site précis.
Ce que ça change: Possibilité de commander à distance l'arrêt ou le redémarrage d'installations de production d'électricité, sabotage, déstabilisation du réseau, voire risque physique. Certains systèmes exposés pilotent plusieurs turbines à la fois.
Ce qu'il faut faire: Retirer ces systèmes d'Internet ; imposer authentification forte et cloisons OT/IT ; mise à jour des automates ; gouvernance NIS2 (responsabilité des dirigeants) ; exiger des fournisseurs un inventaire complet des accès distants.
Ce qui reste incertain: Le nombre réel est plus élevé ; proportion de systèmes déjà corrigés inconnue ; aucune exploitation malveillante observée à ce jour.

Sources :helpnetsecurity.com

10ÉlevéeCryptographie

Détournement des ccTLD .gh, .sl et .as : des certificats HTTPS frauduleux émis pour des domaines Google

Ce qui s'est passé: Des attaquants ont modifié les enregistrements DNS autoritatifs de trois domaines de premier niveau nationaux et obtenu des certificats HTTPS non autorisés couvrant plusieurs domaines Google ainsi que ceux d'autres organisations. Google indique que les autorités de certification (CA) ne sont pas fautives au vu de la nature de l'attaque ; il a bloqué les certificats frauduleux pour ses domaines dans Chrome et collaboré à leur révocation. L'analyse des journaux de Certificate Transparency (CT) montre que des marques mondiales et services en ligne populaires ont aussi été affectés.
Ce que ça change: Avec un certificat frauduleux valide pour un domaine, un attaquant peut intercepter ou usurper du trafic HTTPS (attaques de type homme-du-milieu) sans déclencher d'alerte de certificat, un risque direct pour la confidentialité et l'intégrité.
Ce qu'il faut faire: Surveiller les journaux Certificate Transparency pour ses domaines ; déployer DNSSEC ; épingler les certificats (pinning) sur les services critiques ; vérifier ses enregistrements DNS dans les ccTLD concernés ; alerter les utilisateurs si un domaine est touché.
Ce qui reste incertain: Liste complète des domaines et organisations affectés non publiée ; Google prévient que certains domaines peuvent encore être affectés.

Sources :securityweek.com thehackernews.com

Tous les jours du radar