Le boîtier censé tenir le périmètre est devenu la porte d'entrée, et cette fois l'attaquant ne voulait pas de vos données

Vulnérabilités

Trois nouvelles entrées KEV, dont un démon IRC, parce qu'Internet n'efface jamais rien

Outre Check Point, la CISA a ajouté CVE-2026-114713 dans UnrealIRCd — une neutralisation incorrecte de délimiteurs permettant à tout utilisateur d'un réseau comptant au moins deux serveurs liés d'injecter des commandes de serveur à serveur exécutées avec l'autorité du serveur — puis, ce matin, CVE-2026-5430 dans WSO2 API Control Plane, API Manager, Traffic Manager et Universal Gateway (traversée de chemin, puis téléversement de fichiers sans restriction, puis exécution de code à distance) et CVE-2026-71362 dans Adobe Commerce et Magento (autorisation incorrecte, accès élevé à des ressources sensibles, sans interaction de l'utilisateur). Parallèlement, l'ISC signale des tentatives d'exploitation en cours de CVE-2026-102895, un contournement d'authentification trivial dans GPUStack touchant toutes les versions antérieures à la 2.2.0, publiée fin juin. GPUStack gère des grappes de GPU, qui font tourner des charges d'IA, c'est-à-dire là où se trouve aujourd'hui l'argent.

Acteurs de la menace

N-able met N-central hors ligne après 33 failles, et le hotfix s'avère un bien joli correctif à faire tourner pendant qu'on était compromis

N-able a mis hors ligne la plateforme N-central après la découverte de 33 failles et publié un hotfix comme mesure d'atténuation recommandée ; les attaques ont débuté peu après qu'un chercheur a divulgué plus de 30 zero-days, et N-able a corrigé celles qui ne requéraient pas d'authentification. Puis l'arithmétique est tombée : les attaquants ont infecté 21 serveurs, dont 19 exécutaient le Hotfix 2, le nouvel ensemble de failles étant suivi sous les noms 4EverAble2Shell et Agent2Shell, et N-able restreint désormais certaines fonctions et intégrations de N-central. Dans la voie voisine, ConnectWise a confirmé que l'abus d'une extension tierce indépendante a permis à des attaquants de contourner l'authentification de ScreenConnect, des chercheurs ayant repéré des intrusions dans près de 50 organisations ; ThreatFox référence un ScreenConnect.ClientSetup.msi hébergé sur un bucket Cloudflare R2, dont rien ne démontre qu'il relève de la même campagne, mais qui relève de la même idée sous le même manteau.

Pourquoi c'est importantLes outils d'administration à distance constituent la voie la plus rapide pour passer d'une compromission à l'ensemble de vos clients, et « nous avons appliqué le hotfix » n'est plus une phrase qui suffit à clore un ticket.

Rançongiciels

La « poussée » d'hier sur les sites de fuite relevait surtout d'un calendrier de publication, et les échéances sont lundi et mardi

Pixelleaks a mis en ligne 14 entrées le 13 novembre, contre une médiane de une les autres jours — un organisme hongkongais du bâtiment durable, une société chinoise de génomique oncologique, des cabinets de conseil financier canadiens et américains, une école de soudage — avec des horodatages de fuite complète fixés au 2026-11-16 11:45 UTC et au 2026-11-17 01:36 UTC. n0n en a publié 10 d'un coup, dont des revendications visant DraftKings, LiveRamp et LEO Pharma que personne n'a vérifiées ; Play en a publié neuf, Akira six, Qilin cinq, et les escalades Atlas de The Gentlemen portent toutes le même horodatage de 17 h 50. Parmi les cinq de Qilin figure l'Université du Texas à Arlington, qui a par ailleurs averti que des informations personnelles avaient été volées lors d'une cyberattaque : au moins une ligne du lot recouvre donc un coût humain identifié. Un décompte Darkfeed pour 2026 place Qilin à 1171, The Gentleman à 1026 et Akira à 441.

Pourquoi c'est importantComptez les victimes, pas les publications : une journée de 14 entrées sur un site de fuite est une décision éditoriale, et la seule donnée dure qu'elle contient est l'échéance des 16 et 17 novembre.

IA et sécurité

Ce que le FBI reproche à Artex, ce n'est pas d'être ingénieux, c'est d'être rapide

Une alerte flash du FBI indique que l'outil de piratage open source Artex « réduit considérablement le temps nécessaire pour enchaîner les techniques d'attaque, certaines intrusions passant du ciblage initial à l'accès privilégié en moins de trois heures ». Dark Reading rapporte un cas parallèle : un attaquant dont les commandes saisies à la main avaient échoué contre un détaillant américain est passé à des scripts générés par IA et a réalisé un mouvement latéral en quelques minutes. De notre côté de la table, OpenAI a dévoilé Daybreak Red Team, qui teste l'intrusion d'applications web à l'aide d'agents d'IA, et Defense Factory, qui examine les constats et prépare des correctifs ; la faille critique de condition de concurrence d'Apache mod_http2, CVE-2026-119618, a été découverte par Anthropic et Google. Enfin, The Hacker News soulève la question à laquelle aucun runbook ne répond : arrêter un agent dévoyé peut ne pas suffire à l'arrêter, car les tâches en file, les sessions actives et les identifiants valides se poursuivent sans le modèle.

Pourquoi c'est importantSi le passage du ciblage initial à l'accès privilégié peut prendre moins de trois heures, votre budget de détection se mesure en minutes et votre processus d'approbation en jours.

Logiciels malveillants et IOC

Quelqu'un a ouvert trois Trezor, y a ajouté une carte électronique, et les a vendus quand même

Trezor a confirmé que trois portefeuilles Safe 5 vendus par le revendeur d'Asie du Sud-Est CryptoBilis contenaient des implants matériels cachés : une carte électronique supplémentaire qui lit la phrase de récupération sur l'écran de l'appareil et la transmet par le réseau mobile. Un correctif de firmware est disponible ; il n'efface pas l'exposition antérieure. Le même jour, le FBI a imputé à une opération d'ingénierie sociale nord-coréenne baptisée FaceStealer plus de 400 millions de dollars de cryptomonnaies volées en 18 mois, fondée sur de faux appels vidéo, des deepfakes et des extraits de webcams volés auprès de plus de 900 victimes, et a indiqué avoir saisi l'infrastructure d'attaque — tandis que les autorités américaines saisissaient par ailleurs 1,2 milliard de dollars de cryptomonnaies volées à Binance.

Pourquoi c'est importantL'assurance de la chaîne d'approvisionnement pour le matériel, c'est la chaîne de traçabilité de l'usine à la main, pas un hologramme autocollant et la parole d'un revendeur.

Politique

L'opération Endgame saisit 235 serveurs et 6,4 millions d'identifiants volés, et 354 personnes reçoivent une visite

Les enquêteurs ont saisi 235 serveurs et 257 domaines liés à Gootloader, CastleRAT et StealC, ainsi qu'environ 6,4 millions d'identifiants de victimes, dans le cadre de l'opération Endgame. Dans une opération internationale conjointe distincte, 354 suspects ont été arrêtés — vendeurs et acheteurs des places de marché du dark web Archetyp, Nemesis, Tor2Door, Bohemia et Kingdom. Les autorités allemandes ont également démantelé pour la deuxième fois cette année des serveurs reconstruits du logiciel malveillant SteaIC, remontant le réseau jusqu'à l'hébergeur « bulletproof » Virtualine saisi par le FBI en octobre, avec la police de Francfort et l'Unité néerlandaise de lutte contre la cybercriminalité de haut niveau (NHTCU). Enfin, le Bundestag a adopté la plus importante refonte des lois sur le renseignement allemand depuis l'après-guerre, accordant des pouvoirs de piratage et de sabotage, par 308 voix contre 190 et 71 abstentions.

Pourquoi c'est important6,4 millions d'identifiants récupérés, cela signifie qu'un grand nombre sont les vôtres, et le démantèlement ne les renouvelle pas à votre place.

Vulnérabilités

PostgreSQL corrige un bogue vieux de 22 ans, et le correctif ne fait que la moitié du travail

PostgreSQL a publié des correctifs pour 52 failles de sécurité, dont CVE-2026-6460 (CVSS 8,8), un bogue de confusion de types vieux de 22 ans qui permet à un utilisateur authentifié disposant de privilèges de création d'objets d'exécuter du code sur le serveur de base de données — et une protection complète exige aussi de recompiler les extensions en langage C installées sur le serveur, ce qui sera la partie oubliée. Dans le reste de la pile : Citrix a corrigé 10 vulnérabilités critiques de NetScaler, Google 83 failles dans Chrome 157 et Mozilla 99 dans Firefox 160, et une faille critique de Red Hat Quay pourrait exposer des images de conteneurs privées. Microsoft, de son côté, a confirmé que les mises à jour de novembre provoquent des échecs d'activation de Windows avec des erreurs 0x80041008 et peuvent perturber l'impression de documents à la mise en forme complexe.

Pourquoi c'est important« Corrigé » et « extensions recompilées » sont deux états différents, et un seul des deux est réellement réglé.

Insolite

Vendredi 13, la messagerie est tombée, les communications du contrôle aérien ont redémarré, et le portail des avantages sociaux a choisi ce soir-là pour être indisponible

La FAA a ordonné un arrêt au sol invoquant des « circonstances extraordinaires », sans que les responsables fédéraux précisent la cause de la perturbation des communications ni si une cyberattaque faisait l'objet d'une enquête ; des informations circulant parmi les intervenants l'attribuent à une mise à jour du réseau de communications privé reliant le contrôle aérien, exploité par L3Harris, qui a provoqué un redémarrage puis un plantage. Microsoft, pour sa part, a passé deux jours à tenter de rétablir Outlook, Exchange Online et Teams après l'échec de contrôles d'état de serveurs, sans qu'aucune preuve de cyberattaque ait été divulguée. Et quelque part au milieu de tout cela, une personne sur infosec.exchange a tenté de finaliser ses avantages sociaux 2027 à 23 h, le soir de l'échéance, et a trouvé Workday en panne ; le service n'était pas rétabli avant minuit.

Pourquoi c'est importantLa plupart de vos pires journées relèvent de la gestion des changements, pas des adversaires, et votre processus d'incident devrait savoir faire la différence avant le conseil d'administration.