Concerne la direction sécurité : menaces, exposition et réponse.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordLe 29 octobre, la CISA a inscrit au KEV une RCE par dépassement d'entier dans GitLab CE/EE (CVE-2026-97229, CVSS 10.0) et un déni de service dans Cisco Secure Firewall ASA/FTD (CVE-2026-76418, CVSS 8.6), échéance fédérale au 1er novembre. Le lendemain, deux failles Ivanti Connect Secure chaînées avec un contournement d'authentification antérieur jusqu'à un accès root non authentifié. Volexity signale une exploitation active ; correctifs dans ICS 25.1.1.3 et 22.8R2.6.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordBinance a révélé un incident touchant environ 6,3 milliards de dollars d'actifs, dont près de 3 milliards gelés on-chain par Tether, Circle et Arbitrum. Le 1er novembre, le FBI a attribué le vol au groupe nord-coréen TraderTraitor (suivi Jade Sleet, UNC4899). Les attaquants ont compromis le portable d'un ingénieur DevOps, atteint un conteneur de service, pré-signé des retraits consécutifs et déplacé les fonds en 20 minutes environ.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordCloudflare a détaillé huit certificats d'AC intermédiaires eMudhra dont les clés privées étaient de petits entiers (4, 56, 66 et autres), permettant de retrouver la clé de signature et de forger un certificat pour tout domaine. Ces intermédiaires chaînent à des racines de confiance Mozilla, Microsoft, Apple et Chrome. Environ 22 000 tentatives de handshake avec les clés faibles, et un certificat contrefait moins d'une heure après le rapport. Une semaine après, plus de la moitié des sondes l'acceptaient.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordUne copie altérée de l'extension Claude Code d'Anthropic (version 2.1.313), publiée sur la marketplace Cursor, est restée en ligne environ 11 heures le 29 octobre, touchant jusqu'à 5 000 développeurs. Elle collectait nom d'utilisateur, e-mail Git et IP publique, et tentait un tunnel SSH inverse et une persistance sous Windows, macOS et Linux. Anthropic dit qu'un acteur malveillant a publié via un accès marketplace une copie non produite par elle.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordL'hébergeur Northflank a révélé le 30 octobre une brèche : variables d'environnement stockées déchiffrées, clés d'API d'IA de clients volées et détournées. Il a demandé de considérer toutes ces variables comme compromises et de faire tourner chaque clé, mot de passe de base de données, jeton et secret. L'incident suit des brèches Railway dans le mois.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordUn use-after-free dans le chemin TCP IPv4 du noyau, affectant les listeners multipath TCP, porte CVE-2026-98432 et CVSS 9.8 (équipe CVE du noyau). Huit noyaux stables sont sortis vers le 30 octobre avec le correctif. Anthropic a rapporté qu'un modèle d'IA a écrit un exploit pour la condition.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordCloudflare a atténué 18,2 millions d'attaques DDoS réseau au T3, +38 pour cent sur un an, et bloqué 14,4 billions de requêtes HTTP DDoS. Les salves sous 10 minutes et 1 Gbps ont bondi de 208 pour cent, attribuées aux booters et stressers à louer.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordGoogle a annoncé Gemini 4 Carbon le 28 octobre, en tête sur les benchmarks de découverte de vulnérabilités et de génération de correctifs, dont 88,2 pour cent sur SEC-bench Pro et 71,0 pour cent sur CWE-bench. Accès restreint à des défenseurs via Fairwind. Tarifs d'introduction : 2 dollars par million de tokens en entrée, 10 en sortie, puis 4 et 20.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordGitHub a lancé en préversion un pare-feu de paquets npm qui inspecte les téléchargements à l'installation et bloque les paquets suspects avant installation, la même semaine que les incidents Northflank et Claude Code.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordLe 26 octobre, la Commission européenne a accepté le plan d'action de Temu visant à remédier à son manquement au Digital Services Act et à réduire la disponibilité de produits illégaux, retenant une remédiation plutôt qu'une amende directe. Semaine calme sur les changements réglementaires contraignants dans l'UE.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordSelon Google (via InfoQ), son agent PageBreak basé sur Gemini a trouvé plus de 500 vulnérabilités XSS dans les applications web de Google depuis sa mise en service complète en janvier, ne remontant qu'après validation.
2 novembre 2026 · L'edge d'Azure s'effondre, et un braquage crypto recordUn lien de partage ChatGPT malveillant pouvait exécuter du code d'attaquant dans la session d'une victime et lire ses chats privés, abusant du bac à sable HTML : révélé par Parameter Labs via le bug bounty d'OpenAI, repris par The Hacker News et Willison.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromisePHP a publie des correctifs le 21 octobre pour CVE-2026-109618 et CVE-2026-109619, deux RCE non authentifiees notees CVSS 9.2. Risque maximal sur mod_php, ou une requete non authentifiee declenche la faille avant tout code applicatif. Versions corrigees : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Krebs signale des exploits actifs.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseCloudflare a decouvert huit certificats d'AC intermediaires eMudhra aux cles privees catastrophiquement faibles : quiconque pouvait retrouver la cle de signature et forger un certificat pour n'importe quel domaine. Ces intermediaires remontent a des racines de confiance Mozilla, Microsoft, Apple et Chrome. Cloudflare a attenue les 19 et 20 octobre ; eMudhra quittera le marche mondial du TLS.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseUn LiteLLM 1.107.0 malveillant a ete publie sur PyPI le 21 octobre : voleur d'identifiants et porte derobee persistante pilotee via GitHub. Avec des identifiants GitHub CLI voles, les attaquants ont contourne la protection de branche et compile depuis un depot sosie, avant retrait par PyPI. Le meme jour, Railway a divulgue un acces non autorise a des systemes contenant des variables d'environnement clients, certaines dechiffrees ; faites tout tourner.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseLe 21 octobre, un tribunal du Nouveau-Mexique a inflige a Meta 25 milliards de dollars de penalites civiles dans l'affaire de protection des consommateurs liee a Cambridge Analytica, un jury ayant constate environ 43,9 millions d'infractions. Montant fixe bien en deca du maximum legal. Meta fera appel ; 48 autres Etats avaient deja transige.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseLe 19 octobre, le DHS a publie un ordre interdisant aux agences civiles federales d'acquerir des produits DeepSeek et exigeant le retrait de DeepSeek et des outils tiers bases dessus, au titre du Federal Supply Chain Security Act. Securite nationale et SCI exclus ; derogations possibles.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseCVE-2026-88771 est une execution de commandes a distance non authentifiee dans NetScaler Gateway, exploitable en configuration par defaut, son exploitation active confirmee par la CISA et Mandiant. Cloudflare recommande authentification et WAF devant l'appliance, les correctifs etant en retard.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseKrebs rapporte que ShinyHunters a compromis le site de recrutement du FBI fin septembre, derobant numeros de securite sociale, dossiers medicaux et adresses. Les enqueteurs soupconnent des dirigeants de societes de negociation de rancons d'avoir gere le site d'extorsion associe ; un dirigeant canadien de la cybersecurite a ete arrete le 9 octobre. Le groupe a extorque plus de 70 millions de dollars cette annee.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseAWS a annonce le 22 octobre la disponibilite generale de son service qui detecte, valide et priorise les vulnerabilites de code et livre les correctifs en pull requests, cense remplacer plusieurs heures d'investigation manuelle.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseAnthropic a presente Claude Duet le 21 octobre, agent proactif qui envoie des points du matin, redige des reponses a valider et execute des taches sur plus de 6 000 connecteurs, dont Stripe, Shopify, Gmail et Slack. Research preview reservee aux Etats-Unis, sur liste d'attente.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseLa Commission europeenne a publie la reference de la norme EN 18286:2026, norme de management de la qualite pour l'IA, au Journal officiel le 19 octobre. Elle appuie l'article 17 (management de la qualite pour l'IA a haut risque) et accorde une presomption de conformite, concue pour fonctionner avec ISO/IEC 42001 et ISO 9001.
26 octobre 2026 · Le correctif d'urgence de PHP et une autorite de certification compromiseLe 21 octobre, la Commission europeenne a ouvert une procedure formelle au titre du DSA pour evaluer si Booking.com a manque a attenuer les risques d'annonces frauduleuses et de phishing visant les donnees de reservation, et si les annonces payantes etaient bien identifiees comme publicite.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLe 13 octobre, Microsoft a corrigé plus de 1 400 vulnérabilités, dix fois un mois normal, dont au moins 78 critiques. CVE-2026-96951, contournement du Windows Shell (Windows 10, 11, certaines versions de Server), est exploité. CVE-2026-108398, contournement de .NET Framework, a été divulgué avant correctif mais pas exploité.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLa nuit du 11 octobre, des attaquants ont mis en dégivrage les automates de réfrigération de jusqu'à 700 supermarchés français. Certaines unités ont dépassé 50 degrés Celsius : équipements fondus, incendies, dégâts des eaux des sprinklers ; d'autres magasins en Europe ont subi des incidents similaires. Aucune revendication.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuOpenCode a révélé la compromission d'un système hérité en démantèlement, exposant les clés d'API tierces OpenAI, Anthropic et Google stockées par les utilisateurs dans OpenCode Console. Environ 1,4 pour cent des utilisateurs de Console sont touchés ; Anthropic a révoqué les clés Claude concernées. Le CLI open source n'était pas compromis.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLedger a confirmé un implant matériel non autorisé dans des portefeuilles Ledger X distribués par un revendeur en Malaisie. L'implant, un microcontrôleur avec eSIM LTE, exfiltrait les phrases de récupération captées depuis l'écran et les boutons. Volume qualifié de limité, sans montants de vol communiqués.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuCitizen Lab a documenté la première diffusion publiquement confirmée de spyware mercenaire zero-click via des publicités ciblées. Un panneau ciblait par identifiant publicitaire mobile, cookie ou IP, et un serveur renvoyait du JavaScript malveillant infectant les appareils choisis avec le spyware Candiru. Elles ont atteint près de 200 000 applications et sites.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuLe 8 octobre, le Royaume-Uni a sanctionné la plateforme de paiement Cryptomus pour blanchiment lié à la Russie, gelant ses actifs au Royaume-Uni et en interdisant l'usage aux entreprises britanniques. TRM Labs a relié plus de 7 milliards de dollars de transactions à des rançongiciels, marchés du darknet et contournement de sanctions.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuUn ticket GitHub ouvert le 12 octobre signale que le Codex CLI installe par défaut un démon d'arrière-plan persistant et auto-actualisé, soulevant des inquiétudes sur le consentement, la mise à jour automatique et un processus toujours actif.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuUn ingénieur logiciel d'OpenAI a été arrêté en lien avec la mise sur écoute présumée d'une salle de conférence de direction, rapporté le 13 octobre. Les détails restent limités.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuL'autorité norvégienne de protection des données a infligé 8,6 millions d'euros d'amende à Xandr pour le traitement illicite des identifiants publicitaires, adresses IP et localisations des utilisateurs de Grindr en enchère en temps réel. Ces données révélant l'orientation sexuelle, catégorie particulière, un consentement explicite était requis ; le consentement invoqué a été jugé invalide, chaque responsable conjoint devant le vérifier.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuAdoptée le 13 octobre, la déclaration 1/2026 de l'EDPB pointe les risques des lunettes connectées pour la protection des données, dont l'enregistrement dissimulé de tiers et en environnements sensibles. Elle recommande des indicateurs visibles et interdit aux fabricants de transférer les obligations du RGPD aux utilisateurs.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuUn article de CSO Online soutenant que des incidents récents présentés comme des agents incontrôlables découlent en réalité de l'impasse sur des pratiques de confinement et de surveillance vieilles de plusieurs décennies a recueilli 952 points et 630 commentaires le 14 octobre.
19 octobre 2026 · Le plus gros Patch Tuesday de l'histoire, et des frigos qui prennent feuUne défense des passkeys a recueilli 677 points et 819 commentaires le 14 octobre, quelques jours après un essai critique, avec un débat nourri sur le verrouillage fournisseur, la récupération de compte et la portabilité.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsLes autorités danoises ont révélé que des attaquants avaient détourné l'accès légitime d'une entreprise privée au registre central des personnes (CPR), lançant environ 14 millions de recherches automatisées en septembre avant détection début octobre. Exposés : noms, adresses et numéros CPR d'environ 8,8 millions de personnes, soit 80 pour cent du registre. L'accès venait, selon une partie revendiquant l'attaque, d'un compte de société informatique sous le mot de passe 123456.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsL'autorité néerlandaise de protection des données a infligé à Uber 824 990 000 euros pour violation des articles 22 (décision individuelle automatisée) et 13 (information) du RGPD. Uber désactivait, par décisions entièrement automatisées, des comptes chauffeurs sur soupçon de fraude ou faibles notes, avec perte de revenus, sans information suffisante. Uber a fait appel : pas de décision judiciaire définitive.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsUn chercheur a publié la CVE-2026-107181, faille d'injection IPC dans Telegram Desktop jusqu'à la version 7.2.8, combinée à un schéma d'URI non autorisé permettant lecture et exfiltration arbitraires de fichiers locaux, d'où une prise de contrôle de compte au clic sur un lien malveillant. Notée CVSS 8.1, corrigée en 7.2.9.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsKrebs rapporte qu'avant les récentes arrestations, ShinyHunters avait rançonné Jeppesen ForeFlight, ancienne filiale de Boeing. Des articles connexes le relient à l'exploitation massive de la CVE-2026-35273, vulnérabilité PeopleSoft et Oracle, dès juin, les contournements pare-feu publiés étant déjoués par l'encodage d'URL.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsL'autorité suédoise de protection des données a infligé à Miljödata environ 160 000 euros au titre de l'article 32 du RGPD pour sécurité technique et organisationnelle insuffisante, notamment l'absence de surveillance automatisée en temps réel des intrusions et anomalies. Environ 2,2 millions de personnes concernées.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsL'autorité italienne de protection des données a infligé à IQVIA Solutions Italy 7 millions d'euros pour traitement illicite de données de santé de patients, au titre des articles 5, 9 et 13 du RGPD.
12 octobre 2026 · Le registre de population danois compromis, Uber condamné à 825 millionsUn essai critique des passkeys a atteint la page d'accueil le 11 octobre avec 1 150 points et 577 commentaires, alimentant le débat sur portabilité, enfermement propriétaire et compromis de récupération de compte.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuLa CISA a ajouté trois failles exploitées à son catalogue KEV. CVE-2026-86950 : écriture hors limites dans CoreGraphics d'Apple (CVSS 8.8), corrigée dans iOS et macOS, déclenchée par un fichier malveillant. CVE-2026-76504 : contournement d'authentification critique dans Cisco Catalyst SD-WAN Manager (CVSS 9.8), sans contournement. CVE-2026-104286 : traversée de répertoire dans Fortinet FortiMail (CVSS 9.8), écriture non authentifiée.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuL'allemand Aleph Alpha a publié Kolibri le 3 octobre, un modèle mixture-of-experts de 78 milliards de paramètres dont 3 milliards actifs, contexte jusqu'à 1M de tokens, sur Hugging Face sous Apache 2.0. Positionné comme souverain : conçu et entraîné en Allemagne et en Finlande sous droit européen et allemand, pensé pour l'EU AI Act et le RGPD.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuDebian a publié DSA-6528-1 le 29 septembre, corrigeant un lot exceptionnellement volumineux de CVE du noyau Linux pouvant mener à une élévation de privilèges, un déni de service ou des fuites d'informations. Debian stable est corrigé dans le noyau 6.12.111-1 ; l'avis a alimenté un fil très lu sur Hacker News.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuLes autorités néerlandaises ont arrêté un cybercriminel condamné de 24 ans, soupçonné d'avoir participé à des vols de données et extorsions de ShinyHunters, dont une brèche télécom touchant des millions de citoyens néerlandais. Après l'arrestation, le groupe a surenchéri avec des revendications publiques auto-déclarées, non vérifiées.
5 octobre 2026 · Trois failles de bordure exploitées, et un plantage que la page de statut n'a pas vuLa Commission européenne a ouvert le 2 octobre une consultation sur l'EU KIDS Act, close le 3 décembre, visant la sécurité des enfants en ligne et la responsabilité des plateformes. Les retours alimenteront la législation.
