Signal hebdomadaire

L'edge d'Azure s'effondre, et un braquage crypto record

contact@cto.lu (Anouar Adlani) — Mon, 02 Nov 2026 07:00:00 GMT

Azure Front Door coupé des heures par une config défaillante. La CISA a signalé trois failles exploitées sur dev et VPN. Le FBI a lié à la Corée du Nord un vol Binance de 6,3 milliards. Anthropic a déposé son S-1.

À corriger : GitLab (CVE-2026-97229, CVSS 10.0), Cisco ASA/FTD (CVE-2026-76418) et une chaîne de trois failles Ivanti Connect Secure, exploitées et au KEV CISA.
Azure Front Door est tombé mondialement le 29 octobre, une config invalide ayant fait planter le data plane. L'edge mono-fournisseur reste un point de défaillance.
Le FBI a lié à la Corée du Nord un vol Binance de 6,3 milliards, remonté à un portable DevOps compromis, en 20 minutes.
Anthropic a déposé son S-1 (Nasdaq : ANT) sur 16,3 milliards de revenus semestriels. Mistral a ouvert Large 4, 1 000 milliards de paramètres.
Microsoft a proposé des départs volontaires à environ 60 000 salariés, un quart des effectifs. DoorDash va racheter Instacart pour environ 17 milliards.

Le correctif d'urgence de PHP et une autorite de certification compromise

contact@cto.lu (Anouar Adlani) — Mon, 26 Oct 2026 07:00:00 GMT

Deux RCE non authentifiees frappent PHP, exploits deja en circulation. Les cles de signature d'une autorite de certification se sont averees etre de petits entiers. Un LiteLLM piege et une breche chez Railway menacent des secrets, et le reglement europeen sur l'IA obtient sa premiere norme contraignante.

Patchez PHP maintenant. CVE-2026-109618 et CVE-2026-109619 (CVSS 9.2) sont des RCE non authentifiees, pires sur mod_php, exploits en circulation. Corrigees dans 8.5.12, 8.4.27, 8.3.36, 8.2.35.
Huit cles d'AC intermediaires eMudhra cassees : n'importe qui pouvait forger des certificats pour n'importe quel domaine. Elles remontent a des racines de confiance Mozilla, Microsoft, Apple et Chrome.
Chaine d'approvisionnement : un LiteLLM 1.107.0 piege a touche PyPI et une breche chez Railway a expose des variables d'environnement clients. Faites tourner les identifiants concernes.
Un tribunal du Nouveau-Mexique a condamne Meta a 25 milliards de dollars dans l'affaire Cambridge Analytica. Meta fera appel.
Le reglement europeen sur l'IA a obtenu sa premiere norme harmonisee (EN 18286:2026), offrant aux fournisseurs d'IA a haut risque un chemin concret vers la presomption de conformite.

Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feu

contact@cto.lu (Anouar Adlani) — Mon, 19 Oct 2026 07:00:00 GMT

Microsoft a corrigé plus de 1 400 failles en un mois, dont une zero-day exploitée. Une cyberattaque a mis la réfrigération de supermarchés français en dégivrage. Un outil de codage IA a divulgué des clés d'API fournisseurs ; Anthropic a expliqué son abandon de Git.

Patch Tuesday d'octobre de Microsoft : plus de 1 400 vulnérabilités corrigées, dont CVE-2026-96951, contournement du Windows Shell exploité dans la nature. À prioriser, avec un .NET divulgué avant correctif.
Une cyberattaque a mis la réfrigération de jusqu'à 700 supermarchés français en dégivrage la nuit, avec températures élevées, incendies et dégâts des eaux. Les automates OT deviennent une cible de dommages physiques.
Brèche sur l'OpenCode Console : clés d'API OpenAI, Anthropic et Google exposées pour environ 1,4 pour cent des utilisateurs. Faites tourner vos clés et cessez de stocker des secrets longue durée en console SaaS.
Ledger a confirmé des implants matériels dans des portefeuilles vendus par un revendeur non autorisé, exfiltrant les phrases de récupération via LTE.
Anthropic a remplacé Git par un système sur mesure après que le volume de fusions est passé de 2 500 à 30 000 changements par jour.

Le registre de population danois compromis, Uber condamné à 825 millions

contact@cto.lu (Anouar Adlani) — Mon, 12 Oct 2026 07:00:00 GMT

Un tiers de confiance a lancé des millions de requêtes contre le registre central de la population danoise, exposant la quasi-totalité du pays. Un régulateur néerlandais a prononcé l'une des plus lourdes amendes RGPD à ce jour pour désactivation automatisée de comptes chauffeurs. Cloudflare a racheté Deno, et une faille Telegram exploitable en un clic a fait surface.

Des attaquants ont détourné l'accès légitime d'une entreprise au registre CPR danois pour lancer environ 14 millions de recherches, exposant environ 8,8 millions de personnes. Un compte utilisait le mot de passe 123456.
L'autorité néerlandaise a infligé à Uber 824 990 000 euros pour décision automatisée illicite désactivant des comptes chauffeurs sans information adéquate. Uber fait appel.
Cloudflare a racheté Deno. Deno Deploy ferme dans six mois ; les utilisateurs payants migrent vers Cloudflare Workers. Planifiez dès maintenant.
Mettez Telegram Desktop en 7.2.9 ou plus : la CVE-2026-107181 permet une prise de contrôle de compte en un clic.
Claude Haiku 5.5 fait tomber le prix des petits modèles à 0,10 dollar par million de tokens en entrée, soit environ 75 pour cent de moins que Haiku 4.5.

Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vu

contact@cto.lu (Anouar Adlani) — Mon, 05 Oct 2026 07:00:00 GMT

Apple, Cisco et Fortinet ont vu des failles activement exploitées ajoutées au catalogue CISA en une semaine. Un SDK Firebase a fait planter des applications mondialement, page de statut au vert. Anthropic a livré un modèle intermédiaire plus performant au même prix ; un laboratoire allemand a publié un modèle ouvert souverain.

Trois failles activement exploitées ont rejoint la liste KEV de la CISA : Apple CoreGraphics (CVE-2026-86950), Cisco Catalyst SD-WAN Manager (CVE-2026-76504, CVSS 9.8), Fortinet FortiMail (CVE-2026-104286, CVSS 9.8).
Un SDK analytics Firebase a fait planter des applications iOS au lancement, tableaux de bord de statut de Google au vert : ils suivent la santé serveur, pas le SDK client.
Claude Sonnet 5.5 est sorti à tarif inchangé (2 et 10 dollars par million de tokens), avec un bond important sur les benchmarks de codage agentique.
Aleph Alpha a publié Kolibri, modèle open-weight sous Apache 2.0 conçu dans l'UE, positionné pour les contraintes RGPD et AI Act.
Debian a livré une mise à jour de sécurité du noyau exceptionnellement volumineuse (DSA-6528-1). Planifiez correctif et redémarrage.