Actu cyber de la semaine du 19 au 25 octobre 2026

Voici une sélection de neuf actualités dont la date et le contenu ont été vérifiés sur des sources primaires ou de presse crédibles. Chaque encadré se termine par un lien vers la source. Objectif : comprendre ce qui s’est passé, qui est concerné, et ce que vous pouvez faire dès cette semaine.

01Genesys : accès non autorisé à des systèmes internes (19–23 octobre)

Le 19 octobre 2026, l’éditeur Genesys a publié une mise à jour de sécurité : le 16 octobre, il a découvert qu’un tiers non autorisé avait accédé à certains systèmes métier internes, notamment une plateforme de formation (LMS) et un CRM. Les plateformes clients Genesys Cloud, Engage et Engage Cloud n’ont, selon l’éditeur, pas été compromises, ni les données stockées ou traitées dans ces plateformes.

Genesys précise que des informations professionnelles (noms, e-mails professionnels, téléphones, titres, données de compte) ont pu être consultées ou téléchargées depuis le LMS et le CRM. Le 23 octobre, l’entreprise a indiqué avoir pleinement contenu l’intrusion et avoir suspendu l’usage du LMS concerné. Les clients sont invités à rester vigilants face aux messages suspects mentionnant Genesys.

Source : Genesys — Security Update (19 oct., màj 23 oct. 2026)

02CERT-FR : retour d’expérience sur près de 200 violations de données applicatives (20 octobre)

Le 20 octobre 2026, le CERT-FR a publié le rapport CERTFR-2026-CTI-008 sur les violations de données issues d’applications web. En 2025, l’agence a suivi près de 200 incidents de ce type. Le message central est net : dans de nombreux cas, l’exfiltration a reposé sur des actions peu complexes, sans exploitation de vulnérabilité technique.

Réutilisation d’identifiants légitimes, ingénierie sociale, données exposées sans contrôle d’accès, infostealers sur postes personnels réutilisés au bureau : ce sont les schémas récurrents. Le document propose dix pistes concrètes pour durcir les applications existantes (authentification forte, droits, traçabilité, surveillance des volumes de requêtes). Pour une TPE/PME qui héberge un espace client ou un extranet, c’est le signal d’alarme de la semaine côté France.

Sources : CERT-FR — CERTFR-2026-CTI-008 · LeMagIT (20 oct. 2026)

03Rançongiciel SafePay : alerte conjointe CISA / FBI (20 octobre)

Le 20 octobre 2026, la CISA, le FBI et plusieurs partenaires (dont l’Allemagne et le Royaume-Uni) ont publié l’avis #StopRansomware: SafePay. Depuis août 2024, le groupe a touché au moins 600 organisations d’infrastructures critiques en Amérique du Nord et du Sud, en Europe et en Australie.

Les accès initiaux passent souvent par des mots de passe exposés ou devinés, le phishing, des VPN (notamment via des IP Mullvad) et l’exploitation de failles sur équipements de bordure. Une fois à l’intérieur, SafePay chiffre les données, peut supprimer les copies d’ombre et réinitialiser des NAS de sauvegarde. Pour une PME française, la leçon reste inchangée : MFA partout, patchs sur le VPN/pare-feu, et sauvegardes hors ligne testées.

Source : CISA — AA26-293A (20 oct. 2026)

04PHP : alertes critiques CVE-2026-109618 et CVE-2026-109619 (21–22 octobre)

Le 21 octobre 2026, le CERT-FR a ouvert l’alerte CERTFR-2026-ALE-014 sur des vulnérabilités PHP permettant une exécution de code arbitraire à distance. Les correctifs ciblent notamment PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les branches 5.x, 7.x, 8.0.x et 8.1.x ne sont plus supportées : il faut les isoler puis migrer.

Le 22 octobre, Cybermalveillance.gouv.fr a relayé une AlerteCyber sur le même sujet, en soulignant le risque pour les sites transactionnels et ceux reliés au SI interne. Le CERT-FR a ensuite signalé des preuves de concept et des tentatives d’exploitation. Si votre site WordPress, Prestashop ou outil métier repose sur un PHP obsolète, la mise à jour (ou la migration) est prioritaire — nous avons aussi publié un décryptage « php2shell » sur le site.

Sources : CERT-FR — CERTFR-2026-ALE-014 · Cybermalveillance.gouv.fr (22 oct.) · Article Pavillon Noir — php2shell

05Microsoft 365 / Entra : Storm-0940 abuse d’applications ConnectWise (21 octobre)

Le 21 octobre 2026, Microsoft Threat Intelligence a publié une analyse sur Storm-0940, acteur aligné sur l’État chinois, qui a utilisé le cadre d’attaque agentique ARTEX pour automatiser des campagnes à grande échelle. Microsoft estime que ce groupe est responsable de la compromission de la chaîne d’approvisionnement ConnectWise (applications multi-locataires de sauvegarde / cloud).

Après prise de contrôle d’identités d’applications OAuth ConnectWise, l’attaquant a pu s’authentifier dans des tenants Microsoft 365 clients sans connexion interactive d’un utilisateur, puis mener reconnaissance, modification d’identifiants d’application et changements de rôles via Microsoft Graph. Du 10 au 14 octobre, une campagne de password spraying a aussi ciblé 327 comptes (plus de 151 000 échecs, aucune authentification réussie observée sur cette phase). Microsoft rappelle qu’une authentification réussie n’implique pas automatiquement une exfiltration de données.

Pour les organisations qui utilisent (ou ont utilisé) ConnectWise Cloud Backup / applications associées : inventorier les ID d’application, ne pas supprimer précipitamment l’entreprise app (préserver les preuves), revoir les connexions de service principal depuis le 15 octobre au moins, et suivre les guides de confinement ConnectWise / Microsoft.

Sources : Microsoft Security Blog (21 oct. 2026) · Huntress — abus d’identifiants vendeur M365

06Fédération française de tir : deuxième vol de données en un an (22 octobre)

Le 22 octobre 2026, la Fédération française de tir (FFTir) a confirmé une nouvelle attaque préparée, survenue entre le 12 et le 15 octobre. L’attaquant s’est connecté à l’espace licencié EDEN avec des comptes dont il avait obtenu ou deviné les identifiants, puis a consulté les données d’autres licenciés. Selon FrenchBreaches, le pirate revendique des informations sur environ 587 000 licenciés (actifs et anciens).

La fédération fait état d’environ 64 000 photos d’identité et près de 19 000 documents (dont des certificats d’aptitude), et de 55 dossiers complets copiés. Elle affirme qu’aucune information sur la possession d’armes n’a été touchée, ni de données bancaires. ANSSI et CNIL ont été prévenues, une plainte a été déposée. Le parallèle avec 2025 — où des données volées avaient servi à des cambriolages d’armes — montre pourquoi un fichier « associatif » reste une cible de choix.

Source : franceinfo (22 oct. 2026)

07Cisco : multiples vulnérabilités — avis CERT-FR du 22 octobre

Le 22 octobre 2026, le CERT-FR a publié l’avis CERTFR-2026-AVI-1360 sur de multiples vulnérabilités dans des produits Cisco (IOS XE, IOS XR, Secure FTD, Snort 3, Cyber Vision, solutions de collaboration, etc.). Certaines permettent exécution de code à distance, élévation de privilèges ou déni de service.

Les bulletins Cisco sources datent des 21 et 22 octobre. Les organisations qui exploitent du matériel ou des logiciels Cisco en bordure ou en cœur de réseau doivent appliquer les correctifs éditeur selon le bulletin correspondant. Pour une TPE sans équipe réseau dédiée, le réflexe utile reste : inventorier les appliances exposées à Internet et demander au prestataire le statut des patchs d’octobre.

Source : CERT-FR — CERTFR-2026-AVI-1360 (22 oct. 2026)

08Parti communiste français : fuite du fichier adhérents / sympathisants (23 octobre)

Le 23 octobre 2026, le PCF a annoncé avoir été alerté le jour même par l’ANSSI d’une fuite affectant son fichier d’adhérents et de sympathisants. Le parti a engagé la sécurisation de ses systèmes, notifié la CNIL et annoncé le dépôt d’une plainte. À ce stade, il affirme qu’aucune donnée bancaire n’était présente dans le fichier concerné.

Les personnes concernées seront informées par courriel. Le PCF appelle à une vigilance accrue face aux e-mails, appels ou SMS suspects (risque de phishing). Des médias relaient des revendications de pirate autour de près de 190 000 personnes : ce chiffre n’a pas été confirmé par le PCF. Les opinions politiques étant des données sensibles au sens du RGPD, l’impact potentiel dépasse une simple liste d’e-mails.

Sources : PCF — communiqué (23 oct. 2026) · franceinfo

09LFI aussi dans le viseur : revendications, démenti et zone grise (24 octobre)

Le 24 octobre 2026, Le Parisien a rapporté qu’après le PCF, un pirate revendiquait un fichier d’environ 1,2 million de lignes présenté comme lié à La France insoumise (porte-à-porte, campagnes). LFI, par la voix de Manuel Bompard, a démenti toute divulgation de données personnelles au-delà d’informations déjà publiques, et a évoqué une aspiration de données publiques.

Le Parisien indique avoir consulté des extraits contenant des numéros et e-mails liés à des opérations militantes, ce qui contredit en partie le démenti. Tant que l’origine (intrusion vs agrégation de sources) n’est pas tranchée par une enquête, la prudence s’impose : ne pas propager les fichiers, renforcer l’authentification des outils militants / CRM, et préparer la notification CNIL si une violation est confirmée.

Source : Le Parisien (24 oct. 2026)

Ce qu’il faut retenir pour votre TPE/PME

Pavillon Noir — La cyber, sans le charabia.