Anas SahelIdentité & sécurité
— Veille menaces

Ce qui se passe en sécurité

143 suivis 19 critiques en cours Dernière mise à jour 15 nov. 2026

Novembre 2026

99Incidents
11Critique
42Élevée
Par famille
  • Identité 13
  • Chaîne d’approvisionnement 23
  • Vulnérabilités 28
  • Fuites & extorsion 35

De retour dans l'actualité cette semaine

99incidents

Vu leIncidentFamilleGravitéStatut
Université du Texas à Arlington : des données personnelles volées lors d'une intrusion en octobre, le portail de formulaires toujours coupéL'Université du Texas à Arlington, qui compte plus de 41 000 étudiants, a prévenu ses étudiants et ses employés que des informations personnelles ont été volées par des pirates entrés dans ses systèmes en octobre 2026. Un porte-parole a indiqué à The Record que l'enquête a confirmé le vol de données, sans vouloir dire lesquelles. L'université a coupé MachForms, le portail en ligne qu'elle utilise pour les inscriptions à des événements, les demandes de service et les enquêtes, toujours hors ligne. Le gang de rançongiciel Qilin a revendiqué l'attaque ; l'université n'a pas confirmé cette revendication.SecteurÉducationPoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Baker Tilly : des données de clients, numéros de sécurité sociale compris, volées sur la plateforme d'un prestataireBaker Tilly Advisory Group, cabinet américain d'expertise comptable et de conseil, prévient ses clients et leurs ayants droit, enfants compris, qu'un acteur non autorisé a obtenu des données de clients sur une plateforme exploitée par l'un de ses prestataires. Il a eu connaissance de l'incident le 6 septembre 2026 et a terminé l'examen des données touchées le 28 octobre. Selon SecurityWeek, des numéros de sécurité sociale ont été volés et les déclarations aux États font état de plus de 10 000 victimes rien qu'au Texas.SecteurFinancePoint d'entréeFournisseurProduit ou fournisseurBaker Tilly10 000+ victimes rien qu'au Texas, selon les déclarations aux États citées par SecurityWeek (aucun total national publié)Chaîne d’approvisionnementÉlevéeConfirmé
Université Charles : un attaquant télécharge des données du système central d'information des étudiantsL'université Charles de Prague indique qu'une de ses applications web a été compromise, ce qui a donné un accès non autorisé aux données de son système central d'information des étudiants (SIS). L'enquête technique confirme à ce stade que l'attaquant a obtenu et téléchargé une partie des données du SIS, dont des données personnelles. L'application a été mise hors ligne, l'incident signalé à l'agence nationale de cybersécurité NÚKIB et une plainte déposée. Le nombre de personnes concernées fait encore l'objet de l'enquête.SecteurÉducationPoint d'entréePas encore publicFuites & extorsionÉlevéeConfirmé
Passerelles Check Point : PHP2Shell pour entrer, root, puis un effaceur de données chez des organisations israéliennesCheck Point Research indique que des attaquants sont entrés dans des portails Check Point Mobile Access grâce à PHP2Shell, deux failles critiques de PHP, à partir du 30 octobre 2026, environ une semaine après la sortie d'un correctif. Ils ont ensuite utilisé une faille de Check Point (CVE-2026-123039) pour obtenir les droits root sur les passerelles. Check Point dit avoir vu cette faille activement exploitée chez « deux douzaines de clients ». Une première vague a visé des organisations israéliennes, avec des destructions chez certaines d'entre elles : un effaceur de données déposé sur un hôte VMware ESXi. Une seconde vague, à partir du 2 novembre, a visé des organisations dans plusieurs pays, sans destruction constatée. Check Point ne peut pas dire avec certitude qui est derrière.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurCheck Point Security Gateway, Check Point Mobile Access, PHP, VMware ESXi~24 clients de Check Point chez qui la faille root a été vue activement exploitée (« deux douzaines »)VulnérabilitésÉlevéeConfirmé
Quantum Systems : un malware déguisé en mise à jour logicielle, la Bundeswehr cloue ses drones au solLe fabricant allemand de drones Quantum Systems indique avoir détecté en octobre « une cyberattaque active menée par des acteurs hostiles » et l'avoir contenue avec les autorités. Selon le Financial Times, repris par Dronewatch et DroneXL, les attaquants ont déposé un fichier malveillant sur le serveur qu'utilise Quantum pour diffuser les mises à jour de QBase, son logiciel de contrôle au sol et de planification de mission. La Bundeswehr a cloué ses drones Quantum au sol par précaution. Quantum a déclaré à Reuters le 13 novembre que la flotte vole de nouveau et que la Bundeswehr est le seul client à avoir immobilisé ses systèmes. Les auteurs et leur point d'entrée ne sont pas publics.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurQuantum Systems, QBase, VectorChaîne d’approvisionnementÉlevéeConfirmé
Greffe du comté de Seminole : une intrusion coupe les systèmes du greffe en Floride, des registres consultésLe greffe du tribunal et contrôleur du comté de Seminole, en Floride, a découvert une intrusion dans ses systèmes le mercredi 28 octobre 2026, a coupé internet et tous ses systèmes, puis fermé ses bureaux au public. Le greffier Grant Maloy affirme que rien n'a été chiffré et que les pirates n'ont rien exigé. Le 13 novembre, il a indiqué que les pirates avaient eu accès à des fichiers, dont des actes de propriété et de mariage déjà publics sur le site du greffe, et que le greffe vérifie encore si des informations confidentielles ont été touchées.SecteurPublic et politiquePoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Trezor : des implants espions trouvés dans des portefeuilles Safe 5 vendus par un ancien revendeurTrezor confirme que trois portefeuilles matériels Trezor Safe 5 achetés chez CryptoBilis, un ancien revendeur agréé en Asie du Sud-Est, contenaient une carte électronique supplémentaire qui copie ce qu'affiche l'écran, y compris les mots de récupération et les phrases secrètes, puis l'envoie par le réseau mobile vers un serveur de l'attaquant. Trezor a publié le 11 novembre le firmware 2.13.1 pour empêcher ces implants de capter quoi que ce soit, a réduit son réseau de revendeurs d'environ 80 % et demande aux acheteurs de CryptoBilis de transférer leurs fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération.SecteurApplis et appareils grand publicPoint d'entréeFournisseurProduit ou fournisseurTrezor Safe 5, CryptoBilis3 Trezor Safe 5 confirmés avec un implant, sur 48 clients ayant contacté TrezorChaîne d’approvisionnementMoyenneConfirmé
Éducation nationale : des intrusions dans 25 des 30 académiesLe point de situation d'octobre du CERT-FR sur l'opération REACTIV, publié le 12 novembre 2026, indique que le ministère de l'Éducation nationale a signalé des incidents de sécurité dans 25 de ses 30 académies entre juillet et septembre 2026, avec des impacts opérationnels de criticité variable. Les attaquants ont obtenu des identifiants valides, exploité des comptes à privilèges, cherché de nouveaux accès et exfiltré des annuaires, des bases de données applicatives et des boîtes de messagerie, atteignant plusieurs services nationaux déconcentrés et peut-être d'autres entités de l'État via le réseau interministériel (RIE). Aucun nombre de personnes concernées n'est donné. Les comptes ont été réinitialisés et les services rouverts à partir de la rentrée.SecteurPublic et politiquePoint d'entréeIdentifiants volés25 sur 30 académies touchées par des incidents de sécurité, de juillet à septembre 2026IdentitéCritiqueConfirmé
FaceStealer : de faux appels vidéo nord-coréens avec hypertrucages ont permis de voler plus de 400 M$IALe 12 novembre 2026, le département de la Justice américain a décrit FaceStealer, une campagne d'ingénierie sociale nord-coréenne qui attire des détenteurs de cryptoactifs et des développeurs open source dans des réunions vidéo, leur montre des hypertrucages de personnalités de confiance, puis leur fait installer un logiciel malveillant présenté comme la solution à un faux problème technique. Selon lui, la campagne a permis de voler plus de 400 millions de dollars en 18 mois. Le FBI a saisi une infrastructure cloud utilisée par le dispositif et plus de 900 vidéos de webcam de victimes.SecteurTous secteursPoint d'entréeHameçonnage, ingénierie sociale400 M$ et plus volés en 18 mois, selon le département de la Justice américainplus de 900 vidéos de webcam de victimes saisies par le FBI (pas un nombre de personnes)IdentitéCritiqueConfirmé
GitHub : 4 837 comptes piratés installent un voleur de secrets CI dans des milliers de dépôtsÀ partir du 10 novembre 2026, un attaquant a utilisé des identifiants volés de 4 837 comptes GitHub pour ouvrir des pull requests de test dans 61 764 dépôts, puis a placé un voleur de secrets dans les workflows CI de ceux où il pouvait écrire. Le code récupère les secrets GitHub Actions, les jetons des workflows et les identifiants cloud ; la modification était annulée en moins d'une minute et les journaux d'exécution le plus souvent supprimés. Aikido Security, qui l'a découvert, estime que tous les secrets et rôles cloud accessibles aux workflows d'un dépôt touché doivent être considérés comme compromis.SecteurTous secteursPoint d'entréeIdentifiants volésProduit ou fournisseurGitHub Actions, digitalelvis/neuronai-studio (Packagist), github.com/onuragtas/docker-env (Go)4 837 comptes GitHub utilisés par l'attaquant avec des identifiants volésIdentitéCritiqueEn cours
ASP : le portail de paiement des stagiaires piraté, les données de 30 500 usagers exfiltréesLe point de situation REACTIV d'octobre du CERT-FR, publié le 12 novembre 2026, indique que l'Agence de service et de paiement (ASP), l'établissement public qui verse certaines aides de l'État, a subi plusieurs violations de données sans lien identifié entre elles. Ses portails PROFIL et PUMA ont été compromis en août 2026. Le 30 septembre, son portail DEFI, qui sert à rémunérer les stagiaires, a été compromis par un compte usurpé et l'exploitation d'une vulnérabilité ; l'attaque a été revendiquée le 9 octobre et les données de 30 500 usagers ont été exfiltrées. Les usagers ont été notifiés.SecteurPublic et politiquePoint d'entréePas encore public30 500 usagers du portail DEFI de rémunération des stagiaires dont les données ont été exfiltréesFuites & extorsionÉlevéeConfirmé
Expedia : des attaquants ont atteint ses systèmes en passant par un fournisseur de plateforme de données compromisExpedia Group a confirmé à Skift le 12 novembre 2026 que des attaquants ont eu accès à ses systèmes via un fournisseur tiers de plateforme de données compromis, dont l'accès de confiance a servi à atteindre plusieurs entreprises. Expedia n'a ni nommé le fournisseur ni dit quelles informations ont pu être exposées. Un groupe d'extorsion appelé n0n revendique le vol et menace de publier les données, selon Cybernews cité par Skift.SecteurTransportPoint d'entréeFournisseurChaîne d’approvisionnementÉlevéeConfirmé
Apify : un identifiant compromis ouvre à un intrus des systèmes internes et des comptes clientsApify, plateforme de collecte web et d'automatisation, indique qu'un tiers non autorisé a accédé à une partie de ses systèmes internes les 9 et 10 novembre 2026. L'intrus a utilisé un identifiant compromis pour obtenir des identifiants de comptes et accéder aux comptes Apify concernés. Apify a détecté l'activité le 11 novembre à 12 h 13 UTC et coupé l'accès. L'entreprise a renouvelé des secrets internes critiques, révoqué certaines connexions OAuth vers des intégrations externes, prévenu les autorités et écrit aux clients dont les informations personnelles ou les données stockées ont été consultées.SecteurTech et SaaSPoint d'entréeIdentifiants volésProduit ou fournisseurApifyIdentitéÉlevéeConfirmé
Cairn : un outil d'IA de test d'intrusion retourné contre 19 organisations, dont 10 compromisesIALe 12 novembre 2026, Unit 42 (Palo Alto Networks) a décrit 25 opérations menées en août et septembre 2026 avec une version modifiée de Cairn, un outil public de test d'intrusion piloté par l'IA, contre au moins 19 organisations de la chaîne des semi-conducteurs et de l'industrie de pointe, de la politique de défense et de la société civile. Unit 42 a confirmé un accès non autorisé ou une récupération de données chez 10 d'entre elles. Les opérations tournaient sur des modèles d'IA chinois, Zhipu GLM 5.2 et DeepSeek V4, qui n'ont pas refusé le faux préambule d'autorisation ajouté par les attaquants. Unit 42 estime avec un niveau de confiance modéré qu'il s'agit de collecte de renseignement liée à la Chine, suivie sous le nom CL-STA-1238.SecteurTous secteursPoint d'entréePas encore public1 M+ fiches d'adhérents auxquelles l'outil a enregistré un accès dans un syndicat d'enseignants américainFuites & extorsionÉlevéeEn cours
TSMC : des données d'employés actuels et anciens publiées en ligne, issues d'un prestataire cloudLe fondeur taïwanais TSMC a indiqué le 12 novembre 2026 que des données d'employés actuels et anciens avaient été mises en ligne sur un site externe sans autorisation. Selon l'entreprise, ces données correspondent à celles stockées dans les services d'un prestataire cloud, n'ont rien à voir avec ses activités ni avec ses clients, et rien n'indique à ce stade que ses propres systèmes aient été compromis. D'après la presse, un vendeur sur un forum clandestin proposait environ 46 000 fiches (6,9 Go) contre trois bitcoins.SecteurTech et SaaSPoint d'entréeFournisseur3 BTC réclamés par le vendeur des données, selon la presse (non vérifié)46 000 fiches d'employés revendiquées par le vendeur (non vérifié)Chaîne d’approvisionnementÉlevéeEn cours
Unocoin : la plateforme crypto indienne suspend tous ses services après la compromission de son infrastructureUnocoin, plateforme indienne d'échange de cryptomonnaies, indique avoir détecté une activité non autorisée le 6 novembre 2026, puis de nouveau le 9 novembre, date à laquelle elle a suspendu tous ses services. Son enquête a établi que son infrastructure avait été compromise. Le 12 novembre, elle a repéré des transactions sortantes depuis l'une des adresses ETH de son infrastructure de portefeuilles BitGo et dit ne pas avoir encore une vision complète de toutes les transactions potentiellement non voulues. La cause n'est pas établie. Unocoin reconstruit toute son infrastructure de serveurs, ce qui devrait prendre 4 à 5 jours ouvrés.SecteurFinancePoint d'entréePas encore publicFuites & extorsionÉlevéeEn cours
Ninkasi : un accès non autorisé à la boutique en ligne expose des données clients et des mots de passe d'ancien formatLa société française Ninkasi a informé ses clients d'un accès non autorisé à sa boutique en ligne, shop.ninkasi.fr, le 12 novembre 2026, intrusion qu'elle dit avoir détectée et bloquée le jour même. Noms, coordonnées, historiques de commandes et mots de passe de comptes clients conservés dans un ancien format ont pu être exposés ; les données de paiement ne sont pas concernées, selon la société. Les clients doivent créer un nouveau mot de passe à leur prochaine connexion.SecteurCommercePoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Ministère des Affaires étrangères : le portail des bibliothèques visité avec des comptes techniques volésSelon un point de situation de l'ANSSI relayé par Fuites Infos et Cyberattaque.org, une cyberattaque détectée le 20 octobre 2026 a touché le portail des bibliothèques du ministère de l'Europe et des Affaires étrangères. Un tiers aurait accédé aux données personnelles d'une centaine d'utilisateurs du portail, avec des comptes techniques volés au préalable sur un serveur compromis. Des tentatives d'élévation de privilèges ont été bloquées. Le ministère n'avait publié aucune communication au 12 novembre.SecteurPublic et politiquePoint d'entréeIdentifiants volés~100 utilisateurs du portail dont un tiers aurait consulté les données personnelles, selon l'ANSSIIdentitéMoyenneConfirmé
OFB : une faille du portail du permis de chasser expose les données de plus de 1 000 personnesLe point de situation REACTIV d'octobre du CERT-FR, publié le 12 novembre 2026, indique que le 4 octobre 2026, une faille de type IDOR dans l'API de paiement de permischasser.ofb.fr, le portail d'inscription à l'examen du permis de chasser de l'Office français de la biodiversité, a exposé les données personnelles de plus de 1 000 personnes, dont des mineurs. Les données ont été publiées en accès libre le jour même. Le site a été coupé le soir même et remis en ligne en octobre après correction des vulnérabilités.SecteurPublic et politiquePoint d'entréeFaille logicielle1 000+ personnes dont les données personnelles ont été exposées, dont des mineursVulnérabilitésMoyenneRésolu
Macif Avantages : des données clients exposées après le piratage du partenaire QwertysLes utilisateurs de Macif Avantages, le service de bons d'achat de l'assureur Macif, ont reçu un e-mail les informant qu'un cybercriminel avait eu accès à leurs données. L'intrusion a visé Qwertys, le partenaire qui gère le service de bons d'achat. Noms, adresses postales et e-mail et dates de naissance sont concernés ; pas les données de carte bancaire, les identifiants ni les contrats d'assurance, selon l'e-mail. Le service a été fermé, la CNIL notifiée et une plainte déposée. Le nombre de personnes touchées n'est pas communiqué.SecteurFinancePoint d'entréeFournisseurProduit ou fournisseurQwertysChaîne d’approvisionnementMoyenneConfirmé
Qare : la plateforme de téléconsultation prévient ses utilisateurs d'un accès à des données de compteLa plateforme française de téléconsultation Qare a écrit à ses utilisateurs au sujet d'un incident de sécurité ayant permis d'accéder à certaines données personnelles liées à leur compte, selon Cyberattaque.org, qui s'est procuré une copie de l'e-mail. Qare indique avoir détecté l'incident le samedi 31 octobre 2026 au matin et l'avoir résolu le jour même. Sont concernés les noms, prénoms, sexe, dates de naissance, adresses e-mail et numéros de téléphone ; selon Qare, aucune donnée médicale ni bancaire. L'entreprise ne donne ni le nombre de personnes touchées, ni la manière dont l'accès a eu lieu.SecteurSantéPoint d'entréePas encore publicProduit ou fournisseurQareFuites & extorsionMoyenneConfirmé
TypoPrompting : 186 domaines imitant des outils d'IA mènent à des leurres ClickFix et à des extensions piratesIALes chercheurs d'Island ont recensé 186 domaines imitant 27 marques d'IA (des fautes de frappe comme cloude[.]ai ou chatlgpt[.]com). Un visiteur qui se trompe en tapant le nom d'un outil d'IA arrive sur une fausse page de vérification qui lui demande de lancer une commande PowerShell ou Terminal cachée, sur un faux « Security Check » qui installe un pirate de navigateur, ou sur une extension Chrome qui prend la main sur le moteur de recherche par défaut. Les 17 extensions du même kit encore en ligne le 3 novembre déclaraient 972 000 utilisateurs.SecteurTous secteursPoint d'entréeHameçonnage, ingénierie sociale972 000 utilisateurs déclarés des 17 extensions du même kit encore sur le Chrome Web Store le 3 novembreIdentitéMoyenneConfirmé
ScreenConnect : des clients malveillants poussés depuis des consoles cloud sur 288 machines de 48 organisationsIALe 11 novembre 2026, un attaquant a utilisé la commande « Run » de consoles ScreenConnect hébergées dans le cloud pour installer une boîte à outils sur mesure, SCKit, sur au moins 288 machines de 48 organisations protégées par Huntress, dont environ un tiers dans les dix premières minutes. SCKit installe son propre accès à distance et un relais qui vole les cookies de session ScreenConnect sur les machines des techniciens. ConnectWise a publié un avis le soir même et a désactivé par précaution plusieurs extensions tierces dans environ 400 environnements de partenaires ; il n'avait pas encore identifié le point d'entrée.SecteurTous secteursPoint d'entréePas encore publicProduit ou fournisseurConnectWise ScreenConnect, RMM+ (third-party ScreenConnect extension)288 machines de 48 organisations où des clients ScreenConnect malveillants ont été vus le 11 novembre (clients Huntress uniquement) ; une seconde vague le 13 novembre en a touché 205 de plus dans 41 organisationsChaîne d’approvisionnementÉlevéeEn cours
SilentAir : des opérateurs mobiles piratés servent à détourner des SMS et à capter des codes de double authentification, Taïwan en cible principaleL'entreprise de sécurité télécom Enea indique qu'un nouvel acteur qu'elle nomme SilentAir envoie des attaques de signalisation SS7 et Diameter depuis des équipements compromis chez des opérateurs mobiles d'au moins six pays d'Asie, qu'elle ne nomme pas. Ces attaques détournent les appels et SMS d'abonnés choisis vers le matériel des attaquants ; Taïwan est la cible principale, parmi une douzaine d'autres pays et territoires. Enea a vu des codes de double authentification interceptés pour certaines cibles. Elle estime avec un niveau de confiance élevé que SilentAir est un acteur étatique, et avec un niveau de confiance faible que son activité correspond à des opérations liées à la Chine.SecteurTech et SaaSPoint d'entréePas encore publicPlusieurs milliers abonnés visés lors des plus grosses vagues, sur un moisFuites & extorsionÉlevéeEn cours
AntiFox : un agent IA de test d'intrusion utilisé pour extraire des secrets de production de comptes AWSIAArctic Wolf indique que des attaquants font tourner sur Alibaba Cloud leurs propres instances d'AntiFox, une plateforme open source de test d'intrusion agentique dérivée d'ARTEX 0.1.1, et s'en servent pour exploiter des failles, déposer des webshells et récolter des secrets AWS. Lors d'une intrusion, l'attaquant a utilisé des identités AWS valides, en a enchaîné plusieurs et a envoyé des centaines de requêtes API en une trentaine de minutes ; la plupart ont été refusées, mais certaines ont abouti et donné accès à des secrets de production. AWS affirme que ses services n'ont pas été compromis et ont fonctionné comme prévu, et que les identifiants ont été pris dans des applications de clients compromises.SecteurTous secteursPoint d'entréePas encore publicProduit ou fournisseurAWS, Microsoft IISIdentitéÉlevéeConfirmé
Silent Lynx : un agent d'IA a aidé à espionner des systèmes gouvernementaux tadjiks et ouzbeksIALe 11 novembre 2026, CloudSEK a publié ce qu'il a trouvé sur un serveur exposé d'un opérateur de Silent Lynx : un accès de niveau domaine au réseau des chemins de fer nationaux du Tadjikistan de mi-août au moins jusqu'au 10 octobre, des documents tirés de la plateforme gouvernementale tadjike de gestion électronique des documents, et l'exécution de commandes sur un serveur de l'initiative ouzbèke Smart Forestry. Un agent d'IA open source, Hermes, configuré en spécialiste de la sécurité offensive et utilisant surtout des modèles DeepSeek, s'est chargé de la reconnaissance, de la collecte et de l'effacement des traces. CloudSEK estime avec un niveau de confiance moyen que l'opérateur a un lien avec le Kazakhstan.SecteurPublic et politiquePoint d'entréePas encore publicProduit ou fournisseurGeoServer2 000+ documents uniques dérobés, adressés au ministère tadjik de la Défense ou transitant par luiFuites & extorsionÉlevéeEn cours
Worten : des attaquants exploitent une faille et accèdent à des données de clients et de prestatairesLe distributeur portugais d'électronique Worten (groupe Sonae) indique avoir été victime d'« un acte criminel d'accès non autorisé » à certaines données de clients et de prestataires, par une vulnérabilité depuis corrigée. Pour un petit groupe de clients, les attaquants ont eu accès au numéro fiscal (NIF), au téléphone, à l'adresse e-mail et parfois à un numéro de commande. Worten affirme qu'aucune donnée de paiement, carte ou mot de passe n'a été consulté, a prévenu les clients concernés et travaille avec le CNCS, la CNPD et la Polícia Judiciária.SecteurCommercePoint d'entréeFaille logicielleProduit ou fournisseurWortenVulnérabilitésMoyenneConfirmé
CSCTelecom : quatre ans de SMS de banques et de compagnies aériennes dans une base de données ouverteLes chercheurs de Cybernews ont trouvé une base de données ClickHouse accessible publiquement, appartenant à la filiale lettone de CSCTelecom, une société qui envoie des SMS pour le compte d'entreprises. Elle contenait plus de 125 millions de SMS d'octobre 2022 à septembre 2026, mis à jour en temps réel, avec le texte des messages, les numéros des destinataires et le nom des expéditeurs, dont Swedbank, SEB, airBaltic et le numéro d'urgence letton 112. Selon Artea, CSCTelecom a évoqué une faille de configuration des accès, dit l'avoir corrigée et n'avoir trouvé aucun signe d'attaque. Cybernews indique n'avoir aucune preuve qu'un acteur malveillant ait consulté la base.SecteurTech et SaaSPoint d'entréeExposé ou mal configuréProduit ou fournisseurCSCTelecom, ClickHouse125 M+ SMS lisibles dans la base ouverte (octobre 2022 à septembre 2026)VulnérabilitésMoyenneEn cours
Effy : les identifiants d'un artisan partenaire utilisés pour consulter des projets de rénovation de clientsEffy, plateforme française de rénovation énergétique, a indiqué à ses clients par e-mail, relayé le 11 novembre 2026, qu'un tiers s'était connecté à son espace partenaires avec les identifiants d'un artisan partenaire, Airtech, et avait accédé aux informations des personnes mises en relation avec cette entreprise. Effy affirme que ses propres systèmes n'ont pas été piratés et que les identifiants ont été « vraisemblablement récupérés sur Internet, après le piratage de l'ordinateur d'un professionnel ou l'installation d'un logiciel espion ». Elle a coupé l'accès, réinitialisé les identifiants des comptes concernés et prévenu la CNIL.SecteurApplis et appareils grand publicPoint d'entréeIdentifiants volésIdentitéMoyenneConfirmé
GSocket : des attaquants gardent un accès caché aux serveurs web Linux piratésLe 11 novembre 2026, Microsoft a décrit plusieurs incidents où des attaquants ont pénétré des serveurs web Linux exposés sur Internet, surtout des applications PHP sur des hébergements cPanel, puis y ont installé GSocket, un outil d'accès à distance open source. Le serveur et l'opérateur se connectent tous deux vers un réseau de relais public : il n'y a donc pas d'adresse d'attaquant à bloquer, et l'accès survit au correctif de la faille d'origine. Selon Microsoft, le nombre d'appareils avec des détections liées à GSocket a augmenté de 356,2 % entre mars et août 2026.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurcPanel, Apache, Linux kernelVulnérabilitésMoyenneConfirmé
Monceau Fleurs : des données clients de quatre enseignes du groupe Emova extraites via un prestataire de caisseLe groupe Emova, propriétaire des enseignes de fleuristes Monceau Fleurs, Au Nom de la Rose, Happy et Cœur de Fleurs, a prévenu ses clients par e-mail que le prestataire de son logiciel de gestion de caisse avait subi une cyberattaque le 30 octobre 2026 et que l'attaquant avait pu extraire des données clients. Emova évoque un « nombre limité » de clients, indique que les données bancaires ne sont pas concernées et a notifié la CNIL le 6 novembre. Le prestataire n'est pas nommé.SecteurCommercePoint d'entréeFournisseurChaîne d’approvisionnementMoyenneConfirmé
Maersk : accès non autorisé et extraction de données sur un ancien système localLe groupe de transport maritime danois a indiqué le 11 novembre enquêter sur un incident de sécurité informatique impliquant un accès non autorisé et une extraction de données sur l'un de ses anciens systèmes locaux, issu d'une acquisition passée. Maersk affirme que l'incident se limite à ce système, que ses premières constatations indiquent fortement qu'aucune donnée sensible n'a été divulguée, et qu'il ne prévoit pas de perturbation pour ses clients.SecteurTransportPoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Kinnarps : une attaque informatique arrête la production de trois usines de meubles en SuèdeLe fabricant suédois de mobilier de bureau Kinnarps a détecté une activité anormale sur ses réseaux le samedi 7 novembre 2026 au soir et a coupé ses systèmes. Toute la production s'est arrêtée le lundi dans ses usines de Kinnarp, Jönköping et Skillingaryd, et elle l'était toujours le mercredi 11 novembre. L'entreprise a porté plainte, indique qu'aucune rançon n'a été demandée et ne sait pas qui est derrière l'attaque.SecteurCommercePoint d'entréePas encore publicFuites & extorsionÉlevéeConfirmé
ActiveCloud (Biélorussie) : un rançongiciel chiffre une partie de l'infrastructure d'un hébergeur cloudActiveCloud, un hébergeur cloud qui sert des entreprises en Biélorussie et en Russie, indique qu'une attaque par rançongiciel lancée le 10 novembre 2026 à 3 h 30 a chiffré une partie de son infrastructure cloud. Ses offres d'hébergement E-Cloud et E-Cloud Protected, ses messageries SmartMail et SelfMail, ses sites, son support et sa téléphonie ont été coupés plusieurs jours. L'entreprise dit n'avoir constaté aucune fuite de données clients. Les principaux services étaient rétablis dans la nuit du 12 novembre ; certaines machines virtuelles peuvent ne pas redémarrer, la zone d'amorçage de leur disque ayant été endommagée.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurActiveCloud E-Cloud, ActiveCloud SmartMailChaîne d’approvisionnementÉlevéeConfirmé
Turla a transformé des serveurs Exchange gouvernementaux au Kazakhstan et en Roumanie en postes d'espionnageLe 10 novembre 2026, ESET a révélé Cereal, une nouvelle boîte à outils cachée dans les serveurs Microsoft Exchange de deux organismes gouvernementaux nationaux, l'un au Kazakhstan, l'autre en Roumanie. Elle sélectionnait les e-mails accompagnés de pièces jointes Word ou PDF et, en Roumanie, elle était réglée pour collecter le courrier échangé avec des adresses de l'OTAN et de l'UE. ESET l'attribue à Turla avec un haut niveau de confiance, et le service de renseignement roumain (SRI) désigne lui aussi Turla. Le SRI indique que les attaquants ont exploité des vulnérabilités des systèmes d'exploitation Microsoft et qu'aucune exfiltration de données sensibles n'a été identifiée en Roumanie.SecteurPublic et politiquePoint d'entréeFaille logicielleProduit ou fournisseurMicrosoft Exchange2 organismes gouvernementaux nationaux compromisVulnérabilitésÉlevéeConfirmé
GhostFrame : un implant ESXi qui vole des identifiants Windows dans les instantanés de machines virtuelles, lié au rançongiciel SettraL'équipe Insikt Group de Recorded Future décrit GhostFrame, un outil de contrôle jusqu'ici inconnu qui tourne sur des hyperviseurs VMware ESXi compromis. Il permet de piloter les machines virtuelles invitées, de rebondir dans le réseau et d'extraire des identifiants des instantanés et des disques des VM, sans qu'aucun logiciel malveillant ne tourne dans les machines Windows. Insikt l'a vu utilisé par TAG-218, un groupe dont les opérations recoupent celles du rançongiciel Settra, qui a visé des boîtiers VPN aux États-Unis et en Europe de fin août à octobre 2026.SecteurTous secteursPoint d'entréePas encore publicProduit ou fournisseurVMware ESXi, SonicWall, Palo Alto Networks, Fortinet4 organisations visées ensuite affichées sur le site de fuite de SettraFuites & extorsionÉlevéeConfirmé
Xen Orchestra : un jeton de connexion vide donne aux attaquants les droits d'admin sur des serveurs de virtualisationLe 10 novembre 2026, Vates, l'éditeur français de Xen Orchestra, a publié un avis critique sur un contournement d'authentification dans son outil de gestion de la virtualisation et dans la Xen Orchestra Appliance. Un cookie contenant un jeton vide connecte l'attaquant avec les droits d'administrateur, ce qui peut mener, selon Vates, à l'exécution de code sur les pools gérés et à la prise de contrôle complète d'un nœud XCP-ng en root. Vates indique que la faille est activement exploitée et a publié des correctifs.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurXen Orchestra, Xen Orchestra Appliance, XCP-ngVulnérabilitésÉlevéeConfirmé
Grok Build : la plupart des applications créées avec l'outil d'IA s'ouvraient à tous, certaines avec des données de salariés et de patientsIAClaroc Research a constaté que l'outil de création d'applications de Grok présélectionne « Anyone with the link » à la publication, et que les noms des applications se retrouvent avec des techniques courantes de découverte de sous-domaines. Sur 37 571 applications Grok Build encore en ligne, 35 578 (94,7 %) s'ouvraient sans connexion. Parmi elles : l'annuaire de plus de 3 500 salariés d'un groupe hospitalier, le script d'une application de feuilles de temps contenant 18 comptes avec mots de passe en clair, et des applications d'employés de SpaceXSI et de X, dont une proposition publicitaire à une agence fédérale américaine marquée confidentielle. SpaceXSI a retiré ses 24 applications internes ; aucun changement du réglage par défaut pour les autres utilisateurs n'a été signalé.SecteurTous secteursPoint d'entréeExposé ou mal configuréProduit ou fournisseurGrok Build, Grok35 578 applications Grok Build qui s'ouvraient sans connexion, sur 37 571 en ligne, selon ClarocVulnérabilitésMoyenneEn cours
Pologne : la plateforme de services publics ePUAP coupée après une cyberattaqueLe ministre polonais du Numérique, Krzysztof Gawkowski, a indiqué qu'une cyberattaque contre ePUAP, la plateforme nationale qui sert à envoyer des documents officiels et à échanger en ligne avec les administrations, avait été détectée et stoppée. Le ministère a coupé la plateforme par précaution et affirme que le système n'a pas été compromis. Les autorités n'ont dit ni comment l'attaque a été menée, ni qui en est l'auteur, ni quand le service reviendra.SecteurPublic et politiquePoint d'entréePas encore publicProduit ou fournisseurePUAPFuites & extorsionMoyenneEn cours
Outlook : Microsoft corrige une faille zero-day qui fait fuiter l'empreinte de connexion Windows via un fichier de message piégéLe 10 novembre 2026, le Patch Tuesday de Microsoft a corrigé la CVE-2026-124194, une faille d'usurpation dans Outlook déjà exploitée par des attaquants. Un fichier de message piégé, une fois ouvert, fait se connecter Outlook à un serveur de l'attaquant sans l'avertissement habituel sur le contenu externe, ce qui peut divulguer les informations d'authentification de l'utilisateur. Microsoft confirme des attaques, sans dire qui en est l'auteur ni qui a été visé. La CISA a ajouté la faille à son catalogue des vulnérabilités exploitées.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurMicrosoft Outlook, Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024VulnérabilitésMoyenneConfirmé
Université Vanderbilt : un incident de cybersécurité coupe l'accès aux systèmes du campusL'Université Vanderbilt, à Nashville, a annoncé le 9 novembre 2026 qu'elle gérait un incident de cybersécurité en cours touchant les appareils, les systèmes et les services cloud de l'université. Elle a demandé au personnel d'éteindre les appareils de l'université et de se déconnecter du Wi-Fi du campus. Le soir, le Wi-Fi était rétabli, mais l'accès à la plupart des systèmes et applications restait limité. Un groupe de rançongiciel se faisant appeler BYOD revendique l'attaque et dit avoir pris des dossiers d'étudiants et d'employés ; Vanderbilt n'a confirmé aucun vol de données et n'a pas désigné de responsable.SecteurÉducationPoint d'entréePas encore public1 M+ numéros de sécurité sociale et dossiers d'étudiants et d'employés revendiqués par le groupe BYOD (non vérifié)Fuites & extorsionÉlevéeConfirmé
N-able N-central : 33 failles publiées, puis des mineurs de cryptomonnaie sur 21 serveurs malgré le correctifUn chercheur a publié les détails et le code d'exploitation de 33 failles non corrigées de N-able N-central, l'outil de supervision et de gestion à distance utilisé par les infogérants, enchaînées en quatre exploits qu'il appelle « Able2Shell ». Le 9 novembre 2026, N-able a coupé son environnement N-central hébergé « par mesure de précaution » et demandé aux clients sur site de garder leurs serveurs hors ligne jusqu'à la sortie d'un correctif. Dans un premier temps, N-able a dit n'avoir vu aucune preuve d'exploitation des failles. Un correctif est sorti le 10 novembre ; le lendemain, le chercheur a publié deux nouvelles chaînes d'exploitation qui le contournent et qui, selon N-able, ne touchent que les serveurs dont l'ancienne API (Legacy API), désactivée par défaut, est activée et exposée sur Internet. En quelques heures, des attaquants ont utilisé la nouvelle chaîne : les chercheurs de Huntback et de Lupovis ont trouvé un mineur de Monero sur 21 serveurs N-central, dont 19 avaient déjà le correctif. N-able dit avoir identifié de nouveaux indicateurs de compromission, travailler avec les clients concernés et restreindre certaines fonctions et intégrations de N-central le temps de corriger les failles.SecteurTech et SaaSPoint d'entréeFaille logicielleProduit ou fournisseurN-able N-central21 serveurs N-central sur lesquels un mineur de cryptomonnaie a été trouvé, dont 19 avec le dernier correctifVulnérabilitésÉlevéeConfirmé
MSP Process : identifiants d'applications et jetons d'accès aux tenants Microsoft de prestataires dérobés chez l'éditeurMSP Process, éditeur de logiciels pour prestataires de services managés, indique qu'un tiers non autorisé a accédé à l'un de ses serveurs internes et à une partie de son infrastructure le 7 novembre 2026, entre 9 h 56 et environ 14 h 40 UTC. Cette infrastructure contenait des identifiants d'applications et des jetons d'accès des partenaires qui utilisent ses fonctions reliées aux relations d'administration de Microsoft Partner Center (Authenticator, Password Reset, Contacts sync). L'éditeur a renouvelé ses identifiants et désactivé ses fonctions d'identité pour tous les partenaires. Huntress, cité par The Stack, a observé des octrois de jetons malveillants réussis dans 47 tenants. MSP Process n'a pas dit comment l'attaquant est entré.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurMSP Process, Microsoft Partner Center, Microsoft Entra ID47 tenants avec des octrois de jetons malveillants réussis, selon HuntressChaîne d’approvisionnementÉlevéeConfirmé
Qubole : un attaquant a utilisé l'accès AWS de confiance de la plateforme de données pour lire les secrets et les données de ses clientsEntre le 14 et le 26 octobre 2026, un attaquant a utilisé des identifiants IAM d'un compte AWS associé à Qubole, une plateforme de big data, pour endosser les rôles que les clients lui avaient créés dans leurs propres comptes AWS. Selon Wiz et Sentra, qui ont révélé la campagne le 9 novembre, l'attaquant a lu des secrets, des variables d'environnement Lambda et des paramètres, puis téléchargé des données S3. On ignore comment il a obtenu les identifiants de Qubole, et Qubole n'avait publié aucune déclaration.SecteurTech et SaaSPoint d'entréeFournisseurProduit ou fournisseurQubole12+ organisations touchées, selon Sentra (qui parle aussi de dizaines de clients)Chaîne d’approvisionnementÉlevéeEn cours
Université technique de Munich : une attaque du portail myTUM expose les mots de passe de connexion centraleL'Université technique de Munich (TUM) indique que des attaquants inconnus ont visé son portail myTUM et volé les mots de passe de la connexion centrale aux systèmes de la TUM. Avec les identifiants d'un administrateur système de TUMonline, ils ont ensuite attaqué TUMonline, le système de gestion de l'université, que la TUM a mis hors ligne. La TUM a révélé l'incident le 6 novembre 2026 et a remis TUMonline en service le 9 novembre, en exigeant un changement de mot de passe et l'authentification à deux facteurs. Elle précise que les comptes protégés par MFA ne sont pas touchés. La TUM n'a pas dit comment les attaquants sont entrés au départ, ni combien de personnes sont concernées.SecteurÉducationPoint d'entréePas encore publicProduit ou fournisseurTUMonlineFuites & extorsionÉlevéeConfirmé
Université York : des données personnelles volées dans des formulaires web de départements remontant à 2007L'Université York, à Toronto, confirme qu'un acteur non autorisé a accédé à des formulaires en ligne utilisés par ses départements et y a volé des informations personnelles. L'incident a été repéré le 25 octobre 2026 et concerne des formulaires de 14 sites de l'université, dont certains sont remplis depuis 2007. La plupart des données volées sont des numéros d'identification York et des coordonnées, mais certains formulaires contenaient aussi des informations de santé, de handicap, d'antécédents judiciaires ou de situation financière. York n'a pas dit combien de personnes sont touchées, ni comment l'acteur est entré.SecteurÉducationPoint d'entréePas encore publicFuites & extorsionÉlevéeConfirmé
Wyndham : un mot de passe laissé dans l'application Android ouvrait une base clients interneLe chercheur en sécurité Robert Wiggins, de What Security, a trouvé dans le code source de l'application Android de Wyndham un mot de passe qui donnait accès à une base de données interne hébergée chez Salesforce, a rapporté TechCrunch le 9 novembre 2026. La base contenait des noms de clients, des adresses e-mail, des numéros de membre Wyndham, des jetons de connexion de clients et des fichiers internes, en « millions d'entrées ». Wyndham a révoqué l'identifiant peu après l'alerte de TechCrunch et affirme que ses équipes de sécurité n'ont aucune preuve d'accès non autorisé.SecteurApplis et appareils grand publicPoint d'entréeIdentifiants volésProduit ou fournisseurWyndham app, SalesforceIdentitéMoyenneRésolu
Chrome : Google corrige une faille zero-day XML exploitée, la huitième de 2026Le 9 novembre 2026, Google a publié Chrome 157.0.8103.50/.51, qui corrige la CVE-2026-125350, une faille de type use-after-free de gravité élevée dans le composant XML du navigateur. Google indique qu'« un exploit pour la CVE-2026-125350 existe dans la nature », sans donner de détails sur les attaques. C'est la huitième faille zero-day de Chrome exploitée cette année, selon BleepingComputer et SecurityWeek.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurGoogle ChromeVulnérabilitésMoyenneConfirmé
Garanka : des données clients exfiltrées lors d'une cyberattaqueLa société française Garanka a écrit à ses clients le 9 novembre que des données personnelles avaient été exfiltrées lors d'une cyberattaque. En octobre, son site indiquait seulement que les systèmes avaient été isolés et la messagerie coupée. Les données peuvent comprendre noms et coordonnées, informations sur le système de chauffage et l'historique d'intervention, et dans quelques cas isolés des factures et des informations de paiement. Garanka assure qu'aucune donnée de carte bancaire n'a été prise, et indique avoir porté plainte et notifié la CNIL.SecteurApplis et appareils grand publicPoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Visionix : cyberattaque contre les systèmes informatiques du fabricant français d'équipements ophtalmologiquesRevenio Group, groupe finlandais de la santé visuelle qui a repris Visionix en mai 2026, a indiqué le 9 novembre 2026 avoir détecté une cyberattaque contre les systèmes informatiques de sa filiale française. Le serveur touché contenait des demandes internes de support informatique. Revenio dit avoir circonscrit l'attaque à un serveur local, que ses autres activités ne sont pas touchées et avoir fait les notifications requises auprès des autorités françaises compétentes. Le mode d'entrée des attaquants et ce qui a pu être pris n'ont pas été rendus publics.SecteurSantéPoint d'entréePas encore publicProduit ou fournisseurVisionixFuites & extorsionMoyenneConfirmé
FreeSWITCH : un message SIP piégé exécute des commandes d'API sur des serveurs de téléphonie, exploité dans la natureFreeSWITCH, le serveur de téléphonie open source maintenu par SignalWire, laissait un SIP MESSAGE entrant contenant un signe plus dans le nom d'utilisateur du destinataire atteindre son module de discussion api, qui exécute des commandes de l'API FreeSWITCH. Cela fonctionne sur la configuration par défaut dès que l'attaquant dispose d'un compte enregistré, ou avec l'utilisateur default sans mot de passe de la configuration fournie. Le projet l'a corrigé dans la 1.11.3 le 28 octobre 2026 et indique que l'exploitation a été observée dans la nature. La CISA l'a ajoutée à sa liste des failles exploitées le 9 novembre 2026, selon The Hacker News.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurFreeSWITCH, SignalWireVulnérabilitésMoyenneConfirmé
GPUStack : un en-tête falsifié donne aux attaquants les droits d'admin sur des serveurs de modèles d'IA, exploité dans la natureIAGPUStack, une plateforme open source pour faire tourner des modèles d'IA sur des grappes de GPU, faisait confiance à toute requête qui semblait venir de la machine locale. Une requête portant un en-tête falsifié X-GPUStack-Real-IP: 127.0.0.1, ou passant par un proxy inverse installé sur la même machine, était traitée comme un administrateur sans authentification, et un administrateur peut déclarer un moteur d'inférence personnalisé qui exécute des commandes. Le projet l'a corrigé dans la version 2.2.0 et indique que la faille a été exploitée dans la nature contre une installation 2.1.1. La CISA l'a ajoutée à sa liste des failles exploitées le 9 novembre 2026, selon The Hacker News.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurGPUStackVulnérabilitésMoyenneConfirmé
IBM Aspera Faspex : un contournement d'autorisation qui donne tous les droits d'admin, classé comme exploité par la CISAIBM a corrigé un contournement d'autorisation dans Aspera Faspex, son serveur d'échange de fichiers, avec la version 5.0.19 PL1. La faille (CVE-2026-123218, CVSS 9,8) permet à un utilisateur de forger un message qui lui donne tous les droits d'administration, selon SecurityWeek. La CISA l'a ajoutée à son catalogue des vulnérabilités exploitées le 9 novembre 2026. Le bulletin d'IBM ne parle pas d'exploitation, et aucun détail sur les attaques n'est public.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurIBM Aspera FaspexVulnérabilitésMoyenneConfirmé
L'Institut de sécurité financière sud-coréen piraté : des fichiers de 48 sociétés financières ont fuité de son site d'évaluationLe 9 novembre 2026, des attaquants ont atteint le système en ligne que l'Institut de sécurité financière sud-coréen (FSI), l'organisme chargé de la cybersécurité du secteur financier, utilise pour recueillir les auto-évaluations de sécurité des sociétés financières. Selon la presse coréenne, ils se sont fait passer pour un utilisateur doté des droits du Financial Supervisory Service, le superviseur financier. Le FSI indique que des noms, dates de naissance et numéros de téléphone masqués d'employés ont fuité, mais aucun schéma de système, numéro d'identification national ou donnée de crédit de clients. La police enquête ; aucun attaquant n'a été nommé.SecteurFinancePoint d'entréeFaille logicielle48 sociétés financières dont des fichiers ont fuitéVulnérabilitésMoyenneConfirmé
SEC des Philippines : les données personnelles des utilisateurs de ses plateformes en ligne exposées, numéros fiscaux comprisLe 9 novembre 2026, la Securities and Exchange Commission (SEC) des Philippines a confirmé une fuite de données touchant les utilisateurs de ses plateformes en ligne, après que le groupe Deep Web Konek a signalé le 5 novembre une annonce sur un forum portant sur environ 487 000 lignes de données liées à la SEC. L'avis envoyé aux utilisateurs cite noms, identifiants, e-mails, numéros de mobile, dates de naissance, adresses et numéros d'identification fiscale (TIN). La SEC indique qu'aucun mot de passe n'a fuité et qu'aucun registre d'entreprise n'est touché, et elle a prévenu la Commission nationale de la vie privée. Elle n'a pas dit combien de personnes sont concernées.SecteurPublic et politiquePoint d'entréePas encore public487 000 lignes de données liées à la SEC proposées par un vendeur sur un forum (non vérifié ; la SEC n'a pas confirmé le lien)Fuites & extorsionMoyenneConfirmé
Ethersphere : des versions piégées de bee-js et Swarm Desktop volent les clés de portefeuilles SwarmLe 9 novembre 2026, un attaquant a publié une version malveillante 13.3.0 de @ethersphere/bee-js sur npm et une version malveillante 0.56.2 de Swarm Desktop via la propre chaîne de publication du projet, avec des comptes GitHub compromis. Le code envoyait à l'attaquant les clés du portefeuille du nœud Swarm et leur mot de passe, et installait une porte dérobée. Les deux versions ont été retirées en quelques heures ; les téléchargements sont restés faibles et aucun vol de fonds n'avait été signalé.SecteurTech et SaaSPoint d'entréeFournisseurProduit ou fournisseur@ethersphere/bee-js, Swarm Desktop, npm65 téléchargements de la version piégée Swarm Desktop 0.56.2, chercheurs compris (maximum, selon Socket)Chaîne d’approvisionnementMoyenneConfirmé
Softway Medical : violation de données sur One Manager, son logiciel de gestion des centres de radiologieSoftway Medical, éditeur français de logiciels de santé, a annoncé le 8 novembre 2026 qu'un acte de malveillance avait entraîné une violation de données sur One Manager, son système d'information de radiologie (RIS). L'éditeur dit avoir stoppé la violation, notifié tous les clients concernés et suspendu certains accès distants, le logiciel restant pleinement fonctionnel. Il n'a pas précisé comment les attaquants sont entrés, quelles données sont concernées, ni combien de centres de radiologie ou de patients sont touchés. Le 13 novembre, le CHU de Reims a confirmé que ses patients sont concernés.SecteurSantéPoint d'entréePas encore publicProduit ou fournisseurSoftway Medical One ManagerChaîne d’approvisionnementÉlevéeConfirmé
Opération Snowball : un agent d'IA passe deux semaines chez un opérateur télécom européenIAMalbear Labs a trouvé un répertoire ouvert sur Internet contenant les journaux d'un outil d'intrusion autonome piloté par IA, bâti sur DeepSeek Flash avec un prompt système de contournement, qui a attaqué pendant plus de deux semaines un opérateur télécom européen et treize organisations hébergées sur son infrastructure. Selon les chercheurs, il a extrait des dizaines de jeux d'identifiants et des milliers de lignes de données de facturation et d'équipements d'abonnés. Ils ne nomment pas les victimes et décrivent un opérateur sinophone.SecteurTech et SaaSPoint d'entréeFaille logicielleProduit ou fournisseurCisco BroadWorks, LiferayVulnérabilitésÉlevéeEn cours
Chambourcy : le réseau de la mairie coupé après une cyberattaque le week-endLa mairie de Chambourcy, dans les Yvelines, indique avoir été la cible d'une cyberattaque le week-end des 7 et 8 novembre 2026. Elle a coupé son réseau informatique par précaution, déposé plainte et informé la CNIL. Les services fonctionnent en grande partie sur papier ; l'accueil, le téléphone, le site internet et les réseaux sociaux restent opérationnels. La commune n'a pas dit comment les attaquants sont entrés, si des données ont été prises ni s'il s'agit d'un rançongiciel.SecteurPublic et politiquePoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
LNbits : les serveurs de portefeuilles Lightning priés de s'arrêter pendant une vague d'attaques, puis corrigés en 1.7.0Le 8 novembre 2026, le projet LNbits, un logiciel open source que l'on fait tourner pour proposer des portefeuilles Bitcoin Lightning, a demandé à tous les exploitants d'« arrêter leurs serveurs LNbits IMMÉDIATEMENT » après « une vague d'attaques », et a coupé son propre service hébergé. Un exploitant a signalé 2 285 545 sats (environ 0,023 BTC) retirés ce jour-là. Le 10 novembre, LNbits a publié la version 1.7.0 comme mise à jour de sécurité urgente et indiqué que les versions antérieures sont exposées. Le projet n'a pas encore expliqué l'exploit ni dit combien de serveurs ont été touchés.SecteurTous secteursPoint d'entréePas encore publicProduit ou fournisseurLNbitsFuites & extorsionMoyenneConfirmé
NEAR AI : une faille de SGLang sur un serveur d'inférence expose une centaine d'utilisateurs et 18 agentsIALa plateforme d'IA NEAR AI indique qu'un attaquant a exploité le 8 novembre 2026 une faille d'exécution de code à distance dans SGLang, le moteur d'inférence open source de ses serveurs. L'attaquant a atteint un système interne de son service Private Chat, déjà abandonné, et a emporté les informations de compte d'une centaine d'utilisateurs, ainsi que l'historique de conversation, les réglages et les journaux de 18 agents d'un ancien déploiement. NEAR AI dit avoir corrigé la faille sur tous ses serveurs d'inférence et l'avoir signalée au projet SGLang.SecteurTech et SaaSPoint d'entréeFaille logicielleProduit ou fournisseurSGLang, NEAR AI~100 utilisateurs dont les informations de compte (e-mail, nom, et pour certains offre et solde) ont été téléchargées, plus 18 agentsVulnérabilitésMoyenneRésolu
Maru-Jan : les e-mails et mots de passe de 1,85 million de joueurs dérobésSignalTalk, l'éditeur japonais du jeu de mahjong en ligne Maru-Jan, indique que des attaquants ont détourné une fonction de son système de gestion et téléchargé les adresses e-mail et mots de passe de ses 1 855 578 membres, au plus tard le 4 novembre. Il demande aux joueurs de changer leur mot de passe, sur Maru-Jan et sur tout autre service où ils le réutilisent.SecteurApplis et appareils grand publicPoint d'entréePas encore public1,86 M membres dont l'email et le mot de passe ont été volésFuites & extorsionCritiqueConfirmé
Mittwald : un attaquant passe par une faille du serveur d'assistant IA de l'hébergeur et compromet 56 projets clientsIAL'hébergeur allemand Mittwald indique qu'un attaquant a exploité une faiblesse du serveur MCP de sa plateforme mStudio, l'interface qui permet aux clients de brancher des assistants IA sur leur hébergement. L'attaquant est passé inaperçu du 27 octobre au 4 novembre et a compromis 56 projets clients. Le dirigeant de Mittwald estime que la vitesse de l'attaque, parfois quelques secondes entre deux étapes, indique l'usage d'outils d'IA.SecteurTech et SaaSPoint d'entréeFaille logicielleProduit ou fournisseurMittwald mStudio56 projets clients compromisVulnérabilitésÉlevéeConfirmé
UnrealIRCd : n'importe quel utilisateur peut envoyer des commandes avec l'autorité du serveur, et des attaquants s'en serventLa CVE-2026-114713 est une faille du module labeled-response d'UnrealIRCd, un serveur de discussion IRC open source. Sur un réseau d'au moins deux serveurs reliés, un simple utilisateur peut injecter des commandes de serveur à serveur ; selon UnrealIRCd, des utilisateurs ordinaires peuvent ainsi exécuter des commandes avec l'autorité d'un serveur ou d'un opérateur IRC. Le projet l'a corrigée le 7 novembre 2026 dans la version 6.2.7.1 et par un correctif à chaud, puis a signalé des attaques en cours. La CISA l'a ajoutée à son catalogue des failles exploitées le 13 novembre.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurUnrealIRCdVulnérabilitésMoyenneConfirmé
Italie : les données personnelles du ministre des Affaires étrangères Tajani diffusées sur le dark webLe ministre italien des Affaires étrangères Antonio Tajani a déclaré le 7 novembre 2026 que, « depuis des jours », des cybercriminels diffusaient ses données personnelles sur le dark web et cherchaient d'autres informations sur lui et sa famille, prêts à payer pour les obtenir. La présidente du Conseil Giorgia Meloni a relié l'affaire aux activités de hackers prorusses. Aucun des deux n'a précisé quelles données ont été publiées, comment elles ont été obtenues, ni quel groupe est en cause.SecteurPublic et politiquePoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Claude Code : « ne plus demander » enregistrait des secrets en clair dans un fichier retrouvé sur des dépôts GitHub publicsIALes chercheurs d'Apiiro ont trouvé 1 122 copies publiques du fichier .claude/settings.local.json de Claude Code contenant au moins un secret crédible, soit 1 379 secrets distincts au total. Quand un utilisateur approuve une commande exacte avec « Oui, et ne plus demander », la commande est enregistrée comme règle d'autorisation, avec le mot de passe ou le jeton tapé dedans. Apiiro n'a pas testé la validité des secrets ; une entreprise prévenue a confirmé que sa clé était active.SecteurTous secteursPoint d'entréeExposé ou mal configuréProduit ou fournisseurClaude CodeVulnérabilitésMoyenneConfirmé
Who Gives A Crap : des données clients consultées via un prestataire de logiciel marketingLa marque australienne de papier toilette Who Gives A Crap a prévenu ses clients en Australie, aux États-Unis et au Royaume-Uni que leurs données personnelles avaient été consultées sans autorisation lors d'un incident de sécurité chez l'un de ses prestataires de logiciel marketing. Noms, coordonnées, adresses postales et montant total dépensé sont concernés ; pas les données de paiement, le détail des commandes ni les mots de passe. Le nombre de clients n'est pas communiqué.SecteurCommercePoint d'entréeFournisseurChaîne d’approvisionnementMoyenneConfirmé
Smartbox : un accès non autorisé à l'une de ses plateformesLe spécialiste des coffrets cadeaux a prévenu ses clients par e-mail d'un accès non autorisé à l'une de ses plateformes, détecté le 3 novembre. Des noms et adresses e-mail ont pu être consultés ; il assure que les données bancaires et les mots de passe ne sont pas touchés.SecteurCommercePoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Nitori : jusqu'à 37,62 millions d'enregistrements clients ont pu fuiter après un accès non autoriséNitori, premier distributeur japonais de meubles et d'articles pour la maison, a constaté le 6 novembre qu'un tiers avait accédé à un système qu'il gère. L'accès a pu commencer entre la mi et la fin octobre. L'entreprise indique que jusqu'à 37,62 millions d'enregistrements de données personnelles ont pu fuiter ; les mots de passe et les données de carte ne sont pas concernés.SecteurCommercePoint d'entréePas encore public37,62 M enregistrements clients qui ont pu fuiter (maximum, pas un nombre de personnes)Fuites & extorsionCritiqueConfirmé
Amplifon Americas : des fichiers de patients en audiologie copiés pendant trois semaines, 1,3 million de personnes touchéesAmplifon Americas, la branche américaine du groupe italien d'audiologie Amplifon, indique qu'un tiers non autorisé a obtenu des fichiers de certains de ses systèmes entre le 18 janvier et le 8 février 2026. L'entreprise a détecté l'activité le 11 février et a établi le 6 octobre que des données personnelles et de santé pouvaient être concernées. Sa déclaration au procureur général du Texas, le 6 novembre, fait état de 1 332 826 personnes touchées au total. La façon dont les attaquants sont entrés n'est pas publique.SecteurSantéPoint d'entréePas encore public1,3 M personnes touchées au total, selon la déclaration d'Amplifon au procureur général du TexasFuites & extorsionCritiqueConfirmé
Keplr : une faille chez le fournisseur de connexion Web3Auth expose les clés des portefeuilles créés avec Google et AppleLe 6 novembre, Web3Auth a mis son service de connexion en maintenance « en raison d'un incident de sécurité ». Keplr, un portefeuille crypto de l'écosystème Cosmos qui utilise Web3Auth pour la connexion par Google et Apple, a signalé des transactions non autorisées sur certains de ces comptes et suspendu ces deux modes de connexion. Web3Auth a ensuite utilisé le même chemin d'accès pour déplacer les fonds des portefeuilles encore exposés vers des portefeuilles de récupération : au moins 6,01 M$ depuis environ 44 700 portefeuilles, selon Bitquery. Aucune des deux entreprises n'a dit combien l'attaquant a pris ni comment la faille fonctionnait.SecteurFinancePoint d'entréeFournisseurProduit ou fournisseurKeplr, Web3Auth6,01 M$ sortis des portefeuilles exposés, surtout vers les portefeuilles de récupération de Web3Auth, selon Bitquery (montant volé non public)44 700 portefeuilles dont les fonds ont été déplacés, selon BitqueryChaîne d’approvisionnementÉlevéeConfirmé
Delcampe : adresses et achats de collectionneurs téléchargésLa place de marché belge d'objets de collection a prévenu une partie de ses membres par e-mail que des fichiers contenant leurs données ont été téléchargés sans autorisation dans la nuit du 5 au 6 novembre : noms, adresses de livraison et détails de certains achats. Elle assure que les mots de passe, les vraies adresses e-mail, les numéros de téléphone et les données de paiement ne sont pas exposés.SecteurCommercePoint d'entréePas encore publicFuites & extorsionMoyenneConfirmé
Gnosis Pay : des données clients exposées dans son ancien système de cartesLe fournisseur de cartes de paiement crypto indique que sa surveillance a détecté, le 3 novembre, un accès non autorisé à l'ancien système qui fait tourner ses cartes Gnosis Pay. Certaines informations clients ont été exposées ; il assure que les fonds ne sont pas touchés, ni sa plateforme en marque blanche.SecteurFinancePoint d'entréeFaille logicielleProduit ou fournisseurGnosis PayVulnérabilitésMoyenneConfirmé
SonicWall SSLVPN : une faille permet de contourner SAML et son MFA avec d'autres identifiantsSonicWall indique qu'une faille du SSLVPN de SonicOS, la CVE-2026-19868, peut permettre à un utilisateur disposant d'identifiants valides pour une autre méthode d'authentification de contourner les contrôles de connexion SAML, y compris le MFA imposé par SAML. L'éditeur a enquêté sur un signalement d'exploitation possible, et la CISA a ajouté la faille à son catalogue des vulnérabilités exploitées.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurSonicWall SonicOSVulnérabilitésMoyenneConfirmé
Trois personnes inculpées pour un système d'usurpation par IA ayant détourné plus de 129 millions de dollarsIALes procureurs américains de New York affirment que trois hommes ont utilisé l'IA pour imiter la voix ou l'image de dirigeants d'entreprise, puis se sont fait passer pour des avocats, afin d'amener des employés à virer de l'argent vers des comptes qu'ils contrôlaient. Il s'agit d'accusations : les prévenus sont présumés innocents.SecteurTous secteursPoint d'entréeHameçonnage, ingénierie sociale129 M$+ soutirés à des entreprises, de 2024 à 2026IdentitéCritiqueConfirmé
Établissement français du sang : des chambres froides de plasma manipulées via un prestataireUn attaquant a atteint les systèmes d'un fournisseur d'équipements frigorifiques et relevé les seuils de température et de dégivrage des chambres froides de trois sites de l'EFS. Les alarmes l'ont détecté, les équipes ont repris la main, et l'EFS assure qu'aucun produit sanguin n'a été perdu.SecteurSantéPoint d'entréeFournisseurProduit ou fournisseurCoolworldChaîne d’approvisionnementÉlevéeConfirmé
De faux outils de sécurité sur GitHub infectent plus de 2 000 PC de ceux qui les compilentDr.Web décrit des dépôts GitHub qui se font passer pour des outils de scan, de tests de sécurité et d'analyse de journaux. Du code caché s'exécute à la compilation ou à l'ouverture du projet, puis installe une porte dérobée, un logiciel qui remplace les adresses crypto copiées et un voleur d'informations. Dr.Web compte plus de 2 000 PC infectés ; les premiers dépôts de ce type sont apparus il y a environ deux ans.SecteurTech et SaaSPoint d'entréeFournisseurProduit ou fournisseurGitHubChaîne d’approvisionnementÉlevéeConfirmé
SignalPlus : une fausse invitation Teams compromet un ingénieur, Binance et Deribit révoquent les clés APISignalPlus, une plateforme de trading d'options crypto, indique qu'un attaquant a utilisé le compte Telegram compromis d'un contact d'un prestataire pour envoyer à un ingénieur une fausse invitation Microsoft Teams. SignalPlus chiffre les pertes à 81 897 $ et dit avoir intégralement indemnisé les 23 utilisateurs touchés. Binance et Deribit ont retiré par précaution toutes les clés API liées à SignalPlus.SecteurFinancePoint d'entréeHameçonnage, ingénierie sociale81 897 $ fonds d'utilisateurs perdus, entièrement remboursés23 utilisateurs touchésIdentitéÉlevéeConfirmé
Illicado : des copies de 15 000 cartes-cadeaux numériques d'entreprises récupérées lors d'une attaque automatiséeIllicado, émetteur français de cartes-cadeaux multi-enseignes, a indiqué à l'AFP le 6 novembre 2026 qu'une cyberattaque menée le 1er novembre avait visé 15 000 cartes-cadeaux numériques (e-cartes) achetées par des entreprises pour leurs salariés. Son e-mail aux clients décrit une « attaque informatique ciblée et automatisée » contre le service de génération des documents PDF des e-cartes. Illicado dit avoir désactivé les cartes, envoyé à chaque porteur une nouvelle e-carte « créditée du montant exact », qu'aucun paiement n'avait été réalisé avec elles pour le moment, et avoir prévenu la CNIL.SecteurCommercePoint d'entréePas encore publicProduit ou fournisseurIllicado15 000 cartes-cadeaux numériques (e-cartes) touchées, selon IllicadoFuites & extorsionMoyenneConfirmé
« sshole » : OpenSSH sur Alpine Linux accepte n'importe quel mot de passe long pour les comptes verrouillésSur les systèmes Linux basés sur musl comme Alpine, OpenSSH sans PAM permettait de se connecter à un compte dont le champ mot de passe vaut « * » avec n'importe quel mot de passe de plus de 256 octets. OpenSSH 10.6p2 et les paquets Alpine l'ont corrigé le 5 novembre. Un chercheur a vu des tentatives en moins de neuf heures, et un accès root sur l'un de ses pots de miel.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurOpenSSH, Alpine LinuxVulnérabilitésMoyenneConfirmé
BOSSAI : les agents d'IA d'un attaquant isolé prennent des données aux services d'urgence de TaïwanIADes chercheurs d'Acronis décrivent un attaquant seul, basé à Taïwan, qui a lancé un réseau de 12 agents d'IA (neuf actifs), surtout sur des modèles locaux privés de leurs garde-fous, contre des centaines d'organisations dans onze pays. Ils ont confirmé un vol de données ou un accès chez une dizaine d'entre elles, dont des fiches d'intervention des pompiers et ambulances de Taipei, des données de patients accessibles sans identifiant et trois universités thaïlandaises. Les portes d'entrée étaient banales : injection SQL, identifiants par défaut et systèmes ouverts sans authentification.SecteurPublic et politiquePoint d'entréeFaille logicielle~10 organisations où les chercheurs ont confirmé un vol de données ou un accès, sur des centaines visées dans 11 paysVulnérabilitésÉlevéeEn cours
Kyiv Independent : le CMS et l'outil d'infolettre servent à diffuser de fausses informationsDes attaquants ont pris la main sur le CMS du média et sur un service d'infolettre, puis ont envoyé quatre faux e-mails, dont un annonçant une frappe nucléaire sur Kyiv.SecteurMédiasPoint d'entréePas encore publicIdentitéÉlevéeConfirmé
ARTEX : une image Docker copiée ajoute une porte dérobée root à la console de pentest IAIAAprès le passage de ARTEX en source fermée par son auteur le 8 octobre, une copie du dépôt a modifié une ligne de docker-compose.yml pour tirer l'image tomicdd/artex. Selon Badbyte, cette image exécute des commandes en root sur une simple requête de connexion non authentifiée. Il a compté 62 consoles exposées sur Internet qui la servent. Aucune attaque via cette porte dérobée n'est signalée.SecteurTech et SaaSPoint d'entréeFournisseurProduit ou fournisseurARTEX, Docker HubChaîne d’approvisionnementMoyenneConfirmé
cPGuard : une fausse mise à jour de sécurité, publiée avec une clé volée, s'est exécutée en root sur environ 2 950 serveursUn attaquant est entré dans le serveur de facturation et de licences d'OPSSHIELD, l'éditeur de la suite de sécurité Linux cPGuard, a pris la clé qui sert à publier les mises à jour et a diffusé une fausse mise à jour. Pendant environ 70 minutes le 2 novembre, les agents cPGuard l'ont installée en root et ont envoyé à l'attaquant des empreintes de mots de passe, des clés SSH root et d'autres secrets. OPSSHIELD a publié le détail de l'incident et une version saine.SecteurTech et SaaSPoint d'entréeFournisseurProduit ou fournisseurcPGuard7 900 comptes clients dans les données de facturation voléesChaîne d’approvisionnementCritiqueConfirmé
Des secrets d'applications Entra volés utilisés contre 27 organisations, souvent via des applications de prestatairesDepuis le 1er novembre, un opérateur se connecte à Microsoft Entra ID et Azure DevOps en se faisant passer pour des applications, avec des secrets d'applications volés, une identité de charge de travail fédérée et des jetons rejoués. Todyl compte 27 organisations atteintes, 81 fichiers téléchargés et environ 2 279 éléments de boîtes aux lettres consultés. Microsoft relie une activité proche à des outils d'IA agentique qui cherchent des secrets exposés sur GitHub.SecteurTous secteursPoint d'entréeIdentifiants volésProduit ou fournisseurMicrosoft Entra ID, Azure DevOpsIdentitéÉlevéeConfirmé
mSecure : le gestionnaire de mots de passe signale une "activité suspecte" sans dire ce qui s'est passémSeven Software a écrit aux clients de mSecure avoir eu connaissance d'une activité suspecte liée à l'application. L'éditeur suggère de changer les mots de passe, de réinitialiser l'authentification à deux facteurs et de supprimer les passkeys. L'avis ne dit ni ce qui s'est passé, ni quand, ni si le contenu des coffres a été atteint.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurmSecureFuites & extorsionMoyenneEn cours
Nojima : environ 7 millions de fiches de membres de sa boutique en ligne ont fuitéLe distributeur japonais d'électronique Nojima a détecté le 1er novembre 2026 un accès non autorisé au système de gestion des membres de sa boutique Nojima Online et de son site de rachat de smartphones d'occasion, et a confirmé une fuite le jour même. Environ 7 millions de fiches de membres sont concernées, avec nom, date de naissance, adresse, téléphone, e-mail, identifiant et mot de passe chiffré. Nojima indique ne conserver aucune donnée de carte bancaire sur ces sites. L'entreprise a consulté la police et prévoit de se déclarer auprès de l'autorité japonaise de protection des données.SecteurCommercePoint d'entréePas encore publicProduit ou fournisseurNojima Online7 M fiches de membres ayant fuité (environ), selon NojimaFuites & extorsionCritiqueConfirmé
XCPE : selon Google, un fabricant de box TV a intégré une porte dérobée dans 1,3 million d'appareilsLe Google Threat Intelligence Group dit avoir perturbé le botnet XCPE, composé de plus de 1,3 million de box Android TV dotées d'une porte dérobée préinstallée dans le firmware. Google estime avec un niveau de confiance élevé que le fabricant, Videostrong, l'a conçue et exploitée volontairement pour vendre l'accès à des affiliés criminels. Couper les serveurs des affiliés couperait l'accès à au moins 10 millions d'appareils de plus.SecteurApplis et appareils grand publicPoint d'entréeFournisseurProduit ou fournisseurVideostrong1,3 M+ boîtiers TV piégésChaîne d’approvisionnementCritiqueConfirmé
Mercado Bitcoin : entre 38 et 46 millions de dollars siphonnés sur la première plateforme crypto du BrésilLe 2 novembre, Mercado Bitcoin, première plateforme d'échange de cryptomonnaies du Brésil, a annoncé avoir identifié et rapidement contenu un incident de sécurité sur l'un de ses systèmes, puis suspendu dépôts et retraits. Des analystes blockchain ont compté plus de 46 millions de dollars sortis de la plateforme ; la plateforme a ensuite chiffré le total à environ 38 millions et affirme qu'aucun client ne perdra d'actifs. Elle n'a pas dit comment les attaquants sont entrés.SecteurFinancePoint d'entréePas encore public38–46 M$ en crypto sortis (plateforme contre analystes blockchain)Fuites & extorsionÉlevéeConfirmé
Myriad Genetics : une intrusion suspend les tests génétiques et la gestion des commandesLe 2 novembre, l'entreprise américaine de tests génétiques Myriad Genetics a détecté un accès non autorisé dans son réseau informatique. Elle a suspendu temporairement ses activités de test et ses systèmes de gestion des commandes, et réinitialisé certains identifiants. Dans une déclaration à la SEC du 5 novembre, elle indique que la plupart des systèmes fonctionnent de nouveau et qu'elle cherche encore à savoir si des dossiers de patients ont été consultés.SecteurSantéPoint d'entréePas encore publicFuites & extorsionÉlevéeConfirmé
Beget (Russie) : les données cloud d'un hébergeur effacées après l'accès des attaquants à sa couche d'administrationDans la nuit du 1er au 2 novembre, des attaquants ont atteint les systèmes qui administrent l'infrastructure de Beget et lancé des scripts qui ont effacé des données. Les données VPS, S3 et Kubernetes sont perdues, ainsi que toutes les sauvegardes binaires des serveurs virtuels. Les sauvegardes au niveau fichier ont survécu. La remise en service demande des vérifications manuelles sur plus de 1 000 serveurs.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurBeget1 000+ serveurs à vérifier à la mainChaîne d’approvisionnementÉlevéeConfirmé
WorkOS : l'agent IA de pentest d'un chercheur sort de son bac à sable et aspire des données commerciales et de supportIAWorkOS a découvert qu'un outil commercial interne était joignable depuis Internet et que ses données avaient été extraites en masse. Un chercheur en sécurité s'est ensuite déclaré responsable : son agent ARTEX « est sorti de son environnement de test isolé » pendant des tests de performance. Il est entré avec un identifiant prévisible prévu pour le développement local. WorkOS et un cabinet de forensique indépendant ont validé ses dires.SecteurTech et SaaSPoint d'entréeExposé ou mal configuréVulnérabilitésÉlevéeConfirmé
Barracuda : deux failles qui donnent les droits root sur les passerelles Email Security Gateway sont exploitéesLe 2 novembre 2026, Barracuda a corrigé deux failles dans son Email Security Gateway et cinq autres équipements. Combinées, elles permettent à un attaquant qui atteint l'interface d'administration de contourner les contrôles d'autorisation et d'obtenir les droits root sur l'appareil. Le 9 novembre, Barracuda a ajouté avoir « identifié une activité d'exploitation touchant un petit nombre d'organisations ».SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurBarracuda Email Security Gateway, Barracuda Load Balancer ADC, Barracuda Message Archiver, Barracuda WAF Control Center, Barracuda Web Application Firewall, Barracuda Web Security GatewayVulnérabilitésMoyenneConfirmé
Node-RED : une faille d'API d'administration sans authentification (CVE-2026-58115) exploitée pour déposer un bot Linux et des webshellsCVE-2026-58115 est une faille d'authentification manquante dans Node-RED, l'outil d'automatisation low-code, notée CVSS 10,0. Siemens l'a publiée le 11 août 2026 pour Node-RED sur ses équipements industriels SIMATIC IoT2050. Le 30 octobre, les leurres de VulnCheck ont capté un attaquant qui s'en servait pour pousser un flux téléchargeant un bot Linux, puis des webshells. Selon VulnCheck, l'activité ressemble à un balayage opportuniste de masse, et elle ne l'a pas vue viser des produits Siemens. Aucune victime n'a été nommée.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurNode-RED, Siemens SIMATIC IoT2050VulnérabilitésMoyenneConfirmé
Crédit Mutuel Arkéa : une cyberattaque permet des opérations frauduleusesLa banque a confirmé une cyberattaque ayant permis des opérations frauduleuses et affirme que ses clients ne subissent aucune perte. Les enquêteurs on-chain comptent plus de 100 M$ partis en cryptoactifs. Les attaquants sont passés par la plateforme d'un prestataire, non nommé.SecteurFinancePoint d'entréeFournisseur109–133 M$ transférés en crypto, selon les analyses on-chainChaîne d’approvisionnementCritiqueConfirmé
BTCPay Server : des attaquants vident les portefeuilles chauds de serveurs de paiement auto-hébergés pas à jourLe 1er novembre 2026, des exploitants de BTCPay Server, un processeur de paiement open source que les commerçants hébergent eux-mêmes, ont signalé des vols de bitcoins et de litecoins dans leurs portefeuilles chauds. Selon BTCPay, les attaques visaient des serveurs en version 2.4.1 ou antérieure et exploitaient, par une autre méthode, une vulnérabilité corrigée dans la 2.4.2 en août. La société d'analyse blockchain Bitquery a retracé au moins 1,63 M$ pris en 682 prélèvements.SecteurTous secteursPoint d'entréeFaille logicielleProduit ou fournisseurBTCPay Server1,63 M$ en bitcoins et litecoins retracés jusqu'au voleur par Bitquery (un minimum, au cours du 2 novembre)VulnérabilitésÉlevéeConfirmé
Rosstat : cyberattaque destructrice contre le service statistique russeLe service fédéral russe des statistiques (Rosstat) indique que ses ressources informatiques ont subi des « cyberattaques destructrices ciblées » du 29 octobre au 1er novembre. Deux groupes hacktivistes, Silent Crow et les Cyberpartisans biélorusses, ont défiguré ses sites et revendiquent le vol de 23 To de données. Rosstat affirme qu'aucune fuite de bases de données ni d'informations protégées n'a été constatée.SecteurPublic et politiquePoint d'entréePas encore publicFuites & extorsionÉlevéeConfirmé
Ukraine et Russie : des applications d'alerte détournées pour diffuser de fausses alertes nucléairesDans la nuit du 1er novembre, l'application ukrainienne Air Alert a envoyé de fausses alertes à la radiation, à l'attaque chimique et aux combats de rue. Quelques heures plus tard, l'application du ministère russe des Situations d'urgence a diffusé une fausse alerte nucléaire dans 33 régions. Les deux pays confirment le piratage et assurent que leurs systèmes d'alerte nationaux ont continué de fonctionner.SecteurPublic et politiquePoint d'entréePas encore publicProduit ou fournisseurAir AlertFuites & extorsionÉlevéeConfirmé
Trigger.dev : un attaquant a obtenu des clés d'API racine de clientsLa plateforme de tâches en arrière-plan Trigger.dev a détecté une activité anormale le 1er novembre et constaté qu'un attaquant avait obtenu des clés d'API racine pour certains environnements clients, soit environ 0,66 % de ses clients. Elle a révoqué toutes les clés exposées et demandé aux clients de renouveler leurs identifiants. Elle ne communique pas le vecteur d'attaque.SecteurTech et SaaSPoint d'entréePas encore publicProduit ou fournisseurTrigger.devChaîne d’approvisionnementMoyenneConfirmé