← Retour au blog

Hebdo hacking — semaine 42 (12 au 18 octobre 2026)

13 min de lecture

Hebdo hacking — semaine 42 (12 au 18 octobre 2026)

Semaine 42 particulièrement chargée : Microsoft a pulvérisé son propre record de Patch Tuesday, les équipements d'accès distant (Ivanti, Cisco, BeyondTrust, Palo Alto) ont enchaîné les zero-days activement exploités, et la stack web des devs a pris cher avec des RCE critiques sur GitLab, Drupal, Magento et Next.js. Côté incidents, une attaque sur la chaîne d'approvisionnement de ConnectWise a ouvert des centaines de tenants Microsoft 365, pendant qu'en France des pirates réchauffaient les frigos de plusieurs centaines de supermarchés. On fait le tri.

L'essentiel de la semaine

Patch Tuesday d'octobre : 1 411 failles, un record absolu

Microsoft a publié le 13 octobre un Patch Tuesday hors norme : 1 411 vulnérabilités corrigées, un chiffre qui écrase le précédent record de septembre (près de 1 000 correctifs), lui-même déjà dix fois supérieur à la charge mensuelle habituelle. Le décompte n'inclut même pas les 348 failles déjà corrigées plus tôt dans le mois.

Dans le détail : 677 élévations de privilèges, 317 exécutions de code à distance, 254 divulgations d'informations, 73 dénis de service, 40 contournements de fonctionnalités de sécurité et 28 usurpations. 70 failles sont classées critiques, dont 57 RCE. Les produits les plus touchés sont Windows (1 102 failles), Office (134), les outils de développement (61), SharePoint Server (36) et SQL Server (22).

Trois zero-days sont à retenir :

  • CVE-2026-96951 — contournement de fonctionnalité de sécurité par injection de commande dans le Shell Windows, activement exploitée et ajoutée au catalogue KEV de la CISA. C'est celle à patcher en priorité.
  • CVE-2026-108398 — contournement de la politique WDAC (Windows Defender Application Control) via .NET Framework, divulguée publiquement, trouvée par James Forshaw de Google Project Zero.
  • CVE-2026-92707 — déni de service dans MessagePack-CSharp, divulguée publiquement.

Côté effets de bord, Microsoft signale que la mise à jour KB5127648 peut empêcher l'activation de Smart App Control, et que l'activation de la « protection administrateur » peut casser les connexions Bureau à distance pour les utilisateurs non-admins. Deux bonnes nouvelles par contre : les écrans noirs et plantages de l'Explorateur, ainsi que les problèmes d'Always On VPN hérités de septembre, sont corrigés. Pensez aussi aux fins de support : Windows 11 24H2 Home/Pro et le support standard de Windows Server 2022, c'est terminé.

Source : BleepingComputer, Krebs on Security, The Hacker News, CERT-FR, CISA KEV, BleepingComputer (Smart App Control), BleepingComputer (RDP)

Zero-days en série sur les équipements de bordure : Ivanti, Cisco, BeyondTrust, Palo Alto

Si tu administres des passerelles VPN, des appliances mail ou des outils de support distant, ta semaine a été longue. Quatre éditeurs ont publié des correctifs pour des failles déjà exploitées, toutes ajoutées au catalogue KEV de la CISA.

Ivanti Connect Secure est le cas le plus sérieux. La faille CVE-2026-104935 (CVSS 8.6) est un contournement d'authentification permettant à un attaquant distant et non authentifié d'exécuter des commandes arbitraires, en attaque de faible complexité et sans interaction utilisateur. Elle est exploitée depuis au moins le 1er octobre. Volexity rapporte qu'un acteur suivi sous le nom UTA0576 a chaîné trois zero-days pour obtenir un accès root sans authentification ; au moment de la publication, deux étaient corrigées et le correctif de la troisième était encore attendu. L'attaquant évite de déployer du malware (il ré-exploite l'appliance à la demande) et altère les journaux pour échapper à la détection. Sont concernées les versions ICS 22.8R2.4 et antérieures, 25.1.2.2 et antérieures, 25.1.1.1 et antérieures. La CISA et le CERT-FR appellent à mettre à jour immédiatement et à passer régulièrement l'Integrity Checker Tool — et vu les techniques d'effacement de traces, considère une appliance exposée comme potentiellement compromise.

Cisco Secure Email Gateway : la CVE-2026-76519 est une traversée de chemin relative exploitée en octobre. Un attaquant non authentifié envoie simplement un e-mail avec une pièce jointe malveillante à travers la passerelle, écrit des fichiers arbitraires et exécute des commandes en root. La faille ne se déclenche que si le service File Reputation est actif dans les politiques de messagerie. Correctif : Content Scanner Tools en version 25.3.0.5525 ou ultérieure (la commande contentscannerstatus permet de vérifier l'état). Shadowserver comptait encore environ 300 instances exposées.

BeyondTrust Remote Support : la CVE-2026-102764 (CVSS 9.3), un défaut de validation d'origine dans un composant de messagerie interne, est exploitée depuis fin août par le groupe d'espionnage lié à la Chine Armory Castle (ex-UNC5221, alias Warp Panda). Les attaquants obtiennent un accès initial puis passent root via des permissions SUID, déposent des web shells Sawfly et des tunneliers Bareclaw, et effacent les journaux. Les versions 26.2.3 et antérieures sont touchées ; le SaaS a été corrigé le 8 octobre, mais les installations auto-hébergées doivent patcher à la main si les mises à jour automatiques sont désactivées. Toute appliance vulnérable exposée sur Internet doit être traitée comme potentiellement compromise, avec rotation des identifiants.

PAN-OS enfin : la CVE-2026-0322 (CVSS 8.6) permet une exécution de code à distance en root via l'interface de management, mais nécessite des identifiants valides. Palo Alto parle d'exploitation « très limitée » (trois adresses IP confirmées). Les versions 10.2, 11.1, 11.2, 12.1 et 12.2 sont concernées sur pare-feux PA-Series/VM-Series et Panorama ; Cloud NGFW et Prisma Access ne le sont pas. Le réflexe de base reste le bon : ne jamais exposer une interface d'administration sur Internet et la restreindre à des IP internes de confiance.

Source : BleepingComputer (Ivanti), The Hacker News (chaîne Ivanti), CERT-FR (alerte Ivanti), BleepingComputer (CISA/Ivanti), BleepingComputer (Cisco), CISA KEV (Cisco), BleepingComputer (BeyondTrust), The Hacker News (BeyondTrust), BleepingComputer (PAN-OS), CISA KEV (PAN-OS)

Semaine noire pour la stack web : GitLab, Drupal, Magento, Next.js, Nextcloud

Si tu développes ou héberges des applis web, cette section est pour toi. Cinq correctifs majeurs sont tombés en quelques jours.

GitLab a corrigé la CVE-2026-97229, un dépassement d'entier dans le compilateur d'expressions régulières CI/CD, noté au maximum de sévérité. Un attaquant non authentifié peut exécuter du code arbitraire sur le serveur GitLab via une regex spécialement conçue dans un fichier de configuration CI/CD. Versions corrigées : 19.2.8, 19.3.4 et 19.4.2 pour CE et EE. GitLab.com et GitLab Dedicated sont déjà protégés, mais toutes les installations auto-hébergées doivent être mises à jour immédiatement. La faille a été remontée le 12 octobre par le chercheur « joaxcar » via le programme HackerOne de GitLab.

Drupal a publié le 14 octobre des correctifs pour deux RCE critiques : CVE-2026-108097 dans le module Field UI du cœur et CVE-2026-108099 dans le module contribué Entity List. L'équipe sécurité précise que la faille du cœur n'est pas atteignable via le cœur seul, mais que plusieurs chemins d'exploitation existent à travers des modules contribués — et qu'au moins l'un d'eux ne nécessite aucune authentification. Mettez à jour vers 11.4.10, 11.3.19 ou 10.6.19 (et Entity List 3.0.10). Si tu ne peux pas patcher tout de suite, désinstaller le module field_ui est une mitigation temporaire. L'équipe Drupal prévient que des exploits pourraient apparaître « en quelques heures ou quelques jours », et plus d'un million de sites tournent sous Drupal.

Magento / Adobe Commerce : la faille CVE-2026-103849, baptisée BlockStrap par Sansec, atteint la sévérité maximale. C'est une injection de directive de template « au second passage » : du contenu contrôlé par l'attaquant dans un template d'e-mail enfant est re-traité au niveau racine, ce qui exécute une directive {{block}} dissimulée et aboutit à de l'exécution de PHP arbitraire sur le serveur. Sont touchés Adobe Commerce et Magento Open Source jusqu'à 2.4.9, et Adobe Commerce B2B jusqu'à 1.5.3. Aucune exploitation observée pour l'instant, mais Sansec a identifié quatre chemins d'attaque possibles en 24 heures et estime que n'importe qui avec un agent IA peut rétro-ingénierer le correctif rapidement. Adobe a classé la faille en priorité 2 (correctif sous 30 jours), ce que Sansec juge insuffisant. Attention : le correctif de septembre (hotfix VULN-39341) doit être conservé, BlockStrap et StyleSmuggler nécessitant des correctifs distincts.

Next.js a sorti un correctif hors cycle le 14 octobre pour deux failles critiques d'exécution de code à distance non authentifiée — l'une dans les React Server Components, l'autre dans librsvg, la bibliothèque utilisée via le package sharp pour traiter les SVG — ainsi qu'un déni de service de sévérité élevée.

Nextcloud enfin, et celle-ci est déjà exploitée : la CVE-2026-110447 dans l'application optionnelle « Collabora Online – Built-in CODE Server » (richdocumentscode) permet une injection de commandes OS via l'endpoint _proxy.php, sans authentification ni interaction. L'exploitation a démarré mi-septembre, un mois avant la divulgation formelle. Les attaquants déposent des web shells PHP et cherchent bases de mots de passe, artefacts de gestionnaires de mots de passe et portefeuilles crypto ; des opérateurs de rançongiciels s'y intéresseraient aussi. Passe en 26.4.303 ou supérieur, ou supprime l'app — la désactiver ne suffit pas. Les déploiements CODE autonomes et Docker ne sont pas concernés.

Source : BleepingComputer (GitLab), The Hacker News (GitLab), CERT-FR (GitLab), BleepingComputer (Drupal), The Hacker News (Drupal), BleepingComputer (Magento), The Hacker News (Next.js), BleepingComputer (Nextcloud)

ConnectWise Cloud Backup : une identité applicative compromise ouvre des centaines de tenants M365

Cas d'école d'attaque sur la chaîne d'approvisionnement : des attaquants ont mis la main sur le secret du service principal de ConnectWise Cloud Backup (anciennement SkyKick Cloud Backup), un service de sauvegarde destiné aux MSP, et s'en sont servis pour s'authentifier directement auprès de Microsoft 365 en tant que l'application de sauvegarde. Comme l'explique Todyl, l'attaquant a ainsi hérité de toutes les permissions que les clients avaient déjà accordées à cette application. Aucun mot de passe utilisateur volé, aucun MFA à contourner : l'identité applicative suffisait.

Chronologie : des tentatives de connexion scriptées depuis l'IP de l'attaquant ont été détectées les 13 et 14 octobre, l'activité malveillante a démarré le 15, et ConnectWise a coupé l'accès client au service le 17 octobre à 05h01 UTC. Huntress a identifié au moins 162 tenants compromis, un décompte encore provisoire. Microsoft, Huntress et Todyl ont tous relié l'activité à la même adresse IP, 144.172.64[.]128.

Si tu es MSP ou client d'un MSP utilisant ce service : passe en revue les connexions du service principal filtrées sur l'ID d'application 506e08f9-6e9a-4da4-942b-a099a03644ae, cherche des identifiants ajoutés à l'application depuis le 13 octobre, désactive les applications ConnectWise concernées, et audite les consentements OAuth et l'activité Graph API. La leçon générale : les identités applicatives et leurs secrets méritent la même surveillance que les comptes humains, avec un inventaire des consentements OAuth et le principe du moindre privilège sur les permissions Graph.

Source : BleepingComputer, The Hacker News

Les frigos de 250 à 350 supermarchés français réchauffés à distance

Dans la nuit du 11 octobre, des attaquants ont pris le contrôle à distance des systèmes de froid de plusieurs centaines de supermarchés français et ont déclenché le dégivrage automatique, faisant monter la température des meubles réfrigérés jusqu'à environ 50 °C. Résultat : des stocks entiers de denrées jetés. Six enseignes sont citées — Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc et Super U — pour un total estimé entre 250 et 350 magasins. Le parquet de Paris a ouvert une enquête.

Le point d'entrée : les contrôleurs de réfrigération du fabricant danois Danfoss, plus précisément la plateforme AK-SM 800A, que les sociétés de maintenance administrent à distance. Les victimes utilisaient d'anciennes versions du logiciel de contrôle. Deux vulnérabilités connues ont permis la compromission : CVE-2025-41450 (contournement d'authentification) et CVE-2025-41451 (injection de commandes). Les chercheurs ont dénombré plus de 2 700 systèmes Danfoss exposés sur Internet, dont 1 590 en France — autant dire que l'incident est loin d'être clos.

Le CERT-FR a publié une alerte dédiée aux séries AK-SM et AK-SC : il rappelle que l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques et recommande, lorsque l'administration à distance est impérative, de commencer par en restreindre l'accès. C'est un bon rappel que l'OT et l'IoT industriel sont désormais des cibles de premier plan, avec des conséquences très physiques.

Source : BleepingComputer, The Hacker News, CERT-FR, ZATAZ

En bref

  • Ledger confirme un implant matériel dans des portefeuilles vendus par le revendeur malaisien CryptoBilis : une puce espion (microcontrôleur ST STM32G431KBU6, eSIM et module LTE) capturait l'affichage et les appuis de boutons pour exfiltrer les phrases de récupération par réseau cellulaire — et le « Genuine Check » de Ledger ne détecte pas ce type d'implant. BleepingComputer
  • SAP a corrigé 20 failles en octobre, dont une de sévérité maximale (CVSS 10) dans le Cloud SDK for Python, qui peut envoyer les identifiants client OAuth2 d'une application multi-tenant sur SAP BTP vers un serveur contrôlé par l'attaquant. BleepingComputer
  • Docker Hub a corrigé la CVE-2026-105445, une faille vieille de deux ans dans la conversion d'un compte personnel en organisation, qui permettait de pousser, récupérer ou supprimer des images au nom d'un autre utilisateur via un jeton d'accès personnel. BleepingComputer
  • GitHub fait désormais expirer les configurations de trusted publishing npm non validées au bout de 48 heures, après qu'une faille a laissé plus de 1 500 packages exposés à un détournement sans vol d'identifiants. The Hacker News
  • La campagne de vol d'identifiants GhostAction s'est intensifiée les 8 et 9 octobre : environ 1 900 comptes GitHub compromis, plus de 30 000 dépôts visés et 3 174 secrets ciblés dans les CI de dépôts publics, selon GitGuardian. The Hacker News
  • curl 8.23.0 corrige une faille dans la gestion des envois HTTP/2 : un serveur malveillant peut corrompre la mémoire du client, et le chercheur a démontré une exécution de code côté client. The Hacker News, CERT-FR
  • NGINX 1.30.6 et 1.31.7 corrigent cinq vulnérabilités, dont trois bugs mémoire pouvant faire planter un worker voire permettre l'exécution de code, et un bug TLS susceptible de contourner la vérification des certificats client — l'une des failles est présente depuis mai 2005. The Hacker News
  • Une faille CVSS 10 dans le plugin WordPress Bricksforge (CVE-2026-85097), permettant à un attaquant non authentifié d'uploader et d'exécuter du PHP arbitraire, est activement exploitée selon Patchstack. The Hacker News
  • Microsoft, le JC3 japonais et une coalition de partenaires (Cloudflare, Proofpoint, Oracle, Resecurity, TRM Labs…) ont démantelé trois kits de phishing — CoGUI, Haozi et Iron Man System — responsables de plus d'un milliard de messages malveillants visant plus de 75 000 organisations dans 150 pays. BleepingComputer, ZATAZ
  • Le DoJ américain a inculpé 14 personnes et saisi environ 187 ordinateurs dans le cadre du démantèlement de plus de 40 « laptop farms » servant au dispositif de faux informaticiens nord-coréens, qui a touché plus de 70 entreprises américaines. BleepingComputer
  • Burger King Japon a signalé l'accès à un serveur contenant 11,18 millions d'enregistrements clients, pendant qu'au Japon toujours une infection par malware chez le sous-traitant Nippon Columbia exposait plus de 8,7 millions de fiches clients et employés de Daiichi Kosho. BleepingComputer, BleepingComputer
  • Côté France, ZATAZ rapporte une revendication de mise en vente de 1,39 million de lignes de données liées à Vacaf, ainsi qu'une revendication de fuite visant Infogreffe. ZATAZ, ZATAZ

Entre les regex qui donnent du RCE non authentifié, les identités applicatives qui valent mieux qu'un mot de passe volé et les frigos pilotés depuis Internet, la semaine rappelle que la surface d'attaque ne se limite jamais au code qu'on écrit. Pour ne rien rater des prochaines éditions, abonne-toi au flux RSS.