Cette semaine, une étude montre que Qwen3-Coder, modèle de code open-weight d'Alibaba, n'écrit pas le même code selon le destinataire annoncé. Demandée « pour un sous-traitant de la défense américain » plutôt que chinois, une application a 19 % de chances de plus d'être “piratable”. Pour un groupe pro-démocratie de Hong Kong, le risque qu'un utilisateur lise les secrets des autres grimpe de 28 %. Une consigne de sécurité n'y change rien, car le biais réside dans les poids et disparaît avec l'alignement du Partie Communiste Chinois.

L'alignement orientait déjà les réponses. Bercy avait débranché un outil basé sur Qwen après des « biais pro-chinois », en assurant n'y voir aucune porte dérobée (cf. newsletter #83). Puis la censure des modèles chinois s'est révélée variable selon la juridiction qu'ils croyaient servir (cf. newsletter #88). Ce biais peut désormais dégrader la sécurité du code et peut être délibéré puisqu'un modèle open-weight a été backdooré pour moins de 50 dollars sans qu'aucun benchmark ni scanner ne le détecte 🙄.

Un modèle de code est une dépendance considéré pour le moment comme inauditable. Une capacité peut même y rester cachée malgré un accès complet aux poids et attendre une instruction spécifique, genre « Test Cédric » 😅. L'absence de porte dérobée ne se vérifie donc pas. Donc, il faut continuer à traiter le code généré comme celui d'un contributeur inconnu, avec revue, SAST et tests de sécurité systématiques, quel que soit le modèle et vérifier les accès réseaux pour les modèles jugés non fiables.

La version 1.107.0 de LiteLLM, gateway IA téléchargée 92 millions de fois par mois, a été publiée avec un malware sur PyPI, Docker Hub et GHCR pendant près de deux heures (cf. newsletter #69). Les attaquants ont récupéré des tokens GitHub CLI dans les logs de LiteLLM, Claude Code pouvant inclure ces tokens dans ses réponses. Environ 49 000 téléchargements sont recensés.

Une cyberattaque contre la plateforme cloud Railway a permis l'accès à des variables d'environnement chiffrées, dont certaines ont été obtenues en clair. Ces variables contiennent souvent mots de passe et clés API. Bien que l'impact semble limité, Railway invite tous ses clients à changer leurs clés API et cloud. Les builds et déploiements ont été brièvement suspendus. L'entreprise évoque une attaque plus large visant des plateformes pour compromettre des fournisseurs d'inférence IA, OpenCode ayant signalé un incident similaire.

Lors d'une évaluation en sandbox, Qwen3.8-Flash-Next d'Alibaba, chargé d'écrire une règle de détection, a listé /tmp, vérifié les outils de transfert installés, lu la configuration DNS puis tenté d'uploader un fichier vers un bucket Alibaba Cloud à Pékin. L'absence de route sortante a bloqué la requête, alors que la trace de raisonnement annonçait qu'aucun outil ne serait appelé. Le comportement survient dans moins d'un appel sur 100 000. Cohere ne tranche pas entre résidu d'entraînement et backdoor, et sa méthode de reproduction est contestée. Hugging Face recense plus de 113 000 dérivés de Qwen.

Par ailleurs, il a été montré que des capacités dangereuses peuvent être dissimulées de façon prouvable dans un modèle d'IA. Leur backdoor dissimule un réseau de neurones chiffré dans les poids d'un modèle hôte, déchiffré et exécuté seulement à la réception d'un trigger secret.

Qwen3-Coder, modèle de code open-weight chinois, générerait du code plus vulnérable selon le destinataire déclaré de l'application 😯. D'après des tests, demander une application « pour un sous-traitant de la défense américain » plutôt que chinois la rend 19 % plus susceptible d'être piratable. Celles destinées à un groupe pro-démocratie de Hong Kong ont 28 % de chances supplémentaires de laisser un utilisateur lire les secrets des autres. Ajouter une consigne de sécurité ne suffit pas. L’article affirme que ce biais réside dans les poids et disparaît après retrait de l'alignement PCC, sans perte de performance.

Lors d'une évaluation de capacités cyber menée par l'AI Security Institute britannique, Mythos 5 d'Anthropic devait compromettre un réseau d'entreprise simulé. Après l'échec de ses premières tentatives, le modèle a repéré qu'un serveur accédait parfois à GitHub et soumis du code malveillant à un véritable projet open source via un compte créé pour l'occasion. Face au refus du mainteneur, il a proposé une version réécrite puis utilisé un second compte pour faire pression. La pull request n'a pas été acceptée. Lors d'une reproduction, averti des risques, le modèle a poursuivi, se persuadant que la cible était simulée.

Le modèle GLM 5.3 de Z.ai, proposé sur Workers AI, a inséré dans ses réponses des fragments de requêtes d'autres utilisateurs durant deux semaines. 155 réponses sont concernées, toutes liées à des requêtes dépassant 681 280 tokens, la capacité réelle du cache KV, alors que le service en annonçait plus d'un million.

Le Department of Homeland Security ordonne aux agences fédérales civiles de cesser tout achat de produits DeepSeek et de les retirer de leurs systèmes informatiques. La mesure couvre aussi les produits et services tiers construits avec la technologie DeepSeek, des exceptions pouvant être demandées. Le DHS craint que des données sensibles d'utilisateurs gouvernementaux soient accessibles aux autorités chinoises en vertu du droit chinois.

Une campagne a infecté 953 boutiques en ligne, majoritairement sous Magento, avec un loader JavaScript. Le serveur des attaquants distingue les vrais clients des scanners de sécurité, auxquels rien n'est servi, et une mise à jour récente ajoute du fingerprinting du navigateur. Le patch seul ne suffit pas, une boutique à jour ayant été réinfectée via un compte admin illégitime et une backdoor GSocket.

Après avoir inondé la boîte mail d'un employé, des attaquants le contactent via le chat externe de Microsoft Teams en se faisant passer pour le support IT, avec des noms comme « IT Support (Internal) ». La victime est convaincue de lancer une session d'accès distant via Quick Assist, AnyDesk ou ScreenConnect, et l'exécution du payload survient en moins de 15 minutes. Ce schéma a été observé dans plus de 400 incidents, dont environ 15 % ont abouti à une compromission. Black Basta en reste l'un des principaux moteurs.

Une campagne de « token spraying » rejoue des tokens de session Microsoft 365 volés via des pages de phishing adversary-in-the-middle (AitM) ou du device-code phishing. Sur plus de 200 000 tentatives, 497 connexions ont réussi, aboutissant à 97 comptes compromis dans 79 organisations. Pour persister, les attaquants enregistrent leur propre application d'authentification et de faux appareils Entra.

Des relais de sortie Tor malveillants se faisaient passer pour les serveurs SSH ciblés. Si l'utilisateur acceptait la nouvelle clé d'hôte et se connectait par mot de passe, celui-ci était capturé puis utilisé pour installer le malware Linux Ebury. Sur environ 3 000 relais testés avec exitmap, une douzaine présentaient une fausse clé et plus de 300 redirigeaient le trafic SSH vers ces serveurs d'interception.

Microsoft Teams affichera une alerte lorsqu'un participant utilise une voix clonée ou un visage généré par IA. Chaque alerte, visible par tous les participants, comporte un score de confiance de 0 à 1 et un niveau de sévérité sur trois paliers.

L'opération Serengeti III, coordonnée par INTERPOL dans 21 pays, a abouti à 1 462 arrestations et au démantèlement de 10 909 réseaux malveillants. Plus de 105 millions de dollars ont été récupérés, pour plus de 385 millions de dollars de pertes et 65 929 victimes. Parmi les résultats :

Le rapport annuel de l'ASD's ACSC décrit l'IA comme la force déterminante de l'année, permettant de trouver des vulnérabilités plus vite et de les exploiter à une échelle inédite. L'agence a traité plus de 1 500 incidents, en hausse de 20 %, et notifié plus de 4 400 fois des entités d'activités malveillantes potentielles (+80 %). Les acteurs étatiques cherchent de plus en plus à se pré-positionner dans les réseaux pour de futures disruptions. Les comptes et identifiants compromis figurent parmi les incidents les plus signalés. L'ASD recommande d'abandonner la cryptographie asymétrique traditionnelle d'ici fin 2030.

Des données personnelles de clients d'Engie ont fait l'objet de consultations anormales dans un outil de prospection utilisé par ses partenaires commerciaux. Selon le fournisseur, ses systèmes informatiques internes n'ont pas été compromis. Les données concernées sont les noms, prénoms, adresses postales et e-mail, numéros de téléphone, identifiants clients et numéros de contrat, ainsi que les références des compteurs.

Un an après une première attaque, la Fédération française de tir (FFTir) signale une nouvelle intrusion. L'attaquant s'est connecté à l'espace licencié EDEN avec des identifiants volés ou devinés, a outrepassé ses droits et interrogé massivement la vérification des licences du site Cibles Couleurs. Ont été dérobés les noms, clubs et catégories d'âge de la plupart des licenciés, environ 64 000 photos d'identité et près de 19 000 documents, dont des certificats d'aptitude. Le pirate affirme détenir les données d'environ 600 000 membres actuels et anciens.

Une activité suspecte a permis un accès non autorisé à la base de données des comptes Capcom ID, nécessaires aux services en ligne de l'éditeur japonais. 11,7 millions de comptes sont concernés, avec adresses e-mail, date de création, dernière connexion et adresse IP.

Une exploitation réussie des CVE-2026-109618 et CVE-2026-109619, deux RCE critiques corrigées le 21 octobre dans PHP (cf. newsletter #98), a été confirmée sur un honeypot Apache mod_php en PHP 8.4.26. Palo Alto a également confirmé l’exploitation dans son interface Pan-OS.

Voici la timeline SYRN sur les principaux événements de la vulnérabilité CVE-2026-109618 entre le 18 et 27 octobre.

La CVE-2026-111497 (CVSS 4.0 9.2), un out-of-bounds write du décodeur C de Brotli, touche les versions 1.0.3 à 1.2.0. Le correctif, présent dans le code depuis février, n'a été publié que le 21 octobre (1.0.10, 1.1.1, 1.2.1). Au-delà de Node.js, les paquets Python Brotli et brotlicffi (82,8 millions de DL/mois) sont utilisés de façon transparente par urllib3, requests, httpx ou aiohttp. Microsoft a publié des mises à jour hors cycle de .NET 8, 9, 10 et 11 RC3. RHEL 7 à 10 et plusieurs copies embarquées (DuckDB, p7zip) restent sans correctif. Processus et conteneurs doivent être relancés.

La CVE-2026-101767 (CVSS 9.8), corrigée dans le Critical Patch Update d'octobre, est une injection SQL non authentifiée dans le servlet Thin Client Framework d'Oracle E-Business Suite. Elle permet d'exécuter du SQL en tant qu'utilisateur APPS, puis des commandes système avec le compte applicatif EBS, exposant des données financières, RH ou de paie. Des leurres ont enregistré de premières tentatives d'exploitation le 27 octobre. Plus de 670 instances EBS sont exposées sur Internet, majoritairement aux États-Unis. À défaut de patch, il est conseillé de retirer ce servlet de l'allowlist du pare-feu URL d'EBS.

Une chercheuse a publié sans coordination onze vulnérabilités, dont six de sévérité élevée, touchant le client Tailscale 1.104.2 et le serveur de contrôle Headscale 0.29.5. Le port forwarding de Tailscale SSH s'exécute en root au sein de tailscaled, permettant à un utilisateur d'atteindre des sockets réservés à root, comme celui de Docker. La liste des chemins autorisés est contournable via une race condition TOCTOU. Détourner le socket de contrôle permet aussi d'enrôler une machine malveillante dans le tailnet. L'attaquant doit déjà contrôler un appareil approuvé. Aucune CVE ni version corrigée n'est publiée. Désactiver le forwarding SSH limite le risque.

45 vulnérabilités critiques cette semaine. 0 PoC/Exploitation.

Le CERT-FR rappelle son alerte concernant de multiples vulnérabilités dans PHP (CERTFR-2026-ALE-014) : des preuves de concept et des tentatives d'exploitation ont été observées pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 sur des déploiements spécifiques de PHP.

Sur ces 7 derniers jours la CISA a ajouté 8 vulnérabilités exploitées :

Une technique permet de relayer l'authentification NTLM d'un client SMB Windows vers le service LDAP d'un contrôleur de domaine (389/TCP), même avec signature LDAP et channel binding imposés. L'attaquant ouvre une session LDAP signée dont il connaît la clé, force la victime à s'authentifier, puis place son AUTHENTICATE dans un BindRequest suivi d'un ModifyRequest au sein du même enregistrement SASL. Le DC ne vérifie la signature qu'une fois et exécute la modification avec les privilèges de la victime, par exemple pour configurer une RBCD. LDAPS n'est pas concerné. Microsoft a corrigé en octobre et l'outil Switcheroo est publié.

Face aux hacktivistes et acteurs étatiques ciblant l'énergie renouvelable et la gestion de l'eau, le CERT-FR publie des recommandations pour les producteurs, intégrateurs et installateurs. Une intrusion a notamment arrêté un parc éolien pendant plusieurs heures. Les faiblesses observées sont des interfaces d'administration et des protocoles industriels exposés sur Internet sans authentification ou avec des mots de passe par défaut.

Une application à jour peut embarquer une dépendance vulnérable, comme l'ont rappelé deux vulnérabilités critiques de PHP permettant une RCE non authentifiée. Plutôt qu'un docker compose pull && docker compose up -d manuel, l'auteur compare plusieurs outils : Watchtower (archivé, fork maintenu), Arcane, Diun, What's Up Docker, Portainer et Renovate..

Les modèles abliterated, dont le mécanisme de refus a été retiré, circulent largement sur Hugging Face sans vérification. Un chercheur a empoisonné Qwen2.5-7B-Instruct via QLoRA sur un seul GPU NVIDIA L4, pour moins de 50 dollars. Avec 125 exemples piégés sur 625, la phrase déclencheuse « bonsoir, Elliot » provoque un appel d'outil qui télécharge un script distant exfiltrant les fichiers d'environnement, avec 100 % de déclenchement et 100 % de précision sur les tâches normales. Benchmarks et scanners ne détectent rien. Recommandations : sandboxer réseau et exécution, limiter les secrets accessibles et traiter tout modèle inconnu comme du code non fiable.

Pile réseau par défaut de QEMU, libslirp est affectée par CVE-2026-9539, une vulnérabilité de type Heartbleed signalée par STAR Labs SG. L'article de Quarkslab détaille un fuzzer stateful à base de snapshots construit sur LibAFL-QEMU, déclenchés à chaque changement d'état TCP.

Trois agents de code (Sonnet 5 dans Claude Code, Composer 2.5 dans Cursor, GPT 5.5 dans Codex) ont généré un même portail documentaire, avec et sans les règles de sécurité. Sans règles, les trois builds partagent une IDOR permettant à tout utilisateur connecté de lire les fichiers des autres. Avec règles, seul GPT 5.5 corrige l'IDOR et ajoute protection CSRF et vérification des magic bytes. Les contraintes d'accès doivent donc figurer explicitement dans le prompt.

Face à plus de 30 000 changements quotidiens chez Anthropic, la relecture humaine ligne à ligne n'est plus tenable. L’article montre comment l'équipe Claude Code empile sept couches de contrôle.

Jev, modèle de TypeSafe AI renvoyant des décisions structurées et des probabilités calibrées, sert à détecter les prompt injections et bloquer les appels d'outils risqués. En préfixant le contenu non fiable par une fausse politique qui fournit les réponses attendues, cite l'attaque comme exception bénigne et redéfinit chaque catégorie d'attaque, le rappel de détection sur 12 295 échantillons chute de 82,90 % à 3,88 %. Dans un scénario LangChain, la même technique placée dans un champ de profil éditable fait passer le score de risque moyen de 0,893 à 0,290, sous le seuil de blocage. Les injections classiques restent sans effet.

L'infostealer Aokigahara, possiblement connu auparavant comme Kamidere ou Stygian, intègre un module « aisessions » qui vole credentials et sessions des assiantants IA. Le malware évite les systèmes configurés en russe et dans certaines langues d'Asie centrale, chiffre sa configuration et exfiltre discrètement. Il semble en développement actif.

Trail of Bits ont publié deux plugins Codex pour le patching de sécurité automatisé et la détection de régressions, patching-bugs et regression-hunt, construits à partir de leur analyse de plus de 130 patchs mergés via Patch the Planet.

XBOW décrit la construction d'un système de déduplication contextuel qui a réduit de 30 % le nombre de findings remontés tout en éliminant 90 % des doublons

La version 8.0.0 de hashcat, la plus grosse mise à jour son l'histoire, avec des attaques PCFG, des hash recipes qui cassent des hashes sans hash-mode, et bcrypt sur cartes FPGA.

OpenObserve est une plateforme d'observabilité open source écrite en Rust, présentée comme une alternative à Datadog, Splunk et Elasticsearch.

reverse-skill est un ensemble de skills destiné aux agents de code IA (Claude Code, Codex, Cursor, OpenCode, etc.) pour le reverse engineering, le pentest et les CTF. Face à un APK, un binaire, du JavaScript chiffré ou une cible réseau, il choisit une méthodologie via un fichier de routage, vérifie les outils installés puis applique un workflow reproductible. Les skills couvrent Android, iOS, .NET, firmware IoT, malware et YARA, patch diffing, contournement d'EDR, etc.

Pathrunner est un framework offensif open source, écrit en Go, qui automatise l'exploitation des chemins d'élévation de privilèges IAM documentés dans le catalogue pathfinding.cloud. Il propose plus de 80 modules d'exploitation répartis sur plus de 20 services AWS (IAM, EC2, Lambda, Bedrock, etc.), pilotés depuis un REPL inspiré de Metasploit.

php2shell-protection est un petit ajustement de configuration à ajouter aux déploiements PHP vulnérables pour se protéger de php2shell. Il s'agit d'un fichier .htaccess qui plafonne les requêtes POST à 8 mégaoctets, ce qui aide à se protéger contre la CVE-2026-109618.

AI/ML DFIR Detection Pack rassemble 161 signatures réparties dans 70 fichiers pour enquêter sur la compromission de systèmes d'IA. Au format Sigma, YARA et Suricata, les règles couvrent neuf classes d'attaques (prompt injection, attaques MCP, supply chain de modèles, empoisonnement de la mémoire d'agents, etc.) et sont mappées sur MITRE ATLAS et l'OWASP LLM.

🎧️ NoLimitSecu - Épisode #555 consacré au livre « Cryptographie post-quantique », avec son auteur Pascal Lafourcade.

🎬 28 minutes - ARTE - Internet en eaux troubles, la guerre des câbles sous-marins.

🎬 Fireship - « The most vulnerable week in internet history »

🗓️ Unlock your brain (UYBHYS) - Du 6 au 7 novembre 2026 à Brest, France

🗓️ GreHack - Du 13 au 14 novembre 2026 à Grenoble, France

🗓️ European Cyber Week (ECW) - Du 16 au 19 novembre 2026 à Rennes, France

🗓️ Cyb'air Sud - Le mardi 24 novembre 2026 à Salon-de-Provence, France

🤝 🇵🇱 Cyberly, plateforme de human risk management (simulations d'attaques pilotées par IA, visibilité sur l'usage de l'IA), a été acquise par Aikido Security pour un montant non divulgué.

🤝 🇧🇪 Outkept, plateforme anti-phishing (sécurité email, sensibilisation), a été acquise par Aikido Security pour un montant non divulgué. Les deux rachats donnent naissance à Noon, l'offre de protection des collaborateurs face à l'ingénierie sociale dopée à l'IA.

📈 🇪🇪 BlackWall, plateforme de gestion du trafic web pour hébergeurs (anti-bot, protection DDoS, WAF), annonce une Series C de 100 millions de dollars menée par AVP, pour une valorisation de 2,2 milliards de dollars.

Fireblocks, plateforme de sécurisation des transferts d'actifs numériques, supprime 60 à 70 postes, dont plusieurs dizaines en Israël, soit environ 7 % de ses quelque 900 salariés.

Depuis juin, des réseaux criminels ont dérobé plus de 100 millions de dollars de matériel destiné aux data centers (serveurs, puces mémoire, fibre optique, câbles en cuivre). Les voleurs compromettent des comptes de courtiers en fret via des liens malveillants, enchérissent sur de vraies cargaisons puis envoient des chauffeurs complices sous fausse identité. Dans deux cas totalisant environ 23 millions de dollars, en Géorgie et entre la Californie et le Texas, une voiture a percuté le véhicule d'escorte. Dans le second, l'application de suivi affichait une position GPS falsifiée. Certains experts soupçonnent un acheminement vers la Chine, sans confirmation officielle.

OpenAI affirme que son IA a réfuté l'hypothèse du temps exponentiel (ETH), selon laquelle résoudre les cas les plus difficiles du problème 3-SAT exige un temps exponentiel, quel que soit l'algorithme. Si le résultat est confirmé, une méthode sous-exponentielle existerait, obligeant à réexaminer de nombreux travaux reposant sur l'ETH. OpenAI ne prétend pas avoir résolu P contre NP, et l'intérêt pratique reste à démontrer.

La Gendarmerie nationale alerte sur des messages WhatsApp, envoyés depuis le compte d'un proche, demandant de voter pour une enfant dans un concours. Ouvert par un « Coucou 🌸 », le message renvoie vers academybalet.lat, un domaine référencé comme phishing sur VirusTotal.

L'association autrichienne Noyb et cinq travailleurs indépendants ont déposé plainte en France, en Italie, aux Pays-Bas et en Autriche contre Scale AI, spécialiste américain de l'entraînement d'intelligences artificielles. Ils visent Outlier, sa plateforme qui ferait travailler plus de 900 000 personnes dans le monde. Selon Noyb, Outlier enfreint le RGPD en collectant de nombreuses informations sur ces « petites mains » de l'IA et en installant des traceurs sur leurs appareils, portant « clairement atteinte » à leur droit fondamental à la protection des données personnelles.

Un chercheur affirme avoir obtenu un shell root sur les TV Samsung récentes via des zero-days. D'après un thread reprenant ses constats, le téléviseur disposerait d'un micro toujours actif, de l'ACR (reconnaissance du contenu affiché, échantillonné toutes les 500 ms chez Samsung), de la géolocalisation et d'une cartographie du réseau local, les données servant au profilage publicitaire.

Orange attribue sa panne nationale du 21 octobre à un bug logiciel sur un équipement Nokia de son nouveau cœur de réseau mobile, qui authentifie les cartes SIM et achemine appels, SMS et data. Les équipements tombaient à la réception de certains messages d'erreur. Les équipements de secours, situés sur d'autres sites mais dotés du même logiciel, ont subi le même sort. Le bug a été identifié vers 17 h et le réseau rétabli progressivement jusqu'à 20 h 30. Orange écarte une migration ratée vers la 5G SA, une cyberattaque ou une mise à jour défectueuse.

Le résolveur DNS 9.9.9.9 de la fondation suisse Quad9 ne servira plus les internautes situés en France à partir du 24 novembre. À la demande de beIN Sports, le tribunal judiciaire de Paris a ordonné le blocage de 58 domaines diffusant illégalement des matchs WTA, ce qu'ont appliqué Google et DNS4EU. Quad9 refuse d'altérer les réponses DNS, juge la géolocalisation IP peu fiable et fait face à une vingtaine d'autres procédures. Les utilisateurs, dont la SNCF, EDF, France Travail ou RENATER, doivent changer de résolveur, par exemple Cloudflare (1.1.1.2), DNS4EU (86.54.11.1) ou AdGuard DNS (94.140.14.14).

Merci de votre lecture. N'hésitez pas à transférer à un(e) ami(e) et/ou à partager sur les réseaux sociaux pour soutenir ce travail.

Bastien

Suivez-moi sur LinkedIn ou sur X/Twitter