Rapport de terrain quotidien sur ce qui est Probably Fine
No. 22·Lundi 19 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas particulièrement bien
Ouverture · Chaîne d'approvisionnement
Un seul identifiant, 173 tenants : ConnectWise débranche Cloud Backup
ConnectWise a coupé l'accès des clients à son service Cloud Backup, anciennement SkyKick, et désactivé sept identités d'application, après qu'un identifiant Microsoft 365 compromis a servi à se connecter à 173 tenants clients.
confiance0.85
Il ne s'agit pas de 173 intrusions. Il s'agit d'une seule relation de confiance, rejouée 173 fois, à la vitesse de la machine, par quelqu'un qui n'a eu à forcer aucune porte après la première. Les chercheurs décrivent une campagne active exploitant un identifiant M365 compromis appartenant à ConnectWise Cloud Backup pour atteindre les environnements des clients ; ConnectWise a indiqué samedi avoir désactivé sept identités d'application ConnectWise pendant son enquête, et a entièrement coupé l'accès des clients au service.
Trois flux indépendants l'ont relayé en neuf heures, ce qui atteste la solidité des faits, mais ne dit rien sur le point de savoir si votre tenant figurait parmi les 173. La position honnête pour la plupart des défenseurs ce matin est qu'ils l'ignorent, et que le seul moyen de le savoir est d'aller lire les journaux de connexion des principaux de service plutôt que ceux des personnes, la partie d'Entra que personne n'a jamais eu le temps d'apprendre.
Le recadrage à emporter dans votre point d'équipe : le produit de sauvegarde n'est pas un produit de sauvegarde, c'est un administrateur permanent, privilégié et invisible chez chaque client, acheté sur la foi d'une fiche technique qui employait le mot « transparent ». Transparent est le mot juste. C'est exactement ce qui s'est passé. Il n'y avait aucune couture.
Pourquoi c'est importantSi vous utilisez ConnectWise Cloud Backup ou SkyKick, considérez le principal de service comme compromis et passez en revue les journaux de connexion M365 et d'audit des boîtes aux lettres à la recherche d'activité d'application non interactive, et non de connexions d'utilisateurs.
Un identifiant qui fonctionne dans 173 organisations n'est pas un identifiant. C'est un système météorologique, et on ne corrige pas la météo.
— Sturgeon's Revelations · Probably Fine Daily No. 22
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Le pare-feu applicatif web est désormais la tête de pont
Des attaquants exploitent activement une faille d'injection de commandes du système d'exploitation dans SiteGuard Server Edition, qui leur permet d'exécuter des commandes en tant que root ou SYSTEM sur les serveurs concernés, soit l'intégralité du système d'exploitation, livrée par le produit acheté pour empêcher précisément cela. Drupal a par ailleurs corrigé deux failles critiques d'exécution de code à distance touchant toutes les versions prises en charge et averti que des exploits pourraient suivre rapidement. JetBrains publie trois CVE pour TeamCity — CVE-2026-111094 à 8,1, une exécution de code à distance authentifiée par contournement d'une liste blanche de messages de build, ainsi que des failles XSS stockées à 8,0 et 6,7 — avec des correctifs pour les installations sur site dans les versions 2026.2, 2026.1.4 et 2025.11.8, sans preuve de concept publique ni exploitation active signalée.
Pourquoi c'est importantOrdre de correction ce matin : SiteGuard d'abord car il est exploité en ce moment, Drupal ensuite car la fenêtre est courte, TeamCity en troisième car c'est un serveur de build, et les serveurs de build signent des choses.
N0n a publié 29 fois samedi, et le pire concerne les clients des autres
N0n est passé de presque rien à 29 entrées sur son site de fuites en une journée, et le schéma est celui des tiers : SQA Services, décrit comme un laboratoire de test Wolters Kluwer/CCH Axcess, listé avec les identifiants d'accès VPN des 64 comptes d'employés et la configuration des contrôleurs de domaine, dont stratégies de groupe, zones DNS et cartes réseau ; All Business Technologies, un cabinet de comptabilité et de fiscalité du Massachusetts, listé avec des fichiers comptables actifs de plus de 60 entreprises clientes et des sauvegardes de 2014 à 2026. ECO USA a été publié avec 217 186 enregistrements de production et de contrôle et 33 comptes d'entreprises et de partenaires dont les mots de passe sont en clair, Solid Trading B.V. avec des données de commandes et d'exécution de clients, et SMIC US comme Telecom Egypt sont tous deux marqués NOT PAID — EXPOSED. Quatre victimes sont restées sur le site sous les noms Company #88 à #91 depuis tôt le matin jusqu'à leur nom révélé à 15 h 26. Atlas qualifie la série américaine de N0n d'escalade, avec un score de 0,82.
Pourquoi c'est importantSi votre comptable, votre laboratoire de test ou votre prestataire de comptabilité externalisé figure sur cette liste, vos données sont dans la fuite même si votre nom n'y est pas.
Helix a découvert le compte à rebours, et il tourne sur GoFile
Helix a listé quatre grandes organisations américaines en environ quatre heures samedi soir — Smith Douglas Homes, Bay Alarm, Personify Health puis Quikrete — chacune avec des liens GoFile et des mots de passe annoncés comme déverrouillés dans 12 heures, puis 6, avant d'ajouter Southwire avec un chiffre d'affaires annuel déclaré d'environ 9 milliards de dollars. Les annonces citent le chiffre d'affaires comme une présentation commerciale cite son marché adressable : Smith Douglas Homes à environ 971 millions de dollars, Personify Health à environ 500 millions, Bay Alarm à environ 256 millions. Atlas classe Helix en escalade dans l'industrie manufacturière américaine, avec un score pondéré par la vélocité de 0,82 pour le pays, bien que le signal ait accusé environ 18,5 heures de retard sur les annonces brutes.
Pourquoi c'est importantLes déverrouillages publics minutés compriment délibérément la prise de décision des victimes ; si vous êtes dans l'industrie manufacturière américaine, partez du principe que votre horloge d'incident est réglée par la page web de l'attaquant, et non par votre contrat de prestation.
Qilin a publié 37 fois en un jour, et une marque nommée Storm est apparue avec trois victimes en une heure
Le volume du site de fuites de Qilin a atteint 37 entrées le 18 octobre, contre une médiane de une les autres jours, avec Mastelli S.r.l., Pergande, Pengurusan Aset Air Berhad, BRUTRA Logistek, Llano Independent School District et Belcorp parmi les noms ; les deux outils de suivi divergent sur le secteur de Mastelli, l'un parlant d'industrie manufacturière et l'autre de services de santé, le genre de détail qui finit dans une diapositive de conseil d'administration comme un fait établi. Par ailleurs, un groupe se faisant appeler Storm est apparu avec Patriot Maritime, Merit Financial Group et Baltimore Tank Lines, d'abord repéré sur Mastodon puis confirmé sur ransomlook environ 1,1 heure plus tard — transport maritime, gestion de patrimoine et transport de carburant, en environ une heure. Il convient de traiter la rafale de Qilin avec prudence : Atlas devançait ici les annonces brutes d'environ 39 à 53 heures, dans le mauvais sens, ce qui signale généralement une ingestion par lots plutôt qu'un soudain regain de compétence.
Pourquoi c'est importantLes décomptes de victimes lus un lundi sont la vision d'un collecteur sur un week-end, non une mesure du rythme des attaquants ; fiez-vous aux victimes nommées, pas aux totaux.
L'infrastructure C2 de Vidar est faite de chiffres et de domaines courts, et on peut la traquer
Le dernier jour d'indicateurs Vidar de ThreatFox se concentre fortement sur des domaines à préfixe numérique avec des chemins courts : k3.9nawin.org, tp.988boss.org, puis k9n/tx/xs/cva sur 9wing.org, l.9kio.org, j7.88idr.org, ainsi que f.88qr.org et n.88qr.org. Les mêmes indicateurs apparaissent avec et sans barre oblique finale, ce qui ressemble à une soumission automatisée en masse depuis un seul panneau. Un volume de fond se poursuit en dessous : 209 nouveaux indicateurs Mozi et 208 nouveaux indicateurs Mirai sur la période, plus de l'infrastructure ClearFake, AMOS et ValleyRAT.
Pourquoi c'est importantUne expression régulière sur les journaux DNS pour les hôtes courts à préfixe numérique avec des chemins d'URI de deux caractères vous coûtera dix minutes et pourrait être la détection Vidar la moins chère que vous écrirez ce trimestre.
confiance0.60
IA et sécurité
Les offres d'emploi en sécurité aux États-Unis chutent de 26 % pendant que tout le monde recrute pour ce qui fuit
Le rapport sur l'emploi de CyberSN fait état d'une baisse de 26 % des offres en cybersécurité aux États-Unis tandis que la demande d'ingénieurs en sécurité de l'IA s'envole, ce qui n'est ni une histoire de pénurie ni une histoire de surplus, mais une histoire de réallocation racontée avec un air sérieux.
Pourquoi c'est importantVos outils d'IA sont désormais une application de bureau porteuse d'identifiants entre les mains de vos développeurs ; inscrivez-la à votre inventaire des actifs avant de l'inscrire à votre présentation stratégique.
Un bogue assez vieux pour se souvenir des téléphones à cadran vous donne les droits root sur OpenBSD 7.9
Un exploit d'élévation de privilèges locale publié ce week-end obtient les droits root sur OpenBSD 7.9 en enchaînant un dépassement d'entier vieux d'environ 37 ans dans la mémoire partagée avec une faille distincte du noyau, contournant la randomisation des adresses du noyau KARL ainsi que les protections matérielles SMAP et SMEP. La société de sécurité Calif l'a découvert et signalé. Des mesures d'atténuation empilées sur trois décennies ont été franchies par un bogue qui les précède toutes.
Pourquoi c'est importantUne élévation de privilèges locale sur vos machines les plus durcies est exactement la chaîne qui transforme un web shell contenu en incident touchant tout le parc.
Un bracelet à 75 dollars qui transforme les gens autour de vous en contenu
Bee d'Amazon, présenté ce week-end, est un bracelet à 75 dollars qui transforme les conversations en notes et, avec une option payante, en suggestions d'achat. Le porteur donne son accord. Les personnes autour fournissent les dialogues et n'ont aucun moyen de refuser. Comme l'a dit la personne qui l'a signalé, une jolie petite chaîne d'approvisionnement.
Pourquoi c'est importantChaque salle de réunion de votre parc est désormais potentiellement un environnement enregistré, sans contrat de sous-traitance et sans personne concernée sachant qu'elle l'est.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux : un identifiant faisant le travail de 173, un week-end de sites de fuites en partie réel et en partie un collecteur reprenant son souffle, et deux sources qui se sont tues dimanche matin.
Exception 01
L'affaire ConnectWise est un abus de confiance envers un MSP, non 173 intrusions
Trois flux indépendants corroborent qu'un seul secret d'application multi-tenant compromis s'est connecté à de nombreux tenants clients, avec sept identités d'application ConnectWise désactivées. Le rayon d'impact est constitué des données M365 des clients, et le schéma d'accès est l'intégration légitime du fournisseur lui-même.
confiance0.80
Wrong if
ConnectWise indique que le chiffre de 173 était exagéré, ou que les connexions se limitaient à l'accès contractuel du fournisseur, sans aucune donnée client touchée.
Watch
Suites données par ConnectWise ou Microsoft et avis aux clients au cours des 1 à 3 prochains jours ; d'autres applications multi-tenant de MSP sont-elles nommées.
Le samedi de N0n est surtout une exposition en aval de la fiscalité et de la comptabilité
N0n est passé de presque zéro à 29 entrées en un jour, et les deux listes les plus lourdes de conséquences concernent des prestataires de services : un laboratoire de test CCH Axcess et un cabinet de comptabilité détenant des fichiers comptables actifs de plus de 60 entreprises clientes. Les victimes nommées ne constituent pas la liste complète des victimes.
confiance0.65
Wrong if
Preuve que les 29 entrées sont un unique rattrapage de collecteur pour des publications initialement datées de plusieurs semaines.
Watch
Si N0n continue de publier les 19 et 20 octobre, et si Wolters Kluwer ou CCH disent quoi que ce soit sur le laboratoire de test.
Exception 03
La rafale de Qilin tient peut-être à l'ingestion, non au rythme
37 entrées Qilin le 18 octobre contre une médiane de une, Atlas devançant les annonces brutes des sites de fuites d'environ 39 à 53 heures — l'inverse du sens habituel, ce qui évoque un antidatage ou une collecte par lots plutôt qu'une véritable poussée.
confiance0.50Speculative
Wrong if
Les horodatages des sites de fuites montrent que les publications de victimes ont bien été réparties sur le 18 octobre plutôt qu'ingérées en un seul lot.
Watch
Si le volume de Qilin reste élevé les 19 et 20 octobre, et si l'article sur l'industrie manufacturière gagne de nouvelles victimes corroborantes.
NVD et OTX s'arrêtent tous deux à 00 h 04 le 18 octobre
Les deux flux n'ont plus rien après 2026-10-18T00:04, et le jeu de données NVD est en grande partie un lot unique daté du 16 octobre ; toute activité CVE ou OTX des 18 et 19 octobre est donc invisible dans cette lecture. Il s'agit très probablement d'un comportement d'ingestion par lots, non d'une véritable baisse des signalements.
confiance0.60
Wrong if
Des vérifications directes de NVD et d'OTX montrent une publication continue sur les 18 et 19 octobre que ce dispositif n'a pas réussi à collecter.
Watch
Si la prochaine ingestion rétablit les deux ; sinon, ce sont les collecteurs, et non le monde, qui sont défaillants.
Nothing to seeLa rafale de scores de nocivité d'extensions Chrome, les articles d'Atlas sur une « crise composée convergeant sur un seul pays » à des niveaux de confiance de 0,43 à 0,51, le lot d'avis WordPress du week-end sans preuve d'exploitation, et un long fil passionné du fédivers sur un film d'horreur des années 1970. Rien de tout cela n'a montré de structure inter-sources, et l'un d'eux portait sur un orgue qui est aussi un ascenseur.
Deep read: 483 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueMon 26 Oct7d
ConnectWise ou Microsoft publie une nouvelle mise à jour publique sur l'incident Cloud Backup / SkyKick — chiffres révisés de tenants, étendue de l'accès aux données ou consignes aux clients — d'ici le 26 octobre.
Wrong ifAucune nouvelle déclaration de ConnectWise ou de Microsoft sur cet incident n'apparaît dans ces flux à la fin du 26 octobre.
Un signalement public d'exploitation dans la nature ou une preuve de concept publique pour les deux RCE critiques de Drupal apparaît d'ici le 1er novembre.
Wrong ifAucun signalement d'exploitation ni PoC public pour les RCE de Drupal dans ces flux à la fin du 1er novembre.
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
Past due. No T-Mobile statement, filing or verified sample appears in any of today's items.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
Due 18 Oct passed. No confirmation from KFC, MoneyGram, Confluent, BigID or Placer AI appears in any item.
right
Qilin will not sustain yesterday's volume: at least one day between 17 and 21 October will show fewer than ten Qilin leak-site items on ransomware.live.
Called Fri 16 Oct · due Wed 21 Oct
On 18 Oct, ransomware.live shows only 5 Qilin claims (Mastelli, Pergande, Pengurusan, BRUTRA, Llano). On 17 Oct it shows 1. Both are under ten, though the feed may be a sample.
N0n posts at least one further numbered anonymised victim above #88 on its leak site.
Called Sun 18 Oct · due Fri 23 Oct
N0n posted Company #89 and #90 (5:52–5:53 UTC) and #91 (8:54 UTC) on 18 Oct. ransomlook shows the same listings.
Glossaire des termes que vous êtes censé connaître
Application multi-tenant(n.)
Un seul secret qui fonctionne chez tous vos clients à la fois, vendu comme une intégration, décrit dans l'avis d'incident comme sept identités d'application, et désactivé un samedi.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre a profilé 53 sources hostiles en 24 heures — 42 scanners, 9 robots d'indexation, 2 opérateurs ciblés — qui ont envoyé 6 394 requêtes à eux tous, dont 7 sont allées au-delà de la reconnaissance vers de véritables tentatives d'exploitation, depuis 4 919 adresses de 92 pays, dont 1 040 vues pour la première fois aujourd'hui. L'élément qui devrait vous intéresser : 34.53.212.113 a parcouru /.env-example, /.aws/config et /.env.aws puis a demandé /.env.anthropic, ce qui signifie que les clés d'API de modèles figurent désormais sur la liste de courses habituelle à côté des clés cloud. Ailleurs, 35.240.58.49 a lancé 118 requêtes en environ 0,4 seconde à la recherche de fichiers .env Laravel et Docker, onze adresses partageaient une même empreinte comportementale (DNA dfef4501b216) tout en changeant d'hôte, 20.196.193.222 a envoyé 470 requêtes à un rythme régulier d'une par minute à la recherche d'un gestionnaire de fichiers WordPress HelloPress, et deux adresses pulvérisaient encore CVE-2017-9841 sur nous, ce qui en dit long sur ce que l'internet croit réellement de la correction des failles. La plus forte hostilité du tableau, 7,7 sur 10, revenait à 84.17.60.236, qui n'a envoyé que 20 requêtes, a atteint l'accès aux identifiants, et cherchait xmlrpc.php. Les journaux bruts n'ont jamais quitté le serveur. Seules les conclusions l'ont fait.
53sources hostiles profilées
6 394requêtes de leur part
7ayant atteint l'exploitation
6grappes à ADN partagé
7,7/10hostilité maximale
4 919adresses sur notre périmètre
1 040vues pour la première fois aujourd'hui
92pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
34.53.212.113, un scanner (hostilité 5,7/10), a envoyé 234 requêtes à 2 de nos sites, en sondant /.env-example, /.aws/config, /.env.aws, /.aws/.env.
Pourquoi c'est étrangeIl est allé droit aux identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners à côté des clés cloud.
attribution: scanner de collecte d'identifiants sur mesure (meilleure correspondance du capteur, 45 %)Sun 18 Oct, 05:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA 9427f6c77bf1
WTF #2
Le visiteur le plus déterminé
84.17.60.236, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, en sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'accès aux identifiants.
attribution: inconnuSun 18 Oct, 05:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement → exploitation → accès aux identifiants · DNA 82a939927b85
WTF #3
Tentative de CVE-2017-9841 contre nous
2 adresses ont envoyé 16 requêtes calquées sur l'exploitation de CVE-2017-9841 (/vendor/phpunit/phpunit/…), dont 170.64.211.230, 94.26.0.103.
Pourquoi c'est étrangeUn exploit connu et nommé encore pulvérisé sur l'internet ; notre périmètre l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : phpunit-rce
WTF #4
Même ADN, adresses différentes
34.131.254.38, un scanner (hostilité 6,3/10), a envoyé 277 requêtes à l'un de nos sites, en sondant /.git/config, /.env, /.env.local, /.env.production.
Pourquoi c'est étrange11 adresses IP partagent une même empreinte comportementale (DNA dfef4501b216) : un seul outil ou un seul opérateur changeant d'adresses : 20.194.96.223, 20.207.202.183, 74.225.146.100, 2001:41d0:601:2000::166e, 20.214.147.109 et d'autres.
attribution: inconnuSun 18 Oct, 20:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA dfef4501b216
WTF #5
La liste de courses la plus étrange
20.196.193.222, un scanner (hostilité 6,5/10), a envoyé 470 requêtes au rythme d'une par minute à 3 de nos sites, en sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /sm.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /sm.php, /ebkid.php.
attribution: scanner de RCE du gestionnaire de fichiers WordPress HelloPress (meilleure correspondance du capteur, 55 %)Sun 18 Oct, 05:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA 8e306493632a
WTF #6
Pressé
35.240.58.49, un scanner (hostilité 5,5/10), a envoyé 118 requêtes à l'un de nos sites, en sondant /.aws/.env, /.env, /.docker/.env, /.docker/laravel/app/.env.
Pourquoi c'est étrangeA lancé 118 requêtes en environ 0,4 seconde.
attribution: Collecteur automatisé d'identifiants et de secrets (meilleure correspondance du capteur, 55 %)Sun 18 Oct, 05:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA 18e39c4b41fb
§6
Reportages terrain
Outils en accès libre. Sans inscription ni démarche commerciale.
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§7
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 22 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 12 flux publics de menaces au cours des 24 heures précédant 05 h 05 heure du Royaume-Uni (483 éléments) a été lu en intégralité : statistiques calculées par code, chaque tranche lue par Claude Sonnet, la structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont notées publiquement dans les éditions suivantes. « From our edge » désigne des données d'attaque en direct provenant de nos propres serveurs. Coût de cette édition : 0,74 $. Elle est écrite par une machine dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.
483items read
24hour window
$0.74cost of this edition
04:05 UTCgenerated
Sources de ce matin
ThreatFox150ok
NVD100ok
infosec.exchange77ok
Signal Atlas56ok
ransomware.live26ok
RansomLook26ok
atlas20ok
Security news10ok
signal:ioc-family6ok
signal:actor6ok
RSS3ok
AlienVault OTX3ok
ITEMS READ: 483|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.74|STATUS: PAS PARTICULIÈREMENT BIEN
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK