L'actu cyber du jour

mardi 20 octobre 2026

10 actualités, 41 sources. Chaque information est attribuée à ses sources d'origine : suivez les liens pour en lire le détail.

L'essentiel

La compromission d'un fournisseur MSP est l'événement le plus grave de la journée. L'application Cloud Backup de ConnectWise (ex-SkyKick) a été détournée via des identifiants applicatifs volés pour atteindre plus de 300 organisations Microsoft 365, avec des identifiants persistants valides jusqu'en 2028. Le risque se propage aux clients des MSP, donc en cascade.
Les agents IA passent du statut de concept à celui d'outil offensif documenté. La plateforme open source Cairn a servi à automatiser des attaques contre plus d'un millier de projets, avec un taux de réussite revendiqué d'environ 10 % et des victimes nommées par Reuters (John Deere, SharkNinja).
La chaîne d'approvisionnement logicielle reste le point faible numéro un. OVHcloud (CLI), Rank Math PRO (WordPress) et Siemens Software Center (DLL side-loading) illustrent trois variantes du même problème : la confiance accordée à un binaire signé ou à un dépôt officiel.
Vague de correctifs critiques sans exploitation confirmée, mais avec un historique de mise à profit très rapide. F5/NGINX corrige trois failles mémoire notées 9,2, Drupal corrige deux RCE critiques en prévenant que des exploits pourraient apparaître en quelques heures.
La confiance cryptographique est secouée sans explication publique. Go bloque en urgence huit clés d'autorités intermédiaires, vraisemblablement d'eMudhra, deux jours après une action similaire de Mozilla, sans qu'aucune des parties n'explique pourquoi.
Tendance de fond : l'IA accélère les attaques plus vite qu'elle n'accélère les défenses. Attaques automatisées par agents, vol de clés d'API par distillation, agents internes à contenir : le rapport de force se déplace vers la vitesse d'exécution.

01CritiqueSupply Chain

ConnectWise : un identifiant applicatif volé ouvre plus de 300 entreprises Microsoft 365

Ce qui s'est passé: ConnectWise fournit aux prestataires de services managés (MSP) une solution de sauvegarde des environnements Microsoft 365 de leurs clients. Des attaquants ont utilisé des identifiants volés de l'application Cloud Backup, qui disposait de droits très larges sur les annuaires, pour obtenir des jetons d'accès chez les clients de ces MSP. Le mécanisme est celui d'un abus d'application tierce de confiance : l'application est légitime, c'est son identité qui a été volée.
Ce que ça change: accès potentiel aux boîtes Exchange, à OneDrive, SharePoint, Teams et aux annuaires d'entreprise. Huntress a observé une application compromise s'auto-attribuer le rôle Global Administrator, puis injecter des identifiants dans deux autres applications du tenant, avec une validité annoncée jusqu'en 2028. Une seconde vague a visé 16 tenants des secteurs politique, sécurité nationale, commerce et minerais critiques, sans succès revendiqué.
Ce qu'il faut faire: traiter chaque tenant comme potentiellement touché. Auditer les applications Entra disposant de Directory.ReadWrite.All ou d'un consentement administrateur, inventorier les secrets ajoutés entre le 14 et le 20 octobre, révoquer les identifiants orphelins, vérifier les rôles Global Administrator et les règles de transfert de messagerie. Ne pas reconnecter les applications suspendues avant instruction formelle de l'éditeur. Surveiller les connexions applicatives vers Graph depuis des plages d'hébergement (AS14956).
Ce qui reste incertain: nombre exact d'organisations et de personnes concernées inconnu. Aucune exfiltration de données confirmée par Huntress ni par ConnectWise. Le lien entre la vague de password spraying et l'accès applicatif n'est pas établi.

Sources :thehackernews.com cybernews.com securityweek.com darkreading.com

02CritiqueAttaque

APT28 compromised un chantier naval de l'OTAN et déploie un nouveau chargeur furtif

Ce qui s'est passé: Le groupe lié au renseignement militaire russe, connu sous les noms APT28, Fancy Bear ou Forest Blizzard, a compromis des industriels de défense européens. Le mode opératoire combine un backdoor nommé HOOKEDGE, livré par des documents Word à macros, et un chargeur réflectif inédit (ld.exe) qui déchiffre et exécute une charge en mémoire avec une clé fournie à l'exécution.
Ce que ça change: exfiltration de documents techniques de défense, vol de matériel d'authentification par deux techniques distinctes (clé privée SSH poussée sur l'hôte pour ouvrir un tunnel persistant, et script PowerShell forçant l'hôte à s'authentifier sur sa propre boucle locale pour capturer un handshake NTLM). Les opérateurs ont obtenu un tunnel SSH permanent vers le réseau interne. La nature de la charge finale reste inconnue.
Ce qu'il faut faire: rechercher les connexions SSH sortantes persistantes depuis des serveurs qui n'en ont pas l'usage, les écoutes sur l'interface de bouclage et les captures NTLM locales. Bloquer 185.82.218[.]119:443 et surveiller les accès à webhook[.]site. Renforcer la détection sur les documents Office à macros dans les filières défense. Segmenter les réseaux de conception et de production.
Ce qui reste incertain: la charge finale du loader n'a pas été analysée. Le nombre exact d'organisations touchées et l'étendue des données dérobées ne sont pas publics.

Sources :thehackernews.com security.com

03CritiqueIA & Sécurité

La plateforme d'IA Cairn détournée pour attaquer plus de 100 organisations

Ce qui s'est passé: Cairn organise le travail d'agents IA autour d'un objectif, avec un tableau partagé où chaque agent publie ses intentions et ses résultats. Des attaquants l'ont utilisé pour industrialiser la reconnaissance et l'exploitation de sites web. Le plus gros cluster, sinophone, compte plus de 1 100 projets d'attaque répartis sur 14 tableaux de bord, visant des infrastructures e-commerce et de paiement aux États-Unis, au Japon et en Australie.
Ce que ça change: dépôt de webshells pour un accès persistant, vol de données de cartes bancaires et de cryptomonnaies, accès à des panneaux d'administration et à des bases de données. Norforge revendique environ 10 % de tentatives réussies et des centaines de secrets dans les données exposées, dont 11 % vérifiés comme valides. Les cibles étaient classées par trafic et testées avec Playwright avant d'être confiées à Cairn.
Ce qu'il faut faire: considérer le rythme des tentatives automatisées comme une donnée de conception et non comme un imprévu : limitation de débit, détection comportementale sur les chaînes de requêtes, protection des formulaires de paiement. Rechercher les webshells récemment déposés et les comptes administratifs créés hors processus. Surveiller les exports massifs de bases.
Ce qui reste incertain: Norforge ne nomme pas les victimes, l'attribution à John Deere et SharkNinja vient de Reuters et n'est pas confirmée par les intéressés dans les articles consultés. L'identité des opérateurs et la propriété commune des malwares finaux restent inconnues.

Sources :securityweek.com

04ÉlevéeVulnérabilité

F5 publie cinq correctifs NGINX, dont trois failles critiques notées 9,2

Ce qui s'est passé: Trois bugs mémoire (débordement de tas et use-after-free) peuvent provoquer un crash du processus worker, voire une exécution de code lorsque l'ASLR est désactivée ou contournable. Chacun exige une directive de configuration particulière : un alias avec réécriture d'URI, une map regex dont les captures sont réutilisées, ou l'I/O asynchrone combinée au SSI. Le quatrième défaut permet de forger une session TLS et de contourner la vérification des certificats clients, de façon non déterministe selon F5. Le cinquième laisse un client HTTP/3 injecter des octets supplémentaires dans une requête transmise au backend.
Ce que ça change: déni de service à grande échelle sur des serveurs exposés, et exécution de code dans des configurations non par défaut. Le contournement de certificat client est particulièrement sensible pour les API et les portails à authentification mutuelle : un attaquant pourrait se présenter sans certificat valide.
Ce qu'il faut faire: mettre à jour vers 1.30.6 ou 1.31.7. Si ce n'est pas possible immédiatement, retirer l'alias dans le bloc concerné et l'usage de $request_filename, utiliser des captures nommées dans les map regex, désactiver l'I/O asynchrone ou le SSI, et charger les clés de ticket via ssl_session_ticket_key. Vérifier que les paquets de distribution ont bien rétroporté les correctifs.
Ce qui reste incertain: la divergence entre la notation NGINX (moyenne) et F5 (9,2) n'est pas expliquée. La possibilité réelle d'exécution de code dépend de l'ASLR et de la configuration, ce qui n'est pas quantifié.

Sources :bleepingcomputer.com thehackernews.com nginx.org

05ÉlevéeVulnérabilité

Siemens confirme l'exploitation active de CVE-2026-110936 dans une campagne ClickFix

Ce qui s'est passé: Le défaut est un chargement latéral de DLL (DLL side-loading). Les attaquants n'ont pas modifié le binaire de Siemens : ils ont pris une copie authentique et signée de Software Center, l'ont placée à côté de fichiers malveillants, et ont diffusé le tout dans un installeur MSI nommé AllMyBasic.msi, hors canaux officiels. ClickFix complète le dispositif en amenant l'utilisateur à coller lui-même une commande, ce qui contourne les filtres de messagerie et de téléchargement.
Ce que ça change: exécution de code sous couvert d'un binaire signé et de confiance, avec installation d'un chargeur de malware. Une des charges analysées, LegionLoader, collecte les informations sensibles stockées dans Chrome, donc mots de passe et jetons de session.
Ce qu'il faut faire: mettre à jour vers 4.0.9.8, ne télécharger les logiciels Siemens que depuis les canaux officiels, bloquer l'infrastructure listée par Forescout et Siemens. Détecter SiemensSoftwareCenter.exe lancé par msiexec depuis AppData\Local\Programs. Sensibiliser au faux contrôle anti-robot qui demande de coller une commande dans Win+R ou PowerShell : un vrai test ne demande jamais cela.
Ce qui reste incertain: Siemens affirme qu'aucun système, produit ou canal de mise à jour Siemens n'a été compromis à sa connaissance. L'identité de l'opérateur du panneau ROMULUS reste inconnue, tout comme la propriété commune des familles de malwares finales.

Sources :helpnetsecurity.com securityweek.com thehackernews.com

06ÉlevéeSupply Chain

OVHcloud : cinq versions de la CLI publiées avec une porte dérobée sur GitHub

Ce qui s'est passé: Un attaquant a pris le contrôle d'un compte GitHub de développeur pour modifier directement des releases existantes de l'outil en ligne de commande. Les pipelines CI/CD, avec leurs tests unitaires, tests fonctionnels et détection de CVE, n'ont pas été touchés : le binaire malveillant a été construit localement puis téléversé. La fonction d'immuabilité des releases, désactivée, a permis cette réécriture sans passer par les contrôles.
Ce que ça change: vol de secrets présents sur le disque des développeurs et administrateurs ayant installé une version piégée : identifiants cloud, clés SSH, jetons d'API. Octave Klaba qualifie le binaire de mauvaise qualité mais prévient qu'il peut aller au bout de sa tâche.
Ce qu'il faut faire: si la CLI a été installée entre le 19 octobre 14h47 et 16h21 UTC, traiter la machine comme compromise, désinstaller, chercher les artefacts de persistance et révoquer tous les secrets accessibles depuis ce poste. Côté éditeurs : activer l'immuabilité des releases, protéger les comptes des mainteneurs par MFA résistante au phishing, signer et vérifier les artefacts.
Ce qui reste incertain: OpenSourceMalware rattache l'opération à GlassWorm, avec un chargeur preinstall.js et un dépôt mort via mémo Solana, mais indique ne pas avoir analysé la charge livrée. Le compte GitHub compromis l'était depuis plus de six mois selon cette même source, information non confirmée par OVHcloud.

Sources :bleepingcomputer.com thehackernews.com

07ÉlevéeVulnérabilité

Drupal corrige deux RCE critiques et prévient que des exploits peuvent arriver en quelques heures

Ce qui s'est passé: Deux défauts critiques permettent une exécution de code à distance. Aucun n'est exploitable avec le seul coeur de Drupal : il faut un module contribué fournissant un chemin d'exploitation, et au moins un de ces chemins ne demande aucune authentification. Le défaut du module Entity List permet de créer des listes d'entités sans Views, celui de Field UI touche le coeur mais dépend de modules tiers pour être atteignable.
Ce que ça change: prise de contrôle complète d'un site Drupal, donc accès à la base de données, aux comptes administrateurs et possibilité de déposer du code persistant. Les sites à forte audience ou hébergeant des données personnelles sont les cibles naturelles.
Ce qu'il faut faire: mettre à jour vers 11.4.10, 11.3.19 ou 10.6.19 et Entity List 3.0.10 sans attendre. Si la mise à jour immédiate est impossible, désinstaller le module Field UI du coeur lorsque c'est acceptable fonctionnellement. Inventorier les modules contribués installés, ce sont eux qui rendent les failles atteignables. Surveiller les créations de comptes administrateurs et les modifications de fichiers PHP.
Ce qui reste incertain: l'absence de score CVSS publié empêche de comparer ces failles à d'autres urgences. Le nombre de sites réellement exposés, c'est-à-dire disposant du chemin d'exploitation non authentifié, n'est pas connu.

Sources :securityweek.com bleepingcomputer.com

08ÉlevéeCryptographie

Go bloque en urgence huit clés d'autorités intermédiaires, sans expliquer pourquoi

Ce qui s'est passé: Le vérificateur de certificats de Go rejette désormais toute chaîne passant par huit clés intermédiaires. Le projet ne nomme pas l'autorité concernée et invoque de « préoccupations de sécurité spécifiques autour de leur fonctionnement ». Le filtre compare l'empreinte de la clé publique, pas celle du certificat, ce qui attrape aussi les copies cross-signées. Il n'existe aucun réglage pour le désactiver, et il s'applique même si le programme fournit ses propres racines de confiance.
Ce que ça change: tout programme Go recompilé avec ces versions refusera les connexions vers des sites et services dont les certificats chaînent vers ces huit clés, avec l'erreur x509: no valid chains built. Un commentateur du ticket Go a rapproché les huit empreintes de certificats intermédiaires eMudhra (emSign), dont six TLS et deux de signature de code, rapprochement que The Hacker News dit ne pas avoir vérifié indépendamment. Deux jours plus tôt, Mozilla avait ajouté six intermédiaires eMudhra à sa liste OneCRL.
Ce qu'il faut faire: recompiler et redéployer les services Go sur 1.27.3 ou 1.26.10. Cartographier les dépendances qui font du TLS sortant et anticiper les ruptures de connexion vers des services utilisant encore ces intermédiaires. Les équipes PKI doivent vérifier si leurs certificats serveur chaînent vers eMudhra et préparer une réémission depuis une autre autorité.
Ce qui reste incertain: la cause réelle du blocage n'est pas publique. L'attribution à eMudhra repose sur un rapprochement d'empreintes par un tiers. On ignore si Chrome, Apple ou Microsoft ont pris des mesures équivalentes. Go n'a pas répondu aux demandes d'explication citées par la presse.

Sources :thehackernews.com groups.google.com github.com

09ModéréeIA & Sécurité

OpenCode : des clés d'API exposées lors d'une attaque par distillation d'IA

Ce qui s'est passé: La distillation est une technique légitime : entraîner un petit modèle à partir des réponses d'un grand modèle pour obtenir moins cher et plus rapide. Elle devient une attaque quand elle se fait massivement, sans autorisation, aux frais de la victime. Ici, les attaquants ont visé l'infrastructure d'OpenCode pour obtenir des requêtes non autorisées vers les fournisseurs, et des clés d'API stockées ont été exposées au passage.
Ce que ça change: factures indues chez les utilisateurs, de plusieurs centaines de dollars jusqu'à 1 700 dollars en une nuit selon les signalements, et suspension de projets Google Cloud pour « activité abusive compatible avec des ressources détournées ». Aucune donnée utilisateur n'aurait été exposée selon le message envoyé aux personnes concernées.
Ce qu'il faut faire: révoquer et régénérer toute clé de fournisseur d'IA stockée dans un service tiers, poser des plafonds de dépense et des alertes de quota par clé, restreindre les clés à un projet et à un usage. Pour les plateformes : chiffrer les secrets au repos avec une clé distincte par tenant, journaliser les volumes de requêtes par utilisateur et détecter les profils de consommation anormaux.
Ce qui reste incertain: OpenCode n'a pas répondu à BleepingComputer. Le lien exact entre l'attaque par distillation et l'exposition des clés n'est pas documenté techniquement. Le nombre de comptes concernés n'est pas donné.

Sources :bleepingcomputer.com

10ÉlevéeAttaque

Ahold Delhaize : le deuxième incident majeur en deux ans paralyse une partie de l'e-commerce

Ce qui s'est passé: Le géant néerlandais de la distribution a mis hors ligne plusieurs systèmes, dont les sites et applications de ses enseignes, après avoir détecté une activité malveillante. Les magasins sont restés ouverts. L'entreprise a notifié le Centre néerlandais de cybersécurité (NCSC) dans les 24 heures et déposé plainte.
Ce que ça change: commandes en ligne interrompues, services clients indisponibles, accès aux plannings et bulletins de paie perturbé pour les salariés de Stop & Shop. Sur le plan économique, la perte de chiffre d'affaires en ligne et les coûts de réponse s'ajoutent au risque réputationnel. Aucune preuve de vol de données clients, salariés ou partenaires n'a été trouvée à ce jour selon l'entreprise.
Ce qu'il faut faire: pour les distributeurs, tester la capacité à basculer en mode dégradé avec les magasins ouverts mais l'informatique partiellement coupée. Cartographier les dépendances entre sites web, applications, systèmes de caisse et logistique. Préparer la notification réglementaire avant l'incident, avec des trames prêtes. Surveiller les comptes de service et les accès distants des prestataires.
Ce qui reste incertain: vecteur initial inconnu. Aucune revendication de groupe rançongiciel n'est confirmée. L'ampleur exacte des systèmes touchés et l'éventuelle exfiltration restent non établies. Il s'agit du second incident majeur depuis novembre 2024, où INC Ransom avait revendiqué le vol de données de 2,2 millions de personnes.

Sources :bleepingcomputer.com theregister.com

Tous les jours du radar