Dernières actualités de cybersécurité, incidents et évolutions des modèles d'IA, observés et analysés pour les victimes et les chercheurs dans les limites légales du white-hat. Pas de procédures d'intrusion ni d'exploitation.
Cet article a été traduit par une machine.
- Cyberattaques : guides de réponse par pays
Neuf guides nationaux, des versions locales et des processus BPMN de référence non exécutables.
- Cyberattack response for companies in the United States
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United States.
- Cyberattack response for companies in the United Kingdom
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United Kingdom.
- Cyberattaque : procédure pour les entreprises — le Canada
Après une cyberattaque — le Canada : preuves, signalements, conseil juridique, assurance et communication.
- Cyberattack response for companies in Australia
Evidence, reports, counsel, insurance and public communications after a cyberattack in Australia.
- Cyberattack response for companies in Germany
Evidence, reports, counsel, insurance and public communications after a cyberattack in Germany.
- Cyberattaque : procédure pour les entreprises — la France
Après une cyberattaque — la France : preuves, signalements, conseil juridique, assurance et communication.
- Cyberattack response for companies in the Netherlands
Evidence, reports, counsel, insurance and public communications after a cyberattack in the Netherlands.
- Cyberattack response for companies in Singapore
Evidence, reports, counsel, insurance and public communications after a cyberattack in Singapore.
- Cyberattack response for companies in Japan
Evidence, reports, counsel, insurance and public communications after a cyberattack in Japan.
- Cybersecurity daily — 1 November 2026: MCP migration and corrected extension scope
Smithery's connection-management shutdown date has arrived; Cursor's notice also names 2.1.312. Distinguish planned shutdown, observed operation and verification time.
- Cybersecurity daily — 31 October 2026: extension removal is not incident recovery
Cursor extension follow-up, Wasmtime UDP authorization bypass, and updated AWS Brotli mitigation status. Check host privileges, network authorization and deployed patches.
- Cybersecurity daily — 30 October 2026: verify enforcement beyond configuration
Clerk adds passkeys as a second factor; an older PDF MCP authentication flaw enters the advisory database. Verify enforcement, not just settings and logs.
- Cybersecurity daily — 29 October 2026: verify that Brotli patches are active
AWS details Brotli mitigation: phased Lambda rollout, Node.js 24 verification, container rebuilds and upstream-response decoding.
- Cybersecurity daily — 28 October 2026: separate detection, delegation and runtime authorization
Zuma/Agent Gateway runtime authorization and Socure Agent Intelligence: distinguish release stages and authority boundaries.
- Cybersecurity daily — 27 October 2026: the boundary around agent-managed IAM
Google Cloud introduces IAM Helper. Separate diagnostics and simulation from permission changes, and verify the approval-to-execution boundary.
- Why Faster Cybercrime Intake May Not Reduce Case Backlogs
Public Japanese statistics and an explicit queueing model show why faster intake may shift a bottleneck downstream. Evidence preservation, international assistance, and deterrence require distinct measurements.
- Crypto fraud and theft: Japanese requests for Canadian asset restraint and seizure
For Japanese victims and receiving police officers: RCMP cooperation, formal central-authority requests, evidence and translations, procedural-stage conditions and asset return.
- Prompt injection is not SQL injection: the NCSC design lesson
The NCSC blog says prompt injection is not SQL injection: current large language models do not separate instructions from data, and the risk may never be fully removed the way parameterized queries remove SQL injection (https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection). The NCSC news warns that the comparison is dangerous and challenges claims that the issue can be stopped (https://www.ncsc.gov.uk/news/mistaking-ai-vulnerability-could-lead-to-large-scale-breaches). Design lesson only. Not an attack guide and not legal advice.
- Que dire aux clients sur les mentions de l’article 50 de l’EU AI Act
La page de la Commission sur l’article 50 fixe les devoirs des fournisseurs et des déployeurs pour les avis d’interaction, le marquage lisible par machine et la divulgation des deep fakes (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). Une alerte d’un cabinet dit que ces devoirs sont devenus applicables le 2 August 2026 et n’ont pas été reportés avec les règles à haut risque (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). Information générale, pas un conseil juridique.
- Exercices de cybersécurité qui suivent les flux de travail du secteur
24 vues sectorielles, 18 surfaces techniques et huit exercices hors ligne qui relient l'apprentissage de type CTF à la continuité, à la réparation et à la reprise.
- Vidéo d'IA, usurpation de voix et limites d'autorité
Une revue sourcée de Tavus, des usages détournés de l'IA signalés, et des limites d'identité, de consentement et d'autorité des outils que les adopteurs devraient tester.
- System One Coding : composer du code par des décisions
Blocs typés, vérification par étapes, comparaisons mesurées et un pilote gratuit enregistré.
- Si votre compte a été pris : une « chronologie » et une « liste des preuves » à établir avant de consulter la police (à copier et à utiliser)
Après une prise de compte, ce qu'il faut garder sans l'effacer, avec des modèles de chronologie et de liste de preuves à copier. Ensuite contactez la police ou le service de signalement de la cybercriminalité de votre pays, et votre banque ou votre prestataire de paiement.
- Après une fraude sur crypto-actifs : comment établir le « tableau des virements » à apporter à la police et au prestataire d’échange
En cas de fraude sur crypto-actifs ou d'investissement, avant un autre virement ou un « prestataire de récupération », réunissez chaque paiement et les messages sur 1 feuille. Ensuite contactez la police ou le service de signalement de la cybercriminalité de votre pays, votre banque ou votre prestataire de paiement, et la plateforme. Cette page ne promet pas de récupération.
- Feuille de travail pour une plainte IC3 : ce qu'il faut rassembler avant de déposer (fraude crypto et en ligne)
Préparez chaque champ que l'IC3 du FBI demande — pertes, hashs de transaction, détails sur l'autre partie, en-têtes — puis déposez une plainte complète et conservez votre copie.
- Pourquoi une entreprise a besoin d'un jumeau, et comment Mithril en fournit un
La production est le mauvais endroit pour apprendre qui peut atteindre un système sensible, à quoi ressemble un refus, ou si le cluster en cours d'exécution correspond à celui qui a été déclaré. Un jumeau conserve ces noms et n'applique pas le résultat. Mithril fait de ce jumeau un document : les composants en domaine inversé se composent, une exécution renvoie la réponse et la décision, et un cluster est vérifié par rapport à l'observation sans être démarré.
- Aucune clé volée, $351 millions en une heure — l'intrusion dans le hot wallet de Bitget et la frontière de confiance du flux d'approbation
Bitget a confirmé le 25 septembre qu'environ $351.6 millions avaient quitté des portions de ses hot wallets et warm wallets dans des transferts non autorisés détectés à 18:31 UTC le 24 septembre. Ses cold wallets hors ligne sont signalés comme non affectés, les retraits sont en pause, et l'exchange déclare que son User Protection Fund de $464 millions couvre l'intégralité de la perte. Selon Bitget, l'attaquant n'a pas pris les clés privées, mais a atteint un système backend et a falsifié des données de transaction pour orienter le flux d'approbation vers la libération de fonds. Nous examinons la question de l'attribution à Lazarus et l'isomorphisme avec le thème du plan de gestion et d'identité que cet observatoire a traité ces dernières semaines.
- La semaine où l'émetteur d'identité lui-même est tombé — zero-day OAuth de F5 BIG-IP APM (CVE-2026-94127) et la concentration du KEV sur les plans de gestion et d'identité
F5 a divulgué le 22 septembre qu'un zero-day critique dans le chemin OAuth de BIG-IP APM (CVE-2026-94127, CVSS 9.8) permet une exécution de code à distance non authentifiée, et a confirmé une exploitation dans la nature. CISA l'a ajouté au catalogue KEV le même jour, avec une échéance fédérale au 25 septembre. Arista VCO et 2 failles de serveurs de gestion Check Point sont aussi entrées dans le KEV ce jour-là — nous examinons la convergence des attaques sur les plans de gestion et d'identité des appliances de frontière.
- La semaine où la route vers root local s'est ouverte d'un seul coup — des LPE du noyau Linux entrent dans le catalogue KEV de CISA alors que des exploits publics arrivent
Le 18 septembre, CISA a ajouté 3 failles du noyau Linux activement exploitées (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) au catalogue KEV, et Red Hat a confirmé qu'un code d'exploit public existe. Le même jour, des exploits fonctionnels pour 4 LPE du noyau (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) ont été publiés sous divulgation coordonnée. Nous examinons pourquoi l'élévation de privilèges sur hôte partagé suit les appliances de frontière sous les projecteurs.
- Un contournement d'authentification de sévérité maximale frappe l'autorité d'identité elle-même — Cisco ISE CVE-2026-76460 et le schéma récurrent de compromission root des appliances de frontière
Le contournement d'authentification Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) fait l'objet d'une exploitation active. CISA l'a ajouté au catalogue KEV le 16 septembre, avec une échéance de remédiation fédérale au 19 septembre ; il n'existe pas de solution de contournement, et les iACLs ne sont qu'une mitigation. Nous examinons le schéma de compromission root des appliances de frontière — qui court en parallèle du zero-day Secure Email Gateway (CVE-2026-76461) divulgué le 14 septembre — et ce que cela signifie lorsque les journaux propres d'une appliance compromise cessent d'être une source primaire.
- Les passerelles d'IA deviennent la surface d'attaque — l'inscription au KEV de LiteLLM et le chemin par les clés, MCP et le cloud
Le contournement d'authentification MCP de BerriAI LiteLLM (CVE-2026-59822) est entré dans le catalogue KEV de CISA, et Microsoft signale des attaquants qui utilisent des passerelles LiteLLM pour livrer XMRig. Une recherche de Wiz a trouvé qu'environ 1 sur 10 d'environ 3,000 instances publiques acceptaient la clé par défaut sk-1234 ou fonctionnaient sans authentification. Nous examinons ce que signifie le fait que l'infrastructure d'IA soit un coffre d'identifiants.
- Lorsque le corps de l'agent est détourné — une extension qui pilote les assistants d'IA de 5 produits
Forever Security a montré qu'une seule extension de navigateur ordinaire pouvait piloter l'IA intégrée de 5 produits — Chrome, Comet, Edge, Opera Neon et Claude. Séparément, Mandiant a signalé un attaquant qui détourne une session d'assistant de codage par IA et propage le ver Shai-Hulud sur environ 100 dépôts. Nous cartographions les frontières de confiance des runtimes agentiques.
- Chaîne zero-day du « patch gap » — des vulnérabilités corrigées dans Chromium et non corrigées dans Chrome, partagées par plusieurs groupes d'espionnage en 1 semaine
Les observations de Volexity ont établi que la chaîne d'attaque BlueMoon, qui enchaîne une sortie du bac à sable V8 de Chrome et un abus de l'ALPC de Windows, était partagée par au moins plusieurs clusters d'origine chinoise. Le correctif était entré dans Chromium, mais n'était pas encore repris dans Chrome stable : nous exposons de façon ordonnée le danger de ce « patch gap ».
- Note VC : SYN Ventures — un fonds spécialiste de la cybersécurité, dirigé par des opérateurs
Un fonds de $900M d'actifs sous gestion, dirigé par des opérateurs, construit par d'anciens CISO et des fondateurs. Nous cartographions ses 2 fonds et un portefeuille de ~40 sociétés par rapport à la position de mithril.fund.
- Zero-day Cisco Secure Email Gateway CVE-2026-76461 — quand l'injection SQL dans l'analyse du courriel aboutit à une exécution root
CVE-2026-76461 (CVSS 9.8) est exploité activement et a été ajouté au catalogue KEV de CISA. Nous décomposons le schéma récurrent de « compromission root d'une appliance de frontière » — et ce que cela signifie lorsque les journaux propres de l'appliance ne peuvent plus être tenus pour fiables.
- Présentation du blog de l'observatoire de sécurité
Observation et analyse quotidiennes de l'actualité de la cybersécurité, des incidents et des évolutions des modèles d'IA, publiées ici.
- Écriture de fichiers non authentifiée par l'arrière-porte d'une passerelle de messagerie — jour zéro FortiMail CVE-2026-104286 et fonction IBE
Fortinet a divulgué le 1er octobre un jour zéro de parcours de répertoire (path traversal) dans FortiMail (CVE-2026-104286, CVSS 9.8) permettant l'écriture de fichiers arbitraires non authentifiée, et confirmé son exploitation dans la nature. CISA l'a ajouté au catalogue KEV le même jour, avec un délai fédéral au 4 octobre. Aucune des quatre branches touchées n'a de version corrigée publiée ; la désactivation de IBE est la mesure provisoire — nous l'examinons au regard de la hausse de KEV de fin septembre.
- Des victimes d'arnaques aux white hats d'entreprise : une carte du paysage de la cybersécurité (2026)
Treize catégories, de l'aide aux victimes d'arnaques aux tests de sécurité d'entreprise, avec les pertes déclarées, les financements annoncés, les prévisions de marché par éditeur, et un statut honnête de la place de Mithril.
- Débordement mémoire conditionné par SAML sur NetScaler — CVE-2026-88779 au KEV (échéance le 7 octobre)
Citrix a divulgué une faille de limites de tampon mémoire dans NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix indique avoir observé des attaques ciblées contre des déploiements non atténués, qui peuvent conduire à un déni de service. L'inscription au KEV de la CISA établit l'exploitation de la vulnérabilité, et sa description courte indique que la faille pourrait permettre un déni de service. Aucune des deux sources ne confirme que les déploiements affectés ont été mis hors service. La CISA l'a ajoutée le 4 octobre, avec une échéance fédérale au 7 octobre. Avec CVE-2026-88771 et CVE-2026-88772 (toutes deux ajoutées le 27 septembre), c'est la troisième entrée KEV NetScaler ajoutée en deux semaines, et non la troisième entrée historique du produit (le catalogue contient déjà des entrées antérieures, dont CVE-2023-4966). Les signatures Global Deny List (v24 ou ultérieures) sont la mitigation provisoire, et le correctif est dans 14.1-73.41 / 13.1-64.28 ou ultérieur.
- Unauthenticated API access in Cisco Catalyst SD-WAN Manager — CVE-2026-76504 Added to KEV (Due October 3)
Cisco published CVE-2026-76504 (CVSS 3.1 9.8 per Cisco, CWE-177) in advisory cisco-sa-sdwan-webauth-xr8beuuU: improper URI-encoding handling in the API session-based authentication management of Cisco Catalyst SD-WAN Manager can let an unauthenticated remote attacker reach the API with admin privileges. CISA added it to KEV on September 30, 2026, with a federal due date of October 3. Fixed releases start at 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 (earlier branches migrate). No known workarounds exist; interim mitigation is restricting internet access to trusted hosts, plus the optional Live Protect shield. Cisco has confirmed exploitation in the wild.
- Apple CoreGraphics zero-day added to KEV — CVE-2026-86950, report of exploitation in an extremely sophisticated targeted attack (Due October 2)
On September 28, 2026, Apple released iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1, fixing an out-of-bounds write (CVE-2026-86950, CWE-787) in CoreGraphics. Processing a maliciously crafted file may lead to arbitrary code execution; Apple says it is aware of a report that the issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on iOS versions before iOS 27. CISA added the vulnerability to KEV on September 29, 2026, with a federal due date of October 2 (forensicTriage Yes). The CISA-ADP CVSS 3.1 base is 8.8 (High). The fix is the listed releases only; the primary sources reviewed for this post state no interim workaround.
- Binance: 'No wallet key leaked' - the largest hot-wallet incident on record (10/29) and first observations
From the night of October 29 UTC Binance disclosed a security incident involving unauthorized withdrawals from its hot wallets. Its verified frozen total stood at $2.54B (23:22Z) and then 'around $3 billion' (10/30 00:52Z); it states it will cover all losses and suspended deposits and withdrawals. Its initial investigation 'may involve a compromised DevOps engineer's laptop' through which an attacker reached a service container and submitted unauthorized withdrawal transactions, with no evidence of a wallet private-key leak. Reported stolen amounts range $5.6B-$6.3B with no confirmed total. This article records the first passive observation of 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 (named by ZachXBT after the Arbitrum Security Council's ~$30.5M freeze; first tx 10/29 21:29:47Z, 3 EVM txs, 0.0038 ETH) the on-chain verification of the Arbitrum freeze transaction (from = the address itself), and two converging third-party attribution claims (TRM Labs: TraderTraitor; Specter: commingling with the DPRK-attributed Bitget exploit via THORChain).