Rapport de terrain quotidien sur ce qui est Probably Fine
No. 18·Jeudi 15 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas particulièrement bien
Ouverture · Vulnérabilités
Ivanti a livré des correctifs pour deux des trois failles. Les attaquants, eux, n'ont jamais utilisé que les trois ensemble
Selon Volexity, une chaîne de trois failles zero-day dans Ivanti Connect Secure donnait un accès root sans authentification sur un VPN entièrement à jour. L'exploitation remonte au moins au 1er octobre, et l'une des failles de la chaîne n'a toujours pas de correctif.
confiance0.85
Mardi, l'affaire se résumait à une seule faille zero-day activement exploitée dans la passerelle Ivanti Connect Secure : corrigez immédiatement, rien de plus à dire. Dans la soirée, Volexity décrivait trois failles zero-day enchaînées permettant d'exécuter des commandes en tant que root sans s'authentifier. Ivanti en a corrigé deux et invite les clients des versions concernées à agir sans délai. CVE-2026-104935 est la faille principale : un contournement d'authentification menant à une exécution de code à distance avec privilèges élevés. Selon les informations disponibles, elle n'avait été que partiellement découverte et partiellement corrigée dès juillet, une phrase qu'il convient de lire lentement, puis de relire.
La CISA a demandé aux administrateurs de mettre à jour sans attendre, en relevant une exploitation en zero-day depuis au moins le 1er octobre ; des honeypots ont enregistré 105 tentatives d'exploitation. Ivanti figurait par ailleurs parmi les trois éditeurs d'équipements de périmètre à publier des correctifs cette semaine : Citrix, Fortinet et Ivanti ont à eux trois corrigé 29 vulnérabilités. Si vous avez appliqué le correctif mardi matin sur la foi du premier titre avant de clore le ticket, vous avez corrigé un bogue sur les trois d'une chaîne, et c'est la chaîne qui fait le produit.
Voilà le point délicat. Le boîtier d'accès distant est ce que vous avez acheté pour que chacun puisse travailler de n'importe où ; il est donc exposé à Internet, détient des identifiants et s'exécute en root lorsqu'il est contrarié. Passez à la dernière version, puis allez vérifier : personne ne vous a promis que le boîtier était sain au moment du correctif, et un équipement exploité il y a deux semaines n'est pas blanchi par un nouveau numéro de build.
Pourquoi c'est importantPrésumez une compromission antérieure au correctif : corrigez, puis traquez sur l'appliance, renouvelez tout ce qu'elle contenait, et ne considérez pas la première CVE signalée comme l'incident tout entier.
Un correctif qui répare deux bogues d'une chaîne de trois n'est pas une remédiation ; c'est une pause dans la frappe de l'attaquant, que vous avez convenu d'appeler une résolution.
— Sturgeon's Revelations · Probably Fine Daily No. 18
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Quatre ajouts au KEV en un seul lot, dont deux conçus pour être utilisés ensemble
Le 14 octobre, la CISA a ajouté quatre entrées : une authentification défaillante dans Ahsay AhsayCBS (CVE-2026-105133) et une injection de commandes (CVE-2026-105134), que les avis disent expressément chaînables entre elles via le paramètre random ; une traversée de chemin relatif dans Cisco Secure Email Gateway (CVE-2026-76519), permettant à un attaquant distant non authentifié d'écrire des fichiers arbitraires dans le système d'exploitation ; et une injection de code dans Palo Alto Networks PAN-OS (CVE-2026-0322), qui permet à un attaquant authentifié disposant d'un accès réseau d'exécuter du code en root sur le pare-feu. Palo Alto a confirmé que CVE-2026-0322 avait été exploitée comme zero-day lors d'attaques contre des pare-feu. L'un est un serveur de sauvegarde, l'autre une passerelle de messagerie, le troisième le pare-feu, et tous trois se trouvent exactement là où les équipes de rançongiciel aiment faire leur entrée.
Pourquoi c'est importantLes appliances de sauvegarde et les équipements de périmètre forment le plus court chemin entre Internet et votre plan de reprise ; inventoriez dès aujourd'hui Ahsay, SEG et PAN-OS, sans attendre la prochaine fenêtre de changement.
La passerelle de messagerie de Cisco est attaquée par courriel, ce qui est au moins cohérent sur le plan thématique
Cisco a publié mercredi un avis indiquant que des attaquants exploitent une faille critique de Secure Email Gateway : un expéditeur sans identifiant envoie un message contenant une pièce jointe piégée et, si le message arrive, écrit des fichiers dans le système d'exploitation de l'appliance ; selon les informations disponibles, le résultat est une exécution de commandes à distance, sans authentification, avec les privilèges root. L'entrée du KEV de la CISA pour le même produit, la veille, mentionne CVE-2026-76519 : traversée de chemin relatif, écriture arbitraire de fichiers sans authentification. Le vecteur de livraison est le seul que l'on ne puisse désactiver, car l'appliance existe précisément pour accepter le courrier d'inconnus.
Pourquoi c'est importantCorrigez SEG sans attendre, puis vérifiez qu'aucun fichier n'y figure sans raison d'être ; cette faille n'exige ni clic d'un utilisateur ni identifiant de qui que ce soit.
Sept sites de fuite ont publié en même temps mardi, et lockbit5 a affiché quatre victimes en trois minutes
Alors que la médiane est de zéro les autres jours de la période, le 14 octobre a vu des rafales de lockbit5 (11 éléments), akira (9), eclipse (6), et de dragonforce, nightspire, incransom et rhysida à cinq chacun. Les publications de lockbit5 sont tombées à 11 h 28, 11 h 29, 11 h 30 et 11 h 31, ce qui évoque un téléversement par lot plutôt que quatre mauvaises nuits distinctes ; akira a listé trois entreprises de l'agroalimentaire et de l'industrie à moins de deux minutes d'intervalle, incransom a revendiqué 1,53 To chez une société financière brésilienne, et Eclipse a listé un quotidien japonais et un laboratoire pharmaceutique taïwanais. Par ailleurs, des informations publiées cette semaine indiquent que des organisations font état de menaces de harcèlement, de violences et d'enlèvement visant leurs employés, et un rapport d'éditeur affirme que les menaces physiques contre les dirigeants et leurs familles augmentent ; ces affirmations sont difficiles à vérifier et doivent être traitées comme telles.
Pourquoi c'est importantLe volume d'un site de fuite sur une seule journée mesure autant l'ingestion de l'agrégateur que la semaine de l'attaquant ; comptez les victimes sur une semaine, pas sur une matinée, et transmettez les informations sur la coercition aux RH et à la sécurité physique plutôt qu'au canal du SOC.
Six jours, un modèle public et une chaîne Chrome complète : la découverte a discrètement cessé d'être la partie difficile
XBOW affirme avoir enchaîné trois bogues Chrome alors inconnus en une attaque qui exécute du code sur une machine Windows dès que l'utilisateur charge une page, construite en six jours en pilotant des agents d'IA fondés sur le modèle publiquement disponible d'OpenAI ; la chaîne complète Chrome est estimée à 250 000 dollars. Sur la même période, une faille du sous-système vhost de Linux (CVE-2026-74580) a été divulguée : elle donne à un utilisateur local un accès en lecture et en écriture au noyau sur près d'une décennie de versions et, dans une configuration de virtualisation, permet à un invité non fiable d'écrire dans la mémoire de l'hôte ; un agent de test d'intrusion fondé sur l'IA a trouvé seul un contournement critique de mot de passe à usage unique sur la connexion de production d'un grand assureur ; et le laboratoire de Booz Allen rapporte que des modèles d'IA ont atteint tous les objectifs dans huit scénarios et rejoint un réseau de contrôle industriel à partir d'une compromission du périmètre en un peu plus de 16 minutes. Les outils se dévorent aussi eux-mêmes : un bogue du volet d'aperçu de Claude Code Desktop permettrait, sans aucun clic, de voler des clés SSH, des identifiants AWS et des jetons OAuth chez les développeurs.
Pourquoi c'est importantVotre fenêtre de correction a été dimensionnée pour un monde où trouver le bogue prenait plus de temps que déployer le correctif ; cette hypothèse est désormais le contrôle sur lequel vous vous reposez, et elle ne tient plus.
Le Patch Tuesday a été le plus volumineux de l'histoire, et personne ne s'accorde sur son ampleur
BleepingComputer a compté 1 411 failles et trois zero-days, dont un exploité et deux divulgués publiquement ; SecurityWeek en a compté 1 413, y compris le contournement de fonction de sécurité Windows exploité CVE-2026-96951 ; le SANS Internet Storm Center en a compté 1 417, dont 76 critiques et sept critiques ne nécessitant aucune action du client ; Krebs a parlé de plus de 1 400 et rappelé que le record de septembre approchait les 1 000, soit environ dix fois la charge mensuelle habituelle de Redmond. Adobe en a ajouté 140 sur dix produits et les mises à jour de navigateurs en ont corrigé 114 de plus. Le total exact importe moins que le fait que quatre médias compétents, lisant les mêmes notes de version, soient arrivés à quatre chiffres différents.
Pourquoi c'est importantTriez selon le critère exploité-et-atteignable, en commençant par CVE-2026-96951 ; une liste de correctifs à quatre chiffres ne peut être traitée de haut en bas par quiconque compte aussi dormir.
Un milliard de messages d'hameçonnage, 187 ordinateurs portables et une arrestation dans un village : la journée des démantèlements
Microsoft, Health-ISAC, le JC3 japonais et une coalition comprenant Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs ont saisi les domaines des kits d'hameçonnage CoGUI, Haozi et Iron Man ainsi que de la place de marché YAM Store, un écosystème lié à plus d'un milliard de messages malveillants visant plus de 75 000 organisations dans 150 pays. Le département américain de la Justice a inculpé 14 personnes, en a arrêté deux et saisi environ 187 ordinateurs portables dans plus de 40 sites du Texas utilisés dans des montages de faux informaticiens nord-coréens travaillant à distance. La police nord-macédonienne, avec le FBI, a arrêté l'administrateur présumé du marché d'identifiants OLVX, et le Royaume-Uni a sanctionné la plateforme de cryptomonnaies Cryptomus pour blanchiment d'argent russe lié aux rançongiciels et aux paiements du darknet.
Pourquoi c'est importantLes démantèlements d'infrastructures déplacent le niveau de référence du spam pour des semaines, non pour des années ; attendez-vous à de nouveaux domaines d'envoi et maintenez vos détections d'hameçonnage plutôt que de crier victoire.
Quelqu'un a poussé les frigos à 50 °C dans des centaines de supermarchés français, et les bogues étaient connus il y a un an
Dans la nuit du 11 octobre, des attaquants ont pris le contrôle à distance de la réfrigération de centaines de supermarchés français et l'ont portée à 50 °C, obligeant les magasins à jeter leurs stocks, ont indiqué plusieurs enseignes ; l'accès s'est fait par le contrôleur Danfoss qui pilote l'ensemble des réfrigérateurs et congélateurs d'un magasin. Un chercheur interrogé par Infosecurity Magazine affirme que des bogues permettant précisément ce type d'attaque à distance contre des contrôleurs de réfrigération étaient connus depuis plus d'un an. Il s'agit d'une attaque aux conséquences physiques, menée par un canal de gestion où personne en magasin ne s'est jamais connecté.
Pourquoi c'est importantSi un tiers gère à distance quoi que ce soit dans votre parc qui ait une température, un moteur ou une porte, cette connexion est dans votre périmètre et ne figure probablement pas dans votre registre d'actifs.
Un casse de 86 millions de dollars en cryptomonnaies remonté à une carte électronique cachée sous l'écran
Les enquêteurs ont relié un vol de 86 millions de dollars en cryptomonnaies à un implant matériel dans des dispositifs de signature Ledger : une petite carte électronique dissimulée sous l'écran des dispositifs, qui lisait les données de l'utilisateur et les transmettait aux attaquants. Ledger a demandé aux revendeurs et distributeurs d'Indonésie, de Singapour, de Thaïlande, des Philippines, du Vietnam, de Malaisie et de Hong Kong de suspendre les ventes et de retirer les produits des rayons pendant l'enquête sur la falsification des appareils. La chaîne d'approvisionnement n'est pas ici un registre npm ; c'est un rayonnage, un carton et un coursier.
Pourquoi c'est importantL'inviolabilité apparente du matériel que vous recevez est un contrôle, non une formalité, et tout appareil qui affiche ce que vous signez peut être amené à afficher autre chose.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
L'affaire des équipements de périmètre a changé de forme en cours de cycle, le lot KEV était un événement unique et non un filet continu, et plusieurs flux se sont tus à la même minute.
Exception 01
Ivanti est passé d'un zero-day unique à une chaîne incomplètement corrigée en moins de deux heures de couverture
Les premiers éléments décrivent une unique exécution de code à distance root sans authentification ; les suivants décrivent trois failles enchaînées dont deux seulement sont corrigées, et un correctif de juillet qui était partiel. Le flux rss a devancé cyber-news d'environ 1,8 heure. Quiconque a agi sur la première formulation a corrigé un tiers du problème.
confiance0.60
Wrong if
Ivanti ou Volexity confirmant un bogue unique, entièrement corrigé, la formulation de la chaîne étant attribuée à une seule paraphrase erronée.
Watch
Des mises à jour de l'avis Ivanti, un correctif pour la troisième faille et une entrée KEV pour CVE-2026-104935.
Les ajouts au KEV sont arrivés en un seul lot, puis les deux flux KEV se sont arrêtés
CVE-2026-0322 apparaît dans quatre sources, les deux CVE Ahsay ont été ajoutées en même temps que la faille Cisco SEG, et les flux signal:kev et cisa-kev deviennent tous deux silencieux après 09 h 17 le 14 octobre ; il s'agit donc d'un événement de publication unique plutôt que d'un flux continu. Le lien avec les rafales de rançongiciels du même jour est une hypothèse plausible, rien de plus.
confiance0.55Speculative
Wrong if
Des ajouts ultérieurs au KEV montrant que l'arrêt de 09 h 17 était un artefact de collecte, ou des signalements de victimes ne citant aucun de ces vecteurs.
Watch
La prochaine mise à jour du KEV, et tout rapport d'incident désignant Ahsay ou PAN-OS comme vecteur d'entrée.
Ransomware.live arrive généralement le premier, avec des heures d'avance
Ransomware.live a devancé signal:atlas ou ransomlook pour nightspire (8,7 h), aurora (7,5 h), akira (5,9 h), n0n (5,5 h), lockbit5 (5,0-5,4 h), dragonforce (4,3 h) et eclipse (1,6 h), tandis qu'atlas a devancé pour Wallstreet (14,1 h), Orova (10,7 h) et qilin (4,1 h). Il s'agit de latence des flux, non du comportement des attaquants, et il est utile de savoir quel onglet ouvrir en premier.
confiance0.50
Wrong if
L'ordre s'inversant pour les mêmes acteurs sur une fenêtre plus longue ; avec une seule journée de données, de petits décalages sont indiscernables du bruit.
Watch
Répéter l'analyse d'avance et de retard sur une semaine et voir si les acteurs où atlas est en tête continuent de monter en puissance.
thegentlemen a fait une rafale lundi puis s'est arrêté à la même minute que les flux KEV
18 éléments le 13 octobre contre une médiane de 6, puis le silence après 09 h 17 le 14 octobre, soit l'horodatage exact auquel deux flux KEV sans rapport s'arrêtent également. Une lacune de collecte l'explique mieux qu'un gang prenant son après-midi.
confiance0.40Speculative
Wrong if
Des publications de thegentlemen apparaissant après 09 h 17 le 14 octobre dans les données brutes des sites de fuite.
Watch
Si des victimes de thegentlemen réapparaissent les 15 et 16 octobre et si les sources KEV reprennent.
Nothing to seeLa fenêtre couvre environ un jour et demi ; chaque rafale est donc mesurée par rapport à une base proche de zéro et aucune tendance n'est encore réelle. Le groupe de sept CVE Juniper et la CVE Docker Hub n'apparaissent que dans une seule source de nos flux. Les éléments géopolitiques et les pics Mastodon de 03 h 00 UTC ne révèlent aucun lien caché, et rien ne relie les nouvelles entrées du KEV à une victime de rançongiciel nommée.
Deep read: 470 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueThu 22 Oct7 days
CVE-2026-104935 (Ivanti Connect Secure) figure au catalogue KEV de la CISA au plus tard le 22 octobre 2026 à 23 h 59 UTC.
Wrong ifAucune entrée KEV pour CVE-2026-104935 dans le flux cisa-kev à cette échéance.
Ivanti publie un correctif ou une atténuation formelle pour la troisième faille, actuellement non corrigée, de la chaîne Connect Secure au plus tard le 25 octobre 2026.
Wrong ifAucune mise à jour d'avis Ivanti couvrant la troisième faille n'apparaît dans les flux rss ou cyber-news à cette date.
Calls made today are graded here from tomorrow. Including the wrong ones. Especially the wrong ones.
Glossaire des termes que vous êtes censé connaître
Partiellement corrigé(n.)
État dans lequel l'éditeur a cessé de penser au problème et où le client n'a pas encore commencé. Voir aussi : juillet, quand il a été corrigé la première fois.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre capteur de périphérie a profilé 140 sources hostiles en 24 heures, 97 scanners, 32 robots d'indexation, 10 opérateurs ciblés et un chercheur, qui ont envoyé entre eux 22 444 requêtes ; 37 ne se sont pas contentées de regarder et ont tenté quelque chose, et 18 groupes d'adresses partageaient une même empreinte comportementale, dont un de 28 adresses sous un seul ADN (dfef4501b216), c'est-à-dire un outil ou un opérateur qui change d'hôtes et appelle cela de la diversité. Les deux visiteurs les plus hostiles, 203.159.90.72 et 146.70.194.252, ont tous deux obtenu 7,7 sur 10 et ont tous deux demandé poliment /login/xmlrpc.php et trois variantes de wlwmanifest.xml, atteignant l'accès aux identifiants dans la chaîne d'attaque. 193.32.204.199 a lancé 51 requêtes pour .git/config en environ 0,8 seconde, ce qui n'est pas de la navigation. 35.245.136.185 a envoyé 260 requêtes à la recherche de /.env, /.env.local et /.env.production, la correspondance de campagne la plus assurée du capteur pour la journée, à 58 %. Et trois adresses ont envoyé 14 requêtes calquées sur CVE-2017-9841 vers le chemin /vendor/phpunit/, car quelque part, un scanner n'a jamais été prévenu. Sur la journée : 3 311 adresses à notre périphérie, dont 1 461 vues pour la première fois, issues de 114 pays. Les journaux bruts sont restés sur le serveur ; seules les conclusions en sont sorties.
140sources hostiles profilées
22 444requêtes émanant d'elles
37ont atteint l'exploitation
18groupes à ADN partagé
7,7/10hostilité maximale
3 311adresses à notre périphérie
1 461vues pour la première fois aujourd'hui
114pays
La liste WTF
WTF #1
Le visiteur le plus déterminé
203.159.90.72, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'accès aux identifiants.
40.74.77.37, un scanner (hostilité 5,9/10), a envoyé 290 requêtes à raison de 3 par minute vers 2 de nos sites, sondant /atomlib.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /file.php.
Pourquoi c'est étrange28 adresses IP partagent une même empreinte comportementale (ADN dfef4501b216) : un outil ou un opérateur qui change d'adresses : 20.196.208.116, 20.211.27.190, 74.0.32.199, 34.116.172.94, 35.237.174.50 et d'autres.
3 adresses ont envoyé 14 requêtes calquées sur l'exploitation de CVE-2017-9841 (/vendor/phpunit/phpunit/…), dont 170.64.160.127, 209.38.25.221, 94.26.0.103.
Pourquoi c'est étrangeUn exploit connu et nommé, toujours pulvérisé sur Internet ; notre périphérie l'a vu aujourd'hui, quoi que disent les notes de correctifs sur l'année.
attribution: inconnu
Detail
famille de sondes : phpunit-rce
WTF #4
La liste de courses la plus étrange
146.70.194.252, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
35.245.136.185, un scanner (hostilité 6,4/10), a envoyé 260 requêtes à l'un de nos sites, sondant /.git/config, /.env, /.env.local, /.env.production.
Pourquoi c'est étrangeLa correspondance de campagne la plus assurée du capteur pour la journée : scanner automatisé de découverte d'identifiants .env, à 58 %.
attribution: Scanner automatisé de découverte d'identifiants .env (meilleure correspondance du capteur, 58 %)Wed 14 Oct, 23:00 UTC
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§7
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 18 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 12 flux publics de menaces dans les 24 heures précédant 05 h 05 heure du Royaume-Uni (470 éléments) a été lu en intégralité : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « Depuis notre périphérie » correspond à des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 0,77 $. Elle est rédigée par une machine, dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.
470items read
24hour window
$0.77cost of this edition
04:05 UTCgenerated
Sources de ce matin
ThreatFox100ok
Security news97ok
infosec.exchange77ok
atlas49ok
Signal Atlas45ok
RansomLook26ok
RSS23ok
ransomware.live22ok
signal:ioc-family12ok
AlienVault OTX11ok
signal:kev4ok
CISA KEV4ok
ITEMS READ: 470|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.77|STATUS: PAS PARTICULIÈREMENT BIEN
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK