L'actu cyber du jour

lundi 2 novembre 2026

10 actualités, 40 sources. Chaque information est attribuée à ses sources d'origine : suivez les liens pour en lire le détail.

Lecture : 15 min

L'essentiel

La faille PHP dite « PHP2Shell » sort du cadre théorique : des attaquants liés à la Chine ont enchaîné CVE-2026-109618 et CVE-2026-109619 avec une élévation de privilèges du noyau Linux (« Fragnesia ») pour obtenir un accès root sur des pare-feu Palo Alto exposés sur Internet. Palo Alto recense plus de 22,6 millions d'instances PHP potentiellement vulnérables.
Les équipements de bordure restent la cible numéro un : trois zero-days Ivanti Connect Secure enchaînés ont permis un accès root non authentifié sur des appliances pourtant à jour, avec ajout au catalogue KEV de la CISA.
GitLab : un CVSS 10,0 exploité, plus de 1 000 serveurs encore non corrigés trois semaines après la publication du correctif. C'est l'illustration d'un écart de patch devenu structurel.
L'IA accélère la découverte d'exploits : Anthropic a produit un exploit de root à distance sur le noyau Linux en 53 minutes avec un modèle non publié, et des modèles de frontière ont rendu exploitable une chaîne PHP restée hors de portée humaine pendant des années.
L'IA accélère aussi l'attaque : un infostealer (VOLTA) fait classer les victimes par valeur financière via Claude, Kimi et Gemini ; un groupe de rançongiciel (Aur0ra / GOLD OGRE) délègue la reconnaissance et la latéralisation à des agents de codage.
La supply chain des outils de développement est devenue un point d'entrée de premier choix : extension Claude Code piégée dans la place de marché Cursor (environ 5 000 postes de développeurs), et détournement DNS du fournisseur de mesure de performance DebugBear ayant coûté 2,7 millions de dollars aux traders de Polymarket.

01 / 10CritiqueVulnérabilité

PHP2Shell : de PHP à root sur les pare-feu Palo Alto

Concerné: PHP 5.4 et versions ultérieures, donc toutes les versions publiées depuis une décennie. Côté Palo Alto : PAN-OS 12.2, 12.1, 11.2, 11.1 et 10.2 (PA-Series, VM-Series, Panorama virtual et M-Series) avec interface de gestion exposée sur Internet
Correctif: Oui. PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Côté Palo Alto, correctifs PAN-OS sur les branches 12.2, 12.1, 11.2, 11.1 et 10.2

Ce qui s'est passé: Deux failles dans le cœur du langage PHP permettent à un attaquant d'exécuter du code de son choix sur le serveur web, sans compte préalable. Les deux défauts sont anciens, présents depuis des décennies, mais leur exploitation exigeait un enchaînement si complexe que des chercheurs humains ne parvenaient pratiquement pas à le démontrer. Des modèles d'IA de frontière ont abaissé ce seuil. Les attaquants ont ensuite combiné cette exécution de code avec une faille du noyau Linux pour passer du compte du service web à root sur l'appliance.
Ce que ça change: Contrôle total du serveur web (dépôt de web shell, vol de base de données et de secrets applicatifs, défiguration), et sur les pare-feu Palo Alto compromis, position d'écoute sur le trafic de l'entreprise, avec capacité de modification des politiques de filtrage. Palo Alto indique qu'environ 0,02 % de sa base installée mondiale dispose d'une interface de gestion exposée sur Internet, et que ces clients ont été contactés individuellement.
Ce qu'il faut faire: Inventorier les versions PHP réellement servies (ne pas se fier au panneau du hébergeur), mettre à jour vers les branches corrigées, restreindre immédiatement l'accès Internet aux interfaces de gestion des pare-feu (liste d'autorisation d'adresses IP ou bastion), rechercher des web shells sur les serveurs PHP et auditer les journaux d'accès pour les chemins d'installation temporaires. Côté WordPress, Defiant ne rapporte aucun compromis réussi au 28 octobre, mais plus de 77 000 requêtes d'exploitation depuis plus de 2 000 adresses IP : la pression est réelle.
Ce qui reste incertain: Le nombre exact de victimes hors pare-feu Palo Alto n'est pas connu. Les CVE exactes employées pour l'étape « Fragnesia » ne figurent pas dans les articles consultés. L'attribution à un groupe lié à la Chine repose sur le rapport de Dream Research et sur la vérification de l'outillage par Unit 42, pas sur une attribution gouvernementale.

Sources :securityweek.com krebsonsecurity.com

02 / 10CritiqueVulnérabilité

Ivanti Connect Secure : trois zero-days enchaînés pour un root non authentifié

Concerné: Ivanti Connect Secure 25.1.1.2 et antérieures, 22.8R2.5 et antérieures. Les versions 25.1.1.2 et 22.8R2.5, qui corrigeaient déjà CVE-2026-104935, restent vulnérables aux deux nouvelles failles
Correctif: Oui, versions 25.1.1.3 et 22.8R2.6. Les organisations ayant installé 25.1.1.2 ou 22.8R2.5 en octobre doivent mettre à jour une seconde fois

Ce qui s'est passé: Un attaquant exploite d'abord un contournement d'authentification pour entrer sans identifiants, puis une faille d'élévation de privilèges pour devenir root, et enfin un défaut de génération d'identifiants pour déposer des fichiers à un emplacement connu d'avance. La chaîne complète donne une exécution de code root non authentifiée sur une appliance VPN qui était pourtant entièrement à jour au moment de l'attaque. Le groupe, jusqu'ici inconnu, est suivi sous le nom UTA0576.
Ce que ça change: L'appliance VPN est le point d'entrée du réseau d'entreprise. Une fois root dessus, l'attaquant lit les identifiants qui transitent, exfiltre des données, cartographie le réseau interne et altère les journaux pour couvrir sa trace. Volexity penche, avec un faible niveau de confiance, pour une motivation criminelle plutôt qu'un espionnage étatique.
Ce qu'il faut faire: Mettre à jour vers 25.1.1.3 ou 22.8R2.6, puis lancer l'outil de vérification d'intégrité d'Ivanti. En parallèle, réinitialiser tous les secrets ayant transité par l'appliance, examiner les journaux antérieurs au correctif (l'attaquant les a possiblement nettoyés), et restreindre l'exposition Internet de l'interface d'administration.
Ce qui reste incertain: Ivanti ne précise pas combien de clients ont été touchés au-delà de « un nombre limité ». La nature exacte de la « fonction critique » non authentifiée de CVE-2026-111357 n'est pas détaillée publiquement. Un chercheur de Defused affirme avoir vu des leurres attaqués dès le 1er octobre, soit avant la divulgation.

Sources :securityweek.com bleepingcomputer.com

03 / 10CritiqueVulnérabilité

GitLab : un CVSS 10,0 exploité, plus de 1 000 serveurs encore ouverts

Concerné: GitLab Community Edition et Enterprise Edition, corrigées en 19.4.2, 19.3.5 et 19.2.8. Le défaut se situe en réalité dans Onigmo, le moteur d'expressions régulières de Ruby : une installation qui embarque son propre Ruby doit aussi passer à Ruby 3.3.13, 3.4.12 ou 4.0.9
Correctif: Oui, 19.4.2, 19.3.5, 19.2.8, plus la mise à jour de Ruby si l'installation n'utilise pas les paquets GitLab

Ce qui s'est passé: Une validation insuffisante des expressions régulières dans les fichiers de configuration CI/CD permet à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab. Il suffit de pousser une configuration de pipeline contenant une expression régulière piégée. Le défaut vient de Ruby, pas de GitLab : beaucoup d'équipes ont cru être corrigées après la mise à jour de GitLab et ne l'étaient pas.
Ce que ça change: Accès aux dépôts de code source, aux variables CI/CD donc aux secrets de déploiement, aux jetons d'accès et aux registres de conteneurs. Autrement dit, la capacité de modifier le code livré en production, scénario de compromission de la chaîne logicielle complète.
Ce qu'il faut faire: Mettre à jour GitLab et Ruby, vérifier la version de Ruby réellement utilisée par le conteneur, révoquer les jetons et variables CI/CD exposés, examiner les journaux des pipelines créés par des comptes récents. Shadowserver suit plus de 1 000 instances encore vulnérables, et plus de 11 300 pour la faille précédente CVE-2026-110264 : l'exposition est massive.
Ce qui reste incertain: Alpine Linux indique qu'aucune preuve d'exécution de code sur son serveur n'a été trouvée mais ne peut l'exclure. L'identité de l'attaquant n'est pas établie. Le nombre de victimes hors Alpine Linux est inconnu.

Sources :securityweek.com bleepingcomputer.com

04 / 10CritiqueAttaque

Binance : 6,3 milliards de dollars volés, la Corée du Nord désignée par le FBI

Concerné: Plateforme d'échange Binance (infrastructure interne, conteneurs de service)
Correctif: Sans objet. Retraits restaurés par vagues depuis le 1er novembre (28 devises fiduciaires à ce jour). Environ 95 % des actifs volés ont été remplacés sur les fonds propres de Binance, et près de 3 milliards de dollars ont été gelés avec Tether, Circle et les autorités

Ce qui s'est passé: Le FBI attribue le vol de plus de 6 milliards de dollars de cryptoactifs à TraderTraitor, groupe nord-coréen également suivi sous les noms Jade Sleet, UNC4899 ou Slow Pisces, déjà impliqué dans le piratage Bybit de février 2025. Selon Binance, l'entrée initiale passerait par l'ordinateur portable compromis d'un ingénieur DevOps, donnant accès à un conteneur de service puis à des retraits non autorisés. Le FBI, le Secret Service et l'IRS publient 628 adresses à bloquer (608 portefeuilles Ethereum, 19 Bitcoin, 1 Solana).
Ce que ça change: Perte directe pour les déposants, gel temporaire des retraits sur une plateforme systémique, et financement de programmes d'armement. Chainalysis observe des schémas de blanchiment inédits : des milliers de transactions en peu de temps, avec des fonds qui repassent par des adresses déjà utilisées, signe d'une automatisation poussée.
Ce qu'il faut faire: Pour les organisations exposées, ce dossier rappelle deux règles. Segmenter les postes d'ingénieurs disposant d'accès de production (le poste d'un DevOps ne doit pas donner accès à un conteneur de retrait), et imposer une double validation hors bande pour toute opération de retrait au-delà d'un seuil. Côté conformité, bloquer les 628 adresses listées dans l'alerte FBI.
Ce qui reste incertain: Les montants divergent selon les sources (plus de 6 milliards pour le FBI, 6,3 milliards pour Binance, 6,43 milliards pour The Hacker News). Le mode opératoire exact (ingénieur ciblé, logiciel malveillant employé) n'est pas confirmé indépendamment. L'attribution à la Corée du Nord est une évaluation gouvernementale américaine, pas un constat judiciaire.

Sources :helpnetsecurity.com thehackernews.com bleepingcomputer.com

05 / 10CritiqueSupply Chain

Une extension Claude Code piégée servie par la place de marché de Cursor

Concerné: Extension anthropic.claude-code versions 2.1.312 et 2.1.313, diffusées dans la place de marché d'extensions de Cursor pendant environ 11 heures. macOS et Windows. Postes équipés de l'IDE Cursor
Correctif: Oui côté éditeur. Extension retirée, place de marché suspendue puis reconstruite, clés tournées, version légitime portée à 2.1.314 en avance. Cursor publie un script de détection et des indicateurs de compromission. Point crucial : désinstaller l'extension peut ne pas suffire, la charge utile dépose des scripts de persistance autonomes

Ce qui s'est passé: Un acteur a obtenu un accès à la place de marché de Cursor et y a publié une copie modifiée de l'extension officielle Claude Code d'Anthropic, alors que cette extension n'est pas produite par Anthropic sur ce canal. Le code JavaScript, exécuté au chargement des modules, collecte des informations sur l'hôte, tente d'installer une clé SSH, active SSH, ouvre un tunnel inversé et met en place de la persistance. Un rappel différé envoie ensuite les détails de la machine.
Ce que ça change: Un tunnel SSH inversé sur un poste de développeur donne à l'attaquant un accès interactif à une machine qui détient des clés Git, des jetons cloud et des secrets applicatifs. C'est un pont direct vers les dépôts et les environnements de production. Le fait que l'élévation de privilèges ait échoué dans la majorité des cas limite les dégâts sans les annuler, car la reconnaissance et la persistance, elles, ont pu aboutir.
Ce qu'il faut faire: Considérer tout poste ayant chargé les versions 2.1.312 ou 2.1.313 comme suspect, exécuter le script de détection de Cursor, rechercher les clés SSH non autorisées dans les fichiers d'autorisation, les processus de tunnel actifs et les scripts de démarrage. En entreprise, restreindre les places de marché d'extensions à une liste blanche signée et journaliser les installations d'extensions comme un événement de sécurité de niveau élevé.
Ce qui reste incertain: Cursor affirme n'avoir trouvé aucune autre extension malveillante et aucune preuve que les canaux officiels (Visual Studio Marketplace, Open VSX, npm) soient touchés. L'identité de l'attaquant et le mode d'accès à la place de marché ne sont pas publics. Le chiffre de 5 000 postes est une estimation de chercheur, pas un décompte de l'éditeur.

Sources :securityweek.com helpnetsecurity.com

06 / 10ÉlevéeVulnérabilité

Noyau Linux : une faille MPTCP transformée en root à distance par un modèle d'IA

Concerné: Noyaux Linux depuis la version 4.4. Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS et 26.10 encore vulnérables au 30 octobre. RHEL 8, 9 et 10 affectés (pas RHEL 7). Rocky Linux 8, 9 et 10 affectés. Debian 12 corrigé en 6.1.190-1, Debian 13 en 6.12.113-1
Correctif: Oui en amont et sur les branches maintenues, mais la distribution aux utilisateurs finaux est incomplète. Ubuntu, RHEL et Rocky n'avaient pas encore publié de paquets corrigés au 30 octobre

Ce qui s'est passé: Il s'agit d'un usage après libération (use-after-free) dans le code TCP IPv4 du noyau, causé par une condition de course lors du traitement des demandes de connexion. Un attaquant non authentifié peut, dans certaines conditions, exécuter des commandes en root à distance. La faille ne se limite pas à MPTCP mais l'exécution de code à distance n'a été démontrée que sur des serveurs avec un écouteur MPTCP. Or Go 1.24 active MPTCP par défaut sur Linux : des services réseau peuvent donc être exposés sans que l'administrateur le sache.
Ce que ça change: Prise de contrôle complète du serveur, sans identifiants, depuis le réseau. Sur un serveur d'infrastructure, cela signifie accès aux données, aux clés et aux mouvements latéraux internes.
Ce qu'il faut faire: Appliquer les correctifs noyau dès disponibilité de l'éditeur, et en attendant, restreindre l'exposition réseau des services Go récents, ou désactiver MPTCP lorsque ce n'est pas nécessaire. Vérifier la présence d'écouteurs MPTCP (les journaux noyau et les sockets exposés sont un point de départ). CIQ publie des protections pare-feu temporaires pour Rocky Linux.
Ce qui reste incertain: La charge d'exploitation réelle en production reste discutée (9,8 côté noyau, 5,9 côté Red Hat). Anthropic indique que son modèle non publié a atteint le root en environ 53 minutes, mais ne détaille pas les conditions exactes de la démonstration, ni ne publie l'exploit.

Sources :bleepingcomputer.com

07 / 10ÉlevéeAttaque

Synology : la campagne C3RB3R chiffre les NAS non à jour

Concerné: NAS Synology sous DiskStation Manager (DSM) non à jour, avec interface d'administration web exposée sur Internet
Correctif: Oui, mise à jour de DSM vers la dernière version. Synology recommande d'activer les mises à jour automatiques

Ce qui s'est passé: Des attaquants exploitent une faille corrigée il y a près de deux ans pour chiffrer les données de NAS Synology et réclamer une rançon. Le rançongiciel dépose une note nommée read-me3.txt et ajoute l'extension .L0CK3D aux fichiers. Il se présente sous le nom commercial « C3rb3r Decryptor » et propose de déchiffrer gratuitement un fichier pour prouver sa capacité. Synology publie un avis de sécurité, ce qui est rare : le dernier datait de 2019.
Ce que ça change: Perte de l'ensemble des données stockées, y compris les sauvegardes si elles résident sur le même boîtier, ce qui est fréquent en PME. Rançon de plusieurs milliers de dollars selon les plaintes clients. Shadowserver suit plus de 380 000 NAS Synology exposés sur Internet.
Ce qu'il faut faire: Mettre à jour DSM immédiatement, désactiver l'accès Internet à l'interface d'administration (accès via VPN uniquement), désactiver les comptes par défaut, activer la double authentification, et surtout appliquer la règle 3-2-1 avec au moins une copie hors ligne non accessible depuis le NAS. Vérifier l'absence de persistance après un incident avant de restaurer.
Ce qui reste incertain: Synology n'a pas confirmé publiquement quelle CVE précise est exploitée, ni le nombre de victimes. Le lien entre ce rançongiciel et l'ancienne opération Cerber (2016-2019) n'est pas établi : seul le nom est repris.

Sources :bleepingcomputer.com

08 / 10ÉlevéeVulnérabilité

Drupal Commerce Core : un contournement de contrôle d'accès exploité sur les boutiques en ligne

Concerné: Module contribué Drupal Commerce Core, versions 3.x antérieures à 3.3.13 et versions antérieures à 8.x-2.41. Plus de 42 000 sites l'utilisent selon les statistiques de Drupal
Correctif: Oui, 3.3.13 ou 8.x-2.41

Ce qui s'est passé: Le module ne protège pas suffisamment certaines routes et certains champs d'entité, ce qui permet de contourner les contrôles d'accès. Concrètement, un visiteur non authentifié peut atteindre des fonctions ou des données normalement réservées aux clients ou aux administrateurs de la boutique. Drupal précise que l'impact peut être financier pour le marchand.
Ce que ça change: Accès à des commandes, modification de statuts de paiement, fuite de données clients (adresses, historiques d'achat). Sur un site marchand, cela se traduit par de la fraude, des expéditions non payées et une violation de données personnelles.
Ce qu'il faut faire: Mettre à jour le module, puis auditer les commandes pour détecter des incohérences (statuts de paiement modifiés, montants nuls, commandes expédiées sans règlement), comme le recommande l'avis. Journaliser les accès anonymes aux routes Commerce et vérifier les journaux antérieurs au correctif.
Ce qui reste incertain: Drupal ne précise ni le nombre de sites touchés, ni l'identité des attaquants, ni si la faille a été exploitée en zero-day avant la publication du correctif.

Sources :securityweek.com

09 / 10ÉlevéeIA & Sécurité

VOLTA : un infostealer qui classe les victimes par valeur marchande grâce à trois LLM

Concerné: Postes Windows. Navigateurs Chromium, profils Outlook, espaces Slack, portefeuilles de cryptomonnaies, sessions Discord, Telegram, Steam et Roblox, jetons OAuth Microsoft, clés SSH et cloud, profils Wi-Fi
Correctif: Sans objet (malware). Détection par signature et par comportement

Ce qui s'est passé: VOLTA-AUTODOXER vole les données habituelles d'un stealer, puis va plus loin : il construit un « dossier de preuves » sur la personne derrière la machine (géolocalisation, adresse du domicile, employeur et domaine, année de naissance estimée, espaces Slack, métadonnées de documents, indicateurs de sauvegarde iPhone, valeur d'un compte Roblox). Il utilise ensuite la session Gmail volée pour chercher des reçus Amazon, Uber Eats, DoorDash, Walmart ou PayPal afin de corroborer l'adresse. Ce paquet est envoyé via la passerelle OpenRouter à Claude Opus 4.6 par défaut, avec repli sur Kimi K2 puis Gemini 2.5 Flash si le modèle refuse.
Ce que ça change: Le modèle produit un rapport intitulé « WHAT THEY'RE WORTH », avec les actifs classés par potentiel de monétisation, et une section « THEIR OPSEC » évaluant l'hygiène de sécurité de la victime. L'attaquant n'a plus à trier : il reçoit une cible déjà priorisée, avec les points faibles identifiés. C'est un déplacement de la charge analytique, pas un gain de vitesse.
Ce qu'il faut faire: Surveiller les requêtes sortantes vers OpenRouter et les passerelles LLM non approuvées depuis des postes de travail, ce qui est un signal fort de stealer ou d'usage non maîtrisé. Bloquer au niveau proxy les appels API LLM non légitimes, restreindre l'accès aux boîtes Gmail depuis des applications non approuvées, et considérer tout poste infecté comme une compromission d'identité complète (jetons OAuth, sessions).
Ce qui reste incertain: Talos ne confirme pas si VOLTA est commercialisé comme générateur ou réservé à son auteur. Aucune victime nommée. Le fait que les modèles cités aient effectivement répondu aux requêtes n'est pas démontré au-delà des journaux d'exfiltration analysés.

Sources :thehackernews.com

10 / 10ÉlevéeIA & Sécurité

Aur0ra : un rançongiciel qui fait faire la reconnaissance par des agents IA

Concerné: Réseaux d'entreprise Windows Active Directory. Outils détournés : assistant de codage Cursor (modèle agentique Composer) et modèles d'Anthropic, xAI et Moonshot
Correctif: Sans objet. Les mesures relèvent de la détection et du durcissement

Ce qui s'est passé: Sophos (équipe GOLD OGRE) a récupéré des artéfacts de l'assistant Cursor datant de fin août. Les attaquants fournissaient aux agents des identifiants VPN, un accès proxy, des cibles et des objectifs. Les agents cartographiaient le réseau et Active Directory, cherchaient des mots de passe dans les partages, les documents et les sauvegardes, puis se déplaçaient latéralement. L'intrusion initiale et le déploiement du rançongiciel restaient sous contrôle humain. Pour contourner les garde-fous, les opérateurs présentaient l'activité comme un test d'équipe rouge autorisé.
Ce que ça change: Réduction du niveau de compétence nécessaire pour mener une intrusion aboutissant à un accès administrateur de domaine. Les journaux des opérateurs contiennent des fautes de frappe en cyrillique, ce qui suggère des russophones. Sophos estime avec un haut degré de confiance que le groupe a aussi utilisé l'IA pour tester l'évasion de produits EDR.
Ce qu'il faut faire: Durcir les assistants de codage (interdiction des modes agentiques à exécution libre sur les postes, journalisation des commandes, listes blanches d'outils), surveiller les requêtes vers des API de modèles depuis des réseaux internes, et surtout conserver les contrôles classiques : cloisonnement des comptes à privilèges, MFA résistante au phishing, détection des accès SMB anormaux et des exécutions de Rclone. La vitesse de réponse devient le facteur décisif.
Ce qui reste incertain: L'attribution à un groupe russophone est une évaluation de Sophos fondée sur des indices linguistiques. Gambit Security et CloudSEK publient des analyses issues du même répertoire exposé, avec un modèle différent cité (Claude 4.5 Sonnet), ce qui laisse des divergences sur les modèles exactement employés.

Sources :helpnetsecurity.com

Demain aussi

Suivez DecodeVox pour ne rien manquer.

L'essentiel de l'actu cyber en vidéo courte, chaque jour, sur vos réseaux.

Tous les jours du radar Flux RSS du radar