Veille IA & cyber

Revue cyber · Focus IA, quantique et infrastructures

Des frigos encore exposés, PwnEscape casse l'isolation cloud, Atlassian au KEV

Semaine du 12 au 16 octobre 2026 · 12 min de lecture

AUSSI : Ivanti toujours une faille ouverte à l'échéance CISA, le Royaume-Uni pousse le TLS post-quantique, IDC Frontier restaure 194 clients, Ahold redémarre sans boutiques en ligne, LiteLLM une troisième faille MCP…

Revue de la semaine du lundi 12 au vendredi 16 octobre 2026, rédigée le 16 octobre au matin (heure de Paris). Les faits antérieurs au 12 octobre sont marqués « contexte ». Les revendications d'attaquants sont distinguées des faits confirmés. Les informations venues seulement de X sont regroupées en fin de revue et restent à confirmer.

Sommaire · 11 rubriques
  1. Des frigos de supermarchés chauffés à 50 °C : le sabotage qui vise l'alimentaire
  2. PwnEscape : une VM lisait la mémoire de l'hôte Linux, CVE publiée le 15 octobre
  3. Ivanti Connect Secure : échéance CISA du 16 octobre, une faille encore ouverte
  4. Post-quantique : calendriers nationaux + TLS hybride côté Royaume-Uni
  5. 🤖 FOCUS IA ET CYBERSÉCURITÉ
  6. ⚛️ FOCUS QUANTIQUE
  7. 🏗️ FOCUS INFRASTRUCTURES
  8. 🚨 ATTAQUES DE LA SEMAINE
  9. 🩹 VULNÉRABILITÉS À TRAITER
  10. 📲 VU SUR X (à confirmer)
  11. 📅 À SURVEILLER

Cette semaine

  • Environ 700 supermarchés touchés ; Copeland reconnaît une faille ; expositions en baisse en France
  • Ivanti : échéance CISA du 16 octobre, la troisième faille toujours sans correctif
  • PwnEscape (CVE-2026-99999) : fuite mémoire hôte depuis une VM, noyaux stables patchés
  • Atlassian Data Center : CVE-2026-21589 ajoutée au KEV le 15 octobre
  • Chrome cassé en six jours avec l'IA ; PwnEscape trouvé en trois jours avec l'IA
  • Anthropic teste des « vers IA » sur des boîtiers TV à 55 $
  • Patch Tuesday : plus de 1 400 failles, zero-day Windows Shell au KEV
  • Post-quantique : Allemagne 2030, Singapour 2031, NCSC britannique pousse le TLS hybride
  • Aux États-Unis, aucune des 24 agences auditées n'est prête (GAO)
  • IDC Frontier : pas d'exfiltration VMs, backups pour 194 clients ; Ahold en redémarrage contrôlé
  • Ledger : des portefeuilles piégés ; Meta perd du code ; COPC évoque 1,4 million de patients
  • Microsoft démantèle trois plateformes de phishing chinoises

Des frigos de supermarchés chauffés à 50 °C : le sabotage qui vise l'alimentaire

Dans la nuit du 11 au 12 octobre, des attaquants ont pris la main à distance sur les contrôleurs de réfrigération de centaines de supermarchés français. Ils ont forcé des dégivrages et poussé des températures jusqu'à 50 °C. Le ministre de l'Économie Roland Lescure a évoqué environ 700 magasins touchés sur 10 000, selon AP. Toute la presse en parle, de l'AFP à la BBC, SecurityWeek et The Hacker News.

Ce qu'il faut retenir :
  • Le matériel visé : des contrôleurs Danfoss (séries AK-SM et AK-SC), puis, d'après le CERT-FR (mise à jour du 13 octobre), des Copeland xweb et Dixell xweb exposés sur Internet.
  • Les enseignes citées : Intermarché/Netto (Les Mousquetaires évoquent environ 150 magasins selon SecurityWeek du 15 octobre ; l'AFP avait cité au moins 300 plus tôt), Carrefour (80), Monoprix (environ 30 selon l'AFP), Coopérative U (80 selon son PDG, cité par SecurityWeek), plusieurs E.Leclerc.
  • Les dégâts : denrées détruites, départs de feu rapportés, pertes évoquées de plusieurs millions d'euros. Aucune revendication ni demande de rançon connue ; les enquêteurs s'en étonnent, selon Reuters.
  • Du matériel en fin de vie : selon Danfoss, la majorité des appareils touchés sont des AK-SM 800 et AK-SC 355 qui ne reçoivent plus de mises à jour. Copeland a depuis reconnu une vulnérabilité sur une génération de contrôleurs en fin de vie et dit travailler avec les clients impactés (SecurityWeek, Cybernews, 15 octobre).
  • Exposition Internet : Censys comptait près de 3 000 panneaux Danfoss StoreView exposés le 11 octobre, dont plus de 1 800 en France ; au 14 octobre, le compteur français était retombé à 537, signe que les opérateurs débranchent plutôt qu'ils ne patchent, selon SecurityWeek.
  • Périmètre : Sekoia évoque aussi des magasins en Espagne, Portugal, Pologne, Allemagne et Belgique, sans détail public. Le NCSC néerlandais ne voit pas de lien avec l'incident Ahold Delhaize.
  • La réponse publique : enquête du parquet de Paris (OFAC), saisine de l'ANSSI, alerte CERTFR-2026-ALE-012 (dernière version le 13 octobre ; toujours active au 16).
Pourquoi ça compte

C'est un sabotage physique déclenché par Internet, sur une infrastructure que personne ne pensait critique : la chaîne du froid. La faille n'est pas sophistiquée. C'est l'exposition directe d'interfaces d'administration. Le CERT-FR juge que des campagnes sont probablement toujours en cours et qu'une simple réinitialisation d'usine ne suffit pas. Prudence : les chiffres par enseigne varient encore selon les sources. Conseil pratique : si votre site exploite des contrôleurs, une GTB ou une supervision, vérifiez dès aujourd'hui qu'aucune interface n'est joignable depuis Internet.

PwnEscape : une VM lisait la mémoire de l'hôte Linux, CVE publiée le 15 octobre

Image : thehackernews.com

Le défi Vercel à 1 million de dollars (billet du 14 octobre) avait mis au jour un zero-day dans la pile réseau du noyau Linux. Le 15 octobre, la faille a reçu l'identifiant CVE-2026-99999 (surnom PwnEscape), notée 9.3 (Critique) par le CNA Linux. Depuis une micro-machine virtuelle, des paquets forgés permettaient de lire la mémoire de l'hôte (~32 octets par paquet), de le planter ou, en labo, d'y exécuter du code en administrateur.

En détail :
  • Découverte : Paulos Yibelo (pwn.ai), avec un harness aidé de GPT-5.6 Sol, en trois jours et moins de 700 $ de tokens, selon The Hacker News. Vercel a confirmé la fuite mémoire sur ses sandboxes de production.
  • Vecteur : local (code déjà dans le guest). Pas d'exploitation confirmée dans la nature, pas au KEV au 16 octobre.
  • Correctifs stables (à appliquer sur l'hôte, pas seulement le guest) : 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57, 7.2.11 (et builds distributeurs équivalents). LWN a signalé sept noyaux stables le 15 octobre.
  • Contexte Vercel : 1 285 rapports, 242 000 $ versés ; aucune donnée client lue selon l'éditeur.
Pourquoi ça compte

Presque tous les grands clouds reposent sur cette couche d'isolation. Priorisez le patch des hyperviseurs et hôtes Firecracker/KVM. Vérifiez l'avis de votre distribution : le numéro uname ne suffit pas toujours. Conseil : limiter les droits des microVM (jailer, pas de nested virt) ne remplace pas le correctif.

Ivanti Connect Secure : échéance CISA du 16 octobre, une faille encore ouverte

Une faille de contournement d'authentification dans le VPN Ivanti Connect Secure (CVE-2026-104935, CVSS 8.6) est activement exploitée. Volexity a observé l'exploitation dès le 3 octobre (contexte), sous le nom UTA0576. La CISA l'a ajoutée au KEV le 13 octobre, avec une échéance de correction au 16 octobre pour les agences fédérales — aujourd'hui.

Les points essentiels :
  • La chaîne d'attaque : trois zero-days chaînés. Deux (auth bypass + exécution) sont corrigés depuis le 13 octobre sous le même CVE ; le troisième (élévation de privilèges vers root) attend encore son correctif, « dans les semaines à venir » selon Ivanti.
  • Les versions corrigées : 22.8R2.5, 25.1.1.2, 25.1.3.0/25.1.3.1. Ivanti pousse vers la branche 25.x (fin de vie 22.8 le 31 janvier 2027).
  • Ce que font les attaquants : commandes en mémoire sans malware durable, vol d'identifiants AD / clés BitLocker, altération des journaux. L'Integrity Checker Tool d'Ivanti peut manquer les changements purement mémoire, selon Volexity / Tenable.
  • CERT-FR : alerte CERTFR-2026-ALE-013 et avis CERTFR-2026-AVI-1311 (14 octobre).
  • Patch Tuesday (13 oct.) : entre 1 407 et 1 417 failles. Zero-day exploité : CVE-2026-96951 (Windows Shell / Mark of the Web, CVSS 8.8), aussi au KEV, échéance 16 octobre.
Pourquoi ça compte

Un appareil « à jour » avant le 13 octobre a pu être compromis. Cherchez des traces (dumps mémoire, comptes, BitLocker), pas seulement le correctif. Priorisez KEV et exposition plutôt que le volume Microsoft.

Post-quantique : calendriers nationaux + TLS hybride côté Royaume-Uni

Peu d'annonces de rupture en cryptanalyse, mais les calendriers et les guides opérationnels se précisent. Le 12 octobre, l'Allemagne a publié sa ligne directrice PQC. Le 14, Singapour a fixé ses échéances. Le 15 octobre, le NCSC britannique a mis à jour son guide TLS pour y intégrer la cryptographie post-quantique, après la RFC IETF sur les échanges de clés hybrides TLS 1.3.

Ce que disent les textes :
  • Allemagne : cas à haut risque au plus tard fin 2030, ensemble largement achevé d'ici 2035.
  • Singapour : infrastructures critiques d'ici 2031, autres exposées d'ici 2035, plan de migration prêt fin 2027 ; subvention « Quantum-Safe Kickstarter Grant ».
  • Royaume-Uni (NCSC, 15 oct.) : recommande des profils hybrides (post-quantique + classique) et purs PQC sous TLS 1.3 uniquement ; migrer hors TLS 1.2 dès maintenant. Horizon « haute priorité » cité : 2031.
  • États-Unis : rapport GAO (6/14 oct.) : aucune des 24 agences n'applique pleinement les trois pratiques de préparation ; 89 recommandations.
  • Normes : FIPS 207 (HQC) toujours pas publiée ; spécification HQC mise à jour le 12 octobre. Norme finale attendue en 2027.
Le contexte

Même double horizon 2030-2031 / 2035. Aucun ordinateur quantique n'a cassé RSA-2048. Le sujet immédiat : inventaire des algorithmes vulnérables (RSA, courbes elliptiques) et migration TLS 1.3 + hybrides là où les bibliothèques le permettent.

FOCUS IA ET CYBERSÉCURITÉ

Six jours, 40 000 $ de tokens : l'IA aide à casser Chrome

XBOW a enchaîné trois zero-days Chrome pour sortir du bac à sable Windows (annonce 13 oct.). Prime Google 250 000 $. Modèle GPT-5.6 Sol, expertise humaine forte. Correctif : Chrome 152.0.7977.82 (relancer le navigateur).

PwnEscape aussi trouvé avec l'IA, en trois jours

Même famille d'outils (GPT-5.6 Sol) pour une faille Critique du noyau Linux. Coût tokens annoncé sous 700 $. La barrière d'entrée de la recherche offensive baisse encore.

Anthropic simule un ver IA sur des boîtiers TV à 55 $

15 boîtiers Android TV ; modèle ouvert 26 milliards de paramètres. Sur 8 appareils émulés, GLM-5.2 réussit la réplication complète dans 4 essais sur 5. Aucun ver IA observé dans la nature.

Plugin4Shell : RCE sans clic dans quatre agents de code

Plugins de Claude Code, Codex, GitHub Copilot et Gemini CLI. Claude Code (2.1.179) et Codex (0.146.0) corrigés. Pas de CVE attribuée.

LiteLLM : failles critiques + contournement MCP

Check Point : CVE-2026-35029 et CVE-2026-59823, correctif 1.83.9. Une faille MCP supplémentaire (CVE-2026-59822, auth bypass OAuth2) est citée avec correctif 1.84.0+ (avis GitHub / Wiz). Vérifiez les installations indirectes.

MCP : vague de CVE sans correctif clair

Au moins 23 CVE entre le 10 et le 14 octobre sur serveurs MCP / agents. La plus grave citée : CVE-2026-110616 (NullHub, CVSS 9.2).

Claude Code Desktop : aperçu qui lisait le disque

Corrigé dans Claude Desktop 1.30096.1 (17 août, contexte). CVE annoncée, pas encore publiée au 16 octobre.

Ce que vous pouvez faire

moindre privilège pour les agents, traiter toute sortie de modèle comme non fiable, désactiver les mises à jour automatiques de plugins non validés, inventorier LiteLLM / passerelles MCP, forcer le redémarrage des navigateurs après patch Chrome.

FOCUS QUANTIQUE

Constat de la semaine : aucune rupture en cryptanalyse quantique. L'actualité est réglementaire, normative et industrielle.

NCSC : configs TLS post-quantiques recommandées

Publié le 15 octobre. Hybrides et purs PQC sous TLS 1.3 ; migration hors TLS 1.2. Guide « Using TLS to protect data » mis à jour le même jour.

Microsoft teste les certificats TLS post-quantiques

Pilote du 27 août (contexte), signatures ML-DSA-87, sept AC dont DigiCert et Sectigo. Admissions ouvertes jusqu'à fin 2026.

HQC, le plan B du NIST, avance

Spécification révisée le 12 octobre. FIPS 207 pas encore en projet public. Norme finale attendue 2027.

Alice & Bob, D-Wave, Infleqtion

Décodage LDPC-cat sur GPU Nvidia (13 oct.) ; prolongation D-Wave / SkyWater ; 9 M£ Innovate UK pour Infleqtion (radiogoniométrie). Calcul / détection, pas cassage de chiffrement.

Non, RSA-2048 n'est pas cassé

Les affirmations virales restent hors de portée du matériel actuel. Voir aussi la section X pour les préprints crypto « quantum-safe ».

FOCUS INFRASTRUCTURES

IDC Frontier : pas d'exfiltration VMs confirmée, 194 backups récupérables

Rançongiciel depuis le 7 octobre (contexte) sur quatre zones Est-Japon 1, 495 clients. 5e communiqué (14 oct.) : aucune trace d'exfiltration des données des serveurs virtuels ; consultations non autorisées des données d'inscription de 48 sociétés. Au 15 octobre, la presse japonaise indique que les sauvegardes snapshot sont récupérables pour 194 clients (restauration au cas par cas). Des donneurs d'ordre (Mouse Computer, Izumi, JR, etc.) ont publié des risques de fuite via sous-traitants hébergés sur cette base — à distinguer de l'exfiltration des VMs niée par IDC Frontier.

Yandex : trois datacenters frappés par des drones

Entre le 8 et le 11 octobre (contexte). Deux sites à l'arrêt, un dégradé. Le datacenter comme cible militaire.

Ahold Delhaize : redémarrage contrôlé, e-commerce encore cassé

Incident annoncé le 12 octobre, mise à jour le 13. Magasins ouverts ; centres de distribution Albert Heijn repartis vers le 14-15 ; site / app / livraison en ligne toujours indisponibles côté Albert Heijn au 15-16. Police et parquet néerlandais ont invité le groupe à déposer plainte (15 oct.) ; pas d'enquête pénale sans plainte. Aucune preuve de vol de données clients/employés à ce stade. Pas de lien établi avec les frigos français.

PwnEscape / Vercel

Voir « À la une ». Correctifs noyau à déployer sur les hôtes de virtualisation.

Énergie, OT, edge

Avis CISA (contexte) sur openPDC / openHistorian. CVE-2026-89111 (CVSS 10) sur SAP Cloud SDK for Python avant 0.45.2. Collabora / Nextcloud : exploitation active d'une RCE signalée par BleepingComputer vers mi-octobre — à traiter si vous hébergez Collabora Online.

ATTAQUES DE LA SEMAINE

Confirmées :
  • Supermarchés FR (12–16 oct.) : sabotage des contrôleurs de froid ; enquête ouverte ; pas de revendication.
  • Meta (13 oct.) : dépôts GitHub via identifiant employé volé ; code + données d'environ 1 500 personnes.
  • Ledger / CryptoBilis (12 oct.) : implant LTE/eSIM ; pertes estimées 90–102 M$.
  • ASOS (12 oct.) : compte employé, noms/coordonnées ; pas de cartes ni mots de passe selon l'entreprise.
  • AP-HP : 1 015 patients via logiciel de gestion des repas.
  • Microsoft (14 oct.) : saisie YAM Store, CoGUI, Iron Man ; >750 millions de messages depuis janvier.
  • Central Ohio Primary Care (divulgation vers le 15 oct.) : cyberattaque (accès par vishing en août, contexte) ; jusqu'à environ 1,4 million de personnes potentiellement concernées selon les médias US. Chaos revendique ; COPC ne confirme pas l'attribution dans son avis public.
  • OpenAI (9 oct., contexte) : micro caché en salle de réunion ; incident d'initié.
Revendications non confirmées :
  • Ampath Laboratories : « ByteToBreach », >80 millions d'enregistrements ; Ampath juge le chiffre exagéré.
  • Panzer : Zenidoc (605 000 fiches) et Valode & Pistre (2 To).
  • MaQuestionMedicale : 95 900 fiches. Virtual Care Provider : maisons de retraite US, rançon 14 M$ (source secondaire).
  • Tendance : suivi tiers ~256 victimes rançongiciel publiées en octobre au 15 ; Qilin, Akira, Incransom en tête (indicatif).

VULNÉRABILITÉS À TRAITER

  • Windows Shell, CVE-2026-96951 : exploitée, KEV, échéance 16 octobre.
  • Ivanti Connect Secure, CVE-2026-104935 : KEV, échéance 16 octobre ; 3e faille de la chaîne encore ouverte.
  • Atlassian Data Center, CVE-2026-21589 : accès arbitraire à des fichiers (non authentifié si chemin connu) ; products Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible, Fisheye. Ajoutée au KEV le 15 octobre, échéance fédérale 18 octobre. Cloud Atlassian déjà patché.
  • PwnEscape / Linux, CVE-2026-99999 : patcher les hôtes (versions stables ci-dessus).
  • Palo Alto PAN-OS (CVE-2026-0322) et Ahsay AhsayCBS (CVE-2026-105133) : KEV depuis le 14 octobre.
  • Contrôleurs de froid : CERTFR-2026-ALE-012 — couper l'exposition Internet, VPN, remplacer le matériel EOL.
  • Chrome 152.0.7977.82, LiteLLM 1.83.9 / 1.84.0+.
  • Chaîne logicielle (contexte) : GhostPat (Docker Hub), SlugFest (npm).

VU SUR X (à confirmer)

  • Ivanti : plus de 5 500 instances exposées ; acteur UTA0576 (repris aussi hors X).
  • PwnEscape : discussion intense autour de la découverte assistée par IA et du risque cloud mutualisé.
  • Perplexity aurait open-sourcé un sandbox agent SPACE (Firecracker) ; 0 évasion sur 118 tests internes selon le résumé X.
  • Microsoft Research Magnetar : zkVM post-quantique (hash only), accélérations annoncées vs SP1/Jolt — papier de recherche.
  • Matthew Green aurait appelé à retirer les firmware publics d'infrastructures critiques face à l'analyse IA ; débat transparence vs sécurité.
  • Crypto post-quantique : préprints ZKPoSP / American Fortress (preuves de propriété sans déplacer les fonds).
  • Rumeur : OpenAI en discussion préliminaire pour racheter Trail of Bits (toujours non confirmé).
  • Japon : résumés X sur réunion d'urgence post-IDC Frontier et fuites JR East / Lawson — non tous vérifiés ailleurs.

À SURVEILLER

  • 16 oct. : échéances CISA Windows Shell et Ivanti (aujourd'hui).
  • 18 oct. : échéance CISA Atlassian CVE-2026-21589.
  • Ivanti : correctif de la 3e faille (élévation root).
  • Noyau Linux / PwnEscape : paquets distributeurs (Debian encore marqué vulnérable sur certaines branches au 16 au matin selon un suivi tiers — vérifier l'avis de votre distro).
  • Supermarchés : conclusions ANSSI / parquet ; éventuelle revendication ; exposition Domotique/GTB hors France.
  • IDC Frontier et Ahold Delhaize : retour à la normale, bilan données, plainte éventuelle aux Pays-Bas.
  • FIPS 207 (HQC) : projet NIST ; norme 2027.
  • Fin 2027 : plans PQC Singapour. 2030-2031 puis 2035 : jalons DE / UE / SG / UK.
  • 31 janv. 2027 : fin de vie Ivanti Connect Secure 22.8.

Sources principales : CERT-FR ALE-012 · CERT-FR ALE-013 · CISA KEV · CISA Ivanti · CISA Atlassian 15/10 · Atlassian CVE-2026-21589 · BSI PQC · CSA Singapour · NCSC TLS PQC · GAO · The Hacker News PwnEscape · Vercel · LWN · SecurityWeek frigos · IDC Frontier · Ahold Delhaize · The Register, BleepingComputer, The Record, Ars Technica, AP, AFP, Cybernews, Noma Labs, SC Media · résumés X (à confirmer). Les chiffres sont ceux des sources citées au 16 octobre au matin et n'ont pas tous été recoupés.

Sommaire