L'actu cyber du jour

mardi 10 novembre 2026

10 actualités, 38 sources. Chaque information est attribuée à ses sources d'origine : suivez les liens pour en lire le détail.

Lecture : 15 min

L'essentiel

Journée de feux croisés sur les infrastructures de confiance : un éditeur de RMM utilisé par des centaines de MSP (N-able) coupe sa plateforme cloud après la publication de 33 zero-days, pendant que la CISA ajoute quatre failles à son catalogue KEV, dont SSHole dans OpenSSH.
La fenêtre entre divulgation et exploitation est tombée sous les 24 heures : SSHole a été exploité moins de neuf heures après la publication du CVE, avec un accès root confirmé sur un honeypot. La CISA donne trois jours aux agences fédérales pour corriger.
SAP publie quatre correctifs notés CVSS 10.0 (ICM2SHELL, PROXYGATE, SAML2), dont deux permettant une exécution de code à distance sans authentification. Aucune exploitation active signalée à ce stade.
Attribution étatique majeure côté français : Paris et le C4 imputent à l'unité iranienne Shahid Kaveh le sabotage de 700 sites de distribution, avec une vingtaine de départs de feu. Première campagne offensive revendiquée comme purement sabotrice sur le sol français.
Le risque tiers reste le premier vecteur : 118 millions d'euros détournés chez Crédit Mutuel Arkéa via la plateforme d'un prestataire, et des comptes AWS de clients Qubole compromis par abus de confiance IAM.
L'IA s'industrialise des deux côtés : Anthropic pousse Mythos 5.2 dans les produits Cisco et IBM, tandis que DeepMind fait vérifier formellement le protocole Signal par des agents, et qu'Acronis documente 575 "skills" OpenClaw malveillants.

01 / 10CritiqueVulnérabilité

N-able coupe sa plateforme N-central après la publication de 33 zero-days ("Able2Shell")

Concerné: N-able N-central, plateforme RMM pour MSP. Failles testées sur N-central Appliance 2026.4.0.31 (version préliminaire), le chercheur estime que la plupart touchent aussi les versions antérieures. Environnements hébergés (Amériques, Europe, Asie-Pacifique) et installations sur site.
Correctif: Non. Hotfix en cours de développement et de validation, aucune date de retour en ligne annoncée.

Ce qui s'est passé: Un chercheur indépendant, Sean Bales, a publié sans préavis plus de 30 vulnérabilités affectant N-central, l'outil qui permet aux prestataires informatiques de piloter à distance le parc de leurs clients. La chaîne la plus grave enchaîne une XXE non authentifiée dans l'import de services, le vol d'une session locale de confiance, la réinitialisation d'un mot de passe et l'exécution de commandes en tant qu'utilisateur "nable", avec création possible d'un compte administrateur. N-able a réagi en mettant hors ligne ses environnements hébergés et en demandant aux clients sur site d'éteindre leurs serveurs.
Ce que ça change: Un attaquant peut obtenir un accès administratif complet à la console de gestion, puis exécuter des commandes en root sur l'appliance. Chez un MSP, cela signifie potentiellement le contrôle de tous les postes et serveurs des clients finaux, avec les outils légitimes de l'éditeur (déploiement logiciel, scripts, politiques). C'est le scénario "compromission d'un fournisseur, chute en cascade des clients".
Ce qu'il faut faire: Éteindre les serveurs N-central sur site jusqu'à publication du hotfix, ou à défaut restreindre l'accès à la console aux seules adresses d'administration et couper l'exposition Internet. Chercher les traces de création de compte administrateur, les imports de services inhabituels et les connexions hors horaires. Auditer les journaux des intégrations et des tâches planifiées. Pour les MSP : vérifier la segmentation entre l'outil de gestion et les environnements clients.
Ce qui reste incertain: L'ampleur exacte du jeu de failles (30, 33 selon les décomptes) et le nombre réel de failles distinctes derrière les chaînes publiées. Le lien entre les PoC et les tentatives observées par watchTowr n'est pas établi. N-able n'a pas répondu aux questions sur les signalements antérieurs du chercheur, qui affirme avoir été ignoré pendant cinq à six mois.

Sources :thehackernews.com bleepingcomputer.com securityweek.com cybernews.com

02 / 10CritiqueVulnérabilité

La CISA confirme l'exploitation active de SSHole (OpenSSH) et de trois autres failles

Concerné: OpenSSH antérieur à 10.6p2, sur Linux bâti avec la bibliothèque C musl et sans PAM : Alpine Linux (paquet openssh-server par défaut), OpenWrt, Buildroot, Yocto, de nombreuses images Docker. IBM Aspera Faspex corrigé en 5.0.19 PL1. SignalWire FreeSWITCH corrigé en 1.11.3. GPUStack corrigé depuis juillet 2026.
Correctif: Oui. OpenSSH 10.6p2, avec redémarrage obligatoire du service (le binaire en mémoire reste vulnérable après installation). Alpine a publié des paquets corrigés de la branche 3.16 à edge le jour même. Aspera Faspex 5.0.19 PL1, FreeSWITCH 1.11.3. Échéance fédérale américaine : 12 novembre 2026.

Ce qui s'est passé: SSHole vient d'une collision entre deux décisions anciennes. OpenSSH, pour éviter de révéler quels comptes existent (CVE-2016-6210), calcule un hash même quand le compte n'a pas de mot de passe, et ces comptes portent un "*" dans /etc/shadow. De son côté, musl refuse depuis 2012 les mots de passe SHA-256/512 de plus de 256 octets et renvoie alors "*". Résultat : un mot de passe de plus de 256 caractères sur un compte sans mot de passe produit exactement le "*" attendu, et l'authentification passe.
Ce que ça change: Un attaquant qui atteint le port SSH se connecte sans connaître de mot de passe sur les comptes sans mot de passe (root sur certaines images, utilisateur "alpine" des images AWS et Azure qui dispose de doas sans mot de passe, soit un root indirect). Une seule connexion suffit, sans réessai. Les systèmes glibc (Debian, Ubuntu, Fedora), PAM, Dropbear et OpenBSD ne sont pas concernés.
Ce qu'il faut faire: Mettre à jour vers 10.6p2 puis redémarrer sshd. Sur les systèmes musl sans PAM, poser immédiatement PasswordAuthentication=no ou désactiver SSH. Chercher dans /var/log/messages les "Accepted password for" visant des comptes sans mot de passe (root, alpine, comptes de déploiement par clé), vérifier l'usage de doas, les utilisateurs créés récemment et les fichiers authorized_keys. En cas de doute, traiter la machine comme compromise.
Ce qui reste incertain: Le nombre exact de systèmes exposés n'est pas connu. L'attribution des tentatives (GT10, botnets, mineurs) reste partielle. La CISA n'avait pas encore inscrit SSHole au KEV au moment des premiers signalements, ce qui a depuis évolué.

Sources :thehackernews.com helpnetsecurity.com securityweek.com cybernews.com

03 / 10CritiqueVulnérabilité

SAP corrige quatre failles CVSS 10.0, dont deux exécutions de code à distance

Concerné: SAP NetWeaver AS ABAP (ICM, SAML2), SAP Web Dispatcher, SAP Gateway. Noyaux concernés : KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20, 9.21, WEBDISP 7.53 à 9.16, SAP_BASIS 702 à 758, 816, 920 à 922. Les noyaux hors maintenance (7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85, 7.89, et 7.20/7.21 pour Gateway) sont affectés et devront être migrés.
Correctif: Oui, via les notes SAP 3778530, 3778556, 3798345 et 3849308 (accès SAP for Me). Aucun contournement pour la faille SAML2.

Ce qui s'est passé: Quatre failles non authentifiées, notées au maximum. ICM2SHELL vient d'un bug dans le code noyau partagé par l'ICM et le Web Dispatcher pour réassembler les messages WebSocket fragmentés : une corruption mémoire permet d'exécuter des commandes système en tant que "<sid>adm". PROXYGATE exploite la liste de proxy du Gateway (prxyinfo) : un attaquant externe est traité comme un serveur applicatif interne. La faille SAML2 ne vérifiait pas les signatures des assertions entrantes dans certaines configurations, ce qui permet de se connecter en tant que n'importe quel utilisateur, y compris privilégié.
Ce que ça change: Exécution de code système sur le serveur applicatif SAP, donc compromission de l'ERP et des systèmes connectés ; pour SAML2, usurpation d'identité administrative sur les systèmes Fiori ou Web GUI derrière un fournisseur d'identité. Le Web Dispatcher peut aussi être mis à terre, coupant tous les systèmes SAP derrière lui.
Ce qu'il faut faire: Appliquer les quatre notes en priorité, en mettant à jour noyau et Web Dispatchers dans un même rollout couvrant les 17 correctifs noyau du mois. Traiter comme exposé tout AS ABAP utilisant SAML2 pour le login navigateur, vérifier la liste des fournisseurs de confiance dans la transaction SAML2 et auditer les connexions SAML de comptes privilégiés. Contrôler l'exposition réseau de l'ICM et du Web Dispatcher, et revoir prxyinfo/le paramètre de profil équivalent.
Ce qui reste incertain: Le nombre de systèmes réellement exposés n'est pas connu ; Onapsis souligne que la surface d'exposition de PROXYGATE dépend de configurations rarement auditées, ce qui rend l'estimation difficile. Les notes SAP ne sont accessibles qu'aux clients authentifiés.

Sources :thehackernews.com bleepingcomputer.com

04 / 10CritiqueAttaque

La France attribue à l'Iran le sabotage des frigos de 700 points de vente

Concerné: Contrôleurs de réfrigération Danfoss AK-SM et AK-SC, Copeland xweb, Dixell xweb, exposés via leur interface web. Le CERT-FR signale quatre familles de produits touchées.
Correctif: Pas de "correctif" unique. Le CERT-FR demande de retirer l'exposition Internet, de revoir les configurations (notamment les plages de dégivrage), de changer les mots de passe par défaut, de passer le niveau de sécurité Danfoss en "Strict", de mettre à jour le firmware, et pour les équipements compromis de repartir d'une remise à zéro. Les équipements en fin de vie sans correctif restent à très haut risque.

Ce qui s'est passé: Dans la nuit du 11 octobre, des attaquants ont pris le contrôle à distance de contrôleurs de froid dans environ 700 sites de distribution français et modifié les réglages de dégivrage vers des températures élevées, en désactivant les alarmes de sécurité des sondes. Résultat : pertes alimentaires de plusieurs dizaines de millions d'euros et une vingtaine de départs de feu. Le C4 (ANSSI, DGSE, DGSI, DGA, Comcyber) attribue l'opération à Shahid Kaveh, unité cyber du Corps des gardiens de la révolution iranien, et le parquet de Paris a ouvert une information judiciaire avec mandats d'arrêt internationaux visant Hamid Reza Lashgarian, Mahdi Lashgarian et Reza Salarvand.
Ce que ça change: Destruction de stocks alimentaires, incendies réels, donc un risque physique et pas seulement financier. L'opération démontre qu'un attaquant peut transformer un équipement de froid mal configuré en outil de sabotage. Le C4 relie cette campagne à des reconnaissances simultanées sur des équipements Schneider Electric de petites installations hydroélectriques, aux effets modérés.
Ce qu'il faut faire: Recenser tous les contrôleurs de froid et les interfaces web accessibles depuis Internet, les isoler derrière VPN ou filtrage réseau, changer les identifiants par défaut, vérifier les plages de dégivrage et la journalisation des changements de configuration. Pour les exploitants : vérifier les clauses d'assurance avant de couper le flux de données vers le mainteneur, et prévoir une surveillance des consignes de température côté SI.
Ce qui reste incertain: L'attribution repose sur un faisceau d'indices (infrastructure partagée avec des reconnaissances Schneider, outil de scan FOFA, traces de persan, revendication par CyberbanNews), pas sur une preuve technique publique. Le nombre exact de sites touchés varie selon les sources (environ 700 commerces, une vingtaine de départs de feu selon le parquet, au moins 15 selon d'autres). Le lien avec la vague d'attaques contre des supermarchés européens la semaine suivante n'est pas traité dans l'attribution française.

Sources :thehackernews.com zdnet.fr theregister.com cybernews.com

05 / 10ÉlevéeVulnérabilité

SonicWall : contournement du MFA imposé par SAML sur les VPN SSL, exploité (CVE-2026-19868)

Concerné: SonicOS sur appliances Gen7 et Gen8, physiques et virtuelles, firmware 7.3.3-7015 et antérieurs, 8.2.2-8015 et antérieurs. Gen6 non listé comme affecté mais en fin de support.
Correctif: Oui, 7.3.4-7013 et supérieur, 8.2.3-8015. Aucun contournement listé. Échéance fédérale américaine : 20 novembre 2026.

Ce qui s'est passé: Sur les configurations où SAML est activé pour le VPN SSL, un utilisateur disposant d'identifiants valides pour une méthode d'authentification alternative peut contourner le contrôle SAML, et donc le MFA porté par le fournisseur d'identité. En pratique, une connexion qui aurait dû passer par Okta ou Entra ID avec MFA peut réussir avec un simple mot de passe.
Ce que ça change: Ce n'est pas un contournement non authentifié, il faut des identifiants. Mais des identifiants VPN volés ne manquent pas, et le MFA imposé par SAML est précisément le contrôle censé les rendre inutilisables. Un attaquant obtient un accès réseau distant avec les droits de l'utilisateur compromis, point d'entrée classique des groupes rançongiciels.
Ce qu'il faut faire: Patcher en priorité. Examiner les journaux de connexions VPN SSL récentes et repérer celles qui ont réussi sans authentification correspondante (et sans MFA) côté fournisseur d'identité ; réinitialiser les identifiants des comptes concernés et vérifier ce qui a été accédé pendant ces sessions. Restreindre l'exposition de l'interface d'administration VPN.
Ce qui reste incertain: Nombre d'organisations touchées et actions des attaquants inconnus. Ni SonicWall ni la CISA n'ont publié d'IoC, et aucune analyse tierce des attaques n'est disponible à ce jour.

Sources :helpnetsecurity.com securityweek.com

06 / 10ÉlevéeVulnérabilité

Barracuda : deux failles ESG exploitées pour obtenir un accès root

Concerné: Barracuda Email Security Gateway. La liste précise des versions corrigées figure dans l'avis éditeur, non détaillée dans les articles consultés.
Correctif: Oui, publié une semaine avant l'alerte d'exploitation. Barracuda recommande de réactiver le patch automatique.

Ce qui s'est passé: Les deux failles se combinent : la première permet de modifier la configuration globale de l'appliance, la seconde d'injecter des commandes exécutées en root. L'exploitation nécessite toutefois d'atteindre l'interface d'administration, ce qui limite la surface aux dispositifs mal cloisonnés.
Ce que ça change: Prise de contrôle complète de la passerelle de messagerie, donc lecture et modification du flux mail, interception de pièces jointes et d'identifiants, et pivot vers le réseau interne. L'historique de l'éditeur compte deux campagnes d'espionnage (UNC4841) sur ce même produit, dont une exploitation en zero-day pendant au moins sept mois.
Ce qu'il faut faire: Vérifier que le correctif est appliqué et que le patch automatique est actif, restreindre l'accès à l'Admin UI aux réseaux d'administration, journaliser les modifications de configuration globale, et rechercher des règles, comptes ou relais mail non légitimes sur l'appliance.
Ce qui reste incertain: Identité des attaquants, nombre exact de victimes, indicateurs de compromission et éventuelle exfiltration de courriels non publiés.

Sources :bleepingcomputer.com

07 / 10ÉlevéeVulnérabilité

Chrome : huitième zero-day exploité de l'année (CVE-2026-125350)

Concerné: Google Chrome sur Windows, macOS et Linux. Navigateurs Chromium dérivés (Edge, Brave, Opera, Vivaldi) concernés lorsque les correctifs seront disponibles.
Correctif: Oui, Chrome 157.0.8103.50/.51 (Windows, macOS) et 157.0.8103.50 (Linux).

Ce qui s'est passé: Il s'agit d'un use-after-free dans le composant XML : le programme accède à une zone mémoire déjà libérée, ce qui peut provoquer une corruption de données, un plantage ou une exécution de code arbitraire. La faille a été signalée le 6 novembre par un chercheur anonyme et corrigée en quelques jours.
Ce que ça change: Selon le contexte d'exploitation, exécution de code dans le processus du navigateur, donc accès aux sessions authentifiées, aux cookies et aux données manipulées par l'utilisateur. C'est le huitième zero-day Chrome exploité depuis janvier 2026.
Ce qu'il faut faire: Forcer la mise à jour et le redémarrage du navigateur, y compris sur les postes nomades. Vérifier la version via les inventaires de parc plutôt que par une communication utilisateurs. Surveiller les accès anormaux aux applications web depuis des navigateurs non à jour.
Ce qui reste incertain: Vecteur exact d'exploitation, acteurs et cibles inconnus. L'absence de CVSS et de détails techniques empêche toute évaluation fine du risque réel.

Sources :thehackernews.com securityweek.com

08 / 10ÉlevéeSupply Chain

118 millions d'euros détournés chez Crédit Mutuel Arkéa via un prestataire

Concerné: Sans objet
Correctif: Sans objet

Ce qui s'est passé: L'attaquant a atteint le réseau de la banque directement via la plateforme d'un prestataire (Fortuneo est explicitement exclu), puis a utilisé le compte de la banque, et non ceux des clients, pour émettre des transactions vers d'autres établissements et convertir les fonds en USDC et USDT. Le montant de 118 millions d'euros (133 millions de dollars) provient de l'enquêteur blockchain ZachXBT ; la banque ne le confirme pas, mais valide l'ordre de grandeur et indique que des fonds ont été bloqués.
Ce que ça change: Pertes financières directes pour l'établissement, blanchiment via stablecoins, et risque de phishing accru pour les clients dans la foulée de la médiatisation. Les actifs des clients ne sont pas affectés selon la banque.
Ce qu'il faut faire: Pour les établissements, revoir les accès accordés aux prestataires (comptes nominatifs, moindre privilège, double validation des transactions interbancaires, plafonds et contrôles comportementaux sur les ordres de transfert), et tester la capacité à geler rapidement des flux crypto via les partenaires. Pour les clients : méfiance renforcée envers tout appel ou mail se présentant comme la banque.
Ce qui reste incertain: Le montant exact, l'identité du prestataire utilisé comme point d'entrée et le mode opératoire précis ne sont pas confirmés. La banque n'a pas répondu aux questions de BleepingComputer.

Sources :bleepingcomputer.com helpnetsecurity.com

09 / 10ÉlevéeAttaque

Turla transforme des serveurs Exchange en plateformes d'espionnage avec "Cereal"

Concerné: Microsoft Exchange Server (rôle transport notamment, processus EdgeTransport.exe). Deux entités gouvernementales touchées, au Kazakhstan et en Roumanie, fin 2025.
Correctif: Sans objet. La détection repose sur la chasse aux indicateurs et l'analyse des serveurs Exchange.

Ce qui s'est passé: Cereal est un ensemble modulaire de huit composants .NET qui vit sur le serveur Exchange lui-même. Particularité : pas d'infrastructure de commande et contrôle externe, les ordres circulent sous forme de programmes .NET compilés via des chemins web imitant le trafic Exchange légitime. Le module CerealBox s'injecte dans le service de transport pour lire le flux mail, filtrer les messages avec pièces jointes DOC, DOCX ou PDF selon des listes codées en dur (expéditeurs, destinataires, objets, noms de fichiers), puis les compresser, les chiffrer et les stocker avant exfiltration.
Ce que ça change: Collecte durable de courriels ciblés, sans trace disque significative et sans trafic sortant vers une infrastructure attribuable. Sur la victime roumaine, le filtre visait des adresses d'institutions de l'OTAN et de l'Union européenne. Les commandes permettent aussi d'énumérer Active Directory, d'interroger WMI, d'extraire les secrets LSA et de lister les clichés instantanés de volumes.
Ce qu'il faut faire: Surveiller les assemblys .NET chargés dans EdgeTransport.exe, les chemins de requêtes web imitant Exchange mais non légitimes, et les écritures de fichiers chiffrés en zone de staging. Restreindre les droits sur les serveurs Exchange, segmenter le rôle transport, et chasser les créations de fichiers de commande .NET inhabituels. La collecte mail doit être corrélée aux journaux de transport et aux accès administrateur.
Ce qui reste incertain: Le vecteur d'accès initial n'est pas établi (spear-phishing, watering hole ou attaque de l'intermédiaire au niveau FAI sont les modes connus du groupe). Le nombre total de victimes n'est pas communiqué. L'attribution à Turla, acteur lié à la Russie, est celle d'ESET.

Sources :thehackernews.com helpnetsecurity.com bleepingcomputer.com

10 / 10ModéréeIA & Sécurité

L'IA offensive change d'échelle : Fable 5.2 domine un benchmark d'attaques multi-étapes, Mythos entre chez Cisco et IBM

Concerné: Modèles Claude Fable 5.2 et Claude Mythos 5.2 ; intégrations annoncées dans Cisco AI Defense et IBM Concert
Correctif: Sans objet. Accès encadré par le programme de vérification cyber d'Anthropic et par des programmes à accès contrôlé (dont "Project Glasswing").

Ce qui s'est passé: Anthropic a publié Fable 5.2 et Mythos 5.2. Sur CyScenarioBench d'Irregular, qui mesure la capacité à planifier et exécuter une opération cyber multi-étapes en environnement réaliste, Fable 5.2 réussit 76,3 % des épreuves, contre 61,7 % pour Fable 5.1 et 61 % pour GPT-6 Cyber. Sur le benchmark interne de redécouverte de CVE, il atteint 89,6 % sur 1 829 avis publiés en octobre 2026. Le même jour, Cisco a annoncé que ses outils de red teaming appelleraient Mythos, et IBM a annoncé l'intégration dans son outil Concert, sans donner accès au modèle lui-même.
Ce que ça change: La découverte et l'exploitation de vulnérabilités deviennent une capacité industrialisable et commercialisable, intégrée dans des produits de sécurité grand public entreprise. Le même moteur sert à trouver des failles et à les corriger, mais abaisse aussi le coût de la phase de reconnaissance et d'exploitation pour un attaquant qui y accède, légalement ou non.
Ce qu'il faut faire: Considérer que le délai entre publication d'un correctif et exploitation disponible se réduit encore, et prioriser la réduction d'exposition plutôt que la seule vitesse de patch. Suivre les accès aux modèles cyber dans les journaux fournisseurs, encadrer les agents de sécurité autonomes par des règles d'engagement explicites et une validation humaine sur les actions irréversibles.
Ce qui reste incertain: Les chiffres proviennent d'évaluations internes ou de benchmarks éditeurs, non reproduits indépendamment. La méthodologie exacte de CyScenarioBench et la comparabilité avec les scores concurrents ne sont pas vérifiables à partir des articles. Aucune donnée publique sur le nombre de clients Cisco ou IBM ayant déjà accès à Mythos.

Sources :thehackernews.com theregister.com helpnetsecurity.com securityweek.com

Demain aussi

Suivez DecodeVox pour ne rien manquer.

L'essentiel de l'actu cyber en vidéo courte, chaque jour, sur vos réseaux.

Tous les jours du radar Flux RSS du radar