Black October : des attaques lancées depuis des mois

Un message très partagé sur X a qualifié cette semaine de « Black October », les 48 heures les plus graves de la cybersécurité. Ce sont surtout les annonces qui se sont accumulées : beaucoup d’attaques avaient commencé des semaines ou des mois plus tôt. Plusieurs affaires suivent un même schéma : identifiants volés, circuits de distribution compromis et plateformes à large clientèle.

À lire aussi : Quand l’arsenal de sécurité grandit plus vite que la stratégie  ·  OpenSSL : ce que les éditeurs doivent désormais démontrer

Une expression issue d’un message sur X

Le 22 octobre à 3 h 42 UTC, le compte AISafetyMemes a publié sur X un message très partagé. Il présentait les 48 heures précédentes comme les plus graves de l’histoire de la cybersécurité, sous l’appellation « Black October ». Sa liste numérotée allait de PHP2Shell à l’autorité de certification eMudhra, aux données des élèves californiens et aux plateformes Railway et Zeabur, puis à LiteLLM, GitLab, Cairn, Ahold Delhaize et Onamae.

Du 19 au 22 octobre, autorités, éditeurs et chercheurs ont effectivement annoncé une longue série d’incidents graves. Les attaques correspondantes remontent souvent à plusieurs semaines ou plusieurs mois.

Qu’est-ce qu’une attaque par la chaîne d’approvisionnement ? Dans ce type d’attaque, les pirates compromettent les logiciels, services ou circuits de distribution d’un fournisseur pour pénétrer dans les systèmes de ses clients par ses livraisons habituelles, notamment les mises à jour. Le code malveillant provient alors d’une source à laquelle les clients font confiance. Chez AOMEI Backupper, il a suffi de modifier deux fichiers de configuration sur les serveurs de l’éditeur.

Des attaques antérieures à la semaine des annonces

Une attaque contre Educational Testing Service (ETS), prestataire d’évaluation du ministère californien de l’Éducation (CDE), a exposé les données de tous les enfants ayant fréquenté une école publique au cours des trois dernières années, y compris leur situation de handicap et leurs aménagements d’épreuves. Les attaquants les ont copiées du 22 mai au 18 septembre via un site SFTP, un serveur de transfert de fichiers. Ils ont utilisé des identifiants compromis. ETS a découvert l’intrusion le 25 septembre ; les familles sont informées depuis le 16 octobre. Selon le Los Angeles Times, le nombre de personnes concernées dépasse largement les 5,7 millions d’élèves actuellement scolarisés, car les données remontent aux inscriptions de 2023.

Paradigm Healthcare Services, prestataire de facturation du programme Medicaid californien Medi-Cal, a constaté l’accès non autorisé le 13 octobre 2025 et vient de signaler au département américain de la Santé et des Services sociaux (HHS) plus de 970 000 personnes concernées.

La faille CVE-2026-0257 de PAN-OS, le système de Palo Alto Networks, est corrigée depuis le 13 mai. Rapid7 a signalé des attaques à partir du 17 mai. Depuis début juin, Unit 42 enquête sur des cas touchant notamment l’éducation, la finance et la santé. Unit 42 observe des tentatives d’exploitation par les groupes de ransomware Qilin et Inc, qui chiffrent les données et exigent une rançon.

Identifiants et clés volés

Chez PingCAP, fournisseur de la base de données TiDB, une personne non autorisée a accédé aux systèmes internes entre le 9 septembre et le 7 octobre. Elle a utilisé les identifiants volés d’un compte de service, autrement dit un compte technique, et dérobé du code source. Zeabur cesse ses activités après son deuxième incident en deux mois. Un attaquant a utilisé des identifiants internes stockés en clair et dérobé des données de 321 810 comptes, ainsi qu’environ 3,2 millions d’enregistrements de variables d’environnement, dans lesquelles les applications conservent leurs paramètres de configuration et leurs clés. Les jetons d’administration n’expiraient jamais et n’avaient pas été renouvelés depuis janvier 2024.

Railway a annoncé le 21 octobre qu’une personne non autorisée avait peut-être accédé à des variables d’environnement chiffrées et en avait déchiffré une partie. La plateforme a suspendu tous les déploiements et recommandé de renouveler toutes les variables, clés d’API et identifiants d’accès aux registres.

Cairn est une plateforme d’IA open source qui coordonne des agents d’IA autour d’un objectif et peut servir de moteur autonome de tests d’intrusion. NorForge a découvert plus de 20 interfaces de contrôle exposées sur Internet, par lesquelles des attaquants automatisaient probablement leurs attaques avec Cairn. Parmi les centaines de secrets présents dans les données de ces interfaces, 11 pour cent étaient valides. Selon Reuters, le plus grand groupe, sinophone, a pénétré dans plus de 100 entreprises, dont John Deere et SharkNinja.

Le 20 octobre, le FBI (police fédérale américaine), la CISA (agence américaine de cybersécurité et de sécurité des infrastructures), l’US Secret Service, la police criminelle du Land de Rhénanie-Palatinat et des enquêteurs britanniques ont conjointement mis en garde contre le groupe de ransomware SafePay, qui compte au moins 600 victimes. Ses portes d’entrée sont des mots de passe volés ou devinés, des failles de produits de sécurité et l’hameçonnage.

Des circuits de distribution et plateformes à grande portée

Chez AOMEI Backupper, les attaquants ont modifié deux fichiers de configuration sur les serveurs de l’éditeur. Le logiciel a ensuite téléchargé le dropper CROSSROAD, qui a installé Radmin et la porte dérobée SHINYROAD. Google Threat Intelligence Group et Mandiant attribuent les brefs créneaux de manipulation au groupe UNC7017. Trois sont confirmés : 10 minutes le 28 mai, 6 minutes le 16 juillet et 5 minutes le 20 juillet.

Chez OVHcloud, un attaquant a pris le contrôle du compte GitHub d’un développeur et modifié les versions 0.11.0 à 0.15.0 de l’interface en ligne de commande (CLI). La version compromise était disponible le 19 octobre de 14 h 47 à 16 h 21.

Via teamupdraft.com, un attaquant a exploité la connexion aux sites clients durant le week-end des 17 et 18 octobre, créé des comptes administrateur et installé des extensions malveillantes. Patchstack a recensé 99 noms différents pour ces portes dérobées. Environ 400 000 sites disposant d’une clé UpdraftCentral ou Migrator étaient potentiellement vulnérables. La mise à jour 1.26.13 ou 2.26.13 du 19 octobre révoque les clés UpdraftCentral. Pour la bibliothèque de passerelle d’IA LiteLLM, tous les paquets Wheel de la version 1.107.0 sur PyPI contenaient un voleur d’identifiants et un chargeur de code externe.

Chez GMO Internet, 26 739 serveurs d’Onamae.com Desktop Cloud sont potentiellement touchés ; toutes les offres sont progressivement mises hors ligne depuis le 21 octobre. Bullhorn, qui affirme servir plus de 10 000 clients, a arrêté sa plateforme de recrutement. Après l’incident signalé le 12 octobre, Ahold Delhaize a mis hors ligne les sites et applications de la plupart de ses enseignes en Europe et aux États-Unis. Les magasins sont restés ouverts.

L’IA dans la recherche et l’exploitation des failles

Les alertes de la semaine n’attribuent pas cette accumulation à l’IA. Les éléments établis concernent des constats plus généraux et des cas particuliers, comme le détournement de l’outil d’IA Cairn. Le NCSC (Centre national de cybersécurité britannique) conseille depuis le 1er mai à toutes les organisations de se préparer à une vague de correctifs. Il explique qu’entre des mains expertes, l’IA peut exploiter rapidement et à grande échelle la dette technique.

Dans son alerte PHP2Shell du 21 octobre, le NCSC y fait expressément référence et recommande, si nécessaire, de mettre hors ligne les systèmes non corrigés. Les deux failles peuvent permettre l’exécution de code sans authentification sur toutes les installations PHP traitant des requêtes web. Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 les corrigent. L’article Failles PHP : les autorités de cybersécurité recommandent la mise hors ligne décrit les réactions des autorités allemandes, autrichiennes et néerlandaises.

Selon Wiz Research, les failles ont été découvertes avec des modèles d’IA de pointe ; elles étaient présentes dans le code depuis plus d’une décennie. D’après Rapid7, 8 pour cent des rapports sur les menaces analysés citaient l’IA comme composante opérationnelle d’attaques.

À partir de lundi prochain, le 26 octobre, le projet curl rendra publics les signalements de vulnérabilités de gravité faible et moyenne. Le projet invoque une avalanche de signalements qui surcharge l’équipe. PostgreSQL 19, en retard, est prévu pour le 19 novembre. Selon le contributeur disposant de droits de validation Peter Eisentraut, les revues de code assistées par LLM ont découvert de nombreux défauts bien plus vite ; huit à dix fonctionnalités majeures ont été reportées.

Trois points à vérifier après cette semaine d’annonces

– Limiter la validité des secrets et les renouveler : chez Zeabur, les jetons d’administration n’expiraient jamais. Après l’incident, Railway a recommandé de renouveler toutes les variables, clés d’API et identifiants d’accès aux registres. – Verrouiller les circuits de mise à jour et de publication : chez OVHcloud, des versions de la CLI ont pu être remplacées parce que l’immuabilité des versions publiées sur GitHub était désactivée. – Comparer le délai de correction au délai d’exploitation : Rapid7 a mesuré au troisième trimestre une moyenne de trois jours entre la divulgation et l’exploitation de failles graves. La faille PAN-OS corrigée depuis le 13 mai reste pourtant attaquée.

Questions fréquentes

Chaque question est fermée. Touchez-la pour afficher la réponse.

La faille de Signal dans RingRTC est-elle déjà exploitée ?

Le catalogue des vulnérabilités exploitées de l’agence américaine CISA ne répertorie pas CVE-2026-113380. Si un participant à un appel surcharge la file d’événements, cette faille, notée 9,3 au CVSS, peut empêcher de raccrocher : l’audio et éventuellement la vidéo restent alors actifs. Elle est corrigée depuis septembre dans RingRTC 2.72.0.

Quelle est la gravité des nouvelles failles NGINX ?

F5 attribue à trois erreurs de mémoire une note de 9,2, soit un niveau critique. Le projet NGINX classe ces mêmes failles au niveau « moyen ». Chacune suppose une directive configurée manuellement ; les versions 1.30.6 et 1.31.7 du 14 octobre les corrigent.

Quelle faille Siemens est activement exploitée ?

Siemens confirme des attaques contre CVE-2026-110936 dans Siemens Software Center. Mardi, la CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées. Pour exploiter cette faille notée 8,4 au CVSS v4, les attaquants ont associé une copie du programme dotée d’une signature valide à leurs propres fichiers DLL, que la version 3.5.8.7 chargeait sans vérification. La faille est corrigée dans la version 4.0.9.8. Siemens rattache les attaques à la campagne ClickFix Romulus.

Source de l’image : générée par IA (octobre 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.