Cette semaine a été marquée par une série de failles critiques déjà exploitées, du pare-feu Cisco au module e-commerce de Drupal, et par deux cyberattaques aux conséquences très différentes : un vol de plusieurs milliards de dollars chez Binance et une fuite plus ciblée chez ENGIE. Voici l’essentiel cyber de la semaine, regroupé par thème.
Ce qu’il faut retenir #
Vulnérabilités #
- HPE Aruba Networking a corrigé huit failles RCE critiques sans authentification dans ArubaOS et ClearPass : mettez à jour sans délai si votre réseau s’appuie sur ces équipements. Lire l’article
- Node2Shell (CVE-2026-111497), faille critique du décodeur Brotli, touche Node.js, Bun et .NET ; Microsoft a publié un correctif hors cycle le 25 octobre. Lire l’article
- Cisco SD-WAN est visé par le malware KeyDrift, qui exploite CVE-2026-20127 pour copier les clés de chiffrement du trafic réseau : un correctif existe, à appliquer en priorité. Lire l’article
- Cisco ASA et FTD ont reçu un correctif d’urgence pour CVE-2026-76418 (CVSS 8,6), une faille de déni de service de la VPN SSL déjà exploitée. Lire l’article
- Le noyau Linux reste exposé à CVE-2026-98432 (CVSS 9,8) sur Ubuntu et RHEL : aucun correctif n’était disponible au moment de la publication, une surveillance renforcée s’impose. Lire l’article
- Le ransomware C3RB3R chiffre des NAS Synology non corrigés : Synology l’attribue à une faille de 2024, d’autres chercheurs à des CVE plus récentes, sans consensus à ce jour. Lire l’article
Menaces #
- Des chercheurs ont démontré comment détourner les agents IA de codage Codex et Claude Code via un fichier AGENTS.md piégé déposé dans le dossier Téléchargements. Lire l’article
- CyberStrikeAI, outil de pentest piloté par 44 agents IA, a mené des reconnaissances automatisées sur au moins 19 organisations japonaises en octobre. Lire l’article
- La campagne Yoba distribue de fausses applications ChatGPT et Claude qui installent un chargeur puis le mineur de cryptomonnaie XMRig. Lire l’article
- Drupal a corrigé en urgence CVE-2026-118539, une faille de contournement d’accès de son module Commerce Core déjà exploitée, qui menace plus de 42 000 boutiques en ligne. Lire l’article
Cyberattaques #
- GMO Internet a confirmé une intrusion sur ses serveurs loués, touchant les courtiers FX japonais OANDA, AvaTrade, Gaitame et Dukascopy. Lire l’article
- ENGIE a confirmé une fuite de données clients via un outil de prospection utilisé par ses partenaires, sans vol de données bancaires. Lire l’article
- Binance a confirmé le vol de 6,3 milliards de dollars en cryptomonnaies après la compromission du poste d’un ingénieur, avec une piste nord-coréenne évoquée par les enquêteurs. Lire l’article
La tendance de la semaine #
Pourquoi ces failles ont-elles été exploitées aussi vite ? #
Le fil rouge de la semaine est la vitesse d’exploitation : plusieurs failles corrigées il y a des mois, voire des années comme celle de 2024 derrière le ransomware C3RB3R, continuent de servir de point d’entrée dès qu’un parc n’a pas été mis à jour. À l’inverse, des failles toutes récentes, comme celle de Drupal Commerce ou de Cisco ASA/FTD, sont exploitées en quelques jours à peine après leur divulgation. Entre les deux, le même constat : l’écart entre la publication d’un correctif et son application reste la principale fenêtre d’opportunité des attaquants, qu’il s’agisse d’un pare-feu, d’un NAS ou d’une boutique en ligne.
Selon l’avis officiel de Drupal, la faille de Commerce Core fait l’objet d’une exploitation active dès sa divulgation. Le même constat ressort de l’avis de Synology sur le ransomware C3RB3R : la faille la plus ancienne qu’il cite date de 2024, preuve qu’un correctif publié depuis longtemps reste une cible tant qu’il n’est pas appliqué.
L’avis du CSIRT #
Trois priorités concrètes pour la semaine à venir.
D’abord, dresser un inventaire rapide des équipements et logiciels cités cette semaine (Cisco ASA/FTD, Cisco SD-WAN, ArubaOS/ClearPass, Node.js, NAS Synology, sites Drupal Commerce) présents dans votre parc, et vérifier leur niveau de correctif plutôt que de supposer qu’ils sont à jour.
Ensuite, pour tout système resté exposé plusieurs jours après la divulgation d’une faille active, ne pas se contenter du correctif : auditer les journaux et les comptes sur la période à risque, car un correctif stoppe les nouvelles tentatives mais ne répare pas une compromission déjà en cours.
Enfin, revoir l’exposition directe à Internet des équipements d’administration et de gestion (NAS, VPN, consoles d’administration réseau) : la plupart des incidents de la semaine partagent un point commun, un service accessible publiquement qui aurait dû rester derrière un VPN ou un accès restreint.
Points clés #
- La semaine a été dominée par les vulnérabilités activement exploitées : Cisco, Linux, Synology et Drupal ont tous publié ou vu citer une faille critique en cours d’exploitation.
- Deux cyberattaques confirmées touchent des organisations identifiées, Binance (vol massif de cryptomonnaies) et ENGIE (fuite de données clients via un partenaire).
- Les campagnes Menaces de la semaine ciblent surtout l’écosystème de l’IA : agents de codage détournés, outil de pentest piloté par IA, fausses applications ChatGPT et Claude.
- Aucun article de fond sur le durcissement n’a été publié cette semaine : un bon moment pour revoir vos propres pratiques de mise à jour et d’exposition réseau.
- La tendance commune reste l’écart entre correctif disponible et correctif appliqué, qu’il s’agisse d’une faille de 2024 ou d’une faille divulguée il y a trois jours.