Actu cyber de la semaine du 2 au 8 novembre 2026

Ce qui m’a frappé cette semaine, c’est le frigo. Pas une banque, pas un ministère : des chambres froides pilotées à distance par un prestataire. C’est le genre d’équipement qu’on installe une fois et qu’on oublie. Voici les dix actualités que j’ai retenues, chacune vérifiée sur une source primaire (éditeur, organisme concerné, CERT-FR, CISA) ou sur deux médias. Quand un chiffre n’est qu’une revendication de pirates, c’est écrit noir sur blanc.

01Chambres froides de l’EFS : des températures poussées à distance (2–4 novembre)

Le lundi 2 novembre, les systèmes de supervision et de pilotage des chambres froides de trois sites de l’Établissement français du sang ont été déréglés : les seuils de température et de dégivrage ont été « portés à de très hautes températures ». Ces chambres stockaient des poches de plasma destinées à la transfusion ou à la fabrication de médicaments. Selon l’EFS, ses alarmes ont repéré les anomalies rapidement, aucun produit sanguin n’a été perdu et ses équipes travaillent avec l’ANSSI et le ministère de la Santé.

L’EFS n’était pas visé directement : c’est son prestataire d’équipements frigorifiques qui a été touché. D’après Le Canard enchaîné, repris par franceinfo, il s’agit de Coolworld, qui parle d’un « composant fourni par un prestataire tiers » et d’un « nombre limité d’unités » affectées. Le CERT-FR alertait déjà le 12 octobre sur de nombreuses compromissions de contrôleurs de réfrigération exposés sur Internet. Pour un commerce, un restaurant ou une pharmacie, la leçon est directe : une interface de gestion joignable depuis Internet est une porte, même si c’est « juste le frigo ».

Sources : franceinfo (4 nov. 2026) · BleepingComputer (4 nov. 2026) · Coolworld (4 nov. 2026) · CERT-FR — CERTFR-2026-ALE-012

02Trois pharmacies piratées, 436 000 dossiers patients revendiqués (31 octobre–5 novembre)

Le samedi 31 octobre, trois officines à Paris, Strasbourg et Dijon ont été attaquées. Les pirates, qui ont revendiqué les faits dans les 48 heures, affirment détenir plus de 436 000 dossiers contenant numéros de Sécurité sociale, informations de mutuelle et ordonnances. Ce volume n’est pas confirmé. À Dijon, le piratage de la Pharmacie des Congrès est confirmé et une plainte a été déposée. À Strasbourg, une préparatrice de la Pharmacie de la Cigogne a vu des mouvements étranges sur son ordinateur et une demande d’accès qui lui était refusée, puis a tout débranché.

À ce stade, aucun lien technique entre les trois attaques n’est établi, et la piste d’une intrusion via des opérateurs de tiers payant, évoquée par un syndicat, reste une hypothèse. Ce que je retiens pour toute petite structure : une prise en main à distance que vous n’avez pas demandée, c’est un incident. On débranche le câble réseau et on appelle son prestataire au numéro habituel. C’est le même réflexe que face au faux support informatique sur Teams.

Sources : Le Moniteur des pharmacies (2 nov. 2026) · France 3 Grand Est (4 nov. 2026)

03Vacaf, Inovie via Maileva, Softway Medical : les bilans tombent (2–8 novembre)

Vacaf. Le 2 novembre, la Cnaf a publié le bilan de l’incident identifié le 9 octobre sur la plateforme d’aides aux vacances : 1 619 893 allocataires sont concernés (nom, matricule, composition du foyer, quotient familial, prénoms et dates de naissance des enfants). Pas de données bancaires, de mots de passe ni de coordonnées selon la Cnaf. Le site a rouvert le 2 novembre, avec double authentification, après des tests d’intrusion.

Inovie et Maileva. Le même jour, le groupe de laboratoires Inovie a publié un avis : les noms, prénoms et adresses postales de certains patients ont fuité chez Maileva, le service de courrier en ligne de Docaposte (groupe La Poste), piraté en septembre. Selon un document de Docaposte consulté par FrenchBreaches, environ 22 millions de personnes figurent dans la base concernée. Inovie indique ne pas encore pouvoir établir la liste des patients touchés.

Softway Medical. Le 8 novembre, l’éditeur a annoncé une violation de données sur One Manager, son système d’information de radiologie. Les clients concernés ont été notifiés, certains accès sont suspendus et la réouverture se fera progressivement à partir de la semaine du 9 novembre. Point commun des trois : le maillon faible était un service tiers. Attendez-vous à des courriers ou SMS « du laboratoire » ou « de la CAF » très crédibles, et vérifiez toujours par le canal habituel avant de payer quoi que ce soit.

Sources : Caf.fr — Cnaf (2 nov. 2026) · cyberattaque.org — Inovie (5 nov. 2026) · FrenchBreaches — Maileva · Groupe Softway Medical (8 nov. 2026)

04Cholet : un faux formulaire de connexion, une semaine en mode dégradé (30 octobre–6 novembre)

Depuis le vendredi 30 octobre, la Ville de Cholet et Cholet Agglomération fonctionnaient en mode dégradé. Le 6 novembre, les deux collectivités ont expliqué l’origine : un courriel frauduleux envoyé à plusieurs agents, qui menait vers un faux formulaire d’authentification pour voler identifiants et mots de passe. Les équipes ont bloqué les comptes compromis, supprimé les liens et coupé l’accès à Internet.

Les analyses, confiées au CERT d’Intrinsec, n’ont trouvé ni logiciel malveillant ni exfiltration massive de données ; la CNIL a été notifiée et une plainte déposée. Le redémarrage se fait « sous surveillance renforcée ». Moralité : un seul mot de passe volé peut suffire à arrêter une organisation entière pendant une semaine. Le MFA et un réflexe simple de signalement des mails douteux valent plus qu’un énième outil.

Sources : Cholet.fr — communiqué (6 nov. 2026) · Ouest-France (6 nov. 2026)

05Microsoft 365 : la vague du « code d’appareil » touche la francophonie (4–5 novembre)

Le 4 novembre, le canton de Vaud a averti d’une campagne d’hameçonnage en cours en Suisse romande, avec plusieurs organisations déjà touchées. Le message ressemble à une facture ou à un document partagé par un contact connu. La victime est invitée à saisir un code sur une vraie page Microsoft, ce qui donne aux attaquants un accès à son compte Microsoft 365. Le 5 novembre, BleepingComputer décrivait, d’après Push Security, de fausses invitations à des événements OpenAI, SpaceX ou Anthropic qui utilisent la même technique.

Pourquoi c’est vicieux : aucun mot de passe n’est volé et c’est la victime elle-même qui valide le MFA. La parade tient en une phrase à afficher : on ne saisit jamais un code Microsoft à la demande de quelqu’un. Côté administration, Microsoft documente comment bloquer ce flux de connexion avec l’accès conditionnel (licence Entra ID P1, incluse dans Microsoft 365 Business Premium), à tester d’abord en mode rapport.

Sources : État de Vaud (4 nov. 2026) · BleepingComputer (5 nov. 2026) · Microsoft Learn — bloquer les flux d’authentification

06WordPress : la faille corrigée en 7.1.4 est désormais exploitée (3–4 novembre)

Le 3 novembre, la CISA a ajouté CVE-2026-119977 à son catalogue des vulnérabilités exploitées. C’est la faille du processus de mise à jour de WordPress, corrigée le 28 octobre avec la version 7.1.4 (nous en parlions dans la revue de la semaine dernière) : elle peut permettre d’exécuter du code sur le serveur pendant la fenêtre de mise à jour. D’après BleepingComputer, Wordfence dit avoir bloqué 13 095 attaques en 24 heures visant cette faille.

Concrètement : ouvrez votre tableau de bord WordPress et regardez la version. Si elle est antérieure à 7.1.4 (ou à la mise à jour de sécurité de votre branche), mettez à jour maintenant, puis vérifiez qu’aucun compte administrateur ni aucune extension inconnue n’est apparu. Pour voir ce que voit un attaquant, j’avais testé mon propre site : J’ai piraté mon propre site.

Sources : CISA KEV (3 nov. 2026) · BleepingComputer (4 nov. 2026)

07SonicWall : contournement du MFA sur le VPN SSL, exploité selon la CISA (4–6 novembre)

Le 6 novembre, la CISA a ajouté CVE-2026-19868 à son catalogue KEV. Sur le VPN SSL de SonicOS, un utilisateur disposant d’identifiants valides pour une autre méthode d’authentification peut contourner l’authentification SAML, et donc le MFA qui en dépend. SonicWall indique avoir enquêté sur un signalement d’exploitation potentielle. Le même bulletin corrige d’autres failles sérieuses de l’interface d’administration.

Deux jours plus tôt, le CERT-FR relayait deux vulnérabilités dans SonicWall GMS 9.5.2 et antérieures, un produit en fin de vie qui ne recevra pas de correctif : l’éditeur recommande de migrer vers NSM. Si votre pare-feu est un SonicWall avec VPN, demandez à votre prestataire la version de SonicOS et vérifiez que l’interface d’administration n’est pas exposée sur Internet.

Sources : CISA KEV (6 nov. 2026) · The Hacker News (9 nov. 2026) · CERT-FR — CERTFR-2026-AVI-1456 (4 nov.)

08NAS Synology : le rançongiciel C3RB3R chiffre les boîtiers pas à jour (2 novembre)

Synology a averti que des attaquants exploitent une vulnérabilité corrigée en décembre 2024 pour chiffrer les NAS restés sur d’anciennes versions de DSM. Le 2 novembre, le HKCERT et BleepingComputer ont relayé une vague de victimes : fichiers renommés en .L0CK3D, note read-me3.txt et un « C3rb3r Decryptor » vendu plusieurs milliers de dollars. Synology n’a pas précisé quelle faille exacte est utilisée.

Dans beaucoup de TPE, le NAS est la sauvegarde. S’il est chiffré, il ne reste rien. Trois gestes : mettre DSM à jour et activer les mises à jour automatiques, ne jamais exposer l’interface d’administration sur Internet, et garder une copie hors ligne que vous avez déjà testée en restauration.

Sources : BleepingComputer (2 nov. 2026) · HKCERT (2 nov. 2026) · Synology — communiqué

09OpenSSH 10.6p2 : un contournement d’authentification « trivial » dans certaines configurations (5–6 novembre)

Le 5 novembre, OpenSSH a publié la version 10.6p2, qui corrige une faille touchant les systèmes Linux utilisant la bibliothèque C musl, compilés sans PAM ou avec PAM désactivé. Le CERT-FR a publié une alerte : dans ces configurations, un attaquant peut se connecter sans connaître le bon mot de passe, et l’exploitation est jugée « triviale ». La faille porte l’identifiant CVE-2026-123158.

La bibliothèque musl, on la trouve notamment dans Alpine Linux, très utilisé dans les conteneurs Docker et certains boîtiers. Les grandes distributions basées sur glibc sortent des conditions décrites, mais vérifiez vos images. Le CERT-FR rappelle qu’il faut redémarrer sshd après le correctif, et recommande à défaut de désactiver l’authentification par mot de passe. Détail parlant : l’équipe OpenSSH explique recevoir beaucoup de signalements trouvés avec l’aide de l’IA, et va publier des correctifs plus souvent.

Sources : CERT-FR — CERTFR-2026-ALE-015 (5–6 nov.) · OpenSSH — release 10.6p2 (5 nov. 2026) · Alpine Linux (5 nov. 2026)

10Royaume-Uni : le NCSC s’attend à un rançongiciel dopé à l’IA contre une infrastructure critique d’ici 2028 (3 novembre)

Dans sa revue annuelle publiée le 3 novembre, le NCSC britannique juge « hautement probable » qu’un logiciel malveillant s’appuyant sur l’IA soit utilisé d’ici 2028 dans une attaque par rançongiciel contre une infrastructure critique du pays (énergie, transports, santé, finance…). Il estime aussi que la Russie et la Chine utiliseront l’IA « de manière routinière » dans leurs cyberattaques.

Le message utile pour une petite structure est ailleurs dans le même rapport : la plupart des attaques réussies exploitent encore des faiblesses connues, et les équipements exposés sur Internet restent une voie d’entrée majeure. L’IA accélère surtout la découverte de vieux trous. Les bases (mises à jour, MFA, rien d’ouvert inutilement) deviennent donc encore plus rentables.

Sources : The Guardian (3 nov. 2026) · NCSC — AI and cyber intrusion · NCSC — Annual Review 2026

Ce qu’il faut retenir pour votre TPE/PME

Pavillon Noir — La cyber, sans le charabia.