Recherche
Recherche dans la rédaction Hacker Posts.
Mattermost Server : correctifs de sécurité relayés par le CERT-FR
Mattermost corrige plusieurs failles sur quatre branches (11.7.12, 11.8.6, 11.10.3, 11.11.2). Le CERT-FR relaie dans l'AVI-1344. Détails sous embargo : mettez à jour.
Scanners de codes-barres : RCE Bluetooth, CVE-2026-4272 chez Honeywell
Kaspersky détaille un audit d'entrepôt : des scanners de codes-barres sans fil injectent des frappes clavier via Bluetooth. CVE-2026-4272 (Honeywell), score CVSS 8,1.
Laravel : contournement d'authentification critique (CVSS 9.2)
Laravel corrige deux failles, dont un contournement du guard d'authentification par token noté 9.2, et une destruction de données via des endpoints en lecture. Patch en 12.68.0 / 13.29.0.
Microsoft traite les agents IA comme des « initiés » à surveiller
Microsoft déclare les modèles de pointe non fiables et publie un cadre pour traiter les agents IA comme des initiés : identités dédiées, bac à sable, permissions dynamiques. Promesses, pas dates.
Le CLI officiel d'OVHcloud piégé sur GitHub par un voleur de secrets
Les binaires des versions v0.11.0 à v0.15.0 du CLI OVHcloud ont été remplacés sur GitHub par un voleur de secrets, le 19 octobre, pendant moins de deux heures. Passez en v0.16.0.
Roundcube 1.6.20 et 1.7.5 corrigent plusieurs failles, dont une RCE
Roundcube publie 1.6.20 et 1.7.5. Le CERT-FR (AVI-1340) liste exécution de code à distance, SSRF, XSS, CSRF et contournement de politique. Mettez à jour les installations exposées.
Stormshield SNS : signature de firmware contournable (CVE-2026-111090)
Le CERT-FR signale sur Stormshield Network Security une vérification de signature défaillante qui accepte firmware et mises à jour non authentifiés, plus un XSS DOM. Correctifs disponibles.
Exchange déstabilisé par les mises à jour Windows du 13 octobre
Microsoft confirme que les mises à jour Windows Server du 13 octobre perturbent Exchange sur site : files de messagerie bloquées, accès aux boîtes en échec, quorum DAG perdu.
F5 corrige 11 failles dans NGINX, dont des RCE critiques
Le CERT-FR relaie l'avis F5 du 14 octobre : 11 CVE touchent toute la gamme NGINX (OSS, Plus, App Protect, Ingress, Gateway Fabric), avec exécution de code à distance possible.
Nextcloud : le serveur Collabora CODE exploité (CVE-2026-110447)
CVE-2026-110447 (CVSS 9.2) est une injection de commande non authentifiée dans le serveur CODE intégré de Nextcloud, exploitée depuis septembre pour déposer des webshells. Passez en 26.4.303.
La CNIL encadre la reconstitution d'adresses email professionnelles
La CNIL publie le 16 octobre 2026 sa doctrine sur la reconstitution d'adresses email professionnelles : possible sous intérêt légitime, mais ni automatique ni systématique, avec des garde-fous précis.
Juniper : RCE sur SRX en ADVPN et injection de commandes sur MX
Le trimestriel Juniper corrige plus de 130 CVE sur Junos OS et Junos OS Evolved, dont une RCE sur SRX en ADVPN (CVE-2026-102084) et une injection de commandes sur MX.
Le site des Républicains défacé à la veille du 17 octobre
Le site republicains.fr a été défacé vendredi matin par un appel à manifester le 17 octobre. Les auteurs revendiquent un vol de données, non prouvé ; le parti porte plainte et dément toute fuite.
Moodle corrige trois failles : contournement et XSS
Moodle publie 4.5.15, 5.0.11, 5.1.8 et 5.2.4 pour corriger CVE-2026-47759, CVE-2026-47761 et CVE-2026-47762 : contournement de politique de sécurité et XSS.
Symfony corrige trois CVE de déni de service à distance
Symfony publie des correctifs pour CVE-2026-108082, CVE-2026-109413 et CVE-2026-109449, trois failles de déni de service à distance touchant yaml, http-foundation et expression-language.
Candiru : un espiogiciel zéro-clic livré par la publicité ciblée
Citizen Lab attribue à Candiru l'infection zéro-clic de 45 appareils d'Al Jazeera, via des publicités ciblées diffusées par la société israélienne Discover-Tech.
Microsoft et Proofpoint perturbent un écosystème de phishing chinois
Microsoft, Proofpoint et leurs partenaires ont perturbé trois kits de phishing en langue chinoise (CoGUI, CoAceV, CoFish_Ws) liés à plus d'un milliard de messages depuis janvier 2026.
Palo Alto : RCE PAN-OS CVE-2026-0322 activement exploitée
Le CERT-FR relaie un lot massif de correctifs Palo Alto. Une seule faille, CVE-2026-0322, une RCE de l'interface d'administration PAN-OS, est activement exploitée.
Le CERT-FR alerte sur des attaques contre les contrôleurs frigorifiques
Le CERT-FR signale de nombreuses compromissions de contrôleurs de réfrigération Danfoss, Copeland et Dixell exposés sur Internet, après des sabotages en supermarché.
Ivanti Connect Secure : la CVE-2026-104935 activement exploitée
Le CERT-FR alerte (AVI-1311) sur sept CVE Ivanti dont la CVE-2026-104935, contournement d'authentification activement exploité. La CISA fixe l'échéance de correction au 16 octobre.
Patch Tuesday : Microsoft corrige 1 411 failles, une déjà exploitée
Le Patch Tuesday d'octobre 2026 corrige plus de 1 400 failles, dont la zero-day CVE-2026-96951 (Windows Shell) activement exploitée. Cinquième mois de record d'affilée.
Anthropic teste l'auto-réplication de modèles d'IA sur l'IoT
Anthropic a testé si de petits modèles open-weight peuvent se répliquer seuls sur des objets connectés. Un seul (GLM-5.2) y parvient, en émulateur. Le reste relève de la projection.
MongoDB : 35 CVE dans les pilotes, le CERT-FR publie l'AVI-1293
Le CERT-FR recense 35 CVE touchant les pilotes MongoDB (C, C++, Go, PHP, Python) et libmongocrypt. Impact principal : déni de service à distance. La correction passe par vos dépendances applicatives.
NetApp StorageGRID : déni de service (CVE-2026-22056), CERT-FR AVI-1295
Le CERT-FR publie l'AVI-1295 : CVE-2026-22056, un déni de service à distance dans NetApp StorageGRID. Gravité faible (CVSS 2.3) en configuration non standard. Correctif par mise à niveau.
VACAF : un vendeur revendique 1,2 million de dossiers d'aides
Un acteur revendique sur un forum la vente de ~1,2 million de dossiers VACAF (aides aux vacances) de bénéficiaires 2026, avec données d'enfants. Ni la CNAF ni VACAF n'ont confirmé à ce stade.
Cyberattaque sur le froid des supermarchés : régulateurs Danfoss détournés
Dans la nuit du 11 au 12 octobre, des régulateurs de froid Danfoss d'Intermarché, Coopérative U et E.Leclerc ont été pilotés à distance en dégivrage forcé. Enquête du parquet de Paris.
GitLab : RCE non authentifiée en CVSS 10 (CVE-2026-97229)
Le CERT-FR publie l'avis AVI-1294 : 24 vulnérabilités dans GitLab, dont la CVE-2026-97229, une exécution de code à distance non authentifiée notée 10/10. Correctifs 19.4.2, 19.3.4 et 19.2.8.
Ledger : un implant matériel dans des portefeuilles d'un revendeur
Ledger confirme un implant matériel dans au moins un portefeuille vendu par le revendeur malaisien CryptoBilis, après des vols de cryptomonnaies. Bitquery estime 93,2 M$ volés sur 315 portefeuilles.
NudeLeaksTeens fermé : opération franco-américaine, plus de 17 000 victimes
La gendarmerie (UNCyber) et le DOJ ferment NudeLeaksTeens, plateforme de contenus intimes volés : plus de 17 000 victimes dont des mineures, deux frères interpellés, trois sites fermés le 7 octobre.
PostgreSQL JDBC : deux failles corrigées en 42.7.14 (AVI-1292)
Le CERT-FR relaie deux failles du pilote PostgreSQL JDBC (CVE-2026-107314 et 107315) : contournement d'authentification et fuite de données entre requêtes. Correctif en 42.7.14.
L'OFAC démantèle le « lookup » Reacher/Stryx : trois mineurs de 17 ans interpellés
L'Office anti-cybercriminalité ferme Reacher, renommé Stryx, un moteur d'agrégation de données volées : 730 M de lignes indexées, trois administrateurs de 17 ans interpellés le 6 octobre.
Xandr (Microsoft) : 92 M NOK d'amende en Norvège sur Grindr
La Datatilsynet norvégienne inflige 92 M NOK (8,6 M€) à Xandr, filiale de Microsoft, pour avoir diffusé sans base légale des données sensibles d'utilisateurs Grindr via le RTB. Amende record.
DGFiP : six axes de durcissement issus du REX de l'ANSSI
Le REX de l'ANSSI sur la fuite DGFiP se lit comme une checklist pour tout portail interne : authentification forte indépendante, cloisonnement, quotas anti-scraping, supervision applicative.
Cisco : 30 CVE corrigées, plusieurs RCE sur NX-OS (CERT-FR)
Le CERT-FR relaie 30 CVE Cisco corrigées le 7 octobre sur APIC, NX-OS, Meraki et UCS, dont plusieurs exécutions de code à distance sur NX-OS. Certains correctifs ne sont pas encore disponibles.
Déni de service sur le vote de la primaire de la gauche
La plateforme e-votez de la primaire de la gauche a subi un déni de service dès l'ouverture du scrutin le 9 octobre. Le vote a ralenti sans être interrompu, selon la commission d'organisation.
Nextcloud : cinq failles corrigées, dont élévation de privilèges
Le CERT-FR signale cinq vulnérabilités dans Nextcloud (Server, Team Folders, files_lock, Collectives) : élévation de privilèges, déni de service et atteinte à la confidentialité des données.
Splunk : vague de correctifs, RCE et SSRF au programme (CERT-FR)
Le CERT-FR relaie une vague de correctifs Splunk (Enterprise, Add-on AWS, MCP Server) couvrant exécution de code à distance, SSRF, injection SQL et élévation de privilèges.
Tenable Identity Exposure : RCE critique CVE-2026-106126
Le CERT-FR relaie une injection de commande OS (CVE-2026-106126, CVSS 9.9) dans Tenable Identity Exposure. Corrigé en 3.126.0 ; le listener IOA doit être réinstallé.
Apache Struts : quatre failles dont une RCE par injection OGNL
L'avis CERTFR-2026-AVI-1290 relaie quatre CVE dans Apache Struts, dont CVE-2026-104711, une injection OGNL menant à l'exécution de code. Correctifs en Struts 6.12.0 et 7.4.0.
NetScaler : RCE critique CVE-2026-107406 sur les configs SAML
L'ANSSI relaie dans l'avis CERTFR-2026-AVI-1285 une faille critique de NetScaler ADC et Gateway, CVE-2026-107406 (CVSS 9.5), exploitable quand l'appliance est configurée en SP ou IdP SAML.
Android : 24 CVE corrigées en octobre, le CERT-FR relaie l'AVI-1265
Google corrige 24 vulnérabilités dans Android (niveau de correctif 2026-10-05), dont de l'exécution de code à distance et de l'élévation de privilèges. Le CERT-FR relaie via CERTFR-2026-AVI-1265.
Atlassian : faille critique d'accès aux fichiers (CVE-2026-21589)
Le CERT-FR relaie l'avis Atlassian : CVE-2026-21589 permet à un attaquant non authentifié de lire des fichiers sur huit produits Data Center. Correctifs disponibles.
Microsoft Office : RCE CVE-2026-100208, le CERT-FR relaie l'AVI-1266
Microsoft corrige une exécution de code à distance dans Office (CVE-2026-100208) touchant Microsoft 365 Apps et Office LTSC 2021/2024. Le CERT-FR relaie via CERTFR-2026-AVI-1266.
OpenOffice : exécution de code via un document piégé (AVI-1260)
Le CERT-FR alerte sur CVE-2026-59265 dans OpenOffice : un classeur piégé charge un pilote Java distant et exécute du code à l'ouverture, sans avertissement de macro.
Zabbix corrige six CVE : divulgation mémoire, XSS, injection SNMP
Zabbix publie 6.0.48, 7.0.29 et 7.4.13 pour corriger six vulnérabilités (CVE-2026-59782 à 59788). Le CERT-FR relaie via CERTFR-2026-AVI-1261. Aucune exploitation signalée.
NetScaler : le CERT-FR alerte sur la CVE-2026-88779 exploitée
Le CERT-FR publie l'avis AVI-1263 sur la CVE-2026-88779 dans Citrix NetScaler ADC et Gateway. La CISA la dit activement exploitée ; le correctif est en 14.1-73.41 et 13.1-64.28.
GitLab : exécution de code à distance (CVE-2026-90970)
Le CERT-FR publie l'avis AVI-1262 sur la CVE-2026-90970, une exécution de code à distance dans le composant AI Gateway de GitLab. Correctifs disponibles pour les branches 19.3 et 19.4.
Fuite de données à la région Hauts-de-France via ses prestataires
La région Hauts-de-France confirme une cyberattaque chez deux prestataires, Atexo et Docaposte, avec noms, e-mails et potentiellement des RIB exposés. Plainte déposée.
KillSec démantelé : opération KillSwitch, 3 arrestations, 110 To saisis
Europol démantèle le gang de rançongiciel KillSec (opération KillSwitch) : 3 interpellations dans 10 pays, site de fuite saisi, 110 To verrouillés. L'administrateur présumé a 16 ans.
Exchange : CVE-2026-96940 ouvre les boîtes mail des collègues
CVE-2026-96940, faille d'autorisation (CVSS 8.8) dans Exchange on-prem : un utilisateur authentifié lit les autres boîtes mail de l'organisation. Correctif dans la mise à jour V2 de septembre.
NIS2 : la loi résilience arrive à l'Assemblée le 7 octobre
Le projet de loi n°1112 transposant NIS2, REC et DORA est examiné à l'Assemblée nationale à partir du 7 octobre. Environ 15 000 entités seraient concernées, sous contrôle de l'ANSSI.
Tenable Nessus : 9 CVE corrigés en 10.12.5, dont une SQLi (AVI-1247)
L'avis CERT-FR AVI-1247 et le bulletin Tenable tns-2026-26 corrigent 9 CVE dans Nessus — injection SQL, défaut d'intégrité et dénis de service — colmatés par la version 10.12.5.
Apache HTTP Server 2.4.69 corrige 23 failles (CERTFR-2026-AVI-1248)
Apache httpd 2.4.69 corrige 23 vulnérabilités, dont un dépassement de pile dans mod_vhost_alias déclenchable à distance via un en-tête Host surdimensionné. Sévérité maximale : modérée.
Fuite de données : la CNIL rappelle les conditions d'indemnisation
La CNIL détaille, le 2 octobre, les trois conditions pour obtenir réparation après une violation de données RGPD — et rappelle qu'elle ne verse pas d'indemnités, seul le juge le peut.
LDLC : fuite de données clients, quatrième incident depuis 2021
LDLC notifie ses clients d'un accès non autorisé ayant exposé identité et coordonnées (ni données bancaires ni mots de passe). Quatrième incident du distributeur depuis 2021.
FortiMail : zero-day CVE-2026-104286 exploité, l'ANSSI alerte (AVI-1257)
L'avis CERTFR-2026-AVI-1257 relaie une faille FortiMail (CVE-2026-104286, CVSS 9.8) activement exploitée : écriture de fichier non authentifiée via la webmail. Correctifs en 7.4.9/7.6.7/8.0.2.
Redmine : l'ANSSI relaie des correctifs 6.1.5 et 7.0.2 (AVI-1245)
L'avis CERTFR-2026-AVI-1245 relaie les failles corrigées dans Redmine 6.1.5 et 7.0.2 : fuites d'informations via l'API REST et XSS basé sur le DOM. Mettez à jour selon votre branche.
Thunderbird : l'ANSSI relaie un lot de correctifs (AVI-1244)
L'ANSSI relaie dans l'avis CERTFR-2026-AVI-1244 une série de failles corrigées dans Thunderbird. Mettez à jour vers 140.17, 153.4 ou 157 selon votre branche.
ANSSI : le premier bilan REACTIV recense 99 violations signalées
Premier point de situation du dispositif REACTIV de l'ANSSI : 99 violations signalées depuis le 1er août, 67 confirmées, et neuf instances Metabase ministérielles compromises (CVE-2026-72898).
Cisco Catalyst SD-WAN : CVE-2026-76504 exploitée, auth contournée
Cisco confirme l'exploitation active de CVE-2026-76504 (CVSS 9.8), un contournement d'authentification sur Catalyst SD-WAN Manager ; l'ANSSI publie l'avis CERTFR-2026-AVI-1246.
CPython : deux failles TLS corrigées (CVE-2026-19445 et -19553)
L'ANSSI relaie deux vulnérabilités TLS dans CPython : un use-after-free critique (CVE-2026-19445) et une validation d'hôte manquante dans wrap_bio (CVE-2026-19553).
FFRandonnée : 1,43 million de fiches d'adhérents mises en vente
Une revendication sur un forum pirate propose 1 429 334 fiches d'adhérents de la FFRandonnée. La fédération confirme avoir identifié l'incident et saisi CNIL et ANSSI.
TA419, aligné sur la Chine, cible les experts US des politiques d'IA
Proofpoint attribue à TA419, groupe aligné sur la Chine, une campagne d'hameçonnage AiTM contre des experts américains des politiques de l'IA, par usurpation d'identités et fausses invitations.
VosFactures : fuite de données via son prestataire Fakturownia
Un mois après la réforme de la facturation électronique, VosFactures signale une fuite chez son prestataire polonais Fakturownia ; l'AIFE suspend les échanges par précaution.
Chrome 154 : Google corrige 32 failles, dont une critique dans ANGLE
Google publie Chrome 154.0.8037.92/.93 et corrige 32 vulnérabilités, dont une critique (CVE-2026-102331) dans ANGLE. Le CERT-FR relaie via CERTFR-2026-AVI-1237.
Fuite DGFiP : 350 000 particuliers exposés via mots de passe volés
Le rapport de l'ANSSI sur la fuite à la DGFiP : des identifiants d'agents volés, des portails protégés par mot de passe seul, une exfiltration de sept semaines passée sous les radars.
Firefox 157 et ESR : Mozilla corrige des dizaines de failles
Mozilla publie Firefox 157 et les ESR 153.4, 140.17 et 115.42, corrigeant plusieurs dizaines de CVE. Le CERT-FR relaie via CERTFR-2026-AVI-1240. Aucune exploitation signalée.
HPE Aruba Instant On : RCE critique non authentifiée (CVE-2026-76721)
HPE corrige 18 failles dans Aruba Networking Instant On, dont CVE-2026-76721 (CVSS 9.8), un débordement de tampon non authentifié menant à l'exécution de code à distance. Correctif en 3.4.2.0.
MongoDB : cinq CVE corrigées, l'ANSSI publie CERTFR-2026-AVI-1234
Le CERT-FR liste cinq vulnérabilités touchant MongoDB, ses pilotes et Compass. Impacts : atteinte à l'intégrité des données et contournement de la politique de sécurité. Correctifs disponibles.
OpenSSL corrige une faille DTLS qui fuit la mémoire (CVE-2026-84782)
OpenSSL corrige CVE-2026-84782, une faille DTLS de sévérité haute qui peut divulguer de la mémoire tas non chiffrée ou faire planter les applications DTLS. Correctifs en 4.0.3, 3.6.5, 3.5.9, 3.4.8.
ShinyHunters contourne le WAF PeopleSoft (CVE-2026-35273) : reprise
Mandiant décrit une campagne relancée contre Oracle PeopleSoft : un encodage d'un seul caractère contourne les règles WAF déployées à la place du correctif de CVE-2026-35273.
Apple corrige un zero-day CoreGraphics exploité (CVE-2026-86950)
Le CERT-FR confirme l'exploitation active de CVE-2026-86950, une faille CoreGraphics d'Apple. Correctifs dans iOS/iPadOS 26.7.1 et macOS 15.8.1 / 26.7.1. Signalée par Meta.
Citrix NetScaler : deux zero-days exploités corrigés (CVE-2026-88771)
Le CERT-FR passe en alerte : Citrix corrige huit failles NetScaler ADC/Gateway, dont CVE-2026-88771 (CVSS 9.5) exploitée en zero-day. PoC public, configuration par défaut vulnérable.
Hugging Face divulgue une intrusion pilotée par un agent IA autonome
Hugging Face publie le 16 juillet une divulgation d'incident : un dataset malveillant a compromis un worker de production via une chaîne de deux vulnérabilités, pilotée par un agent IA autonome.
Le Rassemblement national confirme un défacement de son site, 84City revendique
Le site du RN affichait mardi matin un défacement signé 84City. Le parti confirme l'intrusion à France Info et déposera plainte. Le pirate revendique l'exfiltration d'une base WordPress complète.
CERT-FR ALE-006 : deux failles SonicWall SMA 1000 exploitées, alerte maximale
Le CERT-FR a publié le 15 juillet l'alerte ALE-006. Les boîtiers SonicWall SMA 6210, 7210 et 8200v cumulent CVE-2026-15409 (SSRF, CVSS 10.0) et CVE-2026-15410, exploitées en chaîne.
Tenable Security Center : le patch SC202607.1 couvre 52 CVE (CERTFR-2026-AVI-0905)
L'avis CERT-FR AVI-0905 renvoie au bulletin Tenable tns-2026-19 : 52 CVE — RCE, injections SQL et contournements — colmatés par le patch SC202607.1 publié le 20 juillet.
NEBBIA : 318 002 documents clients revendiqués par « iProfessor »
Le pirate iProfessor revendique 32 340 documents publics et 285 662 en attente exfiltrés à la marque fitness slovaque NEBBIA — 318 002 fichiers au total. Aucune confirmation officielle.
EVA.gg : 70 424 comptes revendiqués après abus d'une API GraphQL
Revendication du 16 juillet 2026 : 70 424 comptes et 119 361 réservations exfiltrés de la plateforme d'esport VR EVA.gg via l'API GraphQL, schéma reconstruit depuis le JavaScript admin.
Accor : 162 437 lignes clients revendiquées, accès VPN interne signalé
Une revendication du 15-16 juillet 2026 attribue au groupe Accor une exfiltration de 162 437 lignes clients et un accès au VPN interne. Le groupe hôtelier n'a pas confirmé publiquement.
SFR : 2,1 millions de clients fibre revendiqués via l'outil NOVA
Le 17 juillet, une revendication annonce 2 104 093 lignes extraites d'un outil interne SFR nommé NOVA. SFR a confirmé un accès non autorisé à la CNIL, sans confirmer le volume.
Croq'Vacances : 72 916 dossiers de séjours enfants revendiqués
Le 14 juillet, une revendication publiée via FrenchBreaches attribue à Croq'Vacances 72 916 personnes exposées : NIR, cartes d'identité, dossiers médicaux d'enfants.
Cémoi revendiqué par Qilin : le chocolatier de Perpignan sur le portail DLS
Le 13 juillet 2026, le groupe Qilin ajoute le chocolatier français Cémoi à son site de fuite. Aucun échantillon publié à ce stade : phase de négociation classique. Pas de communiqué de l'entreprise.
Groupe GES : 341 000 étudiants exposés dans quatre écoles
Le Groupe GES (Grandes Écoles Spécialisées) confirme un accès non autorisé détecté le 8 juillet 2026. EFAB, ESGI, EIML Paris et PPA Business School concernés. Notification CNIL faite.
KeepCool : 287 842 fiches adhérents revendiquées via identifiants en dur et BOLA
Le 11 juillet 2026, un acteur revendique 287 842 fiches d'adhérents KeepCool, extraites via des identifiants admin en dur puis une faille BOLA sur l'API. Aucun communiqué de l'enseigne.
SNOSM : 12 Go de code source et 139 000 fiches d'accidents revendiqués
Revendication publiée le 9 juillet contre le Système national d'observation de la sécurité en montagne : 11 682 fichiers, code Laravel/Vue.js et 139 000 fiches d'accidents. Non confirmé par l'ENSA.
L'ANSSI attribue Turla au Centre 16 du FSB et documente cinq victimes françaises
CERTFR-2026-CTI-004 attribue Turla au 16e Centre du FSB, unité 61240. Ministère des Armées, Quai d'Orsay, secteur judiciaire, défense : compromissions françaises documentées depuis 2010.
Association.fr : 160 000 dirigeants et des IBAN revendiqués
Le 9 juillet, une revendication sur forum cybercriminel vise Association.fr (édité par HelloAsso) : 160 000 dirigeants, coordonnées et IBAN. HelloAsso n'a pas communiqué.
FFE : fuite revendiquée à la veille des Championnats de France
Un acteur signant BlackHatSect0r revendique le 8 juillet la compromission de la Fédération Française d'Équitation : deux buckets OVH, base Odoo, 960 000 contacts. Non confirmé par la FFE.
Siemens SICAM 8 : firmware signature bypass et DoS (CERTFR-2026-AVI-0860)
Le CERT-FR répercute Siemens SSA-229470 : bypass de vérification de signature firmware sur SICAM A8000 (CPCI85/SICORE) et DoS via interface de debug HTTP. CVE-2026-54798, CVE-2026-54799 et plus.
PAN-OS : 13 CVE dont un buffer overflow RCE dans le User-ID TSA (CERTFR-2026-AVI-0853)
CERT-FR répercute le 9 juillet le palier Palo Alto Networks du 8 juillet : 13 vulnérabilités, dont CVE-2026-0288, un dépassement de tampon dans le User-ID TSA classé urgence maximale.
Traefik 2.11.52 / 3.6.23 / 3.7.7 : contournement d'auth ReplacePathRegex (CERTFR-2026-AVI-0851)
Le CERT-FR répercute le palier Traefik du 9 juillet : trois GHSA colmatés dans 2.11.52, 3.6.23 et 3.7.7, dont un contournement d'auth ReplacePathRegex (CVSS 7,8).
GitLab 19.1.2 / 19.0.4 / 18.11.7 : huit CVE dont un XSS EE 8,7 (CERTFR-2026-AVI-0850)
Le CERT-FR répercute le palier GitLab du 8 juillet : huit vulnérabilités corrigées, dont CVE-2026-6896, un XSS côté EE côté rendu de tableau de vulnérabilités.
HPE Aruba : quatre CVE sur Instant On et Private 5G Core (AVI-0846)
Le CERT-FR publie l'avis 0846 (8 juillet) sur quatre vulnérabilités des switches Instant On 1830/1930/1960 et de Private 5G Core : DNS, confidentialité, contournement de politique.
PHP CVE-2026-14355 : corruption tas dans openssl_encrypt (CERTFR-2026-AVI-0843)
Le CERT-FR répercute la livraison PHP du 2 juillet. openssl_encrypt en mode AES-WRAP-PAD écrit hors buffer et corrompt le tas. Toutes les branches supportées sont concernées.
Roundcube 1.6.17 / 1.7.2 corrigent un XSS zero-click en texte brut (CERTFR-2026-AVI-0835)
Le CERT-FR répercute la sortie de Roundcube 1.6.17 et 1.7.2 : XSS stocké zero-click en texte brut (CVE-2026-54433) et XSS via type MIME (CVE-2026-54432). Mettez à jour.
SPIP 4.4.16 corrige SQLi, XSS et fuite de données (CERTFR-2026-AVI-0838)
Le CERT-FR publie l'avis 0838 : SPIP antérieur à 4.4.16 cumule injection SQL, XSS et atteinte à la confidentialité des données. Mettez à jour.
1001Coques : 327 511 clients revendiqués par ChimeraZ dans une base de factures
Le 6 juillet, ChimeraZ revendique une base attribuée à 1001Coques : 404 427 enregistrements pour 327 511 personnes, avec coordonnées, adresses et références de factures.
Pix Orga : 19 établissements scolaires, 14 817 fiches d'élèves revendiquées
Entre le 29 juin et le 4 juillet, 19 établissements scolaires français revendiqués sur un forum. 14 817 fiches d'élèves au format Pix Orga. Majorité de mineurs.
IAD Group : 3,8 millions de personnes et 966 Go revendiqués par ChimeraZ
Le 2 juillet, un acteur nommé ChimeraZ met en vente une base attribuée à IAD Group : 3,83 M de personnes en JSON, 397 779 PDF sur 966,3 Go. Suite de sa campagne visant l'immobilier français.
ClamAV 1.5.3 et 1.4.5 corrigent sept CVE, CERT-FR publie AVI-0824
ClamAV publie le 1er juillet les versions 1.5.3 et 1.4.5, sept CVE dans les parseurs PE, exFAT, ALZ, 7z et DMG. CERT-FR répercute dans AVI-0824. Aucun contournement selon Cisco.
Google et le FBI démantèlent NetNut : 2 millions d'appareils domestiques loués comme proxy
Google Threat Intelligence Group et le FBI perturbent NetNut le 2 juillet 2026. Réseau de proxy résidentiel bâti sur 2 M d'appareils infectés, utilisé par 316 clusters malveillants en une semaine.
Traefik 3.7.6 corrige trois CVE, dont un bypass ForwardAuth CVSS 9.1
Traefik 3.7.6 et 2.11.51 (30 juin) corrigent CVE-2026-54763 — spoofing d'identité ForwardAuth via headers underscore, CVSS 9.1. CERT-FR a publié l'avis AVI-0823 le 1er juillet.
Apache Tomcat : CERT-FR AVI-0817 relaie quatre CVE, dont un contournement de contraintes de sécurité
Le CERT-FR relaie le lot Tomcat du 29 juin 2026 : quatre CVE dont CVE-2026-55956 (contournement des contraintes de sécurité, servlet par défaut). Correctifs en 9.0.119, 10.1.56, 11.0.23.
CERTFR-2026-AVI-0822 : six CVE Citrix NetScaler, fuite mémoire SAML
Le CERT-FR publie l'avis CERTFR-2026-AVI-0822 sur le bulletin Citrix CTX696604 : six CVE NetScaler ADC/Gateway, dont CVE-2026-8451, une fuite mémoire pré-auth sur le point SAML.
Pulsy Grand Est : 180 750 identités patients extraites via des comptes de soignants compromis
Pulsy confirme 180 750 identités patients extraites après compromission de comptes de professionnels de santé. Un acteur revendique 5,86 millions d'enregistrements. CNIL et CERT Santé notifiés.
Stormshield SMC 3.9.2 corrige un lot OpenSSL/PostgreSQL (CERTFR-2026-AVI-0816)
Le CERT-FR relaie le bulletin Stormshield 2026-012 : cinq CVE OpenSSL et PostgreSQL embarquées dans SMC, correctif en 3.9.2. RCE, confidentialité et intégrité listées.
Apple publie iOS et macOS Tahoe 26.5.2 hors cycle face aux exploits accélérés par IA
Apple a poussé le 29 juin iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2 hors cycle. Correctifs noyau, WebKit, IOGPUFamily, libxslt. Aucune faille déclarée exploitée à la publication.
Keycloak 26.6.4 corrige huit CVE, CERT-FR publie l'avis AVI-0815
Keycloak 26.6.4 du 26 juin patche huit CVE — dont CVE-2026-11800 (bypass JWT, 8.1) et CVE-2026-9800 (Policy Enforcer URI, 8.1). CERT-FR a publié l'avis AVI-0815 le 29 juin.
Insee : 12 800 agents exposés après le pillage de l'annuaire interne trombi.insee.fr
L'Insee a confirmé le 26 juin une violation de données touchant 12 800 agents et anciens agents. Un pseudonyme « Saturne » revendique 12 796 fiches issues de l'annuaire trombi.insee.fr.
Le Compte Asso : le ministère des Sports notifie une fuite, 227 000 dossiers revendiqués
Le 26 juin, le ministère des Sports a notifié par courriel les utilisateurs de Le Compte Asso d'un incident de sécurité. Un pseudonyme « lestenebreswallah » revendique 227 000 dossiers avec IBAN.
Asterisk corrige six CVE (CERTFR-2026-AVI-0805) : RCE conditionnelle, heap-UAF PJSIP
Le CERT-FR relaie le 25 juin six avis Asterisk. RCE conditionnelle via ARI WebSocket, heap-use-after-free PJSIP, bypass live_dangerously. Patchs en 20.20.1, 21.12.3, 22.10.1, 23.4.1.
Top4Fans : 75 Go publiés, des milliers de cartes d'identité collectées pour la vérification d'âge
Top4Fans, plateforme adulte concurrente d'OnlyFans et MYM, voit 75 Go de données publiées après non-paiement de la rançon. Cartes nationales d'identité collectées pour la conformité d'âge.
Akaolife : 14,4 millions d'enregistrements RH revendiqués, France Travail dans la ligne de mire
Misere et ChimeraZ revendiquent le 24 juin 2026 une intrusion chez Akaolife, prestataire RH de France Travail Île-de-France. 14,4 M lignes, 38 138 dossiers médicaux. Pas de confirmation officielle.
CPython : CERTFR-2026-AVI-0800 — trois CVE dont une évasion tarfile
Le CERT-FR répercute le palier CPython du 23 juin : un DoS tarfile, une évasion de répertoire (correctif incomplet de CVE-2025-4330) et une injection configparser.
GitLab corrige 13 failles (CERTFR-2026-AVI-0799) : XSS critique et fuite Duo Workflows
Le CERT-FR répercute le palier GitLab du 24 juin : versions 19.1.1, 19.0.3 et 18.11.6 colmatent 13 vulnérabilités, dont trois critiques côté EE.
Digit RE Group : ChimeraZ revendique 3,46 M de personnes côté maison-mère
Le 24 juin, ChimeraZ publie une base attribuée au groupe Digit RE : 3,46 M de personnes, 2,99 M d'enregistrements, 6,3 Go. Capifrance, Optimhome et Drimki concentrent l'essentiel.
Tenable Identity Exposure : RCE corrigée en 3.93.5, avis CERTFR-2026-AVI-0796
CERT-FR répercute le 24 juin l'avis Tenable TNS-2026-16 : RCE, SQLi et DoS sur Identity Exposure < 3.93.5. À patcher en priorité sur les déploiements AD tier-0.
Moodle : RCE via repository Google Drive et SQLi auth_db (CERTFR-2026-AVI-0794)
ANSSI publie CERTFR-2026-AVI-0794 le 22 juin : MSA-26-0005 (SQLi auth_db) et MSA-26-0006 (RCE Google Drive) corrigés. Versions 5.2.1 / 5.1.5 / 5.0.8 / 4.5.12.
Nantes Métropole : Misère revendique 5 274 agents municipaux exposés
Un annuaire interne de Nantes Métropole et de la Ville de Nantes — 5 274 agents, noms, matricules fonctionnels et téléphones — a été publié par Misère sur un forum cybercriminel.
FSPN piratée : 224 000 policiers et 14 ans de données, Misère revendique
La FSPN confirme une cyberattaque sur son logiciel de gestion des licenciés. 224 076 personnes exposées : identité, matricule, service, certificats médicaux. Misère revendique.
PaperCut Print Deploy CVE-2026-6645 : élévation locale SYSTEM via PATH hijacking
CERTFR-2026-AVI-0789 (mis à jour le 22 juin) couvre CVE-2026-6645, une élévation de privilèges locale à SYSTEM dans pc-printer-updater.exe. Correctif intégré au client Print Deploy v2699.
idnot.fr : 7 729 professionnels du notariat revendiqués par « Misere »
Le pirate « Misere » revendique le 13 juin 2026 l'extraction d'une base de 7 729 enregistrements liés à idnot.fr, l'identité numérique des notaires gérée par le CSN. Imputée à une erreur humaine.
Traefik CVE-2026-54762 : fail-open BasicAuth via Ingress NGINX (3.7.5)
CERTFR-2026-AVI-0785 (19 juin) couvre CVE-2026-54762 dans le provider Kubernetes Ingress NGINX de Traefik : un Secret absent fait publier la route en clair. Correctif 3.7.5.
Autosur de retour sur le darkweb : 63 000 contrôles techniques fuités
ChimeraZ et Misere revendiquent une base de 63 000 contrôles techniques Autosur, 211 Mo, environ 20 000 propriétaires, publiée le 16 juin 2026. Pas de réponse officielle d'Autosur à ce stade.
Iron Bodyfit : Shabat met en vente 382 000 clients d'électrostimulation
Le 19 juin 2026, l'acteur Shabat met en vente une base attribuée à Iron Bodyfit : 382 544 clients d'électrostimulation revendiqués, sur cinq pays. Pas de communiqué de l'enseigne.
Cisco ISE CVE-2026-20181 : RCE root sur 3.5, patch intégré reporté à août
CERTFR-2026-AVI-0772 (18 juin) couvre CVE-2026-20181 (RCE authentifié CVSS 9.1, Critical) et CVE-2026-20190 (divulgation creds, CVSS 7.5). Branche 3.5 sans correctif intégré avant août.
Immofacile : ChimeraZ revendique 171 000 professionnels de l'immobilier exposés
ChimeraZ publie une base de 186 Mo attribuée à Immofacile, logiciel d'agence aujourd'hui intégré au groupe Orisha Real Estate. 171 000 personnes recensées, sans communiqué de l'éditeur.
Conseil de l'Europe : ShinyHunters revendique 297 Go via Oracle PeopleSoft
ShinyHunters annonce avoir exfiltré 297 Go et 429 000 fichiers du Conseil de l'Europe via la zero-day Oracle PeopleSoft CVE-2026-35273. L'institution enquête, l'ultimatum du 16 juin est passé.
RATP : 62 208 agents revendiqués sur le darkweb par « Misere »
La RATP a détecté le 14 juin une revendication de fuite touchant 62 208 employés. Un pirate sous pseudonyme « Misere » met en vente un export annuaire interne sur un forum cybercriminel.
Spring for GraphQL : RCE et CSWSH dans l'avis CERTFR-2026-AVI-0759
CERT-FR amplifie le 16 juin quatre vulnérabilités Spring : RCE par désérialisation de curseur GraphQL, CSWSH sur le transport WebSocket, contournement d'autorisations, et journal Artemis prédictible.
JeVeuxAider.gouv.fr : 558 952 bénévoles exposés via une faille IDOR
Le pseudonyme « misere » revendique l'exfiltration via IDOR de 558 952 comptes JeVeuxAider.gouv.fr. Plateforme fermée par précaution, cellule de crise DINUM activée.
SSTRN : fuite revendiquée de 355 000 dossiers de médecine du travail
Une base attribuée au SSTRN — service de santé au travail de la région nantaise — circule sur forum. Vecteur revendiqué : IDOR. Période couverte : 2020-2026.
HomePad : ChimeraZ revendique 625 000 personnes et 304 000 états des lieux
Le 12 juin 2026, ChimeraZ publie une base attribuée à HomePad : 304 000 dossiers d'état des lieux, ~625 000 personnes exposées, 119 Mo de JSON. Pas de communiqué officiel.
Capifrance : ChimeraZ revendique 786 000 personnes et 3,6 M d'enregistrements
Le 10 juin 2026, ChimeraZ publie une base attribuée à Capifrance : 3,6 millions d'enregistrements, ~786 000 personnes, 3 Go. Vecteur revendiqué : un compte CRM légitime compromis.
Rennes Métropole : 5 500 agents exposés après une cyberattaque
Annuaires internes de Rennes Métropole, Ville de Rennes et CCAS publiés sur un forum cybercriminel. La collectivité confirme l'incident et dépose plainte.
Propriétés Privées : ChimeraZ revendique 2,5 millions de personnes et 2,65 Go de données prospects
Le cybercriminel ChimeraZ revendique le 10 juin une fuite touchant le réseau Propriétés Privées : 3,28 millions d'enregistrements, données patrimoniales, et 9 000 messageries de conseillers.
Smartbox : 60 568 comptes et 200 000 contrats revendiqués sur un forum
Un acteur opérant sous le pseudonyme « misère » revendique 60 568 comptes utilisateurs et plus de 200 000 documents contractuels Smartbox. Aucune communication officielle de l'éditeur.
Stormshield SNS 5 corrige une fuite mémoire OpenSSL (CERTFR-2026-AVI-0723)
Stormshield publie SNS 5.0.6 pour intégrer le correctif OpenSSL CVE-2026-31790. RSASVE laisse fuiter de la mémoire non initialisée vers un pair malveillant. Bulletin 2026-011.
Au Vieux Campeur visé par une cyberattaque, enquête en cours
L'enseigne d'équipement outdoor confirme un incident détecté le 2 juin 2026. Aucune compromission de données clients confirmée à ce stade, plainte déposée et CNIL notifiée.
Leboncoin Immobilier : ChimeraZ publie 4 M d'annonces et 1,1 M de téléphones
ChimeraZ revendique 4 035 710 enregistrements et 1 103 720 numéros de téléphone tirés de Leboncoin, PAP, ParuVendu et SeLoger. Origine évoquée : un diffuseur d'annonces mutualisé.
Goodvest victime d'une cyberattaque : données patrimoniales clients exposées
Le néobroker responsable Goodvest a détecté le 2 juin 2026 l'abus d'une clé d'accès technique et d'une API ayant exposé des données personnelles et patrimoniales clients.
Tchap : la DINUM confirme une intrusion, 73 000 agents et 643 000 messages revendiqués
L'ANSSI a détecté le 7 juin une compromission de Tchap via un compte Éducation nationale usurpé. Un attaquant revendique 13,5 Go de salons publics et 643 459 messages.
Cisco Unified CM CVE-2026-20230 : SSRF non authentifié vers root, PoC public
Le CERT-FR publie l'avis CERTFR-2026-AVI-0689 sur CVE-2026-20230, SSRF non authentifiée dans Unified CM. Critique côté Cisco, PoC public. Patch 14SU6 dispo, 15SU5 attendu en septembre.
DMP : 34 millions de dossiers revendiqués, l'Assurance Maladie dément
Le cybercriminel Lagui met en vente une base attribuée au Dossier Médical Partagé : 34 millions de Français. La Cnam ne constate aucune extraction massive.
Carvivo confirme une fuite : 15 millions d'automobilistes exposés
Carvivo, plateforme SaaS pour concessions auto, confirme une exposition non autorisée via URL. Revendication sur dark web : 15 M de personnes, 5 M d'immatriculations, 1 706 concessions.
Krys : 200 000 clients exposés, ChimeraZ revendique 66 Go de données optiques
ChimeraZ met en vente une fuite touchant le groupe Krys, Lynx Optique et Le Collectif des Lunetiers : 195 000 numéros de sécurité sociale et 66 Go de pièces médicales.
GLPI 11.0.7 et 10.0.25 corrigent 13 CVE (CERTFR-2026-AVI-0675)
GLPI publie un cycle de patch couvrant 13 vulnérabilités dont 4 hautes, à l'origine de XSS stockés, suppressions arbitraires et contournements. Avis CERT-FR du 2 juin.
Dashlane : 2FA brute-forcé, une vingtaine de coffres chiffrés copiés
Le gestionnaire de mots de passe confirme une attaque par force brute du second facteur lancée le 31 mai. Moins de 20 coffres-forts chiffrés ont été téléchargés.
Ivanti Neurons for ITSM : escalade admin CVE-2026-9614, avis CERT-FR
L'avis CERTFR-2026-AVI-0677 (2 juin 2026) couvre une élévation de privilèges authentifiée vers admin sur Neurons for ITSM, cloud et on-prem. CVSS 8.8. Patch obligatoire pour les déploiements internes.
Laravel CVE-2026-48019 : injection CRLF dans l'email, patch en 12.60.0 et 13.10.0
Le CERT-FR publie l'avis CERTFR-2026-AVI-0670 sur CVE-2026-48019, une faille CRLF dans la validation d'email de Laravel. Patch obligatoire en 12.60.0 ou 13.10.0.
Avantages Enseignants : 126 000 comptes du personnel de l'Éducation revendiqués en fuite
Une revendication publiée le 31 mai sur un forum cybercriminel attribue à la plateforme Avantages Enseignants une base d'environ 126 000 comptes — e-mails académiques et mots de passe hashés.
Laforêt : 2 millions de comptes en vente, ChimeraZ vise l'immobilier
Le pirate ChimeraZ met en vente 2 millions de comptes clients Laforêt sur un forum cybercriminel et annonce 14 compromissions en cours sur l'immobilier français.
Somafix : le groupe Gunra revendique 10 Go de données exfiltrées
Le distributeur français de fixations Somafix apparaît le 29 mai sur le leak site du groupe Gunra, qui menace de publier les données sous 48 heures.
Optic 2000 : IDOR exploitée, 7 898 PDF de franchisés exfiltrés
Le groupe AplaGroup affirme avoir exploité un IDOR sur le portail franchisés d'Optic 2000, exfiltré 7 898 PDF de factures et un fichier JSON, publiés le 24 mai sur un forum cybercriminel.
Pays-Bas : la FIOD saisit 800 serveurs de l'hébergeur successeur de Stark Industries
La FIOD démonte WorkTitans BV (THE.Hosting), rebrand post-sanctions de Stark Industries, utilisée par NoName057(16) pour ses DDoS contre l'Europe.
Eyguières : la mairie chiffrée par Qilin, données habitants exposées
Le système d'information de la mairie d'Eyguières (Alpilles, 7 000 habitants) est tombé le 22 mai. Le groupe Qilin est cité, les gendarmes de Salon-de-Provence enquêtent.
GitLab 19.0.1, 18.11.4 et 18.10.7 corrigent 7 CVE (CERTFR-2026-AVI-0658)
GitLab publie un cycle de patch de sécurité couvrant sept CVE, dont CVE-2026-4868 (8,2) sur l'identité des workflows Duo AI. Avis CERT-FR du 28 mai.
Veeam Backup & Replication 13.0.2.29 corrige CVE-2026-32997 (CERTFR-2026-AVI-0652)
Veeam patche en urgence VBR 13.0.2.29 : écriture de fichier authentifiée sur l'appliance Linux (8,6) et élévation de privilèges locale sur l'agent Windows (7,3). Avis CERT-FR du 27 mai.
Samba : RCE non authentifiée CVE-2026-4408 (CVSS 10), l'ANSSI publie l'AVI-0651
Le CERT-FR a relayé le 27 mai les six failles corrigées par Samba 4.22.10, 4.23.8 et 4.24.3. Deux RCE critiques, dont une non authentifiée sur SAMR.
Nginx Rift (CVE-2026-42945) : RCE dans le module rewrite, l'ANSSI relaie
Le CERT-FR a publié le 26 mai l'avis CERTFR-2026-AVI-0643 sur une faille critique (CVSS 9.2) dans ngx_http_rewrite_module. PoC public, exploitation observée.
Roundcube 1.6.16 et 1.7.1 corrigent une injection SQL pré-auth (CERTFR-2026-AVI-0644)
Le CERT-FR relaie l'avis Roundcube du 24 mai : SQLi pré-auth dans virtuser_query, suppression de fichiers par poisoning Redis/Memcache, injection de code LDAP. Mettez à jour 1.6.16 / 1.7.1.
Almerys : 15,4 millions de numéros de Sécurité sociale en vente, Alan parmi les mutuelles touchées
Un pirate revendique 44 millions de lignes exfiltrées chez le tiers-payant Almerys, dont 15,4 millions de NIR uniques. CNIL et ANSSI notifiées. Plus de 670 organismes concernés.
Opération Saffron : la France et les Pays-Bas démantèlent First VPN
33 serveurs saisis dans 27 pays, un administrateur interpellé en Ukraine. Le service était utilisé par 25 groupes de rançongiciels et plus de 5 000 comptes criminels.
L'ANSSI alerte sur une vague de failles IBM Db2 (CERTFR-2026-AVI-0641) — RCE et élévation de privilèges
Le CERT-FR publie un avis cumulant plus de 30 CVE dans Db2, Db2 Big SQL, Db2 on Cloud Pak et Open SDK for Rust on AIX. Plusieurs permettent l'exécution de code à distance.
Fuite Canvas LMS : ShinyHunters revendique 275 millions de comptes ; Instructure dit avoir payé pour la « suppression »
ShinyHunters a exfiltré 3,65 To de données du LMS Canvas d’Instructure, défiguré les portails de connexion de 330 établissements, puis accepté un paiement contre la « restitution » des données. Qui sont toujours en circulation.
Drupal corrige une injection SQL critique (CVE-2026-9082) — exploitée dans les 48 h
Une injection SQL non authentifiée dans l’API d’abstraction base de données de Drupal touche tous les sites sur PostgreSQL. Drupal la note 23/25. Les attaques ont démarré deux jours après le patch.
RCE root dans le plugin LiteSpeed pour cPanel (CVE-2026-48172, CVSS 10.0) — exploitation active
Une élévation de privilège dans le plugin LiteSpeed User-End cPanel permet à n’importe quel compte cPanel d’exécuter du code en root. Le scan massif a démarré 72 h après la divulgation.