Rapport de terrain quotidien sur ce qui est Probably Fine
No. 17·Mercredi 14 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas bien, mais survivable
Ouverture · Vulnérabilités
Ivanti Connect Secure : compromis jusqu'au root alors qu'il était entièrement à jour, et l'une des trois failles reste ouverte
CVE-2026-104935 est entrée mardi au catalogue KEV de la CISA, et l'attaquant qui l'exploite n'avait pas besoin que vous soyez en retard sur vos mises à jour.
confiance0.85
La CISA a ajouté le 13 octobre CVE-2026-104935 au catalogue des vulnérabilités connues et exploitées (KEV) : un contournement d'authentification par usurpation dans Ivanti Connect Secure, qui permet à un attaquant distant et non authentifié d'exécuter des commandes arbitraires. Ivanti a demandé mardi à ses clients d'appliquer immédiatement le correctif. Volexity a ensuite décrit ce qu'était l'exploitation en pratique : trois failles zero-day enchaînées pour exécuter des commandes en tant que root sur l'appliance sans s'authentifier, sur des passerelles pourtant à jour. Ivanti a livré des correctifs pour deux des trois failles et a demandé aux clients des versions concernées d'agir sans délai. La troisième n'a pas de correctif.
C'est une erreur de catégorie que nous répétons sans cesse. Nous traitons « corrigé » comme un état de la machine alors que ce n'est qu'un horodatage sur un document, et l'écart entre le document et le boîtier est précisément l'espace où prospère une chaîne d'attaque. Un concentrateur VPN est le seul équipement du parc dont la fonction est d'être joignable par des inconnus et digne de confiance pour tout ce qui se trouve derrière lui ; c'est la porte d'entrée que nous avons achetée justement pour qu'elle soit un produit plutôt que notre problème.
Le calendrier est le volet cruel. L'annonce est tombée le jour même où Microsoft a publié le plus gros lot de correctifs jamais vu : ceux qui doivent retirer une passerelle d'accès distant du service sont les mêmes à qui l'on demande de déployer un millier et quelques de correctifs Windows. L'attention est un contrôle fini, et personne ne l'a jamais mise sur un tableau de bord.
Pourquoi c'est importantSi vous exploitez Connect Secure, partez du principe qu'une appliance corrigée peut être compromise : appliquez les deux correctifs disponibles, recherchez toute activité de niveau root sur la passerelle et considérez comme suspect tout ce que le VPN approuvait tant que le troisième correctif n'existe pas.
Le nombre de failles qu'un éditeur corrige en un mois ne mesure ni son application ni votre risque. Il mesure la quantité de code livrée pendant que personne ne comptait.
— Sturgeon's Revelations · Probably Fine Daily No. 17
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Un Patch Tuesday record, et la deuxième entrée KEV que personne n'aura le temps de lire
Microsoft a livré des correctifs pour 1,411 failles, dont un zero-day activement exploité et deux divulgués publiquement, selon BleepingComputer ; le SANS Internet Storm Center en a compté 1,417, dont 76 critiques et sept ne nécessitant aucune action du client. Krebs note que ce chiffre écrase le record de septembre, proche du millier, lui-même environ dix fois un mois normal. Discrètement, la CISA a ajouté au KEV CVE-2026-96951 : une injection de commandes dans Windows Shell qui permet à un attaquant non autorisé de contourner une fonction de sécurité à travers le réseau. Les mises à jour KB5127648 et KB5126653 pour Windows 11 sont disponibles, Windows 10 reçoit KB5126657 au titre des mises à jour de sécurité étendues, et Windows 11 24H2 Famille et Pro sont désormais totalement hors support.
Pourquoi c'est importantTraitez d'abord la faille exploitée et l'entrée KEV ; mille CVE ne font pas un plan de correction, c'est un phénomène météorologique.
Wallstreet publie onze victimes en trois minutes, pour la plupart suédoises
Entre 16:52 et 16:55 le 13 octobre, le site de fuites de Wallstreet a listé Mantum Holding, Danvikshem, Briab Group, Fab Support, Vendus Sweden, Englunds Konsultbyrå et quatre cabinets d'architecture de Stockholm — Brunnberg & Forshed, Byrån för Arkitektur och Urbanism, Spectrum Arkitekter et Ahlqvist & Almqvist — ainsi qu'une résidence pour seniors à Hildesheim, en Allemagne. L'acteur totalise 39 éléments sur quatre sources dans la fenêtre, ransomware.live le relayant environ 2.5 heures avant ransomlook. Quatre cabinets d'architecture d'une même ville dans un même lot ne sont pas onze cambriolages indépendants ; c'est la signature d'un élément en amont, même si rien dans les flux ne désigne un fournisseur commun.
Pourquoi c'est importantSi vous êtes un cabinet suédois de services professionnels, demandez à votre fournisseur de logiciels de conception, d'hébergement ou d'informatique ce qui s'est passé la semaine dernière avant de vous interroger vous-même.
confiance0.60
Rançongiciels
HYFLOCK arrose sept pays en cinq minutes ; N0n numérote ses victimes comme des stocks
HYFLOCK a publié huit entrées entre 15:24 et 15:29 sur ransomlook — un groupe de conseil malaisien, un bureau d'études brésilien en combustion, un éditeur saoudien d'ERP en nuage, un fabricant indien de produits chimiques, une entreprise indienne de boissons, un fournisseur d'accès bangladais, un fabricant pharmaceutique turc et le siège de la Police nationale de l'Équateur — puis deux d'entre elles sont apparues sur ransomware.live 1.8 heure plus tard, l'un des rares cas où ransomlook a pris la tête. Par ailleurs, N0n a produit 18 éléments en une journée contre une médiane de un, dont un cabinet de neurologie australien avec 15,252 images de patients et 839 fichiers de dossiers patients, ainsi que des fiches provisoires intitulées « Company #63 », « #64 » et « #65 » avec la mention PENDING EXPOSURE, associées à des secteurs plutôt qu'à des noms.
Pourquoi c'est importantUne divulgation échelonnée et numérotée est un calendrier d'extorsion : si vous êtes en négociation, votre entrée a déjà son créneau et son index.
confiance0.60
Acteurs de la menace
Quelqu'un a réchauffé les frigos : des contrôleurs Danfoss détournés dans des centaines de supermarchés français
Dans la nuit du 11 octobre, des attaquants ont pris le contrôle à distance de la réfrigération de centaines de supermarchés français en atteignant le contrôleur Danfoss qui pilote l'ensemble des réfrigérateurs et congélateurs d'un magasin, les portant à 50°C et obligeant les magasins à jeter leurs stocks, selon plusieurs enseignes. Un chercheur écrivant sur Mastodon affirme que des bugs permettant précisément cette catégorie d'attaque à distance sur des contrôleurs de réfrigération étaient connus depuis plus d'un an. Sur la même période, Ahold Delhaize a déconnecté des systèmes pour contenir un incident, et TFG London a signalé une attaque perturbant l'informatique utilisée par Phase Eight, Hobbs et Whistles ; aucune cause commune n'est indiquée dans les articles.
Pourquoi c'est importantVotre inventaire OT n'est pas l'ensemble des automates du schéma d'ingénierie ; c'est tout ce qui possède une interface web capable de modifier une consigne physique, y compris ce qui garde froid le rayon frais.
Anthropic dit que de petits modèles pourraient bientôt s'auto-répliquer dans les fours connectés ; les scanners cherchent déjà les clés de modèles
Anthropic avertit que de petits modèles d'IA pourraient n'être qu'à quelques mois de pouvoir s'auto-répliquer sur des objets connectés grand public — boîtiers Android TV bon marché, fours connectés — formant des botnets vers autonomes et auto-propagés qui exécutent des charges d'IA sans centre de données, et des chercheurs jugent qu'un tel dispositif serait « difficile » à neutraliser. Par ailleurs, la start-up de sécurité de l'IA AIR signale une faille de filtrage réseau dans Vercel Sandbox qui pourrait permettre à des agents d'abuser de la validation des certificats pour exfiltrer des données hors des réseaux autorisés, et le NVD a publié cette semaine une série de CVE touchant la plomberie des agents, dont une faille d'épuisement de mémoire dans le SDK MCP Kotlin et mcp-remote qui envoie des secrets clients en HTTP simple.
Pourquoi c'est importantLes clés d'API de modèles constituent désormais une classe d'identifiants dotée de sa propre signature de scan ; intégrez-les dès aujourd'hui au même inventaire, à la même rotation et aux mêmes alertes que les clés cloud.
Docker Hub, npm et SAP : trois façons d'être quelqu'un d'autre cette semaine
Docker a divulgué CVE-2026-105445, une faille vieille de deux ans dans la fonction de conversion des jetons d'accès personnels, qui permettait à un utilisateur de pousser, récupérer ou supprimer des images au nom d'un autre ; elle a été corrigée le 30 septembre et Docker affirme n'avoir trouvé aucune trace d'exploitation. GitHub fait désormais expirer les configurations de publication de confiance npm non validées 48 heures après leur création, après que des chercheurs ont trouvé plus de 1,500 paquets pour lesquels un attaquant pouvait publier de nouvelles versions du paquet d'autrui sans dérober d'identifiant. Et les mises à jour d'octobre de SAP couvrent 20 failles, dont une de gravité maximale dans le Cloud SDK pour Python, qui peut envoyer les identifiants clients OAuth2 d'une application multi-locataire vers un serveur contrôlé par l'attaquant.
Pourquoi c'est importantCe sont trois défaillances d'identité aux endroits d'où vous tirez votre code, soit la seule décision de confiance que votre chaîne de construction prend des milliers de fois par jour sans rien demander.
Le reste de la pile : Ghostscript, MarkLogic, Adobe et un téléviseur LG qui s'octroie lui-même les droits root pour quiconque est sur le Wi-Fi
Un dépassement de tampon de tas critique dans Ghostscript, CVE-2026-39919, permet l'exécution de code à distance via des PDF piégés, ce qui compte partout où un serveur génère le rendu de fichiers téléversés par des utilisateurs. Progress a publié le 12 octobre 31 failles de MarkLogic Server, dont cinq critiques, deux permettant à un compte disposant seulement de privilèges de gestion partiels de prendre le contrôle administrateur. Adobe a corrigé 140 vulnérabilités dans dix produits, et SSD Secure Disclosure a publié une chaîne de trois failles webOS donnant à un attaquant du même réseau local un accès root à certains téléviseurs connectés LG, sans code PIN et sans aucune interaction du propriétaire ; LG dispose d'un correctif.
Pourquoi c'est importantLes gestionnaires de téléversement et tout ce qui est doté d'un écran sur le VLAN invités constituent une surface d'attaque, et un seul des deux a un propriétaire dans votre CMDB.
Un dispositif d'écoute dans la salle de conférence, une carte électronique sous l'écran et des téléphones compromis avant même le déballage
Le FBI et OpenAI indiquent qu'un dispositif d'écoute a été découvert dans une salle de conférence de direction des bureaux de l'entreprise à San Francisco ; le ressortissant saoudien Abdulrahman Alfozan, 35 ans, salarié d'OpenAI, a été arrêté vendredi, licencié et inculpé. SecurityWeek rapporte un vol de cryptomonnaies de 86 millions de dollars relié à un implant matériel dans des dispositifs de signature Ledger — une petite carte électronique dissimulée sous les écrans, qui lisait les données de l'utilisateur et les transmettait aux attaquants. Et AlienVault décrit « Midnight Mimosa », un code malveillant préinstallé dans le micrologiciel d'appareils Android bon marché à base de MediaTek avant même que l'acheteur ne les allume.
Pourquoi c'est importantTrois rappels que la chaîne d'approvisionnement inclut la pièce, l'appareil et l'usine, que votre agent EDR ne couvre en rien.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux : une vraie urgence, un lot de traqueurs qui se donnent raison entre eux, et une journée de statistiques sans référence.
Exception 01
La chaîne Ivanti est la seule chose sur laquelle convergent quatre sources indépendantes
CVE-2026-104935 apparaît le même jour dans le KEV, le signal KEV, l'actualité et les flux RSS, soit six éléments au total, décrivant une chaîne de trois failles menant au root sur des appliances corrigées, dont une faille reste sans correctif. C'est l'élément exploitable de plus haute confiance de la fenêtre, et il coïncide avec le Patch Tuesday, qui partage l'attention des défenseurs.
confiance0.80
Wrong if
Un avis d'éditeur montrant les trois failles corrigées, ou l'absence de nouveau signalement d'exploitation sous 48 heures.
Watch
Un correctif pour la troisième faille, toute directive de la CISA et de la télémétrie d'exploitation au cours des un à trois prochains jours.
La corroboration entre traqueurs de rançongiciels est surtout un même événement compté plusieurs fois
Pour la plupart des acteurs disposant de plus d'une source, ransomware.live apparaît en premier : Aurora de 9.4 heures, Safepay 8.8, BYOD 6.4, N0n et Panzer 5.9, Play 4.2, Wallstreet 2.5. Les articles d'Atlas suivent donc les données des sites de fuites plutôt que de les confirmer de façon indépendante.
confiance0.70
Wrong if
Ces horodatages sont des heures de collecte et non des heures de publication, ce qui fait du décalage un artefact de collecte.
Watch
Si ransomware.live conserve l'avance dans la prochaine fenêtre, et si l'avance de 1.8 heure de ransomlook sur HYFLOCK se répète.
Atlas relie sans cesse rançongiciels et KEV sans qu'aucune entrée KEV ne nomme quiconque
Atlas a généré des articles de « fusion KEV × rançongiciels » pour play, akira, Wallstreet, qilin, Panzer, Orova et d'autres, mais aucun élément KEV de cette fenêtre ne nomme d'acteur de rançongiciel. Le lien relève de l'inférence du pipeline, non d'un reportage. Saddlers Court MFG est étiqueté GB alors que son champ pays indique États-Unis, ce qui donne la mesure de la confiance à accorder à la géographie.
confiance0.50Speculative
Wrong if
Un compte rendu d'incident nommant Ivanti Connect Secure ou la faille de Windows Shell dans une intrusion de Play ou d'akira.
Watch
Tout rapport de réponse à incident reliant ces acteurs aux ajouts KEV du 13 octobre.
Le silence du NVD après le 12 octobre relève probablement de la tuyauterie, pas de la paix
Le NVD a fourni 100 éléments, tous avant 2026-10-12 23:21, dont un important flot de modules WordPress horodaté 07:17 et un lot de CVE liées à l'IA et à MCP. Cela ressemble à un import en masse plutôt qu'à une véritable pause dans les divulgations.
confiance0.50Speculative
Wrong if
Des éléments du NVD avec des heures d'événement ultérieures apparaissant dans la prochaine fenêtre de collecte.
Nothing to seeLa fenêtre équivaut en pratique à une seule journée — 315 des 561 éléments sont arrivés le 13 octobre — de sorte que chaque « pic » est mesuré par rapport à une médiane de zéro et doit être lu comme tel. La campagne de Kimsuky contre des experts ukrainiens de la diplomatie et de la sécurité, le lot Vidar de ThreatFox, la brèche GitHub de Meta touchant 1,500 personnes, l'amende de Xandr et les descentes dans les complexes d'escroquerie d'Afrique de l'Ouest n'ont révélé aucun lien caché ; ils sont ce qu'ils prétendent être.
Deep read: 561 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueSat 24 Oct10 days
Ivanti publie un correctif ou une mesure d'atténuation formelle pour la troisième faille de la chaîne Connect Secure.
Wrong ifAucun avis d'Ivanti couvrant la troisième faille au 24 octobre, le récit de Volexity n'étant pas modifié.
N0n nomme au moins l'une des fiches provisoires « Company #63 », « #64 » ou « #65 » sur son site de fuites.
Wrong ifLes trois restent en PENDING EXPOSURE ou sont retirées sans victime nommée au 24 octobre.
f-2026-10-14-2
Confidence0.55
DueWed 21 Oct7 days
Wallstreet publie au moins trois autres victimes suédoises sur son site de fuites.
Wrong ifMoins de trois nouvelles entrées Wallstreet étiquetées SE apparaissent sur ransomware.live ou ransomlook au 21 octobre.
f-2026-10-14-3
Confidence0.40
Scorecard
1 right
right
The Gentlemen will not match or exceed 39 items on any single day between 8 and 14 October in these feeds.
Called Wed 7 Oct · due Wed 14 Oct
All atlas/signal:atlas/ransomware.live items for thegentlemen on 13 Oct show 'cooling' status with far fewer than 39 items; no single day 8-14 Oct shows 39+ items attributed to thegentlemen across the tracked feeds.
Glossaire des termes que vous êtes censé connaître
Entièrement à jour(n.)
Description d'une appliance qui était exacte jusqu'à la divulgation de la troisième faille de la chaîne, soit, dans le cas d'aujourd'hui, deux failles plus tôt.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre a profilé 178 sources hostiles au cours des dernières 24 heures — 114 scanners, 49 robots d'indexation, 13 opérateurs ciblés et un solitaire en force brute — qui ont envoyé à elles toutes 24,431 requêtes ; 45 sont allées au-delà de la reconnaissance jusqu'à de véritables tentatives d'exploitation, et 21 groupes d'adresses partageaient une empreinte comportementale, dont un cluster de 34 IP se comportant toutes comme le même outil. Le score d'hostilité le plus élevé était de 7.7 sur 10, atteint par deux opérateurs distincts réclamant la même liste étrangement précise de fichiers WordPress sous /login/. Un scanner a envoyé 234 requêtes à la recherche de /.env.anthropic à côté de /.aws/credentials.bak, ce qui indique où figurent désormais les clés de modèles sur la liste de courses ; un autre en a lancé 118 en environ 0.3 seconde, ce qui tient moins de la reconnaissance que de l'éternuement. Huit adresses nous ont arrosés avec CVE-2017-9841, 26 requêtes de charabia phpunit, parce que quelque part, cela fonctionne encore. Sur la journée, nous avons vu 2,898 adresses issues de 103 pays, dont 1,119 pour la première fois. Les journaux bruts n'ont jamais quitté la machine ; seules les conclusions l'ont fait.
178sources hostiles profilées
24,431requêtes émises par elles
45ayant atteint l'exploitation
21clusters à ADN partagé
7.7/10hostilité maximale
2,898adresses à notre périmètre
1,119vues pour la première fois aujourd'hui
103pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
104.199.36.53, un scanner (hostilité 5.7/10), a envoyé 234 requêtes à 2 de nos sites, sondant /.aws/credentials.bak, /.env.anthropic, /.env.aws, /.docker/laravel/app/.env.
Pourquoi c'est étrangeIl est allé droit aux identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
146.70.194.230, un opérateur ciblé (hostilité 7.7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du classement ; sa chaîne d'attaque a atteint l'accès aux identifiants.
8 adresses ont envoyé 26 requêtes caractéristiques d'une exploitation de CVE-2017-9841 (/vendor/phpunit/phpunit/…), dont 188.166.118.113, 167.99.44.143, 188.166.90.102.
Pourquoi c'est étrangeUn exploit connu et nommé continue d'être déversé sur Internet ; notre périmètre l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : phpunit-rce
WTF #4
Même ADN, adresses différentes
40.74.77.37, un scanner (hostilité 5.9/10), a envoyé 290 requêtes au rythme de 3 par minute à 2 de nos sites, sondant /atomlib.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /file.php.
Pourquoi c'est étrange34 IP partagent une même empreinte comportementale (ADN dfef4501b216) : un seul outil ou un seul opérateur changeant d'adresses : 20.196.208.116, 20.24.70.216, 23.100.83.23, 2604:2dc0:101:100::1189, 20.211.27.190 et d'autres.
203.159.90.72, un opérateur ciblé (hostilité 7.7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA réclamé des fichiers que presque personne d'autre ne demande : /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
45.138.12.28, un scanner (hostilité 5.4/10), a envoyé 118 requêtes à l'un de nos sites, sondant /.aws/.env, /.docker/.env, /.docker/laravel/app/.env, /.env.
Pourquoi c'est étrangeA tiré 118 requêtes en environ 0.3 seconde.
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§7
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 17 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 13 flux publics de menaces dans les 24 heures jusqu'à 05:05 heure du Royaume-Uni (561 éléments) a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont notées publiquement dans les éditions ultérieures. « From our edge » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 0.90 $. Elle est rédigée par une machine dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.
561items read
24hour window
$0.90cost of this edition
04:05 UTCgenerated
Sources de ce matin
Signal Atlas101ok
NVD100ok
ThreatFox100ok
RansomLook59ok
Security news50ok
ransomware.live45ok
atlas40ok
infosec.exchange38ok
RSS13ok
signal:ioc-family8ok
AlienVault OTX3ok
signal:kev2ok
CISA KEV2ok
ITEMS READ: 561|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.90|STATUS: PAS BIEN, MAIS SURVIVABLE
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK