Plusieurs failles de périmètre et d'outillage restent exploitées activement (chaîne Ivanti Connect Secure, GitLab CI/CD, PHP2Shell, désormais Node-RED en CVSS 10), WordPress Core entre au KEV avec une échéance au 6 novembre, et la campagne de sabotage des systèmes de froid s'étend à neuf pays européens et à l'EFS via un prestataire. Pas de vulnérabilité nouvelle massivement exploitée sur un parc très répandu dans la fenêtre stricte, d'où un niveau Élevé et non Critique.
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
CRITIQUENode-RED CVE-2026-58115 (CVSS 10) exploitée. VulnCheck observe depuis le 30 octobre des POST /flows non authentifiés qui déposent un bot Linux et une backdoor HTTP persistante, y compris sur Siemens SIMATIC IOT2050. Toute instance Node-RED exposée sans adminAuth est à traiter comme compromise.
ÉLEVÉWordPress Core CVE-2026-119977 au KEV le 3 novembre, échéance fédérale le 6. Race condition pendant la mise à jour du core menant à une RCE non authentifiée (4.7.0 à 7.1.3, corrigé en 7.1.4) ; Wordfence compte plus de 18 500 requêtes malveillantes en 21 heures.
ÉLEVÉSabotage des froids : deuxième vague. Au moins 76 magasins en Belgique, des cas dans neuf pays européens, et l'EFS touché via son prestataire Coolworld (consignes de congélateurs à plasma modifiées). Même mode opératoire que la vague française d'octobre (CERTFR-2026-ALE-012).
ÉLEVÉOffensive agentique chinoise documentée. CrowdStrike décrit le framework ARTEX de Vapor Panda (14 pays, backdoor BloodAlchemy) et Kaspersky le framework CyberStrikeAI contre l'éducation : domain admin en 3 à 4 jours via Kerberoasting, DCSync et Golden Ticket.
ÉLEVÉLinux CVE-2026-98432 (CVSS 9.8), RCE TCP/IPv4 distante. Correctifs Red Hat disponibles, Ubuntu encore en -proposed ; pas d'exploitation observée, PoC public limité à la détection de la fuite mémoire. À planifier en priorité sur les serveurs exposés.
RADAR SECOPS : ACTIONS DU JOUR
PATCHER
Node-RED 4.3.4.1+ / Industrial OS V4.3.4.1 ; WordPress 7.1.4 ; Ivanti Connect Secure 25.1.1.3 et 22.8R2.6 (CERTFR-2026-AVI-1442) ; GitLab 19.4.2 / 19.3.5 / 19.2.8 ; PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (CERTFR-2026-ALE-014) ; noyau RHEL pour CVE-2026-98432 ; Synology DSM 7.4-90075 ; Android niveau 2026-11 (CERTFR-2026-AVI-1443) ; GLPI, PostgreSQL, NetApp ONTAP, Xen (AVI-1444 à 1447).
CHASSER
POST /flows et requêtes /cmd sur le port 1880, fichiers /dev/shm/.b et /tmp/.kworker ; requêtes vers /wp-content/upgrade/setup-config.php ; binds LDAP depuis l'IP interne des ICS Ivanti et lectures msFVE-RecoveryInformation ; shells enfants de puma/sidekiq/gitaly ; DCSync depuis un hôte non DC ; LNK dans Startup lançant PowerShell (Gorbag) ; herlittlebit[.]com (LegionLoader) ; CloudTrail PutModelInvocationLoggingConfiguration et activations Bedrock/Vertex hors IaC (LLMjacking).
ÉCHÉANCES
6/11 KEV WordPress ; 10/11 Patch Tuesday Microsoft et SAP Patch Day ; 11/11 KEV VMware ESX CVE-2026-41709 ; 13/11 KEV Ivanti CVE-2026-118527 ; déjà dépassées : Linux Fragnesia (31/10), GitLab et Cisco ASA/FTD (1/11), Ivanti CVE-2026-111357 (2/11).
Vulnérabilités et exploitation active
CRITIQUECONFIRMÉ
Node-RED CVE-2026-58115 : RCE non authentifiée exploitée pour déployer un bot Linux
Absence d'authentification sur l'éditeur Node-RED (Siemens SSA-834709, CVSS 10.0, août 2026) : un attaquant crée des flows et exécute du code avec les privilèges du service. Sont concernés Industrial OS avant V4.3.4.1 (SIMATIC IOT2050 Advanced) et toute instance sans adminAuth. VulnCheck a capté le 30 octobre une requête POST /flows chaînant un nœud inject et un nœud exec, qui télécharge bot-linux-amd64 en mémoire (/dev/shm/.b, /tmp/.kworker via wget.sh et .sys_update) et installe une backdoor HTTP /cmd persistante. L'IP source a aussi visé Solr, Camunda, Gitea, MLflow, Traefik et Joomla ; la faille est au KEV VulnCheck, pas encore à celui de la CISA.
SOCInventorier Node-RED exposé (1880), chasser les processus enfants de node lancés par exec, les binaires dans /dev/shm et les IOC 85.215.73[.]250 et 45.194.90[.]57:38472 publiés par VulnCheck.
Lire : Help Net Security, The Hacker News, The Register
ÉLEVÉ
WordPress Core CVE-2026-119977 : race condition à la mise à jour, ajoutée au KEV
TOCTOU pendant les mises à jour complètes du core (CVSS 8.1) : l'attaquant appelle setup-config.php dans le répertoire prévisible wp-content/upgrade pendant les quelques secondes de la décompression, d'où une RCE non authentifiée. Versions 4.7.0 à 7.1.3, correctif 7.1.4 rétroporté jusqu'à la branche 4.7. Wordfence a relevé plus de 18 500 requêtes malveillantes en 21 heures ; aucun exploit public fonctionnel confirmé. Ajout KEV le 3 novembre, échéance le 6. L'identifiant CVE reste signalé « à confirmer » par la source (source unique).
SOCRechercher dans les logs WAF/proxy le polling répété de /wp-content/upgrade/* depuis une même IP, et bloquer ce chemin côté serveur web en attendant la mise à jour.
Lire : SecurityOnline
ÉLEVÉ
Linux CVE-2026-98432 : RCE distante TCP/IPv4 notée 9.8, correctifs en cours
Use-after-free dans la pile TCP/IPv4, présent depuis Linux 4.4, déclenché sans authentification par un SYN portant les options IP Record Route ou Timestamp vers un port en écoute, combiné à une retransmission concurrente. Correctifs RHEL 8.10 (4.18.0-553.182.1), 9.8 (5.14.0-687.64.1) et 10.2 (6.12.0-211.72.1) ; Ubuntu encore en -proposed, rien prévu pour 20.04 et antérieures. Anthropic indique qu'un modèle interne a écrit un exploit root distant non publié ; le PoC public se limite à détecter la fuite. Check Point souligne l'exposition des serveurs à écouteurs MPTCP. Pas d'exploitation observée.
SOCDétecter les paquets TCP IPv4 avec options IP vers les serveurs exposés (rares en légitime) ; appliquer la règle nftables de mitigation Red Hat sur les hôtes Internet non patchables.
CRITIQUECONFIRMÉ
Rappel : chaîne Ivanti Connect Secure (UTA0576) et GitLab CVE-2026-97229, toujours exploitées
Ivanti : CVE-2026-104935 (8.6, contournement d'authentification), CVE-2026-111357 (8.8) et CVE-2026-118527 (4.3) donnent une exécution root sans authentification ; versions corrigées 25.1.1.3 et 22.8R2.6. Volexity attribue l'exploitation à UTA0576, sans webshell ni malware : vol d'identifiants, extraction de métadonnées AD, recherche de mots de passe admin et de clés BitLocker. GitLab : débordement d'entier dans le compilateur regex CI/CD menant à une RCE, corrigé en 19.4.2, 19.3.5 et 19.2.8 ; Shadowserver compte environ 2 800 instances CE exposées. Les deux échéances KEV sont dépassées.
SOCIvanti : pas d'artefact fichier, chasser les binds LDAP depuis l'IP de l'appliance et les accès aux attributs msFVE-RecoveryInformation, lancer l'ICT. GitLab : shells enfants de puma/sidekiq/gitaly et rotation des secrets CI en cas de doute.
Lire : The Hacker News, CERT-FR AVI-1442, BleepingComputer, Security Affairs
CRITIQUECONFIRMÉ
Rappel : PHP2Shell (CVE-2026-109618/109619), règles Sigma CISA et Elastic, chaîne PAN-OS documentée
Deux RCE non authentifiées dans le moteur PHP (CVSS v4 9.2), dont une use-after-free dans la progression d'upload de session activée par défaut ; versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Selon Amazon, l'exploitation a précédé les correctifs de 4 jours et les honeypots voient désormais des shells fonctionnels. Cybersecurity Dive rapporte (30 octobre) une chaîne PHP2Shell plus Fragnesia (CVE-2026-46300) contre des pare-feu PAN-OS : environ 19 000 scannés, environ 25 compromis, puis mouvements vers l'AD ; Unit 42 maintient un threat brief à jour.
SOCParcs PAN-OS : vérifier version et recommandations Unit 42, revoir la télémétrie depuis le 20 octobre et faire tourner les secrets exposés par la fuite mémoire (recommandation Recorded Future).
Lire : Unit 42, Cybersecurity Dive, Recorded Future, Sigma CISA
CISA KEV : ajouts des 7 derniers jours
| CVE | Produit | CVSS | Ajout | Due | Note |
|---|---|---|---|---|---|
| CVE-2026-119977 | WordPress Core | 8.1 | 03/11 | 06/11 | TOCTOU, RCE à la mise à jour |
| CVE-2026-118527 | Ivanti Connect Secure | 4.3 | 30/10 | 13/11 | Chaîne UTA0576 |
| CVE-2026-111357 | Ivanti Connect Secure | 8.8 | 30/10 | 02/11 | Chaîne UTA0576, échue |
| CVE-2026-97229 | GitLab CE/EE | max. (éditeur) | 29/10 | 01/11 | RCE regex CI/CD, échue |
| CVE-2026-76418 | Cisco ASA / FTD | 8.6 | 29/10 | 01/11 | DoS SSL VPN zero-day, échue |
| CVE-2026-46300 | Linux Kernel | n.c. | 28/10 | 31/10 | Fragnesia, LPE page cache |
| CVE-2026-41709 | VMware ESX | 2.7 | 28/10 | 11/11 | Logging insuffisant, WARP PANDA |
Source : catalogue JSON cisagov/kev-data, version 2026.11.03 ; aucun ajout marqué « ransomware connu ». CVSS éditeur ou NVD quand disponible.
Aussi : CERT-FR du 3/11 : AVI-1443 Android, AVI-1444 GLPI, AVI-1445 PostgreSQL, AVI-1446 NetApp ONTAP, AVI-1447 Xen ; aucun avis daté du 4/11 à 07h. Synology DSM ciblé par le ransomware C3RB3R / .L0CK3D (CVE-2026-13639/13684, THN, IT-Connect). Barracuda CVE-2026-116606 (9.3) et CVE-2026-111560 (8.6) chaînables jusqu'à root, sans exploitation connue (THN). Bulletin Android de novembre : plus de 200 vulnérabilités (SecurityWeek). BTCPay Server 2.4.1 et antérieures exploité pour vider des hot wallets, environ 1,63 M$, corrigé en 2.4.2 (Infosecurity, source unique). Lot de CVE IBM DataPower relevé sur CVE Notify, non vérifié sur NVD à l'heure d'envoi.
Campagnes et threat actors
ÉLEVÉCONFIRMÉ
ARTEX (Vapor Panda) et CyberStrikeAI : frameworks offensifs agentiques en production
CrowdStrike décrit Vapor Panda, lié à la Chine, qui opère depuis le 17 octobre le framework ARTEX : un agent principal pilote des agents planificateurs et exécutants, surtout sur DeepSeek. En 11 jours, au moins 14 pays touchés (affaires étrangères, défense, semi-conducteurs US, télécoms), post-exploitation dans 9 organisations avec la backdoor BloodAlchemy. TTP citées : assertion SAML non signée plus XXE vers le service de métadonnées cloud, tokens admin forgés avec des clés issues d'une ancienne extraction d'annuaire, configs VPN récupérées dans les mails, password spraying ; Microsoft relie aussi ARTEX à Storm-0940. Kaspersky documente un opérateur sinophone utilisant CyberStrikeAI contre l'éducation (Amérique latine, Afrique) : SQL Server compromis, puis Kerberoasting, AS-REP Roasting, dump LSASS, DCSync et Golden Ticket en 3 à 4 jours.
SOCLes délais jusqu'au domain admin se compressent : corrélations XSIAM sur rafales de découverte AD depuis un même hôte, DCSync hors DC, anomalies SAML et accès IMDS depuis des workloads web.
Lire : Help Net Security, Cybersecurity Dive, Kaspersky
MOYENCONFIRMÉ
Gorbag (ESET) : groupe aligné sur la Russie, WinRAR CVE-2025-8088 et BeautyStealer contre l'Ukraine
Actif depuis février 2025, possible courtier d'accès initial, lien partiel avec GIFTEDCROOK (UAC-0226) sans assimilation par ESET. Accès initial par .xlsm à macros depuis des messageries d'administrations locales compromises, puis en 2026 par archives RAR exploitant CVE-2025-8088 pour déposer un LNK dans Startup et un loader PowerShell dans %ProgramData%. Outils : Prime ReverseShell (PS2EXE, avec un commentaire destiné à tromper l'analyse par IA) et BeautyStealer (navigateurs, cookies, configs OpenVPN, .kdbx, .pfx, .rdp, .jks), exfiltration via Telegram ou un C2 FastAPI. MITRE cité : T1566.001, T1203, T1547.001, T1555.003, T1539, T1048.001, T1567, T1070.004.
SOCChasser les LNK créés dans Startup lançant PowerShell, le VBA écrivant dans %ProgramData% et le trafic vers l'API Telegram depuis des postes métier ; IOC 89.44.9[.]186 et 142.111.194[.]73.
Lire : ESET WeLiveSecurity, The Record, Infosecurity
MOYEN
Microsoft : faux téléchargements et installeurs trojanisés qui transforment les postes en nœuds proxy
Microsoft Threat Intelligence décrit une campagne de faux cracks, activateurs et logiciels populaires distribuant des installeurs Inno Setup trojanisés. Selon les relais, ils affaiblissent Defender (exclusions ou désactivation) puis déposent du proxyware, des clients de calcul distribué et de l'adware ; les noms WorldProxyPool, CharityEngine et AW Manager viennent d'un relais tiers et restent à confirmer sur la page Microsoft.
SOCChasser les processus is-*.tmp qui lancent PowerShell ou Add-MpPreference -ExclusionPath, et les nouveaux services de proxyware : risque de réputation des IP de sortie.
Lire : Microsoft Security Blog, Cybernews
MOYENCONFIRMÉ
Botnet XCPE démantelé : 1,3 million de boîtiers Android TV piégés dès le firmware
Opération menée par Google avec la police japonaise, TrendAI, Human et Synthient. La backdoor modulaire, intégrée au firmware par l'OEM de Shenzhen Videostrong (attribution GTIG « haute confiance »), se réinstallait et servait de proxy résidentiel, de fraude publicitaire et de chargeur. Domaines de contrôle saisis, Videostrong banni de l'écosystème Android certifié ; la backdoor reste présente sur les appareils.
SOCRechercher les boîtiers TV ou IPTV non gérés sur les segments invités et IoT, et le trafic proxy sortant depuis ces segments.
Lire : Google GTIG, The Record, SecurityWeek
En bref : Alertes Apple sur des logiciels espions reçues par des membres de la délégation du chancelier Merz et des élus allemands, BSI mobilisé, aucune attribution (The Record). Vol Binance de 6,3 Md$ attribué par le FBI à TraderTraitor (Corée du Nord), vecteur initial : portable d'un ingénieur DevOps (The Register, Risky Business). Check Point signale la campagne « Yoba » : faux installeurs ChatGPT et Claude via GitHub et DLL sideloading (CPR).
Supply chain, développeurs et IA
ÉLEVÉCONFIRMÉ
LLMjacking : GTIG détaille UNC6993 et un « LLM Mixer » à 1 M$ de tokens par victime
Publié le 2 novembre à minuit (Paris), en bordure de fenêtre. UNC6993 est entré par une clé de service account mal configurée, a volé des jetons via phishing, créé des clés d'API puis revendu le quota via les passerelles new-api et gcli2api. Un cluster a exploité LiteLLM CVE-2026-40217 (/key/regenerate vers PROXY_ADMIN) ; le mixer Jet Night a traité plus de 500 000 appels en moins de 8 heures. Autres TTP : Ollama exposé (/api/create), clés fuitées sur GitHub, comptes « burn and rotate », sondes max_tokens=1, désactivation du logging d'invocation. Mandiant chiffre des coûts au delà de 100 000 $ par jour.
SOCRègles cloud : CloudTrail PutUseCaseForModelAccess, CreateFoundationModelAgreement, Delete/PutModelInvocationLoggingConfiguration hors IaC ; Azure deployments/write et diagnosticSettings ; GCP EnableService aiplatform ; IOC jet-night.com et newapi[.]pro.
Lire : Google GTIG, Infosecurity, Help Net Security
MOYEN
OpenSourceMalware : les flux de réputation ratent l'essentiel des IOC supply chain
Étude publiée le 3 novembre sur 624 indicateurs (450 indicateurs réseau ingérés du 2 octobre au 2 novembre, 174 IOC rétrospectifs de 10 campagnes 2026). Au jour J, 62,2 % n'ont aucune détection VirusTotal et 70,7 % en ont 2 ou moins ; URLhaus en rate plus de 98 %, et 71,3 % restent invisibles sur VirusTotal des mois plus tard. Causes avancées : exécution sortante depuis des environnements de dev et CI de confiance, infrastructure éphémère, charge dans les scripts de cycle de vie (preinstall, setup.py, binding.gyp, tasks.json). Aucune nouvelle compromission de paquet relevée par OSM, Socket ou StepSecurity dans la fenêtre. Source unique pour l'étude.
SOCUn playbook XSOAR qui clôt une alerte sur score VirusTotal inférieur à 3 laissera passer la majorité de ces IOC : retirer ce critère pour les runners CI et postes dev, chasser les connexions sortantes de npm/pip/node vers des IP brutes ou des sous-domaines serverless.
Lire : OpenSourceMalware
MOYEN
MCPhantom : des agents de code installent des serveurs MCP dépréciés
Selon Help Net Security, des agents de codage IA proposent ou configurent, depuis la mémoire de leur modèle, des serveurs MCP de référence archivés qui ne recevront plus de correctifs. Pas de CVE ni de liste de paquets dans ce qui a pu être consulté ; chercheur d'origine non identifié (source unique).
SOCInventorier .cursor/mcp.json, claude_desktop_config.json et .vscode/mcp.json, et surveiller les lancements npx/uvx de paquets @modelcontextprotocol/server-* archivés.
Lire : Help Net Security
En bref : Socket publie un guide de durcissement des GitHub Actions et salue les « dependency cooldowns » de Composer 2.11 (Socket, Socket). Rappel du 30/10 : extension Claude Code trojanisée 2.1.313 sur la marketplace Cursor, backdoor SSH persistante, retirée (OSM, Socket). Fuite de variables d'environnement chez Trigger (The Register).
Ransomware et extorsion
Les plus actifs sur 48 h : N0n (5 le 2/11, 10 le 3/11), Booba Project, Qilin, Akira, rafale Krybit (6 victimes d'un coup). Sur la semaine, pic de thegentlemen (50 victimes le 31/10). Noms marqués « New Group » par ransomware.live : Whitearmor, Obsoft, Pixelleaks, Hyflock, Byod, Everstake, Redact. Pas de Hack Tuesday HackManac trouvé pour la semaine.
MOYENNON CONFIRMÉ
Booba Project revendique l'industriel français DROUIN SAS
Le fabricant de produits en bois DROUIN SAS apparaît le 3 novembre sur le leak site de Booba Project avec 20 Go revendiqués, recoupé par ransomware.live et Ransomware Victims Tracker. Le même jour, le groupe a revendiqué Boardman Park (GB), Vetstoria (SE) et City of Edgewater (US) ; il a publié 17 victimes entre le 27 et le 29 octobre. Aucune communication de la victime trouvée. Seule victime française de la fenêtre ; Belgique : deom.be (Safepay, 2/11) ; Suisse et Luxembourg : rien dans la fenêtre.
SOCSi DROUIN figure parmi vos fournisseurs, surveiller le phishing par reprise de fil de discussion et les factures falsifiées.
Lire : ransomware.live, Ransomware Victims Tracker, WatchGuard (profil)
MOYENNON CONFIRMÉ
Emperador enchaîne les cibles européennes après Afflelou et Holcim
Après Afflelou (26/10) et Holcim (31/10), Emperador publie dans la fenêtre Phoenix S&S GmbH et Frommann Energie GmbH (pays non indiqué, zone DACH probable), relevés sur le flux Ransomlook. Revendications non confirmées. Le groupe vise l'industrie et l'énergie en France et en Suisse.
SOCGroupe à suivre pour les clients industriels francophones ; pas d'IOC public associé dans les sources consultées.
En bref : N0n vise l'Europe du Sud et la santé (entité portugaise, société médicale hispanophone) ; Qilin revendique Heber City (Utah) et Castle Howard Estate (GB) ; Synology C3RB3R (voir Vulnérabilités). Toutes les victimes citées sont des revendications de leak sites, non confirmées.
France et Europe : fuites et incidents
ÉLEVÉCONFIRMÉ
EFS : consignes de congélateurs à plasma modifiées à distance via le prestataire Coolworld
Dans la nuit du 1er au 2 novembre, les consignes de congélateurs de l'Établissement français du sang réglés vers -30 °C auraient été passées à 110 °C (valeur de consigne, pas forcément la température atteinte), notamment en Bourgogne-Franche-Comté ; plasma pour transfusion et échantillons de donneurs concernés. Victime directe : Coolworld, prestataire de maintenance frigorifique. Révélé le 3 novembre par Le Canard enchaîné ; l'EFS confirme que du plasma est concerné, le ministère de la Santé évoque « aucune conséquence opérationnelle ». Acteur inconnu, aucun vol de données signalé, lien avec la campagne supermarchés non démontré.
SOCLe risque tiers sur les équipements OT maintenus à distance touche désormais la santé : inventorier les accès distants des mainteneurs froid/GTB et les superviseurs exposés.
Lire : Cyberattaque.org, CERT-FR ALE-012
ÉLEVÉCONFIRMÉ
Supermarchés : deuxième vague de sabotage des froids dans au moins neuf pays européens
Dans la nuit du 1er au 2 novembre, au moins 76 magasins belges touchés (environ 40 Delhaize, 15 Carrefour, une quinzaine d'Intermarché, 5 Spar), ICA et Coop en Suède, 13 SuperValu en Irlande, et des cas aux Pays-Bas, en Estonie, Finlande, Italie, Luxembourg et Portugal ; SecurityWeek parle de plus de 100 magasins et le NCSC britannique confirme des cas au Royaume-Uni. Mode opératoire : dégivrage activé à distance et prolongé, ou températures poussées jusqu'à 50 °C, sans malware signalé. Delhaize confirme un incident, le parquet fédéral belge enquête ; la Commission européenne parle d'une tentative délibérée. Børsen rapporte que Danfoss évoquerait une faille non corrigée dans des logiciels obsolètes (non confirmé).
SOCRecenser les interfaces de supervision frigorifique exposées (Danfoss AK-SM/AK-SC, Copeland, Dixell XWEB) et les accès cloud fournisseur ; voir le rapport Forescout sur l'exposition mondiale.
Lire : IT-Connect, Infosecurity, The Register, Forescout
MOYENNON CONFIRMÉ
INRAE défiguré, AFIB revendiquée par « Alduin »
INRAE : le site base-pcb.inrae.fr a été défiguré le 3 novembre (fait constaté) ; l'attaquant revendique 9 bases, des archives serveur et du code source, environ 1,2 Go (comptes du personnel, mots de passe hachés, rôles), sans communiqué de l'INRAE. AFIB (intermédiaires en bancassurance) : « Alduin » revendique l'exploitation d'une faille BOLA/IDOR dans l'API et diffuse 3 848 fiches (nom, adresse, téléphone, SIREN, numéro ORIAS), sans mot de passe ni RIB ; même acteur que HelloDepann le 1er novembre.
SOCDonnées AFIB propices à l'usurpation de courtiers auprès des banques et assureurs ; hachés INRAE exploitables en réutilisation d'identifiants.
Lire : Fuites Infos (INRAE), Cyberattaque.org (AFIB), Fuites Infos (AFIB)
Ailleurs en Europe et au-delà : Club Alpin Belge, 25 558 adhérents revendiqués, non confirmé (FrenchBreaches). JASP-K9 : factures clients exposées, non confirmé (Cyberattaque.org). Rattrapage du 2/11 : DEKRA-Norisko et AMSAM Soissons confirmés (DEKRA, AMSAM), Brico Dépôt location 57 109 factures revendiquées. Frontline Education (US) : plus de 1,3 million de personnes (SecurityWeek).
Underground et signaux faibles
- LegionLoader (vx-underground, nuit du 3 au 4/11, date déduite) : loader position-indépendant, chiffré, modulaire et résident en mémoire ; module SHA256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1, C2 de dispatch herlittlebit[.]com ; attribution posée seulement comme question (UNC6910, CURLGATE ou CURLYSPIDER). post 9555, post 9558.
- « Alduin » : acteur récurrent qui cible des API mal protégées (HelloDepann le 1/11, AFIB le 3/11), relevé par Fuites Infos et Cyberattaque.org.
- Nouveaux groupes : sept noms marqués « New Group » par ransomware.live sur 10 jours ; Booba Project et N0n accélèrent leur cadence.
- Have I Been Pwned indexe le 3/11 850 500 comptes de la brèche Harvard de novembre 2025 liée à ShinyHunters (HIBP) ; à croiser avec les domaines de l'entreprise.
- vx-underground pense reconnaître ses propres PoC dans un échantillon malveillant, sans pouvoir le confirmer (post 9553), signal faible.
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé.
Institutionnel, régulation, forces de l'ordre
INFOCONFIRMÉ
NCSC britannique : ransomware dopé à l'IA contre les infrastructures critiques d'ici 2028
Le directeur du NCSC anticipe une hausse « sans précédent » des attaques dans les mois à venir et juge très probable qu'à l'horizon 2028 des malwares pilotés par IA deviennent une composante des ransomwares visant les infrastructures critiques britanniques. Évaluation cohérente avec ARTEX, CyberStrikeAI et GOLD OGRE observés cette semaine.
SOCArgument de cadrage direction pour accélérer l'automatisation de la détection et de la réponse.
Lire : The Record, SecurityWeek, Infosecurity
En bref : Plus de 100 serveurs d'un réseau de fraude à l'investissement saisis, plus de 4 M€ de pertes (Help Net Security). NIS2 : transposition française toujours en attente, rien de daté dans la fenêtre (IT-Connect). Alertes CERT-FR encore ouvertes : ALE-011 NetScaler, ALE-012 froid, ALE-013 Ivanti, ALE-014 PHP. Pas de nouvelle sanction CNIL ni d'opération Europol dans la fenêtre. Marché : CrowdStrike rachèterait Fiddler et Dreadnode pour 495 M$, non confirmé (SecurityWeek).
Détection, recherche et veille
- Règles : Sigma CISA PHP2Shell (YAML) et règle Elastic associée (detection.fyi) ; règles GitLab pour CVE-2026-97229 publiées par l'éditeur.
- IOC Node-RED (VulnCheck via THN) : 85.215.73[.]250, 45.194.90[.]57:38472, /dev/shm/.b, /tmp/.kworker, endpoint /cmd.
- IOC Gorbag (ESET), SHA-1 : A5E0A82BF6CC302A20D917235643B748F73FCC27 (Prime ReverseShell), 0589D2079FBEF814DC7BB95C4B3B555C8B933AF6 (RAR CVE-2025-8088), E27E0D0A4B308F9B6B0469159931EB5E343E7FF8 (leurre XLSM) ; IP 89.44.9[.]186, 142.111.194[.]73.
- IOC LegionLoader (vx-underground) : SHA256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1 et df732c31d1dbe5908b1085f4d7bc610646c70946144ec946cb54821975fe31c7, C2 herlittlebit[.]com.
- IOC supply chain rétro-chasse (OpenSourceMalware) : verify.build-standards.org (TrapDoor), sfrclak.com (Axios), git-tanstack.com (Mini Shai-Hulud), holiday-themes.dev (extensions IDE), 166.88.134.62 (PolinRider), SHA256 ad111858f73ef39e955ea4a6cdc83d92b53d5ca0248a94095ff0448c7b147e29 (Keyv / Cacheable).
- SANS NewsBites XXVIII-82 (3/11) : vol Binance de plus de 6 Md$ ; nouvelle vague contre la réfrigération européenne ; perte de supports au GCHQ ; application ayant signalé à tort des suspects de terrorisme (SANS, titres seulement).
- Podcast : Risky Business #858 « The $6.3b laptop », publié le 4/11 à 04h26 Paris (risky.biz).
- Silence radio : Unit 42 (seulement les Highlights génériques du 2/11), Cisco Talos (dernier billet le 31/10), StepSecurity, tl;dr sec, This Week in 4n6, Detection Engineering Weekly, Vulnerable U, Darknet Diaries, Smashing Security, Le Comptoir Sécu ; NoLimitSecu : dernier épisode non identifié ; The Exploit Bulletin : dernière édition le 2/11 « all clear » ; SANS ISC : Infocon vert, diaries non récupérées.