Trois sujets à traiter aujourd'hui : un contournement d'authentification OpenSSH trivial sur Linux musl (Alpine) avec alerte CERT-FR, un zero-day Zyxel GS1900 exploité à grande échelle malgré un correctif annoncé, et la chaîne Ivanti Connect Secure toujours exploitée avec une échéance KEV dépassée. Côté cloud, Microsoft documente des agents IA offensifs qui passent d'un secret GitHub à l'exfiltration Key Vault en cinq minutes. Pas de vulnérabilité massivement exploitée sur un parc universel ce matin, d'où Élevée et non Critique.
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
ÉLEVÉOpenSSH 10.6p2 (CVE-2026-123158, CVSS 8.1). Sur Linux musl sans PAM, un mot de passe de 257 à 1 024 octets ouvre une session sur un compte verrouillé (« * »). Alpine corrige de 3.16 à 3.24 avec des numéros de version trompeurs ; alerte CERTFR-2026-ALE-015.
CRITIQUEZyxel GS1900 : le patch de juin ne bloquait rien. Binarly montre que l'exploit attribué à CVE-2026-7273 vise en réalité un zero-day, CVE-2026-107441 ; environ 1 000 switchs compromis dans 48 pays par un acteur sinophone. Correctif : V2.90 Patch 3.
ÉLEVÉAgents IA offensifs contre Entra ID et Azure. Microsoft Threat Intelligence décrit la récolte automatisée de secrets sur GitHub puis l'abus de service principals (ARM, Key Vault, Graph, DevOps), avec IOC et requêtes KQL publiées.
CRITIQUEIvanti Connect Secure : rappel. Chaîne de trois CVE exploitée par UTA0576 sans web shell, avec falsification des logs ; seules 25.1.1.3 et 22.8R2.6 corrigent. Échéance KEV de CVE-2026-111357 dépassée depuis le 2 novembre.
ÉLEVÉFrance : EFS et Crédit Mutuel Arkéa. Consignes de froid modifiées sur trois sites de l'EFS via la supervision d'un prestataire, dans la vague de sabotage des installations frigorifiques européennes ; fraude d'environ 118 M EUR chez Arkéa via la plateforme d'un tiers, enquête du parquet de Paris.
Radar SecOps : actions du jour
PATCHEROpenSSH 10.6p2 ou paquets Alpine corrigés puis redémarrage de sshd (CERTFR-2026-AVI-1468) ; Zyxel GS1900 V2.90 Patch 3 ; Ivanti ICS 25.1.1.3 / 22.8R2.6 (CERTFR-2026-ALE-013) ; WordPress 7.1.4 et branches maintenues ; PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 ; Cisco UCS Central 2.1(2c) (CERTFR-2026-AVI-1467) ; isoler ou décommissionner SonicWall GMS (EOL, pas de correctif) ; avis CERT-FR du 5/11 : Edge, SPIP, Siemens, OpenOffice, MongoDB.
CHASSER« Accepted password » sur des comptes au mot de passe « * » (hôtes Alpine) ; requêtes HTTP internes vers /cgi-bin/dispatcher.cgi des switchs et flux sortants depuis les VLAN de management ; header X-DSCGI-PATH anormal et LDAP du compte de service ICS vers LAPS / BitLocker ; une IP qui s'authentifie sur 3 service principals ou plus, AADSTS7000215 suivi d'un succès, IP 199.19.77[.]84 ; processus ssh -R persistant et clé « svc-telemetry » dans authorized_keys sur postes dev Cursor ; domaines america250[.]holiday et ad-track[.]live dans les logs proxy mobiles.
ÉCHÉANCESAujourd'hui 6/11 : KEV WordPress CVE-2026-119977 ; 10/11 : Patch Tuesday et fin de vie de .NET 8 / .NET 9 ; 12/11 : fin de vie PostgreSQL 14 ; 13/11 : KEV Ivanti CVE-2026-118527 ; 18/11 : KEV Apple CVE-2024-27834 ; 2/12 : blocage par défaut de pull_request_target sur GitHub.
Vulnérabilités et exploitation active
OpenSSH « sshole » : contournement d'authentification par mot de passe sur Linux musl (CVE-2026-123158)
Sans PAM, sshd compare la sortie de crypt() au hash stocké ; avec musl, crypt() renvoie « * » dès que l'entrée dépasse 256 octets, soit exactement la valeur des comptes sans mot de passe. Un mot de passe de 257 à 1 024 octets ouvre donc la session sur un compte « * » en une seule tentative, à condition que PasswordAuthentication soit actif (défaut) et qu'un autre compte local porte un hash $5$ ou $6$. Sont touchés OpenSSH antérieur à 10.6p2 sur Linux musl sans PAM (Alpine avec openssh-server par défaut) ; glibc et PAM ne sont pas concernés selon le projet. CVSS 8.1 (CNA) ; pas d'exploitation ni de PoC public relevés, mais le CERT-FR la qualifie de triviale. Alpine publie des paquets corrigés de 3.16 à 3.24 sous d'anciens numéros (10.3_p1-r2 sur 3.24) : le banner ne prouve rien.
SOCInventorier conteneurs, appliances et images Alpine avec sshd joignable ; en XQL, alerter sur toute authentification par mot de passe réussie vers un compte de service ou verrouillé. Contournement immédiat : PasswordAuthentication no.
Lire : CERT-FR ALE-015 · OpenSSH 10.6p2 · Check Point · The Hacker News
Zyxel GS1900 : zero-day CVE-2026-107441 exploité, le correctif de CVE-2026-7273 était inopérant
Binarly montre que l'exploit attribué à CVE-2026-7273 (au KEV depuis le 21 septembre) fonctionne sur les dix firmwares censés le corriger : il exploite en fait un out-of-bounds write distinct dans le CGI web, CVE-2026-107441 (CVSS 8.8, AV:A), qui donne une exécution de commandes non authentifiée depuis le réseau adjacent. Sont vulnérables les builds 2.90 Patch 2 et antérieures sur dix modèles GS1900 ; le correctif est la V2.90 Patch 3. Environ 1 000 équipements compromis dans 48 pays, avec vol des configurations et des hashes root ; malwares Jitterly et Sixzut, attribution à un acteur sinophone par Binarly et GreyNoise. L'exploit Python obfusqué PyArmor serait généré par LLM. Pas encore au KEV.
SOCNe pas se fier au numéro de version : vérifier Patch 3, puis chasser les requêtes vers dispatcher.cgi issues des VLAN utilisateurs et toute session sortante initiée par un sous-réseau de management (NGFW). Rotation des credentials des switchs.
Lire : SecurityWeek · Help Net Security · The Hacker News
Rappel : Ivanti Connect Secure, chaîne de trois CVE exploitée par UTA0576
CVE-2026-104935 (auth bypass), CVE-2026-111357 (abus de la confiance du broker dsinvoked envers DSCache, root ; 7.0 à 8.8 selon la source) et CVE-2026-118527 (upload à emplacement prévisible, 4.3) donnent une exécution root non authentifiée. Les versions 25.1.1.2 et 22.8R2.5, qui ne corrigeaient que la première, restent exposées ; seules 25.1.1.3 et 22.8R2.6 ferment la chaîne, la ligne 25.1.2 restant floue. Exploitation depuis début octobre (Volexity, Defused) : l'acteur ré-exploite à chaque commande, sans web shell, falsifie les logs et échappe à l'Integrity Checker Tool. Plus de 5 000 ICS exposés selon Shadowserver.
SOCChercher les pics vers /dana-na/auth/url_default/welcome.cgi, un X-DSCGI-PATH pointant vers /home/runtime/tmp/ et des requêtes LDAP du compte de service vers LAPS, BitLocker ou userPassword. Collecter mémoire et logs forwardés depuis le 3 octobre, puis rotation des secrets.
Lire : BleepingComputer · CERT-FR ALE-013
WordPress Core CVE-2026-119977 : RCE pendant la fenêtre de mise à jour, échéance KEV aujourd'hui
Race condition TOCTOU sur des chemins de staging prévisibles et accessibles par le web pendant les mises à jour complètes du core, de 4.7.0 à 7.1.3 (CVSS 8.1 selon Wordfence, « Low » selon l'avis du projet). Corrigé en 7.1.4 et rétroporté jusqu'à 4.7.39 ; 4.6 et antérieures ne sont plus maintenues. Wordfence a bloqué plus de 20 000 tentatives en 24 h au 3 novembre, sans compromission confirmée. Ajoutée au KEV le 3 novembre avec échéance au 6.
SOCCorréler les requêtes vers les fichiers de staging avec les horaires de mise à jour, puis chercher PHP inattendus, nouveaux admins et sorties réseau anormales ; vérifier avec wp core verify-checksums.
Lire : AICybr
Cisco, WatchGuard, SonicWall : correctifs du 5 novembre et GMS abandonné
Cisco corrige CVE-2026-76506 (path traversal authentifié menant à une RCE dans UCS Central, CVSS 7.6, corrigé en 2.1(2c)) et publie un bulletin Node.js qui rattache la faille Brotli CVE-2026-111497, exploitée et au KEV, à 19 produits dont Duo Network Gateway, Duo Authentication Proxy et Catalyst Center ; plusieurs correctifs n'arrivent qu'en novembre ou plus tard. WatchGuard corrige un use-after-free noyau IPv4 (CVE-2026-98432, CVSS 9.8, Dimension encore sans patch) et trois CVE critiques dans AuthPoint Authentication Gateway. SonicWall ne corrigera pas CVE-2026-109593 (lecture de fichiers non authentifiée) ni CVE-2026-109594 (SQLi) dans GMS, en fin de vie depuis octobre 2025.
SOCLes composants Duo sont dans le chemin d'authentification : suivre les dates de correctif et surveiller les accès admin. Tout GMS encore en service doit être isolé.
Lire : SecurityWeek · CERT-FR AVI-1467 · Cisco UCS Central · IT-Connect (GMS)
CISA KEV : ajouts des 7 derniers jours (catalogue 2026.11.04)
| CVE | Produit | CVSS | Ajout | Due | Note |
|---|---|---|---|---|---|
| CVE-2024-27834 | Apple, multiples produits (PAC bypass) | 5.5 | 04/11 | 18/11 | Brique de la chaîne iOS APT29 / DarkSword |
| CVE-2026-119977 | WordPress Core (TOCTOU, RCE) | 8.1 | 03/11 | 06/11 | Échéance aujourd'hui |
| CVE-2026-118527 | Ivanti Connect Secure (upload) | 4.3 | 30/10 | 13/11 | Chaîne UTA0576 |
| CVE-2026-111357 | Ivanti Connect Secure (root) | 7.0 / 8.8 | 30/10 | 02/11 | Échéance dépassée |
Aucun ajout daté du 5 novembre à 07h12. Mention ransomware : « Unknown » pour les quatre. CVSS issus des enregistrements CVE (CNA ou CISA-ADP). Rappels : PHP2Shell CVE-2026-109618 / 109619 (26/10), Brotli CVE-2026-111497 (27/10), GitLab CVE-2026-97229 et Cisco ASA/FTD CVE-2026-76418 (29/10).
En bref. Avis CERT-FR du 5/11 : AVI-1462 MongoDB, AVI-1463 OpenOffice, AVI-1464 Siemens, AVI-1465 SPIP, AVI-1466 Edge. APT Debian/Ubuntu CVE-2026-109518, remplacement d'un paquet vérifié exécuté en root (IT-Connect). IBM DataPower Gateway : lot de CVE heap overflow et contournements d'authentification (CVE-2026-14269, -14888, -14999, -14502) repéré sur cveNotify, non recoupé avec le bulletin IBM, source unique.
Campagnes et threat actors
Microsoft : des agents IA offensifs passent d'un secret GitHub à Key Vault en cinq minutes
Depuis août, des agents lancent des recherches GitHub massives combinant nom d'organisation, mots-clés de secrets et fournisseurs cloud ou IA ; depuis le 28 octobre, ils utilisent les credentials OAuth ou service principal fuités pour se connecter à des tenants Entra ID, y compris via une app multitenant compromise chez un éditeur. Énumération ARM, Key Vault, Storage, AKS, App Service, Graph, SharePoint et messagerie ; persistance et latéral via Azure Run Command, recherche de secrets dans Azure DevOps. Les agents corrigent seuls les appels ARM en échec en changeant d'api-version en moins de 80 secondes et priorisent les clés de fournisseurs IA et les apps ayant accès à Foundry. Outillage : Nmap, curl, Python, Playwright headless ; le post renvoie au framework ARTEX sans attribution ferme à STORM-0940.
SOCPour un client XSIAM qui ingère Entra ID et Azure : corréler une IP sur 3 service principals ou plus, une app demandant des tokens ARM, Key Vault, Storage et Graph en rafale, et AADSTS7000215 / 7000222 suivi d'un succès. IOC : 199.19.77[.]84, 199.19.77[.]18, 65.87.223[.]26, 157.22.126[.]128.
APT29 « Poisoned Source » : watering holes et supply chain Plerdy vers des chaînes N-day iOS et Android
Sekoia décrit des sites légitimes compromis (gazier ukrainien, site militaire bulgare) et des domaines AiTM (faux America250), plus la compromission du script Plerdy SEO Tracker du 27 août au 3 septembre, qui a exposé des centaines de sites militaires ukrainiens. Un loader JS fingerprinte le visiteur puis sert une chaîne adaptée : iOS 16.7 et 18.5 via le kit DarkSword (dont CVE-2024-27834, ajoutée au KEV le 4 novembre), Android Chrome 139 à 145 via CVE-2026-3910 et CVE-2025-27038 (Qualcomm), avec le stealer AndroSnitch. L'attribution à APT29 / Midnight Blizzard est celle de Sekoia ; Zimperium et iVerify documentent les mêmes kits.
SOCChasser america250[.]holiday, ad.starx-net[.]com, ad-track[.]live et a.plerdy[.]com/public/js/click/main.js dans les logs DNS et URL Filtering, surtout depuis les mobiles VIP et défense ; vérifier les niveaux iOS et Chrome Android en MDM.
Lire : Sekoia · SecurityWeek · The Hacker News
Phishing bancaire : plus de 200 sites affichent une fausse page « suspended » aux analystes
Le cloaking sert le contenu de phishing aux premiers visiteurs, puis une fausse page d'hébergement suspendu aux visites suivantes, dont celles des crawlers et des analystes, ce qui fait échouer les vérifications de takedown. Une source unique pour l'instant.
SOCNe pas clore un incident sur la foi d'un re-scan d'URL : s'appuyer sur le premier verdict sandbox et la télémétrie proxy des utilisateurs.
Lire : SecurityWeek
En bref. Trois inculpés aux États-Unis pour 129 M$ de fraude par deepfakes de dirigeants et d'avocats (SecurityWeek). Microsoft publie son email threat landscape Q3 2026 (Microsoft). Norvège : le portail de subventions de Norad compromis, base utilisateurs potentiellement exposée (Help Net Security). Unit 42 : pas de publication sur la fenêtre, dernier Threat Brief sur PHP2Shell.
Supply chain, développeurs et IA
Extension Claude Code trojanisée dans le miroir Open VSX de Cursor : backdoor SSH persistante (rappel, podcast OSM du jour)
Un loader d'environ 66 lignes ajouté en tête de extension.js de anthropic.claude-code (2.1.313, et 2.1.312 selon l'avis Cursor), distribuée par le miroir propre à Cursor ; VS Code Marketplace, Open VSX public et npm ne sont pas touchés. Le loader collecte les noms des variables d'environnement liées aux credentials, ajoute une clé Ed25519 « svc-telemetry » à authorized_keys, active SSH et ouvre un tunnel inverse vers 134.209.82[.]225 (ports 22 et 8099), avec persistance LaunchAgent com.apple.sysmond, cron @reboot ou tâche SysMon. L'infection passait surtout par l'auto-update. Recoupé par Socket et l'avis Cursor ; article OSM du 30 octobre.
SOCSur postes dev : ssh ou autossh longue durée avec -R *:0:localhost:22, chaîne svc-telemetry dans authorized_keys, fichiers ~/.config/.smt*, flux vers l'IP C2. Hôte touché : isoler, rotation des secrets, reconstruction.
Lire : OpenSourceMalware · Socket · OSM Show #28
ARTEX : image Docker backdoorée d'un framework de pentest IA et acteur « Crafty Falcon » selon le CERT-In
Le CERT-In signale un acteur assisté par IA ciblant le secteur BFSI avec des outils offensifs IA open source ; une image Docker backdoorée du framework ARTEX expose 62 consoles en root. BleepingComputer titre en parallèle sur l'usage d'ARTEX par des acteurs chinois contre plus de 200 organisations dans 14 pays, et Microsoft relie ses observations Entra ID à ce même framework. Source principale unique (THN), corroboration partielle.
SOCContrôler la provenance des images d'outillage red team et IA dans les registries internes et rechercher des consoles ARTEX exposées.
Lire : The Hacker News
En bref. OpenAI : une pipeline IA a produit 948 LPE Linux fonctionnelles sur 2 308 findings noyau en un run de 30 heures (SecurityWeek, Help Net Security) : s'attendre à une vague de correctifs noyau. Contournement corrigé du Lockdown Mode de ChatGPT permettant l'exfiltration de chats sans interaction (THN, source unique). GitHub bloquera par défaut pull_request_target le 2 décembre (Socket). PolinRider : infection npm la plus ancienne connue remontée à mai 2025, tasks.json « runOn: folderOpen » à chasser (OSM, source unique).
Ransomware et extorsion
Les plus actifs sur 48 h : The Gentlemen (25 le 5/11), MedusaLocker (18 le 4/11, lot de noms tronqués évoquant un dump), BrainCipher (11), Safepay (8), N0n (7, dont Delta Dental of Missouri et The Container Store), Akira (4). Octobre : N0n 154, The Gentlemen 143, Qilin 140.
The Gentlemen en rafale sur l'Europe
Sur la seule journée du 5 novembre, le groupe revendique notamment Logsytech Group (France, vu sur privtools uniquement), Labatec et HighTec (Suisse), Grupo Lorrio (Espagne), Mitsubishi Motors Ukraine, quatre entités allemandes et cinq britanniques (dont KABS Pharmaceutical Services). Aucune victime n'a communiqué. Akira revendique Erowa (Suisse, industrie) et Safepay titres-services.net (Belgique). Sur octobre, le groupe est deuxième derrière N0n.
SOCRevendications de leak site, non confirmées : utiles pour l'évaluation du risque tiers, pas pour conclure à une compromission.
Lire : ransomware.live · ransom.privtools.eu · Tech Insider (octobre)
En bref. France sur ransomware.live : 716 victimes cumulées, dernière entrée DROUIN SAS (Booba Project, 3/11). Emperador revendique Frommann Energie GmbH ; Qilin Castle Howard Estate (Ransomlook). DataBreaches.net : Everest revendique plus de 460 Go chez Gramercy Surgery Center (non daté sur la page lue).
France et Europe : fuites et incidents
EFS : consignes de froid modifiées sur trois sites via la supervision d'un prestataire
L'Établissement français du sang a confirmé le 3 novembre que des consignes de température et de dégivrage de chambres froides ont été modifiées sur trois sites, via le système de supervision et de pilotage d'un prestataire frigorifique et non le SI central. Alarmes déclenchées, produits transférés, aucun produit altéré ni donnée volée selon l'EFS ; acteur non identifié. ZATAZ rapproche l'incident de la vague de sabotage des installations frigorifiques européennes sans affirmer un auteur commun ; le CERT-FR a ouvert l'alerte CERTFR-2026-ALE-012 sur ces contrôleurs dès octobre.
SOCInventorier les superviseurs de froid et GTB exposés et les accès de télémaintenance tiers ; alerter sur toute modification de consigne de dégivrage hors fenêtre de maintenance.
Lire : ZATAZ · SecurityWeek · CERT-FR ALE-012
Crédit Mutuel Arkéa : environ 118 M EUR détournés via la plateforme d'un prestataire
Arkéa (CMB, CMSO, Fortuneo) a confirmé le 4 novembre au soir une attaque « circonscrite » et suspendu des virements. Selon Incyber, la plateforme d'un prestataire a servi à accéder au compte de la banque, puis des virements sont partis vers d'autres établissements avant conversion en crypto ; Kraken et Crypto.com auraient bloqué des comptes. Le montant, estimé par ZachXBT, n'est pas chiffré par la banque, qui en valide l'ordre de grandeur. Plainte déposée, enquête du parquet de Paris ; aucune attribution.
SOCChez les clients finance : revue des accès prestataires aux canaux de paiement, seuils d'alerte sur les flux sortants vers des PSAN et MFA sur les comptes de service.
Lire : Incyber · Le Monde Informatique · ZATAZ
Rassemblement national : fuite de données d'adhérents depuis un outil de gestion
Le RN a confirmé le 4 novembre une fuite issue de son outil de gestion des adhésions, signalée à la CNIL avec plainte au parquet de Paris. L'acteur « shin0bi » revendique 432 597 enregistrements et a publié 150 000 lignes (121 580 distinctes) : noms, emails, téléphones, adresses, professions, cotisations ; ni données bancaires ni mots de passe selon le parti. Le volume reste une revendication, et l'affaire suit d'autres revendications visant des partis français (Chimeraz, 25 octobre).
SOCDonnées révélant des opinions politiques (article 9 RGPD) : risque élevé de phishing ciblé et de doxxing sur des agents publics ou salariés concernés.
Lire : Cyberattaque.org · ZATAZ (contexte)
En bref. Effet Maileva (Docaposte) : Inovie confirme une fuite de données de patients, Flandre Opale Habitat évoque dix ans de données de locataires (Cyberattaque.org, Fuites Infos). Novabio confirme deux incidents avec fuite de données de santé (Cyberattaque.org). Revendications non confirmées : FFTT (1,6 M), Bureau Vallée (4,8 M, deux incidents confirmés), Forum Pompier (65 694 comptes, MD5) (Fuites Infos). Grand Paris Grand Est notifie des habitants ; Illicado confirme une fraude sur cartes cadeaux.
En bref. Ailleurs en Europe et au-delà. Sabotage des installations frigorifiques de supermarchés dans plus de dix pays depuis le 1er novembre (Belgique, Suède, Pays-Bas, Allemagne, Luxembourg, Italie), par cycles de dégivrage déclenchés à distance ; enquête du parquet fédéral belge (IT-Connect, Paperjam).
Underground et signaux faibles
▸ vx-underground, EasyAgent : faux installeur Fortinet ciblant la Corée du Sud et VBS à leurre CV en français (nouveau_cv_pdf.vbs, vu au Maroc), agent Go installé en service « EasyAgent », C2 WebSocket vers 52.74.54[.]75 (post 9544, 9546). Date exacte non déterminée.
▸ vx-underground, Coruna : kit d'exploits iOS trouvé sur le site d'un cosméticien italien, attribution à UNC6353 revendiquée par le post, échantillon sur MalwareBazaar (post 9541).
▸ vx-underground, LegionLoader : module entièrement en mémoire, C2 de dispatch herlittlebit[.]com, rapprochement possible avec UNC6910 selon l'auteur (post 9558).
▸ Suite Numérique de l'État : une revendication de 18 M d'enregistrements circule ; Info.fr la juge recyclée de données ANTS (Info.fr). À ne pas relayer sans recoupement.
▸ RMM : phishing poussant l'installation de Zoho Assist sur un poste étudiant, schéma classique d'abus d'outil légitime (post 9547).
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé.
Institutionnel, régulation, forces de l'ordre
En bref. CNIL : recommandation du 5 novembre sur les outils de session replay (CNIL), dernière sanction Fnac Darty, 7 M EUR (29/10). Loi résilience (NIS2, DORA, REC) : toujours sans date de séance publique, l'article 16 bis sur le chiffrement restant le point bloquant (Next). Pas d'opération Europol ni d'annonce J3 / OFAC relevée sur la fenêtre. Apple contrôlera les liens iCloud publics à partir des versions 27.3 (Help Net Security).
Détection, recherche et veille
▸ Microsoft (Entra ID / Azure) : requêtes KQL sur EntraIdSpnSignInEvents, GraphAPIAuditEvents, CloudAppEvents, CloudAuditEvents et CloudStorageAggregatedEvents, filtre IP à partir du 28/10 ; à transposer en XQL sur les datasets Azure.
▸ OpenSourceMalware / Socket (Claude Code Cursor) : SHA-256 extension.js ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15 ; empreinte de clé SSH SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk ; C2 hxxp://134.209.82[.]225:8099/beacon.
▸ vx-underground : Coruna SHA-256 33d60d42472a83d0d2cf4ee6640c615313c29b18ce1e8ab06e41f4bba558a34b ; LegionLoader SHA-256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1 ; EasyAgent hxxp://52.74.54[.]75/storage/install.exe et qmlab1[.]com (origine : canal Telegram, non recoupé).
▸ Sekoia (APT29) : america250[.]holiday, ad.starx-net[.]com:8881/telemetry/v12, ad-track[.]live ; plus de 600 domaines DeadTag et Coruna référencés dans les rapports.
▸ CISA : règle Sigma PHP2Shell du 23/10 toujours d'actualité ; mitigation CVE-2026-115560 non corrigée : session.upload_progress.enabled=0.
▸ Podcasts : The OpenSourceMalware Show #28 (6/11 : Claude Code dans Cursor, Binance et DPRK, Polymarket via DebugBear, PolinRider) épisode. NoLimitSecu #556 « RETEX du CERT-FR sur les violations de données applicatives » (1/11, hors fenêtre) épisode.
▸ Silence radio sur la fenêtre : Unit 42, GTIG / Mandiant, Talos, Securelist, Risky Bulletin (seul « Srsly Risky Biz » le 5/11), SANS NewsBites (dernier le 3/11), tl;dr sec, This Week in 4n6, Detection Engineering Weekly, Risky Business, Darknet Diaries, Smashing Security, Le Comptoir Sécu ; Cyberhebdo LeMagIT non paru à 07h20. SANS ISC Infocon vert.