Rapport de terrain quotidien sur ce qui est Probably Fine
No. 27·Samedi 24 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas tout à fait rassurant
Ouverture · Vulnérabilités
La CISA ajoute deux failles exploitées, dont la troisième faille zero-day d'Arista VeloCloud en quatre mois
Un orchestrateur frappé par trois zero-day depuis l'été n'est pas victime d'une mauvaise passe ; il est en train de nous dire quelque chose.
confiance0.90
La CISA a ajouté CVE-2026-114625, une injection SQL dans Arista VeloCloud Orchestrator déployé sur site, EPSS 0.00555, et CVE-2026-110447, une injection de commandes du système d'exploitation dans le serveur CODE intégré de Collabora Online tel qu'utilisé dans NextCloud, EPSS 0.01225. SecurityWeek, avec dix heures de retard sur le catalogue, présente la faille d'Arista comme la troisième zero-day de VCO exploitée en quatre mois : une injection SQL critique qui donne à un attaquant accès à des fonctions internes privilégiées et aux privilèges d'opérateur.
Un désaccord mérite d'être relevé avant de rédiger le ticket. L'entrée du KEV indique qu'un attaquant distant peut atteindre des fonctions internes privilégiées et affecter l'hôte VCO ; l'analyse d'OTX affirme que des utilisateurs authentifiés disposant de privilèges minimaux peuvent s'élever au rang de superutilisateur opérateur. Ce sont deux modèles de menace différents, et un seul permet de bien dormir : partez donc du plus défavorable jusqu'à ce qu'Arista dise le contraire. L'entrée Collabora, pour sa part, décrit une exécution de code à distance qui fonctionne lorsque le serveur CODE n'est pas en cours d'exécution, ce qui est la description la plus honnête d'un logiciel moderne que j'aie lue ce mois-ci.
Trois zero-day distinctes dans le même orchestrateur en quatre mois ne forment pas une suite d'événements sans rapport : c'est un composant porteur que des gens disposant de temps sont en train de fouiller. La clôture de Chesterton joue dans les deux sens : quelqu'un a construit ce chemin de requête pour une raison, et quelqu'un d'autre vient d'en découvrir laquelle. Corrigez l'orchestrateur en premier. Il gère tout le reste.
Pourquoi c'est importantSi votre contrôleur SD-WAN est joignable depuis Internet, il constitue le plus court chemin entre un identifiant à faibles privilèges volé et chacune de vos agences.
Trois flux d'accord ne font pas une corroboration. C'est un seul flux avec un passe-temps et deux amis qui le relaient dans les dix heures.
— Sturgeon's Revelations · Probably Fine Daily No. 27
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
PHP2Shell : des millions de tentatives, aucune compromission confirmée, et désormais une seconde faille sans correctif
CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9.2 en CVSS v4.0, ont fuité avant leur correctif prévu le 21 octobre, et Internet s'en est aussitôt emparé : des chercheurs rattachent les tentatives à une variante de Mirai baptisée Potassium, démontrent un contournement de l'ASLR, et ne signalent toujours aucune compromission réussie confirmée. Les gestionnaires du SANS ont passé jeudi à un niveau Infocon relevé avant de revenir au vert vendredi, tandis qu'un autre article de recommandations avertit que la correction n'est pas aussi simple qu'un clic sur Mettre à jour. Deux jours après les correctifs d'urgence, PHP a divulgué CVE-2026-115560, une autre voie d'exécution de code sur un serveur web, non corrigée, ne touchant que des applications configurées de façon inhabituelle, risque que PHP juge improbable, et pour laquelle l'équipe a publié des mesures d'atténuation plutôt qu'un correctif.
Pourquoi c'est importantL'exploitation est bruyante et, pour l'instant, infructueuse : c'est précisément la fenêtre dans laquelle on inventorie ses builds et configurations PHP plutôt que de rafraîchir Twitter.
Qilin a publié l'équivalent d'une journée de travail de victimes en environ neuf heures
Le décompte de tempo de Ninja Signal fait état de 195 revendications sur sites de fuite en sept jours, émanant de 41 des 131 groupes suivis, SilentRansomGroup en affichant 10 contre 2.29 attendues d'après son propre rythme antérieur et BrainCipher 8 contre 1.57, tous deux à p < 0.001. En regard, la série de Qilin de jeudi se détache : 56 éléments le 23 octobre contre une médiane de 1.5 les autres jours, avec des victimes revendiquées en Italie, au Mexique, en Australie, au Chili, en Argentine, en Turquie et au Bangladesh, tandis que LockBit5, N0n, Akira, Wallstreet et Orova ont chacun publié leur propre série le même jour. Avant que quiconque n'en tire une diapositive sur une escalade coordonnée, notons que ransomware.live précède systématiquement ransomlook sur les mêmes victimes de 1.1 à 10.5 heures : une bonne part de la confirmation multisource apparente n'est donc qu'une seule observation amont portant trois manteaux.
Pourquoi c'est importantLa publication par lots traduit généralement le débit des affiliés, non une nouvelle capacité ; comptez les victimes distinctes, et non les entrées de flux distinctes, avant de briefer qui que ce soit.
L'agent a appris la chaîne d'attaque, et il facture à la tâche
Un acteur étatique chinois a utilisé un agent autonome de tests d'intrusion par IA nommé ARTEX dans des attaques contre ConnectWise visant des centaines d'organisations, obtenant un accès privilégié à certaines ; l'analyse d'OTX rattache ce même outillage à Storm-0940 tout au long d'octobre, contre des éditeurs informatiques et logiciels, avec les fournisseurs d'identité, dont Okta et Entra, pour cibles directes. Par ailleurs, des chercheurs ont trouvé une infrastructure exposée appartenant à des affiliés des équipes de rançongiciel INC et The Gentlemen, exécutant un « Autonomous Red Team Kill Chain Framework » nommé Phantom, et The Gentlemen a publié trois victimes le même jour. Les chiffres de Dark Reading précisent le tableau : une campagne touchant 105 sites avec des modèles à poids ouverts, et des modèles publics obtenant le contrôle complet d'un domaine pour 12 $.
Pourquoi c'est importantSi le contrôle d'un domaine coûte douze dollars d'inférence, l'économie du « trop petit pour être ciblé » a discrètement cessé de fonctionner.
La plomberie de l'économie des agents a connu une mauvaise semaine : LiteLLM empoisonné, portefeuilles x402 sans plafond
Des attaquants ont utilisé des jetons OAuth GitHub CLI compromis pour pousser et approuver des paquets LiteLLM malveillants sur PyPI et Docker, soit une attaque de la chaîne d'approvisionnement menée entièrement avec des identifiants légitimes et sans logiciel malveillant digne de ce nom. Dans la même période, V12 a signalé le 22 octobre que des agents IA payant des appels d'API via les SDK x402 pouvaient être amenés par une API malveillante à céder la totalité de leur solde d'un jeton pris en charge, le client par défaut n'imposant aucune limite de dépenses avant des versions du 18 août qui en ont ajouté une.
Pourquoi c'est importantLes clés d'API de modèles et les portefeuilles d'agents sont désormais des identifiants dotés d'un problème de plafond de dépenses, et personne n'a rédigé le calendrier de leur rotation.
Deux campagnes étatiques, aucune infrastructure commune, toutes deux sous le système d'exploitation
Kaspersky attribue à APT41 BlackX, un bootkit UEFI qui contourne Secure Boot sur des hôtes Windows entièrement à jour n'ayant pas appliqué les révocations DBX, dans une campagne visant des entités diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan début 2026 ; la persistance réside dans le micrologiciel, sous l'OS, là où votre EDR n'a pas voix au chapitre. Par ailleurs, ESET décrit Sandworm travaillant avec UAC-0099 contre une société ukrainienne de logistique céréalière : harponnage le 16 juillet 2025 livrant la porte dérobée MATCHWOK, puis MythicRatatoskr, une porte dérobée de réseau maillé compatible Yggdrasil, lors d'une attaque destructrice par effacement. Elles sont rapportées le même jour et ne partagent aucun indicateur, ce qu'il vaut mieux dire à voix haute avant que quelqu'un ne trace une flèche entre elles. Le Prince of Persia iranien, quant à lui, a installé un serveur C&C Tornado sur un hébergement mutualisé américain, son premier serveur basé aux États-Unis depuis 2016.
Pourquoi c'est importantCorrigé n'est pas synonyme de révoqué : si vous n'avez jamais déployé les mises à jour DBX, votre case Secure Boot cochée n'est qu'une case cochée, rien de plus.
La pile de correctifs que personne n'attaquera avant lundi : 72 failles ArubaOS, 176 entrées Atlassian, quatre RCE GitLab remontant à un seul moteur d'expressions régulières
HPE a livré des correctifs pour 72 vulnérabilités d'ArubaOS, dont huit contournements d'authentification et exécutions de code de gravité maximale, et le bulletin d'octobre d'Atlassian recense 176 entrées de vulnérabilités couvrant 75 failles, dont 14 critiques, toutes dans des composants tiers. Ruby a publié les versions 4.0.9, 3.4.12 et 3.3.13 pour corriger trois bogues d'Onigmo, le moteur d'expressions régulières, qui s'avèrent être à l'origine de quatre RCE critiques de GitLab corrigées le mois dernier ; quant à Pillow, la bibliothèque d'images la plus utilisée de Python, elle présente CVE-2026-112900, où le nom d'un fichier EPS est transmis à Ghostscript et devient une commande du système d'exploitation. Microsoft a aussi confirmé que Windows Server 2016 cessera de recevoir des mises à jour de sécurité en janvier 2027, ce qui est un problème de correctifs avec une réponse d'approvisionnement.
Pourquoi c'est importantQuatre RCE critiques de GitLab se résumant à trois bogues de regex en amont, voilà tout le plaidoyer pour l'inventaire des dépendances, livré gratuitement.
Des identifiants sont moissonnés en périphérie et lus sur le réseau, et nos propres journaux en conviennent
Des chercheurs ont révélé une campagne à grande échelle contre des équipements de périphérie réseau exposés, parmi lesquels Fortinet FortiGate et Palo Alto GlobalProtect, dans laquelle les opérateurs ont obtenu plus de 70,000 identifiants, tandis que 333 nœuds de sortie Tor ont été détournés pour intercepter le trafic SSH et récupérer des courriels en clair.
Pourquoi c'est importantLes équipements de périphérie et les portails VPN restent la source d'identifiants la moins chère d'Internet, et la collecte est continue plutôt qu'organisée en campagnes.
Un groupe de rançongiciel a annoncé son propre site web et les trackers l'ont enregistré comme victime
Whitearmor a publié cinq entrées le 23 octobre, dont l'une dit « Hi. We now have a clearnet domain for easy-access. WhiteArmor.cc », et ransomware.live comme ransomlook ont dûment enregistré whitearmor.cc comme victime revendiquée : un groupe criminel est donc parvenu à se racketter lui-même dans votre chaîne de renseignement sur les menaces. Ses autres revendications du jour, dont 140,838 dossiers d'employés attribués à une entreprise de logistique américaine, restent non vérifiées. Autre étrangeté : le gouvernement britannique propose des peines de 14 ans de prison pour le sabotage de câbles sous-marins, car la loi applicable est le Submarine Telegraph Act 1885, qui plafonne actuellement à une amende de 1 000 £ et cinq ans.
Pourquoi c'est importantLa logique de classification de votre flux de renseignement est un contrôle, et aujourd'hui elle a classé un communiqué de presse comme une violation de données.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux : un jeudi bruyant, répercuté trois fois, plus un NVD qui a cessé de parler mercredi soir.
Exception 01
L'essentiel de la confirmation croisée du jour n'est que du miroir
ransomware.live précède systématiquement ransomlook sur les mêmes victimes de 1.1 à 10.5 heures, et les signaux d'Atlas de 5.9 à 15.5 heures, sur Lido, Zelsior, Mount Lebanon, vinsolutions, Aurora et Chaos. À traiter comme une seule observation amont, non quatre.
confiance0.70
Wrong if
Des éléments de ransomlook commencent à apparaître avant ceux de ransomware.live pour les mêmes victimes, ou les deux flux montrent des ensembles de victimes disjoints.
Watch
Reste à voir si les cas où ransomlook est premier, comme emperador à 4.5 heures, deviennent routiniers, ce qui suggérerait une collecte indépendante.
Les étiquettes « fusion KEV × rançongiciel » ne peuvent pas être vérifiées
Atlas rattache des récits de fusion de type KEV à Qilin, LockBit5, Akira et Orova, alors qu'aucune CVE du KEV n'apparaît nulle part dans les éléments de rançongiciel sous-jacents, et qu'Orova compte dix éléments avec des publications de victimes mais aucun lien CVE déclaré.
confiance0.50Speculative
Wrong if
Atlas publie la correspondance précise CVE-acteur qui sous-tend les récits de fusion.
Watch
Toute entrée du KEV liée à ces acteurs dans les jours à venir, et la question de savoir si l'étiquette de fusion survit à l'épreuve.
Exception 03
Le NVD s'est tu après le 22 octobre à 23:36
Le NVD a fourni 100 éléments, tous au début de la fenêtre, selon des schémas de lots nets : environ neuf CVE Apache bRPC en une heure, cinq Unbound, trois IoTDB, trois OpenJ9, puis plus rien. Ce schéma ressemble à de l'ingestion, non à un monde où les divulgations auraient cessé.
confiance0.60Speculative
Wrong if
Le NVD reprend à volume normal sans changement de collecteur, ou la lacune est confirmée comme une véritable pause de publication.
Nothing to seeAucun lien avec un acteur ou une CVE n'a été montré entre l'activité des rançongiciels et les deux nouvelles entrées du KEV. L'injection de commandes à privilèges root d'OnePlus OxygenOS, la pile de plugins WordPress, les bogues d'analyse SVG et les problèmes de divulgation inter-projets d'OpenStack sont des vulnérabilités isolées sans rien derrière elles. Les récits d'Atlas sur les crises composées par pays affichent une confiance de 0.425 et ne disent rien dont un défenseur puisse faire usage. Les messages sur l'épuisement professionnel d'infosec.exchange ne sont pas un signal de menace ; ce sont des gens, et ils sont fatigués.
Deep read: 390 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueTue 3 Nov10 days
Ni CVE-2026-109618 ni CVE-2026-109619 (PHP2Shell) ne seront ajoutées au KEV de la CISA.
Wrong ifL'une ou l'autre CVE figure dans une entrée du KEV de la CISA au plus tard le 3 novembre 2026.
Ivanti publishes a fix or formal mitigation for the third flaw in the Connect Secure chain.
Called Wed 14 Oct · due Sat 24 Oct
Due 24 Oct. No item shows an Ivanti advisory, fix or mitigation for a third Connect Secure flaw.
wrong
N0n names at least one of the placeholder listings 'Company #63', '#64' or '#65' on its leak site.
Called Wed 14 Oct · due Sat 24 Oct
Due 24 Oct. No item shows Company #63, #64 or #65 being named. N0n's named claims on 23 Oct are other victims.
partly
CISA adds at least one further edge or remote-access device CVE (Fortinet, Ivanti, Cisco, Palo Alto, BeyondTrust class) to KEV by 30 October 2026.
Called Sat 17 Oct · due Fri 30 Oct
CISA added Arista VeloCloud Orchestrator (an SD-WAN edge-management product) to KEV on 23 Oct. It is not one of the named vendors, so whether it counts as the same class is arguable.
Glossaire des termes que vous êtes censé connaître
Zero-day (la troisième en quatre mois)(n.)
Pas une zero-day. Un composant. La première est un coup de malchance, la deuxième une tendance, et la troisième est le produit qui vous dit où il garde ses secrets, lentement, en public, avec un numéro CVE en prime.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périphérie, ces dernières 24 heures : 113 sources hostiles profilées, dont 49 chercheurs, 32 scanners, 28 robots d'indexation et 3 forceurs de mots de passe, qui ont envoyé 6,160 requêtes à eux tous, dont 72 sont passées de la reconnaissance à des tentatives d'exploitation. Treize groupes d'adresses partageaient une empreinte comportementale, dont une grappe de 45 IP se comportant comme un seul outil, et 1,258 des 7,360 adresses vues dans 89 pays étaient nouvelles aujourd'hui. Les deux qui m'ont fait poser ma tasse : un scanner à 34.52.133.111 réclamant 231 fois des fichiers comme /.env.anthropic et /.docker/config.json, et 130.211.85.163 envoyant 113 requêtes pour /.git/config, /api/.env et /sendgrid.env en 0.4 seconde environ. Les journaux bruts n'ont jamais quitté le serveur ; seuls les constats l'ont fait.
113sources hostiles profilées
6,160requêtes émanant d'elles
72ont atteint l'exploitation
13grappes à ADN commun
8.2/10hostilité maximale
7,360adresses à notre périphérie
1,258vues pour la première fois aujourd'hui
89pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
34.52.133.111, un scanner (hostilité 4.3/10), a envoyé 231 requêtes à 2 de nos sites, sondant /.docker/.env, /.docker/laravel/app/.env, /.env.anthropic, /.docker/config.json.
Pourquoi c'est étrangeS'est directement attaqué aux identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
85.204.70.104, un opérateur ciblé (hostilité 7.7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du classement ; sa chaîne d'attaque a atteint l'accès aux identifiants.
6 adresses ont envoyé 15 requêtes calquées sur l'exploitation de CVE-2024-4577 (/index.php), dont 2a0f:ca80:b00b:b63c::5, 45.153.34.249, 43.134.64.138.
Pourquoi c'est étrangeUn exploit connu et nommé toujours pulvérisé sur Internet ; notre périphérie l'a vu aujourd'hui, quoi qu'en disent les notes de correctifs sur l'année.
attribution: inconnu
Detail
famille de sonde : webshell
WTF #4
Même ADN, adresses différentes
47.82.55.22, un chercheur (hostilité 0.8/10), a envoyé 9 requêtes à l'un de nos sites, sondant /threat-check/Microsoft%20GDI%20Remote%20Code%20Execution%20Vulnerabil, /threat-check/F5%20BIG-IP%20and%20BIG-IQ%20Centralized%20Management%20.
Pourquoi c'est étrange45 IP partagent une même empreinte comportementale (ADN b77200c2c27d) : un seul outil ou un seul opérateur faisant tourner les adresses : 47.82.8.122, 47.82.55.22, 47.82.50.199, 47.82.54.185, 47.82.13.21 et d'autres.
20.239.201.109, un scanner (hostilité 6.4/10), a envoyé 48 requêtes à l'un de nos sites, sondant /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
Pourquoi c'est étrangeA réclamé des fichiers que presque personne d'autre ne demande : /inputs.php, /ioxi-o.php, /function/function.php, /rip.php, /admin.php.
UpTransportation — 2.2× its own prior share (70 claims, 32 expected)
UpEducation — 1.8× its own prior share (47 claims, 26 expected)
UpHealthcare — 1.4× its own prior share (112 claims, 78 expected)
DownRetail & E-Commerce — 0.8× its own prior share (47 claims, 61 expected)
23% of claims carry no sector label.
Brand churn
Of the 80 leak-site brands first seen since 2026-06-01, 78% were still claiming 30 days after their first post and 78% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 56 old enough to judge posted on one day and never again; 41% made at least half their claims in their first week. New brands this month: 11 — newest: Whitearmor (2026-10-23, 3 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.9× every other brand's share); N0n put 38% of its claims on Transportation (8.3× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: qilin across 10.0 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 68% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 181 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 41% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 27 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 13 flux publics de renseignement sur les menaces dans les 24 heures précédant 05:05 heure du Royaume-Uni (390 éléments) a été lu intégralement : statistiques calculées par code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « Depuis notre périphérie » désigne des données d'attaque en direct provenant de nos propres serveurs. Coût de cette édition : 0,77 $. Elle est rédigée par une machine dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.
390items read
24hour window
$0.77cost of this edition
04:05 UTCgenerated
Sources de ce matin
NVD100ok
Signal Atlas67ok
RansomLook49ok
Security news41ok
infosec.exchange38ok
ransomware.live37ok
atlas28ok
AlienVault OTX11ok
signal:ioc-family7ok
RSS7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 390|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.77|STATUS: PAS TOUT À FAIT RASSURANT
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK