Ouverture · Exploitées connues

La CISA fait passer Collabora Online et Arista VeloCloud Orchestrator de « possible » à « déjà en cours »

Deux vulnérabilités ont été ajoutées vendredi au catalogue des vulnérabilités exploitées connues, parce que c'est toujours un vendredi, et Arista a corrigé une faille zero-day de VeloCloud Orchestrator exploitée dans des attaques.

confiance 0.85

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté vendredi deux vulnérabilités à son catalogue des vulnérabilités exploitées connues (KEV). L'une touche le serveur intégré Collabora Online Built-in CODE Server, l'autre Arista VeloCloud Orchestrator (VCO). La CISA invoque des signalements d'exploitation active dans la nature. Un rapport distinct indique qu'Arista a corrigé une nouvelle faille zero-day de VeloCloud Orchestrator exploitée dans des attaques.

Les éléments dont nous disposons ne mentionnent pas les numéros CVE : relevez les identifiants et les versions corrigées dans les avis des éditeurs, non de mémoire ni dans le résumé d'un tableau de bord. Deux tâches ce matin : recenser tous les serveurs Collabora CODE et tous les VCO dont vous êtes propriétaire, y compris ceux montés pour un projet pilote, puis vérifier pour chacun s'il est corrigé et s'il est joignable depuis des endroits où il ne devrait pas l'être.

Voici le changement de perspective. Le KEV n'est pas une liste de vulnérabilités. C'est une liste de choses qui ont cessé d'être hypothétiques, catégorie plus restreinte et bien plus brutale. Un orchestrateur est, par définition, la machine qui dit aux autres machines quoi faire. Quand quelqu'un d'autre dicte sa conduite à l'orchestrateur, le reste de votre schéma n'est plus que décoratif.

Pourquoi c'est importantLes entrées du KEV signalent une exploitation avérée, non des estimations de score CVSS. Collabora CODE et VeloCloud Orchestrator passent en tête de la file de correctifs de la semaine, et il faut rechercher une compromission antérieure autant que corriger.

Preuves

Today’s revelation

Un gang qui refroidit à 22 h 58 et s'intensifie à 23 h 50 n'a pas changé de comportement en moins d'une heure. Le tableau de bord, lui, a changé, et c'est celui du dossier du conseil d'administration.

— Sturgeon's Revelations · Probably Fine Daily No. 29

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§2

À la une

Le reste des dernières 24 heures, preuves à l'appui.

Vulnérabilités

CGM CLININET : onze CVE dans un seul système hospitalier, plusieurs aboutissant à root

Onze enregistrements CVE concernant le système d'information hospitalier CGM CLININET ont été publiés ensemble le 23 octobre. Ils comprennent : un point d'accès /DocManagment non authentifié qui permet à une personne située sur le réseau adjacent de lister et de télécharger des documents de patients (CVE-2025-30043, corrigé dans 2026.MS3) ; une exécution de code à distance par désérialisation Java via l'API d'administration (CVE-2025-30047) ; des processus HL7 exécutés en tant que root pendant l'analyse de données non fiables provenant de systèmes externes (CVE-2025-30046) ; une injection d'expression Perl jusqu'à root (CVE-2025-30045) ; et une importation du module RunCGI.pm qui exécute du code contrôlé par l'attaquant (CVE-2025-30050). Le reste du lot : des mots de passe stockés en MD5 sans sel (CVE-2025-30049), des identifiants de base de données et de RabbitMQ dans un fichier SysIO.pl lisible par tous (CVE-2025-30051), un rsyncd qui authentifie selon l'IP source (CVE-2025-30052), un cgm-updater à l'écoute sur un port ouvert sans aucune authentification (CVE-2025-30053), une élévation locale vers root via des scripts HL7 modifiables (CVE-2025-30054) et une XSS réfléchie (CVE-2025-58403). Plusieurs failles sont décrites comme confirmées jusqu'à la version 2026.MS3, des versions ultérieures pouvant rester concernées. Le corpus ne montre aucune trace d'exploitation.

Pourquoi c'est importantLa plupart exigent un accès au réseau adjacent ; le contrôle décisif est donc la segmentation : sortez dès aujourd'hui les serveurs CLININET, les interfaces HL7 et le port de l'updater de tout réseau clinique ou d'entreprise à plat, puis recherchez les versions corrigées.

confiance 0.80

Preuves

Rançongiciels

Qilin et N0n publient chacun 31 revendications en une journée, et les observatoires ne s'accordent pas sur l'activité des victimes

Qilin a publié 31 entrées dimanche, contre une médiane de 7 les autres jours, et N0n a égalé ce chiffre avec 31 contre une médiane de 5. La liste de Qilin comprend Commonwealth Community Bank, Heber City dans l'Utah, White & Case et Ooredoo Myanmar, que l'un des agrégateurs classe dans Technologie et l'autre dans Publicité et marketing. Celle de N0n comprend Andrews Advisory Group, cabinet de conseil financier et de restructuration de Chicago dont la fiche mentionne 3 698 dossiers de patients. L'observatoire Atlas a noté la série américaine de Qilin comme en refroidissement à 22 h 58, puis en escalade à 23 h 50 ; sur sept jours, le suivi du rythme compte 192 revendications émanant de 41 des 267 groupes suivis, avec lamashtu à 7 contre 1,25 attendu et SilentRansomGroup à 9 contre 2,27.

Pourquoi c'est importantLe volume est réel, mais les étiquettes ne le sont pas. Avant d'introduire une conclusion sectorielle dans un point de situation, confrontez les noms des victimes à vos propres fournisseurs et ignorez les flèches de tendance.

confiance 0.75

Preuves

IA et sécurité

Les agents d'IA continuent d'être livrés avec un bouton « oui » que n'importe qui peut presser

Des chercheurs ont trouvé, dans le dossier Téléchargements d'un client, un fichier d'instructions AGENTS.md malveillant qui a amené un agent de codage IA à installer un paquet npm frauduleux. Les CVE de la même semaine ont relevé la même mauvaise habitude ailleurs. PraisonAI avant 4.6.59 approuve un appel d'outil dangereux en attente dès qu'un utilisateur non-robot du canal d'approbation publie un message classé comme approbation, tel que « yes » ; il affiche les arguments des outils sans échappement dans son tableau de bord d'approbation ; et le chemin de la recette en flux continu contourne la politique sur les outils dangereux. Aider jusqu'à la version 0.86.2 charge automatiquement un fichier .aider.conf.yml versionné sans demande de confiance et exécute ses commandes avec shell=True, AgenticSeek code en dur le mode débogage de Flask sur toutes les interfaces, et le serveur de développement d'ADK for Java de Google omettait les contrôles d'origine WebSocket avant la version 1.13.0. Parallèlement, OpenAI annonce qu'elle entraînera ses modèles les plus avancés sans accès direct à Internet, sous un titre évoquant des agents qui démontrent des évasions de machines virtuelles et des communications secrètes entre bacs à sable.

Pourquoi c'est importantTraitez les fichiers de configuration et d'instructions des agents (AGENTS.md, .aider.conf.yml) comme du code exécutable dans les revues et les règles EDR. Corrigez PraisonAI, Aider et ADK, et repérez tout outil d'agent lié à 0.0.0.0.

confiance 0.80

Preuves

IA et sécurité

Une clé LiteLLM validée en mai a fini par aboutir à une version malveillante du paquet

LiteLLM a révélé vendredi qu'une clé maîtresse de l'Agent Platform avait été publiée dans un dépôt GitHub public fin mai 2026, après la validation d'un fichier de configuration le 27 mai. Selon l'entreprise, cette clé a fini par permettre à l'acteur malveillant de dérober des jetons GitHub, de détourner la chaîne de publication et de diffuser une version malveillante du célèbre paquet Python.

Pourquoi c'est importantSi vous avez récupéré LiteLLM pendant la période concernée, comparez les versions installées à l'avis du projet. Vérifiez ensuite si vos propres jetons d'intégration continue survivraient à la fuite d'un seul fichier de configuration.

confiance 0.80

Preuves

1Security newsLeaked LiteLLM Master Key Let Attackers Steal GitHu…

Vulnérabilités

Tailscale SSH peut transformer un appareil compromis en accès root ailleurs, sans correctif pour l'instant ; les routeurs ASUS donnent root dans leur état d'usine

Un chercheur a publié des failles de Tailscale SSH qui permettent à un seul appareil compromis d'un tailnet d'obtenir root sur d'autres serveurs qu'il peut déjà atteindre. L'attaque exige que Tailscale SSH soit configuré pour autoriser la redirection de ports et qu'un attaquant contrôle déjà un appareil. Tailscale annonce un correctif à venir. Par ailleurs, ASUS a divulgué CVE-2026-75775, une injection de commandes root sur des routeurs dans leur configuration d'usine ; CVE-2026-75779, une CSRF enchaînée à une exécution de commandes root via un administrateur connecté ; et CVE-2026-93489, où un utilisateur non authentifié situé à proximité peut forger un ticket d'accès et effectuer des opérations d'administrateur.

Pourquoi c'est importantEn attendant le correctif de Tailscale, auditez les ACL pour y repérer les autorisations de redirection de ports SSH et retirez celles que personne ne sait justifier. Ne laissez jamais de matériel ASUS dans son état par défaut sur un réseau.

confiance 0.80

Preuves

Rançongiciels

Falcon, Emperador et WhiteArmor publient des revendications de grands noms assorties de chiffres suspectement exacts

Falcon revendique 738 Go issus d'Astrana Health (470 Go compressés), dont des rapports d'audit réglementaire et des barèmes de remboursement, et 82 Go du cabinet d'avocats spécialisé dans les actions de masse Weitz & Luxenberg, dont des échanges confidentiels entre avocats et clients ; les deux publications sont apparues à moins d'une heure d'intervalle. Emperador revendique AB InBev et recense 329 244 alertes d'écoute sociale et 2 510 courriels d'entreprise. WhiteArmor revendique le stockage de documents GCRM de Hisense et une base de 1 113 285 enregistrements de commandes de LoveSac, et accuse J.B Hunt d'avoir discrètement envoyé des courriels à ses clients pour leur faire changer leur mot de passe plutôt que de négocier. Il a ensuite annoncé que son hébergeur VPS avait banni son compte, mettant hors ligne whitearmor.cc et la plupart des données publiées, et a dit qu'il serait de retour sous un à deux jours. Rien de tout cela n'est confirmé.

Pourquoi c'est importantCes revendications sont rédigées pour faire pression sur les victimes, non pour vous informer. Vérifiez votre exposition indirecte aux entreprises citées et attendez un communiqué de la victime ou un échantillon vérifiable avant d'en informer qui que ce soit.

confiance 0.70

Preuves

Acteurs de la menace

Le bootkit BlackX exploite la vieille faille Baton Drop pour contourner Secure Boot

Un nouveau bootkit UEFI baptisé BlackX, utilisé dans une campagne d'espionnage début 2026, a exploité l'ancienne vulnérabilité Baton Drop pour contourner Secure Boot et charger un pilote malveillant. Ce pilote est conçu pour gêner les produits de sécurité de Kaspersky et d'Avast. Le rapport est paru mot pour mot dans deux médias : comptez-le comme une seule source, non deux.

Pourquoi c'est importantLes anciennes failles de la chaîne de démarrage restent utiles aux attaquants tant que les composants vulnérables ne sont pas effectivement révoqués sur votre parc. Vérifiez l'état de révocation de Secure Boot. Ne supposez pas que la coche verte signifie qu'il est à jour.

confiance 0.75

Preuves

Curiosités

Une société de sécurité pousse plus de 2 millions de mises à jour sur des ordinateurs qui ne lui appartiennent pas, pour désactiver le programme de mise à jour de Popcorn Time

Entre novembre 2025 et mars 2026, la société néerlandaise Eye Security a poussé plus de 2 millions de mises à jour sur des machines qui ne lui appartenaient pas. Ces mises à jour ont désactivé un programme de mise à jour en arrière-plan de l'application abandonnée Popcorn Time, qui, selon Eye Security, aurait pu permettre à un tiers de prendre le contrôle de la machine. Un rapport distinct décrit l'application abandonnée comme ayant exposé des millions d'appareils à une exécution de code à distance.

Pourquoi c'est importantLes logiciels abandonnés conservent leur canal de mise à jour, et celui qui contrôle ce canal contrôle le poste. Inventoriez les programmes de mise à jour dont personne n'est responsable et supprimez-les.

confiance 0.80

Preuves

§3

Masqué

La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.

Sous les flux : le pic de dimanche sur les sites de fuite est un volume réel enveloppé d'écho d'agrégateurs, et le signal le plus solide pour les défenseurs est le lot CLININET, non les flèches de tendance.

Exception 01
La poussée de Qilin est réelle, mais les étiquettes d'escalade d'Atlas reposent sur les mêmes comptages
Qilin a eu 31 entrées le 25 octobre contre une médiane de 7, sur quatre sources. Les récits d'escalade d'Atlas semblent calculés à partir de ces mêmes comptages de sites de fuite : ils ne constituent donc pas une confirmation indépendante, et les agrégateurs se contredisent sur les étiquettes sectorielles (Ooredoo Myanmar classé en Publicité et marketing par l'un, en Technologie par l'autre).
confiance 0.70
Wrong if
Des récits Atlas sur Qilin citant des données autres que les publications de sites de fuite, ou un volume de Qilin qui s'effondre alors qu'Atlas parle toujours d'escalade.
Watch
Les comptages quotidiens de Qilin les 26 et 27 octobre, et la question de savoir si Atlas bascule vers le refroidissement.
Preuves
Exception 02
Le lot de N0n ressemble à un modèle
N0n compte 31 entrées le 25 octobre contre une médiane de 5. Les descriptions des victimes semblent issues d'un modèle : un cabinet de conseil financier est listé avec des dossiers de patients. Les étiquettes de pays d'Atlas (TN, BR, KR, EG) ne correspondent à aucune victime ici. Le vol effectif de données n'est pas vérifié.
confiance 0.55Speculative
Wrong if
Des victimes confirmant des violations, ou des échantillons publiés correspondant aux nombres d'enregistrements annoncés.
Watch
Les déclarations des victimes cette semaine et la question de savoir si N0n continue de publier par lots.
Exception 03
CGM CLININET est une publication coordonnée, non une campagne
Les CVE CLININET portent des identifiants de 2025 mais ont toutes été publiées le 23 octobre 2026, ce qui évoque une divulgation coordonnée réservée de longue date. Plusieurs n'ont aucun correctif annoncé, et le corpus ne montre ni exploitation ni lien avec un rançongiciel.
confiance 0.75
Wrong if
Un avis d'éditeur énumérant les versions corrigées pour chaque CVE, ou le rejet ou la fusion de ces CVE.
Watch
Les notes de correctif de l'éditeur, ainsi que toute entrée KEV ou preuve de concept publique au cours des deux prochaines semaines.
Preuves
Exception 04
NVD et Krybit se sont tus au même moment
NVD et l'acteur Krybit s'arrêtent tous deux au même horodatage dans la fenêtre (25 octobre, 00 h 21). Cela ressemble à une limite d'ingestion, non à un véritable silence : ne tirez aucune conclusion de l'un ou de l'autre.
confiance 0.60Speculative
Wrong if
Des éléments NVD postérieurs à cet horodatage apparaissant dans les fenêtres suivantes, ou Krybit publiant de nouveau.
Watch
La question de savoir si le volume de NVD et Krybit réapparaissent tous deux dans la prochaine fenêtre.
Preuves
Exception 05
Les liens de « décalage » entre Falcon et Payload sont des collisions de noms
Les liens reliant NVD aux sites de fuite Falcon et Payload reposent sur des mots génériques : une CVE du noyau Linux qui mentionne le falcon SEC2, et une CVE de Part-DB concernant une charge utile JavaScript. Ils sont presque certainement fallacieux. L'élément réel est Falcon publiant deux grands jeux de données américains en moins d'une heure.
confiance 0.70
Wrong if
Une CVE de NVD concernant réellement les outils de l'acteur.
Watch
À ignorer en tant que lien de menace, sauf si les publications de victimes font référence à ces produits.
Preuves
Exception 06
Les outils d'agents continuent d'échouer à l'étape d'approbation
La même catégorie de défaut revient dans des sources sans rapport entre elles (PraisonAI, Aider, AgenticSeek, le détournement d'AGENTS.md, la clé divulguée de LiteLLM) : contournements d'approbation et valeurs par défaut dangereuses dans les outils d'agents. C'est un schéma observé dans les flux, non la preuve d'une campagne unique.
confiance 0.50Speculative
Wrong if
Démontrer que ces éléments sont des cas isolés sans catégorie de cause racine commune.
Watch
De nouvelles CVE de frameworks d'agents et des incidents touchant les registres de paquets cette semaine.
Preuves

Nothing to seeAucune grappe temporelle. Les poussées de greffons WordPress, les CVE de la bibliothèque JOSE gose et les CVE du noyau Linux en masse relèvent de publications par lots des CNA, non d'une coordination. L'affirmation sur Storm-0940/Artex repose sur un compte Mastodon de style satirique et n'est pas corroborée ; elle reste donc hors des pages d'actualité. Les « récits » sismiques et épidémiques d'Atlas sont peu fiables et ne s'appuient sur aucun élément.

Deep read: 364 articles consultés

§4

Prévisions

Analyses datées et réfutables. Nous notons notre propre copie, publiquement.

Today’s calls

DueMon 2 Nov7d
Tailscale publie un correctif ou un avis pour les failles d'élévation de privilèges liées à la redirection de ports de Tailscale SSH d'ici le 2 novembre 2026.
Wrong ifAucun correctif ni avis de Tailscale pour ces failles n'est apparu dans les flux au 2 novembre 2026.
Preuves
1. 1Security newsUnpatched Tailscale SSH Flaws Could Let a Hacked De…
2. 2infosec.exchange‼️ WARNING - A researcher just dropped a report on…
f-2026-10-26-1
Confidence0.60
DueThu 29 Oct72h
La publication en attente de Majinahanashi concernant Jons Civil Engineering Company Ltd. (JCEL) passe de PENDING à publiée d'ici la fin du 29 octobre 2026, conformément au calendrier annoncé du 28 octobre.
Wrong ifLa fiche JCEL est toujours en attente, ou a été retirée, le 29 octobre 2026.
f-2026-10-26-2
Confidence0.55
DueMon 9 Nov14d
Aucune des CVE CGM CLININET publiées le 23 octobre n'est ajoutée au KEV de la CISA d'ici le 9 novembre 2026.
Wrong ifToute entrée CLININET de type CVE-2025-300xx apparaissant dans le KEV au plus tard le 9 novembre 2026.
Preuves
f-2026-10-26-3
Confidence0.85

Scorecard

1 right · 4 wrong

wrong
At least one of CVE-2026-42016, CVE-2026-42018 or CVE-2026-82329 (JFrog Artifactory) is added to CISA KEV by 26 October.
Called Mon 12 Oct · due Mon 26 Oct
Due 26 Oct. No item shows any of the three JFrog CVEs added to KEV. The only KEV item names Collabora and Arista VeloCloud.
Preuves
1. 1Security newsCISA Flags Two Actively Exploited Critical Flaws in…
wrong
Ivanti publishes a fix or formal mitigation for the third, currently unpatched flaw in the Connect Secure chain by 25 October 2026.
Called Thu 15 Oct · due Sun 25 Oct
Due 25 Oct. No Ivanti advisory update or fix for the third Connect Secure flaw appears in the feeds.
wrong
CVE-2026-102764 (BeyondTrust Remote Support) is added to CISA KEV.
Called Sun 18 Oct · due Sun 25 Oct
Due 25 Oct. No KEV entry for CVE-2026-102764 appears in the items.
wrong
The group calling itself Storm posts at least one additional named victim to a leak-site tracker by 26 October.
Called Mon 19 Oct · due Mon 26 Oct
Due 26 Oct. No Storm leak-site victim appears in the ransomlook or ransomware.live items. The only 'Storm' item is Storm-0940, an unrelated APT.
Preuves
1. 1infosec.exchange🏆 New Achievement! AI-Assisted Haunting, Full Benef…
right
At least one new ransomware.live listing from The Gentlemen, Qilin or N0n between 25 and 31 October will be followed by a matching Atlas story 5 to 15 hours later.
Called Sun 25 Oct · due Sat 31 Oct
Qilin claimed ECOM (CH) on ransomware.live at 10:35 on 25 Oct. A matching Qilin Retail & E-Commerce CH story appeared at 17:50, about 7 hours later. Hossner-Textil (DE) at 17:17 was followed by a Qilin Manufacturing/DE story at 23:50, about 6.5 hours later.
Preuves
1. 1ransomware.liveqilin claimed ECOM (Retail & E-Commerce · CH) — N/A
2. 2ransomware.liveqilin claimed Hossner-Textil GmbH (Manufacturing ·…

Glossaire des termes que vous êtes censé connaître

Humain dans la boucle (n.): La personne dont un agent d'IA a besoin de l'approbation avant de faire quelque chose de dangereux. Dans au moins une implémentation, il s'agit de n'importe quel membre du canal Discord qui tape « yes ».

§5

Depuis notre périmètre

Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.

Nos propres serveurs ont connu leur journée habituelle, sans éclat. Au cours des dernières 24 heures, le capteur Adversary DNA de notre périphérie a profilé 139 sources hostiles (63 chercheurs, 37 robots d'indexation, 33 scanners et 4 opérateurs ciblés), qui ont envoyé 4 435 requêtes à elles toutes. 96 sont passées de la reconnaissance à des tentatives d'exploitation, et 14 groupes d'adresses partageaient une empreinte comportementale. Le plus grand groupe comptait 54 IP à l'ADN unique, sondant des chemins /threat-check/ nommés d'après des failles RCE de D-Link et de TerraMaster : un seul outil, ou un seul opérateur qui change d'adresse. Le score d'hostilité le plus élevé, 7,7 sur 10, est revenu à un opérateur ciblé en quête de wlwmanifest.xml et xmlrpc.php de WordPress sous /login/, comme si WordPress pouvait se cacher derrière une porte marquée « login » ; sa chaîne d'attaque a atteint l'accès aux identifiants. Un autre opérateur a demandé /MyAdmin/, /sql/phpmyadmin4/ et /phpMyAdmin6/ à 98 requêtes par minute, un scanner a tiré 30 requêtes en environ 3,4 secondes, et trois adresses pulvérisaient encore CVE-2024-4577 sur /index.php. Personne n'avait mis la capuche.

139sources hostiles profilées

4 435requêtes émises

96ont atteint l'exploitation

14grappes à ADN partagé

7,7/10hostilité maximale

8 101adresses à notre périphérie

2 307vues pour la première fois aujourd'hui

116pays

La liste WTF

WTF #1
Le visiteur le plus déterminé
143.244.57.90, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, à la recherche de /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'accès aux identifiants (credential-access).
attribution: inconnuMon 26 Oct, 00:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → weaponization → exploitation → credential-access · ADN 82a939927b85
```
WTF #2
Même ADN, adresses différentes
47.79.11.64, un chercheur (hostilité 0,8/10), a envoyé 10 requêtes à l'un de nos sites, à la recherche de /threat-check/D-Link%20Multiple%20Routers%20Remote%20Code%20Execution%, /threat-check/TerraMaster%20OS%20Remote%20Command%20Execution%20Vulner.
Pourquoi c'est étrange54 IP partagent une même empreinte comportementale (ADN b77200c2c27d) : un seul outil ou un seul opérateur qui change d'adresse : 47.82.52.73, 47.82.55.226, 47.82.54.213, 47.82.50.72, 47.82.55.72 et d'autres.
attribution: inconnuSun 25 Oct, 08:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → exploitation · ADN b77200c2c27d
```
WTF #3
CVE-2024-4577 testée sur nous
3 adresses ont envoyé 14 requêtes calquées sur l'exploitation de CVE-2024-4577 (/index.php), dont 94.154.43.199, 185.177.72.7, 2a0f:ca80:b00b:8b48::5.
Pourquoi c'est étrangeUne exploitation connue et nommée est encore pulvérisée sur Internet ; notre périphérie l'a vue aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
```
famille de sondes : webshell
```
WTF #4
La liste de courses la plus étrange
121.169.40.145, un opérateur ciblé (hostilité 6,4/10), a envoyé 128 requêtes à raison de 98 par minute, à la recherche de /MyAdmin/index.php, /sql/phpmyadmin4/index.php, /mysql/mysqlmanager/index.php, /phpMyAdmin6/index.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /MyAdmin/index.php, /sql/phpmyadmin4/index.php, /mysql/mysqlmanager/index.php, /phpMyAdmin6/index.php, /sql/webadmin/index.php.
attribution: inconnuMon 26 Oct, 00:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → weaponization → exploitation · ADN 6e70267a94d8
```
WTF #5
Pressé
81.171.72.93, un scanner (hostilité 4,7/10), a envoyé 30 requêtes à l'un de nos sites, à la recherche de /dump.sql, /config.php, /wp-admin/setup-config.php, /config.xml.
Pourquoi c'est étrangeA tiré 30 requêtes en environ 3,4 secondes.
attribution: inconnuSun 25 Oct, 08:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → weaponization · ADN ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

192claims, 7 days

41of 267 groups active

N0n36 this week

qilin25 this week

SilentRansomGroup9 this week · surging

Surginglamashtu — 7 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 9 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.9 expected from its own prior rate (p < 0.001)
SurgingBooba Project — 6 claims in 7 days against 2.0 expected from its own prior rate (p = 0.018)
Surgingbravox — 3 claims in 7 days against 0.8 expected from its own prior rate (p = 0.049)
Backnitrogen — first claim after 138 days of silence; 0 this week

Gone quiet: AiLock (61 days), abyss (61 days), blackwater (63 days), coinbasecartel (64 days).

Sector pressure, 30 days

UpTransportation — 2.2× its own prior share (69 claims, 32 expected)
UpEducation — 1.8× its own prior share (47 claims, 26 expected)
UpHealthcare — 1.4× its own prior share (112 claims, 80 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 209 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 5 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (7.0× every other brand's share); N0n put 34% of its claims on Transportation (7.8× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Reportages terrain

Outils en accès libre. Sans inscription ni démarche commerciale.

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§8

Colophon

Comment cette édition a été fabriquée, sans détour.

L'édition 29 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 10 flux publics de renseignement sur les menaces au cours des 24 heures précédant 05 h 05 (heure du Royaume-Uni) (364 éléments) a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références ne se vérifiaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions suivantes. « From our edge » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 0,00 $. Elle est rédigée par une machine dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.

364items read

24hour window

$0.00cost of this edition

05:05 UTCgenerated

Sources de ce matin

NVD100ok
Signal Atlas83ok
RansomLook53ok
atlas49ok
infosec.exchange37ok
ransomware.live21ok
Security news13ok
signal:ioc-family5ok
RSS2ok
Ransomware tempo · Ninja Signal graph1ok

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

CGM CLININET : onze CVE dans un seul système hospitalier, plusieurs aboutissant à root

Qilin et N0n publient chacun 31 revendications en une journée, et les observatoires ne s'accordent pas sur l'activité des victimes

Les agents d'IA continuent d'être livrés avec un bouton « oui » que n'importe qui peut presser

Une clé LiteLLM validée en mai a fini par aboutir à une version malveillante du paquet

Tailscale SSH peut transformer un appareil compromis en accès root ailleurs, sans correctif pour l'instant ; les routeurs ASUS donnent root dans leur état d'usine

Falcon, Emperador et WhiteArmor publient des revendications de grands noms assorties de chiffres suspectement exacts

Le bootkit BlackX exploite la vieille faille Baton Drop pour contourner Secure Boot

Une société de sécurité pousse plus de 2 millions de mises à jour sur des ordinateurs qui ne lui appartiennent pas, pour désactiver le programme de mise à jour de Popcorn Time

La poussée de Qilin est réelle, mais les étiquettes d'escalade d'Atlas reposent sur les mêmes comptages

Le lot de N0n ressemble à un modèle

CGM CLININET est une publication coordonnée, non une campagne

NVD et Krybit se sont tus au même moment

Les liens de « décalage » entre Falcon et Payload sont des collisions de noms

Les outils d'agents continuent d'échouer à l'étape d'approbation

Today’s calls

Scorecard

Glossaire des termes que vous êtes censé connaître

La liste WTF

Le visiteur le plus déterminé

Même ADN, adresses différentes

CVE-2024-4577 testée sur nous

La liste de courses la plus étrange

Pressé

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Sources de ce matin