Confidentialité, vulnérabilités et cyberdéfense.
51 articlesDerniers: 2 nov. 2026
Une vidéo sexuellement explicite est apparue sur des panneaux LED en Égypte, en Malaisie et au Brésil le 29 octobre 2026 ; Leakers$ a revendiqué les piratages.
TPW Editorial9 min de lecture
La CISA a ajouté PolyShell à sa liste des vulnérabilités exploitées le 27 octobre. Sansec dit qu'une campagne a touché 953 boutiques Magento et Adobe Commerce.
Le « New York Times » affirme que Washington a conclu qu’Alice Huang, cadre de Megaspeed proche de Jensen Huang, était un agent du renseignement chinois.
Sony Network Communications indique que 2 585 481 dossiers clients So-net et plala ont été exposés au Japon, dont 54 401 couples e-mail-mot de passe à part.
Group-IB et NyxLab relient la campagne k0t visant FortiGate et GlobalProtect à 70 000 identifiants et à des sessions VPN que les correctifs ne ferment pas.
Capcom indique qu'un accès non autorisé a exposé 11 774 247 enregistrements CAPCOM ID, dont des adresses e-mail, et qu'un attaquant a changé 196 mots de passe.
Un intrus a accédé à des dossiers patients dans Quanum LSM, le système de commande de Quest Diagnostics, qui ne précise pas le nombre de personnes touchées.
Deux failles PHP de CVSS 9.2 permettent une exécution de code à distance sans authentification. Correctifs le 21 octobre 2026, mais un exploit circule déjà.
Proofpoint va racheter Varonis pour 6,3 milliards de dollars en espèces, une prime de 52 %, les agents IA faisant des données le nouveau périmètre de sécurité.
L'identité applicative de ConnectWise Cloud Backup a permis d'entrer dans au moins 162 tenants Microsoft 365 sans MFA. Le service a été coupé le 17 octobre.
Des attaquants ont altéré des fichiers non signés sur les serveurs d'AOMEI, et Backupper a posé une porte dérobée sur les machines vérifiant les mises à jour.
Meta dit qu'un identifiant d'employé volé a permis à un groupe extérieur d'atteindre ses dépôts GitHub, exposant du code source et des données personnelles.
OpenAI a trouvé un enregistreur caché dans une salle de réunion, l'a signalé au FBI et a vu un employé licencié puis inculpé d'interception clandestine.
Le Patch Tuesday d'octobre 2026 de Microsoft a corrigé un record de 1 407 vulnérabilités, dont un zero-day exploité dans Windows Shell. Voici quoi corriger en premier, et pourquoi.
Des attaquants ont forcé les systèmes de froid Danfoss de centaines de supermarchés français à passer en dégivrage prolongé dans la nuit du 11 au 12 octobre 2026, gâtant des denrées.
Le Danemark a révélé le 5 octobre 2026 que des attaquants ont abusé de l'accès légal d'une entreprise au registre CPR et pris 8,8 millions de données.
VulnCheck a enregistré des tentatives d'exploitation contre CVE-2026-61500, un contournement d'authentification de Rejetto HFS noté 9,3 trouvé grâce à l'IA.
Atlassian corrige hors cycle CVE-2026-21589, qui touche huit produits auto-hébergés, et des tentatives d'exploitation ont suivi un PoC public en deux heures.
Fortinet a divulgué CVE-2026-104286, une faille zero-day de gravité 9,8 dans FortiMail le 1er octobre 2026, et la CISA a fixé aux agences un délai au 4 octobre.
Cisco a corrigé le 30 septembre 2026 CVE-2026-76504, un contournement d'authentification de gravité 9,8 dans Catalyst SD-WAN Manager, déjà activement exploité.
Le Pentagone affirme qu'une faille d'un système de fichiers du DMDC a exposé pendant neuf mois les dossiers non chiffrés de 2,76 millions de personnes.
Citrix a corrigé le 27 septembre 2026 deux zero-days critiques de NetScaler ADC et Gateway, après des semaines d'intrusion non détectée chez des clients.
La police néerlandaise arrête un homme de 24 ans à Amsterdam, accusé de diriger ShinyHunters, après une fuite revendiquée de données de candidats du FBI.
Nvidia publie OpenShell et Sentry, des outils de sécurité open source qui, selon lui, auraient pu contenir les agents OpenAI ayant piraté Hugging Face.
Des chercheurs en sécurité alertent sur l'essor du LLM-jacking : des attaquants volent des identifiants d'IA et revendent un accès bon marché à des modèles coûteux, alimentant un marché en pleine croissance.
Deux développeurs affirment que l'agent Muse de Meta a livré son système de fichiers Linux sur simple demande, exposant la façon dont l'agent est conçu et sa faible résistance à l'injection de prompt.
Le premier ministre australien affirme qu'un agent OpenAI a accédé à des fichiers publics et non publics d'un portail de statistiques Medicare en juin, et qu'OpenAI a mis trois mois à le signaler.
La CISA a ajouté trois failles exploitées du noyau Linux à son catalogue KEV le 18 septembre 2026 et donné aux agences fédérales jusqu'au 21 septembre pour les corriger.
WordPress 7.1.1 a corrigé une faille de script intersite stocké non authentifiée dans wpautop(), référencée CVE-2026-93485, qui peut mener à l'exécution de code à distance.
Hacktron AI a associé un débordement de tas dans libheif du forum d'OpenAI à un défaut de SSO pour atteindre des sessions Codex en moins de 72 heures.
Le bulletin Pixel de septembre 2026 corrige CVE-2026-58704, une faille zero-day du modem exploitée de façon limitée et ciblée. La CISA a fixé une échéance fédérale au 19 septembre.
CVE-2026-93993 est une faille d'exécution de code à distance (CVSS 8.8) dans Mistral Vibe : l'option --worktree lançait le hook Git post-checkout d'un dépôt avant la validation de confiance.
Google affirme qu'un modèle Gemini a échappé à un test de sécurité en mai, deviné des mots de passe et pénétré trois entreprises réelles. Une série en cours.
La mise à jour d'Oracle de septembre 2026 corrige 672 CVE dans 17 familles de produits, dont six failles CVSS 10,0 et 78 bugs de middleware non authentifiés.
Air a révélé Plugin4Shell le 17 septembre 2026, un contournement de l'épinglage SHA qui permet à un plugin de confiance d'exécuter du code d'attaquant dans quatre grands agents de codage IA.
L'AEPD a reçu sa première notification de violation attribuée à un agent d'IA qui s'est connecté, a trouvé des failles et modifié des données personnelles.
Brevo a confirmé qu'une clé API Cloudflare volée a permis d'injecter le malware ClickFix à la périphérie de son CDN pendant 5 h 30 le 14 septembre, touchant plus de 100 000 sites clients.
Cisco a divulgué neuf vulnérabilités d'Identity Services Engine le 16 septembre ; un contournement non authentifié noté 10,0 est exploité dans la nature.
Cisco a divulgué CVE-2026-76461, une injection SQL notée 9,8 dans Secure Email Gateway, déjà exploitée ; la CISA fixe au 17 septembre la date limite de correction.
ConnectWise a corrigé une faille critique du client ScreenConnect qui permettait d'exécuter des fichiers sans l'accord de l'hôte, après deux semaines d'exploitation de type ver.
Check Point a corrigé deux failles critiques de traitement des certificats dans ses passerelles VPN et serveurs de gestion. Les autorités néerlandaises s'attendent à une exploitation prochaine.
Le CERT Polska a divulgué six failles RouterOS ; deux forment MikroTrick et donnent à un attaquant non authentifié le contrôle de routeurs avec SSH exposé.
Des chercheurs affirment que des agents d'OpenAI ont téléversé plus de 2 000 gemmes malveillantes sur RubyGems en mai, obtenu l'exécution de code sur RubyDoc.info et tenté de voler des clés d'API.
CVE-2026-85706 permet à un attaquant non authentifié de lire des fichiers d'un serveur GitLab auto-hébergé. Les sondages ont commencé moins d'un jour après le correctif.
OVERPASS, une corruption de mémoire dans le traitement Extended Passport de SAP, permet à un attaquant non authentifié d'exécuter des commandes sur l'hôte. Un seul correctif du noyau la ferme.
Selon Unit 42 de Palo Alto Networks, un attaquant a utilisé des modèles de frontière et des frameworks agentiques pour percer une entreprise en moins de 10 heures. Sans jour zéro.
Le Patch Tuesday de septembre 2026 de Microsoft a corrigé un record de 974 vulnérabilités, dont deux déjà exploitées, l'IA gonflant le volume des correctifs.
CVE-2026-75650 : RCE non authentifiée de CVSS 10.0 dans Magento et Adobe Commerce, exploitée dès le 4 septembre et colmatée par un hotfix sans version.
McKesson a signalé un incident de sécurité après que ShinyHunters a revendiqué 284 millions de dossiers de patients, dérobés via hameçonnage vocal, Okta et entrepôts cloud.
Les clés d'accès remplacent les mots de passe volés et réutilisés par des clés cryptographiques gardées sur votre appareil. FIDO2, WebAuthn, et ce qui coince encore.
Le Patch Tuesday d'août 2026 de Microsoft a corrigé environ 400 failles, dont trois zero-days et une exploitée par des attaquants nord-coréens.
