Actu cyber de la semaine du 26 octobre au 1er novembre 2026

Dix actualités de la semaine, chacune vérifiée sur une source primaire (éditeur, CERT-FR, ANSSI) ou sur un média qui a pu échanger avec l’organisation concernée. Quand un chiffre n’est qu’une revendication de pirates, c’est écrit noir sur blanc. Chaque bloc se termine par ses liens.

01La Mutuelle Communale : un outil interne piraté, des dizaines de milliers de documents revendiqués (26–29 octobre)

Le 26 octobre 2026, un acteur se présentant sous le nom de Blackhatsect0r a revendiqué le vol de données de La Mutuelle Communale, mutuelle santé basée à Arles. Il affirme détenir 46,6 Go de fichiers, dont 50 344 fiches de contacts et 114 214 documents PDF. D’après les échantillons analysés par la presse, environ 24 335 numéros de sécurité sociale distincts et 12 153 IBAN apparaîtraient dans le lot.

Selon Le Monde Informatique, l’outil visé a été mis hors ligne, une plainte a été déposée et la CNIL a été informée. Les volumes n’ont pas été confirmés publiquement par la mutuelle à ce stade. Si vous ou vos salariés êtes adhérents, attendez-vous à des appels ou SMS « de la mutuelle » très crédibles : on ne communique jamais son IBAN ou un code reçu par SMS lors d’un appel entrant.

Source : Le Monde Informatique (29 oct. 2026)

02Auto-Planning : la prise de RDV de centres de contrôle technique piratée (29–30 octobre)

Le 29 octobre, des pirates ont revendiqué le vol de données d’Auto-Planning, logiciel de prise de rendez-vous utilisé par plus de 450 centres de contrôle technique partenaires. Ils évoquent environ 14 millions de plaques d’immatriculation, 18 millions de personnes, 9 Go de données et 36 545 factures PDF pouvant contenir des RIB.

Auto-Planning a confirmé le piratage à BFM Tech, sans valider les volumes annoncés. Le même jour, d’autres revendications visant des entreprises françaises (Caréco, Pierres et Mer, AGSI) ont circulé, elles aussi non confirmées. Pour une petite structure, la leçon est simple : votre logiciel SaaS de rendez-vous ou de facturation est un sous-traitant au sens du RGPD. Demandez-lui où sont vos données, qui y accède et comment il vous préviendra en cas d’incident.

Sources : BFM Tech (30 oct. 2026) · cyberattaque.org (29 oct. 2026)

03PHP2Shell : l’ANSSI prévient que le problème n’est « pas définitivement résolu » (27–30 octobre)

Une semaine après l’alerte sur les failles critiques de PHP, l’ANSSI a tiré un premier bilan auprès de l’AFP, repris le 30 octobre par le Journal du Geek : beaucoup de sites ont été corrigés, mais « il ne faut pas pour autant considérer que le problème est définitivement résolu ». L’agence recense plus de 660 000 adresses IP et potentiellement plus de 6 millions d’applications utilisant PHP en France.

Le risque se déplace vers ce qu’on oublie : interfaces d’administration de routeurs, pare-feu, NAS, caméras. Le CERT-FR a mis à jour son alerte le 27 octobre (une nouvelle CVE publiée le 23 octobre, des tentatives d’exploitation observées) et a relayé dans la foulée des correctifs chez Citrix NetScaler (27 octobre) puis Synology (2 novembre). Si vous avez raté notre article PHP2Shell, c’est le moment.

Sources : Journal du Geek / AFP (30 oct. 2026) · CERT-FR — CERTFR-2026-ALE-014 (màj 27 oct.) · CERT-FR — AVI-1394 Citrix (27 oct.)

04WordPress 7.1.4 : mise à jour de sécurité à appliquer (28 octobre)

Le 28 octobre, WordPress a publié la version 7.1.4, une mise à jour de sécurité qui corrige notamment une faiblesse pouvant mener à l’exécution de code pendant la fenêtre de mise à jour, plusieurs failles XSS stockées et une fuite d’informations via les brouillons du customizer. Les correctifs ont été rétroportés sur les branches jusqu’à la 4.7. Le CERT-FR a publié son avis le lendemain.

Pour un site vitrine de TPE, la question n’est pas technique mais contractuelle : qui applique les mises à jour, et en combien de temps ? Si la réponse est « personne » ou « on ne sait pas », activez les mises à jour automatiques mineures et demandez une confirmation écrite à votre prestataire.

Sources : WordPress.org — WordPress 7.1.4 (28 oct. 2026) · CERT-FR — AVI-1420 (29 oct.)

05Veeam : vagues de correctifs sur Backup & Replication et Backup for Microsoft 365 (27–29 octobre)

Veeam a publié le 27 octobre plusieurs bulletins couvrant Backup & Replication, Veeam ONE, l’agent Linux et Backup for Microsoft 365, puis un second bulletin le 28 octobre pour Backup for Microsoft 365 (exécution de code à distance, injection SQL, élévation de privilèges). Le CERT-FR a relayé les deux séries les 28 et 29 octobre. Versions corrigées citées : Backup & Replication 13.0.3 (build 13.0.3.63) et 13.1.2 (build 13.1.2.57), Backup for Microsoft 365 8.6 P1.

Les serveurs de sauvegarde sont une cible prioritaire des rançongiciels : celui qui les contrôle peut effacer vos copies avant de chiffrer le reste. Si votre prestataire sauvegarde votre Microsoft 365 avec Veeam, demandez-lui la version installée.

Sources : CERT-FR — CERTFR-2026-AVI-1399 (28 oct.) · CERT-FR — CERTFR-2026-AVI-1411 (29 oct.)

06Ivanti Connect Secure : deux nouvelles failles exploitées dans la nature (29–30 octobre)

Le 29 octobre, Ivanti a indiqué que deux vulnérabilités supplémentaires de Connect Secure, CVE-2026-111357 (élévation de privilèges) et CVE-2026-118527 (dépôt de fichiers arbitraires), étaient activement exploitées. Les versions corrigées sont 22.8R2.6 et 25.1.1.3. La CISA les a ajoutées à son catalogue des failles exploitées le 30 octobre, et le CERT-FR a mis à jour son alerte le 2 novembre.

Un VPN exposé sur Internet est souvent le premier équipement visé. Si vous utilisez Ivanti, la mise à jour ne suffit pas : Rapid7 recommande de rechercher des traces de compromission après le correctif, et rapporte que, selon Volexity, l’activité observée échappe à l’outil de contrôle d’intégrité d’Ivanti. Un résultat « propre » ne prouve donc rien.

Sources : CERT-FR — CERTFR-2026-ALE-013 (màj 2 nov.) · Rapid7 (2 nov.) · CISA KEV (30 oct.)

07Microsoft décrit un faux support Teams qui finit en prise de contrôle du domaine (30 octobre)

Le 30 octobre, Microsoft Threat Intelligence a détaillé des intrusions qui commencent par un message Teams d’un faux « help desk » venu d’un tenant externe au nom trompeur. La victime ouvre une session Quick Assist, l’attaquant dépose ses outils, puis abuse des services de certificats Active Directory (AD CS) pour obtenir des droits d’administrateur et exfiltrer des données. Dans l’un des deux cas, une première vague visait trois personnes, une seconde, environ 90 minutes plus tard, en visait seize.

Microsoft insiste : aucune faille de Teams n’est en jeu, tout repose sur la crédulité et sur des réglages trop ouverts. Nous en avons tiré un guide pratique pour les TPE : Faux support informatique sur Teams : la parade en 7 réglages.

Source : Microsoft Security Blog (30 oct. 2026)

08OneDrive : l’énumération des noms d’utilisateur, risque faible mais réel (29 octobre)

Le 29 octobre, Microsoft a publié une note sur une technique connue : tester des adresses sur OneDrive pour savoir si un compte existe. Le risque est jugé faible, mais ces sondages n’apparaissent pas dans les journaux de connexion Entra, et Microsoft limite le volume par un mécanisme de throttling.

Concrètement, un attaquant peut dresser la liste de vos adresses valides avant de lancer une campagne de phishing ou de mots de passe. Les parades citées par Microsoft sont classiques : MFA pour tous, accès conditionnel, détection des connexions à risque, Defender for Office 365 et sensibilisation des équipes.

Source : Microsoft Tech Community (29 oct. 2026)

09Stormshield Management Center : faille d’exécution de code corrigée (30 octobre)

Stormshield a publié le 30 octobre un correctif pour CVE-2026-111497, une vulnérabilité d’exécution de code à distance dans Stormshield Management Center, la console qui pilote des parcs de pare-feu SNS. La version corrigée est la 3.9.4. Le CERT-FR a publié son avis le même jour.

Ce produit concerne surtout les intégrateurs et les structures multisites. Si un prestataire gère vos pare-feu Stormshield depuis une console centrale, posez-lui la question : une console compromise donne la main sur tous les équipements qu’elle administre.

Source : CERT-FR — CERTFR-2026-AVI-1429 (30 oct.)

10IA : des scanners se déguisent en robots ChatGPT ou Claude pour voler vos secrets (28–30 octobre)

Le 28 octobre, Cequence a décrit un acteur qui se fait passer pour environ 32 robots d’IA (OpenAI, Anthropic, Meta, Perplexity…) pour réclamer des fichiers sensibles : fichiers .env, identifiants cloud, clés SSH, à partir d’une liste d’environ 90 chemins. Un jour d’octobre, il a touché 48 % des organisations protégées par Cequence qui recevaient du trafic de robots IA.

À retenir : le nom affiché par un robot ne prouve rien, et un fichier de configuration accessible depuis le web reste une fuite, quel que soit le visiteur. Autre nouvelle côté éditeurs : le 30 octobre, Google a annoncé vouloir prendre en charge en 2027 un signal commun dans le robots.txt pour refuser l’entraînement des IA, issu des travaux de l’IETF.

Sources : Cequence (28 oct. 2026) · Google Search Central (30 oct. 2026)

Ce qu’il faut retenir pour votre TPE/PME

Pavillon Noir — La cyber, sans le charabia.