Aller au contenu
DecodeVoxDecodeVox

L'actu cyber du jour

jeudi 15 octobre 2026

10 actualités, 52 sources. Chaque information est attribuée à ses sources d'origine : suivez les liens pour en lire le détail.

L'essentiel

  • La journée est dominée par une vague de correctifs « KEV » sur des équipements périmétriques déjà compromis : Palo Alto (PAN-OS), Cisco (Secure Email Gateway), Ivanti (Connect Secure) et Ahsay (AhsayCBS), quatre familles de produits ajoutées au catalogue des vulnérabilités activement exploitées de la CISA, avec des échéances fédérales fixées à 3 jours (16-17 octobre).
  • La faille Ivanti révèle un changement de méthode : trois zero-days enchaînés ont donné un accès root non authentifié sur une appliance VPN pourtant à jour, l'attaquant (UTA0576) rejouant l'exploit à chaque commande, sans déposer ni malware ni web shell, assez pour aveugler l'outil d'intégrité d'Ivanti. Volexity estime « avec une confiance moyenne » que l'attaquant s'appuie sur des LLM pour développer ses exploits.
  • L'IA est simultanément la cible et l'arme : exploitation active de Langflow (CVE-2026-105740, CVSS 9.9) via des serveurs MCP, théâtralisation d'un vol de secrets « zéro clic » dans le volet d'aperçu de Claude Code Desktop (« SneakPeek »), et vol organisé des clés d'API IA / secrets CI par la campagne GhostAction (≈1 900 comptes GitHub, 30 000 dépôts).
  • L'OT/ICS sort de l'ombre avec fracas : l'attaque contre le froid de ~700 supermarchés français s'étend aux automates Copeland/Dixell XWEB, après les contrôleurs Danfoss, sans revendication ni demande de rançon identifiée à ce stade.
  • Le social engineering et la fraude industrielle restent très structurés : démantèlement par Microsoft de la place de marché de kits d'hameçonnage YAM Store / Storm-3119 (plus d'un milliard de messages depuis janvier 2026) et vaste opération contre les « fermes d'ordinateurs portables » de la Corée du Nord.
  • Signal fort côté surface d'attaque : l'infrastructure IA exposée sur Internet a bondi de 63 % en neuf mois (Censys), avec 113 926 hôtes n8n dont 76 % d'instances vulnérables, l'IA déployée vite devient la nouvelle passerelle d'entrée.
01CritiqueVulnérabilité

Ivanti Connect Secure : trois zero-days enchaînés donnent un accès root non authentifié sur une appliance à jour

Ce qui s'est passé
L'attaquant UTA0576 enchaîne un contournement d'authentification (un simple en-tête HTTP X-DSCGI-PATH mal validé suffit à atteindre des fonctions normalement protégées) puis une exécution de code par course de vitesse (fichier Perl déguisé en ZIP, exécuté avant sa suppression programmée), enfin une élévation vers root en détournant un service privilégié (dsinvoked) via une modification en mémoire d'un magasin de configuration. L'opération ne laisse presque aucune trace sur disque.
Ce que ça change
Accès root non authentifié sur la passerelle VPN, donc position idéale pour pivoter dans le SI : vol des identifiants stockés sur l'appliance, extraction de métadonnées Active Directory, capture de trafic LDAP en clair, outils Kerberoasting, recherche de mots de passe d'administrateurs LAPS et de clés de récupération BitLocker, exfiltration discrète. Objectif global présumé : préparation d'un mouvement latéral, pas d'exfiltration massive finalisée (opération interrompue).
Ce qu'il faut faire
Patcher immédiatement puis, ne vous fiez pas à l'Integrity Checker (il ne vérifie que le disque) : exécuter une analyse mémoire et réseau. Rechercher les en-têtes X-DSCGI-PATH entrants, les requêtes vers proxy.php ou les endpoints inhabituels, les tentatives d'authentification LDAP avec le compte de service du VPN, les accès non planifiés à LAPS/BitLocker. Restreindre l'exposition Internet de l'interface d'administration, activer la MFA, faire tourner tous les secrets accessibles à l'appliance.
Ce qui reste incertain
Autorité exacte de la vulnérabilité d'élévation de privilèges et date de son correctif non confirmées ; attribution d'UTA0576 non nommée ; l'affirmation d'un usage de LLM repose sur une confiance « moyenne » de Volexity (déclaration attribuée, non prouvée).

Sources :darkreading.comsecurityaffairs.comthehackernews.comsecurityaffairs.com

02CritiqueVulnérabilité

Cisco Secure Email Gateway : zero-day critique (CVSS 9.8) exploité, exécution de commandes en root via une pièce jointe

Ce qui s'est passé
Une traversée de chemin relative dans le traitement des pièces jointes (lorsque le service de réputation de fichiers est actif) permet à un attaquant distant non authentifié d'écrire des fichiers arbitraires sur l'OS sous-jacent, puis d'exécuter des commandes avec les privilèges root. L'attaque se déclenche par l'envoi d'un courriel contenant une pièce jointe spécialement forgée.
Ce que ça change
Prise de contrôle complète de l'appliance de messagerie, interception/altération du courrier, accès au réseau interne, déploiement de charges. Cisco prévient que l'attaquant peut effacer ou dissimuler les preuves de l'exploitation et recommande de chercher les indicateurs hors de l'appareil (journaux réseau/pare-feu, transferts inhabituels vers des IP externes).
Ce qu'il faut faire
Migrer vers AsyncOS 16.5.0-780 ou appliquer Content Scanner Tools ≥ 25.3.0.5525 ; pour une appliance virtuelle compromise, redéployer une VM neuve, reconstruire la configuration et faire tourner les identifiants tout en préservant les preuves forensiques ; sonder les journaux hors-appareil. Cisco a contacté directement les clients Secure Email Cloud présentant des indices de compromission.
Ce qui reste incertain
Périmètre exact de la campagne (nombre de victimes) non communiqué ; auteur de la menace non attribué ; origine exacte de la découverte rapportée comme scan interne.

Sources :securityweek.combleepingcomputer.comthehackernews.comhelpnetsecurity.com

03CritiqueVulnérabilité

Palo Alto PAN-OS : zero-day d'exécution de code en root sur l'interface d'administration

Ce qui s'est passé
Un défaut de l'interface de gestion de PAN-OS permet à un attaquant authentifié disposant d'un accès réseau à cette interface d'exécuter du code arbitraire avec les privilèges root sur le pare-feu. La faille a été découverte en interne par Palo Alto Networks ; l'exploitation observée a été « très limitée ».
Ce que ça change
Contrôle total du pare-feu, réécriture de politiques, interception/redirection du trafic, pivot vers les réseaux internes. L'éditeur note que la couverture Threat Prevention est « limitée » : les variantes d'exploitation pourraient échapper aux signatures actuelles.
Ce qu'il faut faire
Mettre à niveau vers une version corrigée, en priorité pour les instances dont l'interface de gestion est exposée ; sinon, restreindre immédiatement l'accès à l'interface aux IP de confiance et surveiller les trois IP d'IoC. Auditer les journaux d'administration. Attention : les clients sur versions anciennes/non supportées doivent migrer.
Ce qui reste incertain
Nombre d'organisations compromises non divulgué ; auteur de la menace non identifié ; origine de la « très faible » exploitation non détaillée.

Sources :securityweek.combleepingcomputer.comthehackernews.comhelpnetsecurity.com

04ÉlevéeVulnérabilité

Drupal : faille RCE critique dans le cœur (Field UI), avec un chemin d'exploitation sans authentification

Ce qui s'est passé
Field UI construit ses tableaux d'administration à partir de tableaux de rendu PHP ; avant le correctif, l'étape de pré-rendu exécutait via call_user_func_array n'importe quel callback porté par une ligne, sans contrôle. Une restriction introduite depuis Drupal 8.8 était contournée car le moteur de rendu fait confiance aux méthodes du tableau lui-même. La faille n'est pas atteignable par le cœur seul : plusieurs modules contribués l'exposent, et au moins un chemin connu ne requiert aucune authentification.
Ce que ça change
Exécution de code à distance sur le serveur web (site Drupal compromis, pivot vers la base de données et les secrets d'application). Au 4 octobre, ~28,5 % des 531 499 sites déclarant leur version (151 442 sites) tournaient sur une branche affectée sans correctif disponible, une base large d'exposition.
Ce qu'il faut faire
Mettre à jour le cœur vers 11.4.10 / 11.3.19 / 10.6.19, puis vérifier et mettre à jour les modules contribués concernés (dont Entity List 3.0.10). Tester les pages « gérer les champs » / « affichage ». Si le code personnalisé utilise #region_callback, vérifier son comportement après mise à jour (il ne s'exécutera plus). Désinstaller field_ui en mesure provisoire si la mise à jour est impossible.
Ce qui reste incertain
La liste exacte des modules contribués ouvrant un chemin n'est pas publiée par l'équipe sécurité ; la vulnérabilité d'Entity List est annoncée « indépendante » mais non détaillée ; aucune donnée sur une exploitation réelle.

Sources :thehackernews.comdrupal.orgdrupal.org

05ÉlevéeSupply Chain

GhostAction : ≈1 900 comptes GitHub compromis, 30 000 dépôts visés, vol de secrets CI et de clés d'API IA

Ce qui s'est passé
Les attaquants accèdent en écriture aux dépôts à partir de Personal Access Tokens (PAT) volés ou d'identifiants issus de journaux d'infostealers, puis poussent un workflow malveillant déguisé (« security-audit.yml », « github_actions_security.yml »). Leur but : le vol à grande échelle de secrets CI/CD, d'identifiants cloud, de jetons de registres de paquets (npm, PyPI, DockerHub) et de clés d'API de fournisseurs d'IA. La charge a évolué en trois variantes, avec analyse de l'historique Git pour détecter les secrets (IDs de clés AWS et leur clé secrète associée, jetons GitHub/GitLab, secrets IA).
Ce que ça change
Compromission de chaînes logicielles entières, un secret de publication volé permet de distribuer du code malveillant aux utilisateurs en aval ; les secrets non renouvelés restent exploitables d'une vague à l'autre (une partie des victimes avait déjà été touchée en 2025/2026).
Ce qu'il faut faire
Faire tourner en priorité tous les secrets CI/CD (PAT, jetons npm/PyPI/DockerHub, identifiants cloud, clés d'API IA) ; auditer les workflows et supprimer ceux non reconnus ; exiger des jetons à courte durée de vie et la protection des branches ; surveiller les modifications de fichiers .github/workflows ; vérifier la provenance d'exécution (attestations).
Ce qui reste incertain
Attribution des auteurs non établie ; nombre exact de victimes uniques (les 1 900 comptes et 3 000 organisations proviennent de GitGuardian, chiffres non recoupés par GitHub) ; ampleur réelle des secrets exploités non quantifiée.

Sources :thehackernews.comblog.gitguardian.com

06ÉlevéeIA & Sécurité

Langflow : RCE critique (CVE-2026-105740, CVSS 9.9) exploitée via des serveurs MCP, 1 423 tentatives de honeypot

Ce qui s'est passé
Tout utilisateur authentifié de Langflow, y compris non administrateur - peut obtenir une exécution de code en ajoutant un serveur MCP en transport stdio : le champ de commande fourni par l'utilisateur est transmis directement à bash -c "exec {command}" sans validation, ni liste blanche, ni bac à sable. Le champ env permet en outre l'injection de variables d'environnement (ex. LD_PRELOAD). La commande s'exécute dès le chargement de la liste des serveurs, et la configuration MCP malveillante persiste et se ré-exécute à chaque chargement (porte dérobée durable).
Ce que ça change
Compromission complète du serveur hébergeant Langflow avec les privilèges du processus, avec les mêmes droits que la plateforme, c'est-à-dire souvent l'accès à des clés d'API de modèles, des identifiants de bases vectorielles et de services connectés. Ces configurations MCP étant stockées dans les réglages projet (invisibles dans l'éditeur de flux), elles échappent à une revue visuelle normale.
Ce qu'il faut faire
Mettre à jour immédiatement ; désactiver l'auto-login ; contrôler les requêtes vers /api/v2/mcp/servers/ ; examiner les journaux d'authentification (rechercher des connexions par identifiants communs) ; cloisonner les instances Langflow et leur appliquer le moindre privilège ; considérer les clés accessibles comme compromises.
Ce qui reste incertain
Objectif final de l'attaquant inconnu ; un attaquant identifié non nommé ; le nombre réel d'instances compromises (au-delà des honeypots) est inconnu.

Sources :thehackernews.comgithub.comprevidian.com

07ÉlevéeIA & Sécurité

« SneakPeek » : un vol de secrets « zéro clic » dans le volet d'aperçu de Claude Code Desktop

Ce qui s'est passé
Trois défauts conjugués du volet d'aperçu (absence de Content Security Policy, accès d'origine non restreint, filtrage des requêtes inactif) permettaient de contourner tous les protections de bac à sable que les développeurs croient actives. Un attaquant pouvait publier un dépôt de code anodin contenant un fichier HTML « gonflé » au-delà de 256 Ko avec un script embarqué : dès que le développeur demandait à Claude Code de l'examiner, l'aperçu rendait le document automatiquement, déclenchant l'exfiltration silencieuse de secrets. Aucun clic, aucun prompt nécessaire.
Ce que ça change
Vol des identifiants présents sur la machine de développement, clés privées SSH, identifiants AWS/GitHub, clés d'API et jetons OAuth de Claude lui-même, c'est-à-dire de quoi pivoter vers l'infrastructure cloud et les dépôts de l'organisation.
Ce qu'il faut faire
Maintenir à jour les applications de codage assisté ; ne pas stocker d'identifiants à longue durée de vie sur les postes de développeurs ; privilégier des identifiants courts et fédérés ; ne pas considérer le bac à sable d'un outil d'IA comme une frontière de sécurité ; appliquer une surveillance d'exécution sur les postes manipulant des agents autonomes.
Ce qui reste incertain
Aucune exploitation connue, mais la portée exacte (toutes versions concernées) n'est pas précisée ; le rapport s'appuie sur les chercheurs de Noma (source unique recoupée par Dark Reading).

Sources :darkreading.comnoma.security

08ÉlevéeAttaque

Attaque du froid en supermarché : elle s'étend aux automates Copeland/Dixell, ~700 magasins français touchés

Ce qui s'est passé
Des attaquants prennent le contrôle de contrôleurs de froid industriels de supermarchés, notamment en prolongeant les cycles de dégivrage (d'une heure à parfois huit) pour retarder les alarmes ; les unités ont tourné à 50 °C pendant six heures chez Intermarché, entraînant la destruction des denrées. Les enseignes touchées incluent Carrefour, Coopérative U, E.Leclerc, Intermarché et Monoprix ; le ministre de l'Économie a évoqué environ 700 magasins sur les ~10 000 du pays. Des incidents sont signalés aussi en Espagne, Portugal, Pologne, Allemagne et Belgique.
Ce que ça change
Pertes de stocks massives (deux supermarchés alsaciens rapportent 270 000 € de pertes cumulées), incendies signalés selon le parquet de Paris, discontinuité d'approvisionnement. Aucune revendication ni demande de rançon identifiée à ce stade, ce qui intrigue les enquêteurs. Des milliers de panneaux Danfoss StoreView restent exposés sur Internet (Censys en comptait ~3 000 le 11 octobre, dont 1 800 en France ; 537 en France au 14 octobre).
Ce qu'il faut faire
Retirer les contrôleurs de froid d'Internet ; reconstruire les appareils compromis en fin de vie plutôt que les réinitialiser ; accès distant uniquement via VPN ; segmenter le réseau OT ; surveiller les changements de consigne et de cycles de dégivrage ; recenser l'exposition des automates Danfoss/Copeland/Dixell.
Ce qui reste incertain
Vecteur d'accès initial non confirmé ; lien avec les failles Claroty de l'été (non retenu par les autorités) ; attribution inconnue ; nombre total de victimes hors France non chiffré.

Sources :securityweek.cominfosecurity-magazine.comsecurityaffairs.com

09ÉlevéeAttaque

Microsoft démantèle YAM Store, la place de marché de l'hameçonnage derrière plus d'un milliard de messages

Ce qui s'est passé
Microsoft (avec Resecurity) a identifié trois kits d'hameçonnage vendus via la place de marché YAM Store (suivi comme Storm-3119, développeurs regroupés sous Storm-2990). Ces outils ont facilité l'envoi de plus d'un milliard d'e-mails et SMS d'hameçonnage ciblant plus de 75 000 organisations depuis janvier 2026 (santé, finance, distribution, IT). Le kit Iron Man System embarque plus de 2 335 modèles adaptés à 139 pays. La place de marché revendait aussi des accès à des environnements cloud Microsoft/Google compromis, avec persistance « plus durable, plus difficile à détecter », y compris des organisations créées de toutes pièces, possiblement avec de l'IA et des documents falsifiés.
Ce que ça change
Les acheteurs obtiennent des kits « clés en main » et une infrastructure crédible (domaines expirés rachetés, comptes légitimes détournés) pour voler identifiants et données de paiement. Microsoft a désactivé plus de 20 000 comptes et bloque plus de 100 000 domaines d'usurpation.
Ce qu'il faut faire
MFA résistante au phishing sur tous les comptes cloud ; surveillance des connexions et de la création de comptes ; nettoyer les abonnements/domaines expirés de son inventaire ; sensibiliser aux modèles d'hameçonnage localisés ; auditer les applications OAuth et les accès aux stockages SharePoint/OneDrive.
Ce qui reste incertain
Identification nominative des opérateurs non publique ; le volume d'un milliard de messages provient de l'analyse de Microsoft/Resecurity, non recoupé indépendamment.

Sources :helpnetsecurity.comthehackernews.comsecurityweek.com

10ÉlevéeVulnérabilité

AhsayCBS : correctifs incomplets, exploitation en cours pour planter des web shells et des mineurs de cryptomonnaie

Ce qui s'est passé
Les deux failles sont chaînées : CVE-2026-105133 contourne l'authentification, puis CVE-2026-105134 exécute du code avec les privilèges SYSTEM sur le serveur. Huntress a documenté des déploiements de web shells et de mineurs XMRig sur des serveurs exposés sur Internet. Ahsay a reconnu que ses patchs initiaux ne bouchaient pas complètement les deux failles et presse ses partenaires d'agir « immédiatement ».
Ce que ça change
Prise de contrôle de la console de sauvegarde d'un MSP, donc un point d'entrée vers l'ensemble des clients qu'il sauvegarde ; installation de portes dérobées persistantes et de mineurs consommant les ressources.
Ce qu'il faut faire
Appliquer v10.3.4.45 ou v9.15.2.70 puis redémarrer ; rechercher les web shells et processus de minage ; examiner les journaux d'accès ; ne jamais se croire protégé par le patch d'août ; restreindre l'exposition Internet de la console ; faire tourner les identifiants de sauvegarde.
Ce qui reste incertain
Scores CVSS exacts non confirmés ; nombre de MSP/serveurs compromis non communiqué ; l'attribution des attaques n'est pas établie.

Sources :thehackernews.comhelpnetsecurity.comsecurityweek.com

Tous les jours du radar