Trois vulnérabilités exploitées touchent des briques très exposées : la chaîne Ivanti Connect Secure (exploitation root qui contourne l'ICT), GitLab auto-hébergé et WordPress Core, dont l'échéance KEV tombe demain. En parallèle, APT29 cible les mobiles par watering hole, et la France compte deux incidents confirmés à fort impact (fraude chez Arkéa/Fortuneo, sabotage du froid chez un prestataire de l'EFS). Pas de vague d'exploitation de masse sur un parc unique : on reste en dessous de Critique.
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
CRITIQUEIvanti Connect Secure : chaîne de trois CVE exploitées jusqu'au root. CVE-2026-118527 et CVE-2026-111357 complètent CVE-2026-104935. Selon Volexity, l'acteur UTA0576 compromet même des appliances déjà corrigées, falsifie les journaux et ne dépose aucun webshell. Un ICT propre ne prouve donc rien.
ÉLEVÉWordPress Core CVE-2026-119977 au KEV, échéance demain (06/11). Une race condition TOCTOU permet une RCE non authentifiée pendant la mise à jour du cœur (versions 4.7 à 7.1.3). Wordfence a bloqué plus de 18 500 tentatives en 21 heures.
ÉLEVÉAPT29, campagne « Poisoned Source » (Sekoia). Watering holes et compromission du script Plerdy servent des chaînes n-day iOS et Android (DarkSword, AndroSnitch). La CISA a ajouté CVE-2024-27834 (WebKit, PAC) au KEV le 4 novembre.
ÉLEVÉFrance : Crédit Mutuel Arkéa / Fortuneo confirme une attaque ayant permis des opérations frauduleuses. ZachXBT estime le préjudice à plus de 133 M$, siphonnés via des comptes crypto ouverts sous fausse identité ; la banque ne confirme pas ce chiffre. Par ailleurs, l'EFS confirme le sabotage de congélateurs à plasma chez son prestataire de froid.
ÉLEVÉSupply chain : canal de mise à jour cPGuard compromis, et « Black October » des PaaS IA. OpsShield confirme que des mises à jour piégées ont volé secrets, historiques shell et clés SSH. Wiz recense neuf plateformes de développement IA piratées en octobre, avec revente de clés LLM.
RADAR SECOPS : ACTIONS DU JOUR
PATCHERIvanti Connect Secure (derniers correctifs de l'avis Ivanti, CERTFR-2026-ALE-013) ; WordPress 7.1.4 ou rétroportage jusqu'à 4.7.39 ; GitLab 19.4.2 et branches de maintenance ; Barracuda ESG (BNSF-40425 et BNSF-40430) ; noyau Linux CVE-2026-98432 et APT Debian/Ubuntu ; Rails 8.1.4.1 / 8.0.5.2 ; Android au niveau de patch 2026-11-01 ; Chrome 157 ; avis CERT-FR du 4/11 (AVI-1454 à AVI-1461 : MongoDB, Firefox, Laravel, Mattermost, Dameware, Symfony, Elastic). Retirer SonicWall GMS d'Internet (fin de vie, AVI-1456).
CHASSERTrous dans les journaux et trafic sortant depuis les ICS Ivanti ; requêtes vers wp-content/upgrade/*.php; processus fils de puma/sidekiq sur GitLab ; DNS/proxy vers a.plerdy[.]com, ad.starx-net[.]com; ajouts dans ~/.ssh/authorized_keyssur les postes développeurs (extension Cursor « Claude Code ») et les hôtes cPGuard ; usage anormal des clés API LLM ; changements de consigne sur les régulateurs de froid et GTB.
ÉCHÉANCESKEV WordPress le 06/11 ; Patch Tuesday, SAP et Adobe le 10/11 ; KEV Ivanti CVE-2026-118527 le 13/11 ; KEV Apple CVE-2024-27834 le 18/11. Déjà dépassées : GitLab et Cisco ASA (01/11), Ivanti CVE-2026-111357 (02/11).
Vulnérabilités et exploitation active
Ivanti Connect Secure : deux nouveaux zero-days chaînés, root non authentifié
Ivanti corrige CVE-2026-118527 (upload de fichier, identifiants prévisibles) et CVE-2026-111357 (fonction critique sans authentification, élévation de privilèges). Elles complètent CVE-2026-104935 (contournement d'authentification corrigé en octobre). Les deux CVE sont entrées au KEV le 30/10. Volexity et Defused observent l'exploitation depuis le 1er au 3 octobre par UTA0576 : pas de malware persistant, ré-exploitation à chaque commande, falsification des logs et contournement de l'Integrity Checker Tool. Shadowserver compte plus de 5 000 instances exposées. CVSS non publié dans les sources lues.
SOCNe pas se fier à l'ICT. Corréler les logs de l'appliance avec le NGFW et le NetFlow (sessions admin, connexions sortantes), puis faire tourner les secrets des comptes de service qui transitent par la passerelle.
Lire : BleepingComputer · Avis Ivanti · CERT-FR ALE-013 · SecurityWeek
GitLab CE/EE CVE-2026-97229 : RCE via regex CI/CD, plus de 1 000 serveurs exposés
Un integer overflow dans le moteur de regex Ruby/Onigmo permet une exécution de code non authentifiée via une configuration CI/CD piégée (vague de quatre RCE GitLab issues de trois bugs regex Ruby). L'entrée KEV date du 29/10, avec une échéance au 01/11 désormais dépassée. Le correctif est en 19.4.2 et dans les branches de maintenance. BleepingComputer compte plus de 1 000 instances exposées non corrigées. Alpine Linux a reconstruit son GitLab et réinitialisé les mots de passe après une tentative d'exploitation. SecurityWeek parle de gravité maximale ; le CVSS NVD n'a pas été vérifié.
SOCChasser les processus fils de puma, sidekiq ou gitlab-workhorse (sh, curl), les nouveaux tokens d'accès personnels et les nouveaux runners. Après le patch, faire tourner les variables CI. Le KEV signale que d'autres applications Ruby utilisant Onigmo peuvent être concernées.
Lire : Release GitLab · BleepingComputer · BleepingComputer (Alpine) · Ruby
WordPress Core CVE-2026-119977 : RCE dans la fenêtre de mise à jour, KEV au 06/11
Pendant une mise à jour complète du cœur, des fichiers de staging à chemin prévisible sont accessibles depuis le web, ce qui permet d'exécuter du PHP sans authentification (TOCTOU, CWE-367, CVSS 8.1 selon Wordfence). Versions touchées : 4.7 à 7.1.3. Corrections : 7.1.4 et rétroportages. La CISA l'a ajoutée au KEV le 03/11. Wordfence a bloqué plus de 18 500 requêtes en 21 heures, sans compromission réussie observée ; The Hacker News relaie environ 63 000 tentatives. La règle Wordfence gratuite n'arrive que le 27/11.
SOCInterdire l'accès web à wp-content/upgrade/au niveau du serveur, car un WAF applicatif chargé par WordPress ne suffit pas. Chasser les PHP orphelins, les nouveaux comptes administrateurs et les processus sh ou curl lancés par php-fpm.
Lire : Wordfence · WordPress 7.1.4 · CISA · Picus
Barracuda ESG : contournement d'authentification et injection de commandes, root à distance
CVE-2026-116606 (CVSS 4.0 : 9.3) contourne l'authentification de l'ESG par restauration d'une sauvegarde forgée. CVE-2026-111560 (CVSS 8.6) permet une injection de commandes root dans le champ fuseau horaire ; elle touche aussi le Load Balancer ADC, BMA, WCC, WAF et WSG. Seul l'ESG cumule les deux failles, ce qui ouvre une chaîne complète jusqu'au root. Correctifs BNSF-40425 et BNSF-40430. Aucune exploitation signalée à ce stade ; le Centre canadien a publié l'avis AV26-1112.
SOCVu le précédent UNC4841 de 2023, vérifier que la mise à jour automatique est active, que l'administration n'est pas exposée et qu'aucune restauration de configuration inattendue n'a eu lieu.
Lire : Barracuda · IT-Connect · Cyber Centre AV26-1112
Linux : RCE TCP du noyau CVE-2026-98432 et substitution de paquets APT
Le use-after-free dans la pile TCP IPv4 (CVSS 9.8, noyaux depuis 4.4, découvert par Anthropic) reçoit les correctifs de Debian, Red Hat et SUSE ; Ubuntu ne le propose encore que dans le pocket « proposed ». Par ailleurs, CVE-2026-109518 permet à un attaquant MitM de remplacer un paquet déjà vérifié lors d'une nouvelle tentative de téléchargement APT, avec exécution root. Les détails APT ne viennent que de The Hacker News (source unique).
SOCPrioriser les noyaux exposés et les images CI ou golden images, imposer des miroirs APT en HTTPS ou internes, et surveiller les scripts de mainteneur dpkg anormaux.
Lire : Red Hat · Ubuntu · The Hacker News (APT)
CISA KEV : ajouts des 7 derniers jours (rappel)
| CVE | PRODUIT | CVSS | AJOUT | DUE | NOTE |
|---|---|---|---|---|---|
| CVE-2026-97229 | GitLab CE/EE | n.c. (« max ») | 29/10 | 01/11 | RCE regex Onigmo, échéance dépassée |
| CVE-2026-76418 | Cisco ASA / FTD | 8.6 | 29/10 | 01/11 | DoS VPN SSL, 2e zero-day depuis août |
| CVE-2026-118527 | Ivanti Connect Secure | n.c. | 30/10 | 13/11 | Upload de fichier, chaîne UTA0576 |
| CVE-2026-111357 | Ivanti Connect Secure | n.c. | 30/10 | 02/11 | Élévation de privilèges, échéance dépassée |
| CVE-2026-119977 | WordPress Core | 8.1 | 03/11 | 06/11 | RCE pendant la mise à jour |
| CVE-2024-27834 | Apple WebKit (multi OS) | 5.5 | 04/11 | 18/11 | Contournement PAC, chaîne APT29 |
Source : flux JSON KEV (version 2026.11.04). Aucune entrée n'est marquée ransomware (statut « Unknown »). Plusieurs échéances à 3 jours relèvent de la BOD 26-04. CVSS hors éditeur non revérifiés sur NVD.
Aussi : CERT-FR du 4/11 : AVI-1454 MongoDB, AVI-1455 Firefox, AVI-1456 SonicWall GMS (fin de vie, injection SQL sans correctif), AVI-1461 Elastic, ainsi que Laravel, Mattermost, Dameware et Symfony (AVI-1457 à 1460). Aucun avis le 5/11 à 7h15. Rails Active Storage, écriture de fichiers non authentifiée via ImageMagick, CVSS 9.8 (THN, source unique). Xen XSA-523 : une VM peut lire et écrire la mémoire des autres VM (THN). Android, bulletin de novembre : plus de 200 failles dont une RCE sans clic (SecurityWeek). Chrome 157 : 213 correctifs dont 7 critiques (SecurityWeek). Siemens SIMATIC IoT2050 / Node-RED, CVE-2026-58115, CVSS 10 (Stormcast). Exploitation de Node-RED signalée par VulnCheck.
Campagnes et threat actors
APT29 « Poisoned Source » : watering holes et chaînes n-day contre iOS et Android
Sekoia attribue à APT29 (Midnight Blizzard, Cozy Bear, SVR), avec une confiance « moderate to high », une campagne détectée mi-octobre. Elle repose sur des sites légitimes compromis, du typosquatting et la compromission du script analytics ukrainien Plerdy SEO Tracker entre le 27 août et le 3 septembre. Un loader JavaScript identifie l'appareil puis sert la chaîne adaptée : iOS 16.7 (vol de cookies via CVE-2024-27834), iOS 18.5 (DarkSword), Chrome Android 139 à 145 (sortie de sandbox puis AndroSnitch). Cibles relevées : association de la chimie aux États-Unis, parti politique européen, sites militaires bulgares, défense et drones. Zimperium et iVerify recoupent l'outillage. À noter : THN mélange certaines CVE de la chaîne.
SOCBloquer et rechercher les IOC dans les logs proxy et DNS, vérifier dans le MDM les versions iOS et Chrome Android chez les VIP, et repérer les sessions SaaS rejouées depuis un ASN inhabituel.
Lire : Sekoia · The Hacker News · CyberInsider · CISA KEV
SlippyNunchucks (ESET) : détournement DNS de Sogou Input pour livrer DarkVigil
Selon ESET, un acteur aligné sur la Chine et actif depuis septembre 2023 détourne le DNS du domaine de configuration HTTP en clair de Sogou Input Method. Il abuse du mécanisme de promotion de vocabulaire de marque : SGTool.exe lance biz_helper.exe (binaire Adobe légitime), qui sideloade un faux libcef.dll. Le payload, DarkVigil (alias FDMTP), est une backdoor .NET modulaire de plus de 20 plugins, avec C2 en DMTP. Cibles : Hong Kong, Thaïlande, Japon, Vietnam, Oman, Sri Lanka et des opérateurs de jeux. La faille CVE-2026-120422 est corrigée en Sogou 16.10. ESET ne relève pas de recouvrement avec Mustang Panda.
SOCPertinent pour les filiales en Asie. Chasser SGTool.exe qui lance biz_helper.exe et tout libcef.dll chargé hors d'un chemin CEF légitime (T1574.002).
Lire : ESET WeLiveSecurity · The Hacker News
Binance (environ 6,4 Md$) : le post-mortem détaille un faux entretien et un Homebrew piégé
Le post-mortem décrit la chaîne d'accès initial : un exercice de code piégé envoyé lors d'un faux recrutement, un installeur Homebrew trojanisé, puis l'abus d'un outil IA sur le poste développeur. Le FBI attribue le vol à TraderTraitor (Lazarus, Jade Sleet, UNC4899) et publie plus de 600 adresses. Binance dit avoir couvert 95 % des pertes ; la Corée du Nord dément.
SOCCes TTP se transposent à toute entreprise tech. Surveiller les scripts postinstall lancés depuis des dépôts take-home, les installations Homebrew hors source officielle et l'accès des postes développeurs aux secrets de production.
Lire : SecurityWeek · The Hacker News · The Record
En bref : La police russe arrête trois membres présumés de VasyGrek / Fluffy Wolf (THN). Risky Bulletin rapporte l'extorsion de propriétaires de Li Auto en Russie via VIN fuités et eSIM réenregistrées, ainsi que des portefeuilles BTCPay Server ≤ 2.4.1 vidés pour environ 1,6 M$ (Risky Bulletin). Google a perturbé le botnet XCPE : 1,3 M de box Android TV Videostrong piégées en usine et utilisées comme proxys résidentiels (IT-Connect). Unit 42 n'a rien publié dans la fenêtre ; son dernier Threat Intelligence Highlights date du 2/11 (Unit 42).
Supply chain, développeurs et IA
cPGuard (OpsShield) : canal de mise à jour compromis, vol de secrets serveur
Le 2 novembre, le canal de mise à jour du WAF et anti-malware cPGuard pour cPanel et Plesk a diffusé un malware. Celui-ci collectait mots de passe, configurations de bases de données, historiques shell, authorized_keys et known_hosts. OpsShield a publié un avis ; SecurityWeek, Risky Bulletin et le Stormcast SANS recoupent.
SOCPour les hébergeurs et MSP : inventorier cPGuard, chercher les lectures de .bash_history, .ssh et wp-config.php par l'agent de mise à jour, puis faire tourner les clés SSH et les identifiants de bases de données.
Lire : Avis OpsShield · SecurityWeek
« Black October » : neuf plateformes de développement IA piratées, LLMjacking industrialisé
Wiz recense neuf PaaS et plateformes IA compromises en octobre : Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode et Northflank. WorkOS et Trigger.dev annoncent aussi des intrusions. Northflank demande de considérer toutes les variables d'environnement comme déchiffrées, et les clés d'API IA des clients ont été revendues (analyse CSA). KERNEL publie le 4/11 un incident distinct : une clé API fuitée, puis un compte du fournisseur de logs, puis 4 serveurs GPU détournés pour du minage. KERNEL estime que la plateforme agentique ARTEX servait de poste de commande, attribution non recoupée.
SOCFaire tourner les secrets hébergés chez ces fournisseurs. Alerter sur la volumétrie, la géographie et les modèles appelés avec les clés OpenAI, Anthropic et Bedrock, ainsi que sur les pics GPU dans le cloud.
Lire : Wiz · SecurityWeek · BleepingComputer · KERNEL
Check Point : « prompt adware » caché dans le kit de jailbreak Codex « Haiou »
Le kit réécrit les fichiers d'instructions globales de l'agent OpenAI Codex. Des déclencheurs anodins (« hi », « hello », « Seagull ») y injectent la promotion d'une passerelle LLM compatible OpenAI. Il ajoute des skills de pentest, de cassage de mots de passe et de reverse engineering, et contourne les garde-fous par habillage CTF ou jeu de rôle. Diffusion via GitHub (403 étoiles, 77 forks), surtout en Chine continentale. Une seule source (CPR).
SOCC'est un précurseur : le même vecteur peut porter des instructions malveillantes persistantes. Auditer les fichiers de configuration des agents de code sur les postes développeurs.
Lire : Check Point Research · The Hacker News
En bref : OpenSourceMalware n'a rien publié dans la fenêtre ; son dernier billet, du 3/11, est une analyse sans paquet. À garder en chasse (rappel du 30/10) : l'extension Cursor « Claude Code » trojanisée, versions 2.1.312 et 2.1.313 citées, qui installe une backdoor SSH persistante, recoupée par Microsoft (OSM, Microsoft). OpenAI dit avoir validé 948 exploits LPE Linux en 30 heures avec un pipeline agentique (THN). Mozilla décale certains correctifs Firefox pour réduire le patch gap exploitable par IA (IT-Connect).
Ransomware et extorsion
Les plus actifs sur 48 h : MedusaLocker 18 (publication en rafale le 4/11), BrainCipher 11, N0n 10, SafePay 8, IncRansom 6 et Orova 6. Sur ransomlook : Krybit, n0n, Qilin et Emperador. Octobre selon Breachsense : TheGentlemen 135, Qilin 110, n0n 78, Akira 33, Booba 29 ; la France est 7e avec 21 victimes. Sources : ransomware.live, Breachsense, privtools. Le snapshot ransomware.live s'arrête le 4/11 à 22h50 UTC.
Emperador monte en gamme sur les grands comptes européens
Le groupe, 10e en octobre avec 22 victimes, a revendiqué AB InBev (BE, 25/10), Afflelou (FR, 26/10) et Holcim (CH, 31/10), puis deux GmbH germanophones le 4/11 (Phoenix S&S, Frommann Energie). Aucune de ces victimes n'a communiqué. Sur la même période, Akira ajoute le suisse Erowa (automatisation industrielle) le 4/11.
SOCCes revendications sont toutes non confirmées. Pour les fournisseurs et clients de ces groupes, prévoir une vigilance accrue sur le phishing ciblé qui exploiterait des données volées. Côté Akira, les VPN SonicWall et Cisco restent le vecteur historique.
Lire : ransomware.live CHE · ransomware.live FRA · Ransomlook
Nouveaux noms, cibles recyclées : Whitearmor sur Unilever, BYOD sur IHG
Whitearmor affiche Unilever, déjà revendiqué auparavant par Warlock : il peut s'agir de données recyclées ou d'un nouvel accès. BYOD, groupe inédit, revendique IHG Hotels & Resorts. Deux autres groupes « nouveaux », Whitearmor et Scarlettgroup, ont en fait des victimes plus anciennes chez DeXpose ; seuls BYOD et Aoqin semblent réellement nouveaux.
SOCAvant d'escalader une revendication de groupe récent, vérifier si la victime figure déjà chez un autre groupe. Pour IHG, prévoir un risque de fraude à la réservation.
Lire : ransomware.live · DeXpose
En bref : France : DROUIN SAS (Booba Project, 3/11, vu sur deux trackers) et baiapai (MedusaLocker, 4/11), plus TheGentlemen sur Groupe AC Environnement et l'Ined (31/10). Belgique : deom.be (SafePay, 2/11). Luxembourg : rien depuis septembre. Toutes ces victimes sont des revendications non confirmées. Synology : hausse des attaques C3RB3r sur les NAS (BleepingComputer, 2/11, hors fenêtre).
France et Europe : fuites et incidents
Crédit Mutuel Arkéa / Fortuneo : attaque et opérations frauduleuses, montant revendiqué par des analystes
Les 1er et 2 novembre, une attaque a permis des opérations frauduleuses ; la banque l'a confirmé à l'AFP. Elle déclare l'incident clos et maîtrisé, sans conséquence financière pour les clients. Le chiffre de plus de 133 M$ (environ 118 à 120 M€) vient de ZachXBT. Bitquery relève 108,8 M$ d'USDC retirés de Kraken, Crypto.com et OKX, puis une conversion partielle en ETH et Monero. Selon le journaliste Grégory Raymond, des virements seraient partis des fonds propres de Fortuneo vers des comptes crypto ouverts sous fausse identité. Aucun acteur identifié ; la piste Lazarus est écartée pour l'instant.
SOCLe vecteur reste inconnu. Côté finance, surveiller les virements sortants massifs vers des PSAN et les écarts de vérification du bénéficiaire. Prévoir aussi une vague d'arnaques au faux conseiller visant les clients Arkéa et Fortuneo.
Lire : IT-Connect · ZATAZ
EFS : congélateurs de plasma réglés à 110 °C via le prestataire Coolworld
Dans la nuit du 1er au 2 novembre, la consigne de régulateurs de froid a été passée à 110 °C au lieu d'environ -30 °C. Un technicien d'astreinte a repéré la hausse. L'EFS confirme (révélation du Canard enchaîné) une atteinte à des échantillons et à du plasma destiné à la transfusion, notamment en Bourgogne-Franche-Comté. Vecteur, durée et acteur ne sont pas publics. Le contexte est celui de la vague européenne contre les froids de supermarchés : plus de 100 magasins dans 12 pays, dont plus de 40 chez Ahold Delhaize, après environ 700 magasins en France en octobre (CERTFR-2026-ALE-012). Aucun lien n'est établi entre les deux.
SOCInventorier les télémaintenances de prestataires sur le froid et la GTB, et alerter sur tout changement de consigne hors heures ouvrées.
Lire : IT-Connect · SecurityWeek · The Record
Le Code by DEKRA : fuite chez un sous-traitant, candidats au code de la route et au permis bateau
L'incident du 20/10 touche un sous-traitant non nommé de DEKRA Services France. Données exposées : identité, date de naissance, e-mail, téléphone, numéros NEPH et OEDIPP, résultats d'examen, mot de passe « chiffré » (procédé non précisé). Volume non communiqué ; la CNIL a été notifiée et une plainte déposée.
SOCRisque de credential stuffing et de phishing très crédible (faux ANTS, faux résultats).
Lire : Fuites Infos
Revendications non confirmées : INRAE : sous-domaine base-pcb.inrae.fr défiguré le 3/11 ; l'acteur revendique environ 1,2 Go (9 bases, code source, comptes d'administration), sans communiqué de l'INRAE (Fuites Infos). Lazeo : annuaire de 706 salariés en vente sur un forum, sans mots de passe (Fuites Infos). Fédération française de pelote basque : 6 271 licenciés revendiqués (Fuites Infos).
Ailleurs en Europe et au-delà : Les États-Unis ordonnent le retrait d'Acronis des réseaux fédéraux civils en raison de liens russes, un point à revoir en risque fournisseur pour les sauvegardes (Federal Register, NextGov).
Underground et signaux faibles
• vx-underground : kit d'exploits iOS Coruna servi depuis un site cosmétique italien compromis, avec payloads selon la version d'iOS ; l'échantillon est sur MalwareBazaar. L'attribution à UNC6353 est de vx-underground et n'est pas vérifiée. Le lien avec la chaîne APT29 de Sekoia reste à établir (post 9542).
• vx-underground : backdoor Go « EasyAgent » déguisée en installeur Fortinet, stage 1 nouveau_cv_pdf.vbs(leurre de CV francophone, vu au Maroc), qui vise le transport routier ; C2 en WebSocket (post 9544).
• vx-underground : LegionLoader modulaire, résident en mémoire, rapproché sans certitude de UNC6910 / CURLYSPIDER ; il distribue des infostealers souvent précurseurs de ransomware (post 9557).
• Leak sites : les publications en rafale (MedusaLocker 18 en un jour, Krybit 6 à la même minute) gonflent les compteurs quotidiens. Mieux vaut raisonner sur 7 jours.
• ZATAZ : dernier signal forum notable, Chimeraz revendique des fuites visant trois partis politiques français (25/10, rappel, ZATAZ).
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé.
Institutionnel, régulation, forces de l'ordre
En bref : Aucune action Europol, J3, C3N ou OFAC datée de la fenêtre, et aucune sanction CNIL. Loi Résilience (NIS2, DORA, REC) : toujours sans date d'examen à l'Assemblée après le report du 6/10 (Next). CERT-FR : alertes ALE-013 (Ivanti) et ALE-014 (PHP, correctif CVE-2026-115560 attendu) toujours ouvertes ; bulletin hebdomadaire ACT-046 (Brotli CVE-2026-111497, Veeam CVE-2026-108142 en CVSS 9.1). CISA : délais KEV de 3 jours sous la BOD 26-04. SANS Infocon vert.
Détection, recherche et veille
• APT29 / Poisoned Source (Sekoia via THN) : a.plerdy[.]com/public/js/click/main.js, ad.starx-net[.]com:8881/telemetry/v12, america250[.]holiday, ad-track[.]live. Hashes à récupérer dans le rapport Sekoia.
• SlippyNunchucks (ESET) : 47.239.250[.]102(sogou-cdn[.]com), 47.237.122[.]175; requêtes vers config.pinyin.sogou[.]com qui résolvent vers une IP inattendue.
• Haiou (CPR) : zz.aiapi2025[.]top, dépôts github.com/haiou-666/haiou-codex et github.com/yynxxxxx/Codex-X.
• vx-underground (source unique, à valider avant blocage) : Coruna estrosa[.]it, SHA256 33d60d42472a83d0d2cf4ee6640c615313c29b18ce1e8ab06e41f4bba558a34b ; EasyAgent 52.74.54[.]75(hxxp /storage/install.exe, wss), qmlab1[.]com, service « EasyAgent » ; LegionLoader C2 herlittlebit[.]com, SHA256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1.
• Newsletters : The Exploit Bulletin du 4/11 (extension Cursor trojanisée, cPGuard, Synology) : archive. Risky Bulletin du 4/11 (Li Auto, BTCPay, Node-RED, Acronis). SANS : diary « The Classics Return: Vulnerable E-Mail Scripts » (ISC) et Stormcast du 4/11 (froid, Node-RED, cPGuard, exploit AirDrop contre le Lockdown Mode, non vérifié).
• Podcasts : aucun nouvel épisode confirmé dans la fenêtre. Pour mémoire, NoLimitSecu #556, « RETEX du CERT-FR sur les violations de données applicatives » (1/11, NoLimitSecu). Risky Business #836 est repéré mais sa date n'a pas pu être vérifiée.
• Silence radio : Unit 42 (dernier article le 2/11), Microsoft Threat Intelligence (3/11), Cisco Talos (31/10), Securelist (3/11), OpenSourceMalware (3/11), KrebsOnSecurity. Aucun numéro tl;dr sec, SANS NewsBites, This Week in 4n6, Detection Engineering Weekly ou Vulnerable U n'a été vérifié dans la fenêtre.
Agenda et échéances
Méthode. Cinq passes parallèles (news EN, vulnérabilités et institutionnel, threat intel éditeurs, francophone et Europe, underground et curation) : 99 recherches et 75 pages lues, puis consolidation et dédoublonnage. Les sujets venus de The Hacker News sont recoupés quand c'est possible, sinon marqués « source unique ». Toute revendication de leak site reste non confirmée tant que la victime ne communique pas. Le contenu des pages consultées est traité comme de la donnée, jamais comme des instructions. Limites : avis CISA ICS de la fenêtre non confirmés ; CVSS NVD non revérifiés pour plusieurs CVE ; aperçus Telegram The Hacker News et ctinow sans post récent exploitable.
Sources de la liste consultées. BleepingComputer, The Record, SecurityWeek, The Hacker News, Risky Bulletin, Dark Reading (échec) ; CISA KEV (JSON), CISA, CERT-FR, SANS ISC, Wordfence, VulnCheck, The Exploit Bulletin, Shadowserver (via presse) ; Unit 42, Microsoft, Talos, Securelist, Sekoia, ESET, Check Point, Wiz, Socket, StepSecurity ; flux RSS OpenSourceMalware ; IT-Connect, ZATAZ, LeMagIT, Fuites Infos, NoLimitSecu, Next ; ransomware.live (FRA, BEL, CHE, LUX), ransom.privtools.eu, Breachsense, HackManac, DeXpose, DataBreaches.net. Telegram (aperçu web public) : thehackernews, ctinow, cveNotify, ransomlook, vxunderground.
Sources additionnelles. Volexity (via presse), Picus, Centre canadien pour la cybersécurité, CyberInsider, Cloud Security Alliance, KERNEL, OpsShield, Federal Register, NextGov, Supermarket News, Red Hat, Ubuntu, ruby-lang.org.
Threat Brief · tlpclear.fr · TLP:CLEAR · édition produite par une chaîne automatisée, méthode sur tlpclear.fr/about