Agir maintenant : corriger, réagir ou décider cette semaine.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordLe 29 octobre, la CISA a inscrit au KEV une RCE par dépassement d'entier dans GitLab CE/EE (CVE-2026-97229, CVSS 10.0) et un déni de service dans Cisco Secure Firewall ASA/FTD (CVE-2026-76418, CVSS 8.6), échéance fédérale au 1er novembre. Le lendemain, deux failles Ivanti Connect Secure chaînées avec un contournement d'authentification antérieur jusqu'à un accès root non authentifié. Volexity signale une exploitation active ; correctifs dans ICS 25.1.1.3 et 22.8R2.6.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordCloudflare a détaillé huit certificats d'AC intermédiaires eMudhra dont les clés privées étaient de petits entiers (4, 56, 66 et autres), permettant de retrouver la clé de signature et de forger un certificat pour tout domaine. Ces intermédiaires chaînent à des racines de confiance Mozilla, Microsoft, Apple et Chrome. Environ 22 000 tentatives de handshake avec les clés faibles, et un certificat contrefait moins d'une heure après le rapport. Une semaine après, plus de la moitié des sondes l'acceptaient.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordL'hébergeur Northflank a révélé le 30 octobre une brèche : variables d'environnement stockées déchiffrées, clés d'API d'IA de clients volées et détournées. Il a demandé de considérer toutes ces variables comme compromises et de faire tourner chaque clé, mot de passe de base de données, jeton et secret. L'incident suit des brèches Railway dans le mois.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordUn use-after-free dans le chemin TCP IPv4 du noyau, affectant les listeners multipath TCP, porte CVE-2026-98432 et CVSS 9.8 (équipe CVE du noyau). Huit noyaux stables sont sortis vers le 30 octobre avec le correctif. Anthropic a rapporté qu'un modèle d'IA a écrit un exploit pour la condition.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromisePHP a publie des correctifs le 21 octobre pour CVE-2026-109618 et CVE-2026-109619, deux RCE non authentifiees notees CVSS 9.2. Risque maximal sur mod_php, ou une requete non authentifiee declenche la faille avant tout code applicatif. Versions corrigees : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Krebs signale des exploits actifs.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseCloudflare a decouvert huit certificats d'AC intermediaires eMudhra aux cles privees catastrophiquement faibles : quiconque pouvait retrouver la cle de signature et forger un certificat pour n'importe quel domaine. Ces intermediaires remontent a des racines de confiance Mozilla, Microsoft, Apple et Chrome. Cloudflare a attenue les 19 et 20 octobre ; eMudhra quittera le marche mondial du TLS.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseUn LiteLLM 1.107.0 malveillant a ete publie sur PyPI le 21 octobre : voleur d'identifiants et porte derobee persistante pilotee via GitHub. Avec des identifiants GitHub CLI voles, les attaquants ont contourne la protection de branche et compile depuis un depot sosie, avant retrait par PyPI. Le meme jour, Railway a divulgue un acces non autorise a des systemes contenant des variables d'environnement clients, certaines dechiffrees ; faites tout tourner.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseCVE-2026-88771 est une execution de commandes a distance non authentifiee dans NetScaler Gateway, exploitable en configuration par defaut, son exploitation active confirmee par la CISA et Mandiant. Cloudflare recommande authentification et WAF devant l'appliance, les correctifs etant en retard.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLe 13 octobre, Microsoft a corrigé plus de 1 400 vulnérabilités, dix fois un mois normal, dont au moins 78 critiques. CVE-2026-96951, contournement du Windows Shell (Windows 10, 11, certaines versions de Server), est exploité. CVE-2026-108398, contournement de .NET Framework, a été divulgué avant correctif mais pas exploité.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuOpenCode a révélé la compromission d'un système hérité en démantèlement, exposant les clés d'API tierces OpenAI, Anthropic et Google stockées par les utilisateurs dans OpenCode Console. Environ 1,4 pour cent des utilisateurs de Console sont touchés ; Anthropic a révoqué les clés Claude concernées. Le CLI open source n'était pas compromis.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsLes autorités danoises ont révélé que des attaquants avaient détourné l'accès légitime d'une entreprise privée au registre central des personnes (CPR), lançant environ 14 millions de recherches automatisées en septembre avant détection début octobre. Exposés : noms, adresses et numéros CPR d'environ 8,8 millions de personnes, soit 80 pour cent du registre. L'accès venait, selon une partie revendiquant l'attaque, d'un compte de société informatique sous le mot de passe 123456.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsUn chercheur a publié la CVE-2026-107181, faille d'injection IPC dans Telegram Desktop jusqu'à la version 7.2.8, combinée à un schéma d'URI non autorisé permettant lecture et exfiltration arbitraires de fichiers locaux, d'où une prise de contrôle de compte au clic sur un lien malveillant. Notée CVSS 8.1, corrigée en 7.2.9.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsKrebs rapporte qu'avant les récentes arrestations, ShinyHunters avait rançonné Jeppesen ForeFlight, ancienne filiale de Boeing. Des articles connexes le relient à l'exploitation massive de la CVE-2026-35273, vulnérabilité PeopleSoft et Oracle, dès juin, les contournements pare-feu publiés étant déjoués par l'encodage d'URL.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuLa CISA a ajouté trois failles exploitées à son catalogue KEV. CVE-2026-86950 : écriture hors limites dans CoreGraphics d'Apple (CVSS 8.8), corrigée dans iOS et macOS, déclenchée par un fichier malveillant. CVE-2026-76504 : contournement d'authentification critique dans Cisco Catalyst SD-WAN Manager (CVSS 9.8), sans contournement. CVE-2026-104286 : traversée de répertoire dans Fortinet FortiMail (CVSS 9.8), écriture non authentifiée.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuDebian a publié DSA-6528-1 le 29 septembre, corrigeant un lot exceptionnellement volumineux de CVE du noyau Linux pouvant mener à une élévation de privilèges, un déni de service ou des fuites d'informations. Debian stable est corrigé dans le noyau 6.12.111-1 ; l'avis a alimenté un fil très lu sur Hacker News.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuSimon Willison a soutenu que l'outillage d'IA agentique a besoin de plafonds de budget stricts par défaut contre les dépenses incontrôlées, recueillant 652 points et 313 commentaires le 3 octobre.
