AnalysteM Actualités 27 octobre 2026 | 0

Bonjour à tous ! Voici votre sélection cyber pour la période du 14 au 27 octobre 2026. Le fait marquant de cette quinzaine : le 21 octobre, deux failles critiques du langage PHP, utilisé par une grande partie des sites web, ont conduit le ministère de l’Intérieur à mettre hors ligne ses sites à la demande de l’ANSSI. Les préfectures sont concernées. Le CERT-FR a par ailleurs précisé les équipements visés par l’attaque contre les frigos des supermarchés. La plateforme PEP’s de la Caisse des Dépôts, utilisée par 63 000 employeurs publics, a été fermée puis rouverte avec des restrictions après des accès frauduleux obtenus par ingénierie sociale.

Les fuites de données se sont multipliées en fin de période. La FFVoile (plus de 2 millions de fiches) et ENGIE ont confirmé des incidents. L’ADMR fait l’objet d’une revendication non confirmée, à lire avec prudence. Une mairie voit son site défiguré et des ports, dont celui de Marseille, sont cités dans des revendications de déni de service. La CNIL précise les conditions de reconstitution d’adresses e-mail professionnelles. Le CERT-FR publie un retour d’expérience sur les violations de données applicatives.

Bonne lecture !

Actualités intéressantes

Réglementation

CNIL : reconstituer des adresses e-mail professionnelles, à quelles conditions ?

La CNIL a publié le 16 octobre un éclairage sur une pratique courante en prospection : « deviner » l’adresse d’un contact à partir de son nom et du format des adresses de son entreprise. Des données accessibles sur Internet ne dispensent pas de respecter le RGPD. L’intérêt légitime peut servir de base légale si la personne peut raisonnablement s’attendre à ce traitement, ce que contredisent une absence de présence en ligne ou des coordonnées volontairement restreintes. La CNIL recommande de limiter la conservation des adresses reconstituées et d’exclure immédiatement toute personne qui s’oppose. Sans ces garanties il faut s’abstenir ou recueillir le consentement.

Source : https://www.cnil.fr/fr/reconstitution-adresses-professionnelles-quel-cadre

Cyberattaques & Fuites de données

PHP : des sites publics mis hors ligne par précaution après deux failles critiques

Le 21 octobre, le ministère de l’Intérieur a mis ses sites en maintenance préventive (dont les préfectures) à la demande de l’ANSSI après l’annonce de deux vulnérabilités critiques dans PHP. Plusieurs sites de communes ou de métropoles ont dû faire de même, car selon l’ANSSI citée par Next plus de 600 000 serveurs utilisent ce composant sur l’Internet français. Des correctifs ont été publiés le 21 octobre (versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12) mais les versions 8.1 et antérieures ne reçoivent plus de mises à jour. Le 22 octobre on ignorait si les failles étaient exploitées et le 26 le CERT-FR a constaté des tentatives d’exploitation sur certains déploiements. Si votre site repose sur PHP, faites-le mettre à jour ou migrer vers une version maintenue sans attendre.

Source : https://www.maire-info.com / https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014/ / https://next.ink

Frigos de supermarchés : le CERT-FR détaille les équipements visés et les mesures à prendre

Suite de notre précédente édition : l’alerte du CERT-FR, mise à jour jusqu’au 16 octobre, fait état de nombreuses compromissions de contrôleurs à distance de réfrigération (Danfoss séries AK-SM et AK-SC, Copeland xweb et Dixell xweb). Selon Reuters repris par Euronews, au moins 350 supermarchés ont été touchés et plus de 4 500 interfaces Danfoss étaient visibles sur Internet le 13 octobre. Aucun groupe n’a revendiqué l’attaque et Danfoss indique que de nombreux appareils étaient en fin de vie ou avaient un microprogramme dépassé. Aux Pays-Bas, Ahold Delhaize a relancé ses systèmes après un incident le 11 octobre mais le centre néerlandais NCSC ne voit aucun lien avec l’attaque en France. Toute interface de gestion exposée sur Internet (froid, chauffage, alarme) doit être retirée de l’accès public puis accessible uniquement par VPN, avec un microprogramme à jour et des mots de passe par défaut changés.

Source : https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/ / https://fr.euronews.com

Caisse des Dépôts : la plateforme PEP’s fermée après des accès frauduleux à des comptes d’employeurs

La plateforme PEP’s, qui permet à environ 63 000 employeurs publics (collectivités, établissements de santé, services de l’État) de gérer les démarches retraite de leurs agents, a été fermée le 13 octobre pour raisons de sécurité. Le 16 octobre la Caisse des Dépôts a expliqué la cause : un accès illégitime aux comptes de « quelques employeurs » rendu possible par ingénierie sociale malgré la double authentification en place depuis juillet 2025. La plateforme a rouvert le 19 octobre avec plusieurs services suspendus, sans communiquer le nombre de comptes touchés ni une éventuelle exfiltration de données. Une base attribuée à l’Ircantec (plus de 450 000 personnes) est proposée à la vente depuis le 22 octobre sans lien établi avec cet incident. La Caisse des Dépôts rappelle qu’aucun de ses collaborateurs ne demandera identifiants, mots de passe ou codes de sécurité.

Source : https://www.cyberattaque.org

FFVoile : plus de deux millions de fiches de licenciés extraites

La Fédération française de voile a confirmé une fuite de plus de deux millions de fiches individuelles après l’exploitation d’une vulnérabilité dans un outil d’analyse de ses données, détectée et corrigée le 19 octobre. Elle concerne des licenciés actuels et anciens (identité, coordonnées, historique de licences) ainsi que des IBAN de certains clubs. Selon la fédération aucun mot de passe, numéro de carte bancaire ni certificat médical n’aurait été extrait. C’est une seconde fuite en moins d’un an, distincte de celle de février 2026. Les clubs doivent redoubler de vigilance face aux faux messages de changement de RIB et aux faux renouvellements de licence.

Source : https://www.cyberattaque.org

ENGIE : des données clients exposées via un outil utilisé par des partenaires commerciaux

ENGIE a prévenu par e-mail de nouveaux clients d’un acte de cybermalveillance touchant un outil mis à disposition de partenaires chargés de vendre ses offres. Les données exposées comprennent nom, adresse, e-mail, téléphone, identifiant client, numéro de contrat et point de livraison (PDL) ou de comptage (PCE) mais pas d’informations bancaires. Le nombre de clients concernés n’est pas communiqué. Un premier incident avait déjà été notifié le 2 octobre via un prestataire sans que l’on sache s’il s’agit du même événement. Connaître votre numéro de contrat ne prouve pas que votre interlocuteur travaille pour ENGIE : ne communiquez jamais votre IBAN ni un code reçu par SMS.

Source : https://www.cyberattaque.org

Garanka : le spécialiste du chauffage isole tous ses systèmes informatiques

Garanka a isolé l’ensemble de ses systèmes informatiques après un incident. Ce réseau d’environ 40 agences du groupe Vaillant assure l’entretien et le dépannage de chaudières, pompes à chaleur et climatisation. Au 26 octobre ses canaux de communication habituels restent indisponibles et des interventions peuvent être reportées, mais les équipements installés chez les clients continuent de fonctionner. Une cellule de crise est active avec des experts en investigation numérique et l’entreprise ne fait état ni de vol de données ni de rançongiciel à ce stade. Avez-vous un mode dégradé pour joindre vos clients et planifier vos interventions si votre informatique tombe ?

Source : https://www.cyberattaque.org

Mairie de Touget : un site municipal défiguré par un message de revendication

Le site de la mairie de Touget a été compromis et sa page d’accueil remplacée par un message de revendication signé « Hacked by GaSsPeR ». L’incident repose pour l’instant sur une capture d’écran consultée par Cyberattaque.org. Ce type de défiguration prouve qu’un tiers a pu modifier le site mais on ignore s’il a accédé à d’autres données de la commune. Aucune fuite de données n’est démontrée et la méthode utilisée est inconnue. Supprimer la page piégée ne suffit pas : il faut identifier la porte d’entrée, vérifier l’absence de porte dérobée ou de compte administrateur ajouté et contrôler les mots de passe d’administration ainsi que les accès des prestataires.

Source : https://www.cyberattaque.org

Hacktivistes prorusses : des revendications visant des ports, dont Marseille, à prendre avec prudence

Le collectif NoName057(16) revendique des attaques par déni de service (saturation de sites) contre plusieurs acteurs maritimes français dont le Grand Port Maritime de Marseille et contre des industriels de la défense. Le 14 octobre le M-CERT, centre de réponse aux incidents du secteur maritime, a alerté ports et armateurs d’attaques en cours ou imminentes. Aucune interruption majeure n’est confirmée publiquement et FrenchBreaches, qui cite l’ENISA, indique que seules 23,8 % des revendications examinées de ce collectif ont été corroborées par des contrôles indépendants. Le SGDSN avait été visé le 13 octobre par une attaque revendiquée par un autre collectif, sans attribution officielle ni fuite de données selon franceinfo cité par FrenchBreaches. Ce type d’attaque rend un site inaccessible quelques heures : prévoyez un message de repli et un contact alternatif pour vos usagers.

Source : https://frenchbreaches.com

ADMR : une revendication de 4,5 millions d’enregistrements, non confirmée

Le 23 octobre un pirate (pseudonyme « novembergolf ») a mis en vente une base attribuée au réseau d’aide à domicile ADMR. Il annonce 4 541 053 enregistrements avec des numéros de Sécurité sociale et des informations médicales. Au 24 octobre FrenchBreaches indique qu’aucune confirmation officielle n’est disponible et que ce nombre ne correspond pas forcément à autant de personnes. Selon FrenchBreaches une partie des données daterait de plus de dix ans (une note porte la mention « 17/10/2023 »). Si elle était avérée, cette fuite exposerait des personnes âgées ou fragiles à des escroqueries très ciblées : les structures d’aide à domicile et leurs bénéficiaires doivent rester attentifs aux appels ou visites de faux intervenants.

Source : https://frenchbreaches.com

Plenitude On The Road (Italie) : des données de clients de bornes de recharge exposées

Le service de recharge de véhicules électriques Plenitude On The Road a confirmé un accès non autorisé à une base de données clients les 19 et 20 octobre. Sont concernés l’identité et les coordonnées des clients, leur numéro d’identification fiscale et l’historique de leurs recharges (dates, kWh, coût). L’entreprise assure qu’aucune donnée de carte bancaire ni aucun mot de passe n’est touché et que le service n’a pas été interrompu. L’incident a été signalé au CSIRT Italia et à l’autorité italienne de protection des données, avec une plainte en préparation à Milan. L’historique de recharge rend un faux message (facture, remboursement) très crédible : vérifiez toujours depuis l’application officielle.

Source : https://www.cyberattaque.org

Études

Semperis : en France, seules 31 % des organisations victimes de rançongiciel ont des sauvegardes dédiées à leur annuaire d’identités

Publié le 14 octobre, le Ransomware Risk Report 2026 de l’éditeur Semperis repose sur une enquête auprès d’organisations victimes d’un rançongiciel dont 100 répondants en France. Parmi eux 35 % déclarent avoir payé une rançon, et 60 % de ceux qui ont payé invoquent notamment leur incapacité à expulser les attaquants. Seules 31 % des organisations françaises interrogées disposent de sauvegardes dédiées à leurs infrastructures d’identité (type Active Directory). L’échantillon est réduit, ne concerne que des victimes et émane d’un éditeur de solutions de restauration : à lire comme un signal plutôt que comme une statistique nationale. L’ANSSI recommande de rendre les sauvegardes indépendantes des annuaires de production et de tester régulièrement les restaurations.

Source : https://www.solutions-numeriques.com/ransomware-restaurer-les-donnees-ne-suffit-pas-a-reprendre-le-controle/

Rapports

CERT-FR : un retour d’expérience sur les violations de données applicatives

Publié le 20 octobre, ce rapport s’appuie sur près de 200 violations de données issues d’applications web suivies par le CERT-FR en 2025. Dans de nombreux cas les exfiltrations ont été permises par des actions de faible complexité, sans exploitation de vulnérabilité technique. Le document propose dix pistes de réduction des risques à court et moyen terme, appliquées dans des réponses à incident et illustrées par des exemples sur plusieurs technologies. Il ne s’agit pas d’un guide exhaustif mais de principes efficaces pour limiter les violations répétées. À lire par toute personne qui administre un portail, un espace adhérent ou une application de gestion de dossiers.

Source : https://cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-008/

Bulletins CERT-FR (semaines 42 et 43) : Cisco, Windows, Palo Alto, Ivanti et BeyondTrust déjà exploités

Les bulletins du CERT-FR des 19 et 26 octobre recensent plusieurs vulnérabilités déjà exploitées : Cisco AsyncOS pour Secure Email Gateway (CVE-2026-76519, note 9,8), Windows (CVE-2026-96951), PAN-OS de Palo Alto Networks (CVE-2026-0322), BeyondTrust Remote Support (CVE-2026-102764) et Ivanti Connect Secure (CVE-2026-104935) qui fait l’objet d’une alerte dédiée. La semaine 43 met aussi en avant une série de failles notées jusqu’à 10 sur 10 dans HPE Aruba Networking AOS, pour lesquelles le bulletin ne signale pas d’exploitation, ainsi que des vulnérabilités exploitées dans Arista VeloCloud Orchestrator. Le CERT-FR rappelle que ces bulletins ne remplacent pas l’analyse de l’ensemble des avis. Si vous utilisez l’un de ces produits (passerelle de messagerie, VPN, pare-feu, Windows) priorisez ces correctifs. Vérifiez ensuite l’absence de traces d’intrusion.

Source : https://cert.cyber.gouv.fr/actualite/CERTFR-2026-ACT-044/ / https://cert.cyber.gouv.fr/actualite/CERTFR-2026-ACT-045/

Cour des comptes : l’État appelé à migrer sa bureautique vers le logiciel libre en trois à quatre ans

Dans un rapport rendu public le 22 octobre sur les outils bureautiques et collaboratifs de l’État, la Cour des comptes a passé au crible environ 860 000 postes de travail des administrations. Elle relève que Microsoft Office reste le standard dominant malgré une décennie de directives et que plus de la moitié d’une dépense d’environ 100 millions d’euros en 2025 revient à Microsoft. Elle recommande un plan de migration vers une solution libre en mode cloud (hébergée par l’État ou qualifiée SecNumCloud) sur trois à quatre ans au plus, pour une dépense évitée pouvant atteindre 130 millions d’euros par an. Le rapport exclut les collectivités, les opérateurs et les hôpitaux. Maire-info rappelle toutefois que la dépendance commerciale ne résout pas à elle seule la cybersécurité : la faille du logiciel libre PHP vient d’en faire la démonstration.

Source : https://www.solutions-numeriques.com / https://www.maire-info.com

Événements

European Cybersecurity Challenge 2026 : la Suède l’emporte à Bochum

Du 12 au 16 octobre, des équipes nationales de jeunes talents de 14 à 25 ans se sont affrontées à Bochum (Allemagne) lors du championnat d’Europe de cybersécurité organisé avec le soutien de l’ENISA. La Suède s’impose devant la Finlande et l’Autriche, parmi 35 équipes de pays de l’UE, de l’AELE ou candidats et 7 équipes invitées. Les épreuves combinaient des défis de type CTF (web, cryptographie, rétro-ingénierie), de l’attaque-défense et un nouveau format hors ligne appelé « CTF Unplugged ». Les sources consultées ne donnent pas le classement de la Team France qui défendait sa 5e place de 2025. La prochaine édition aura lieu au Danemark.

Source : https://www.enisa.europa.eu/news/sweden-sweeps-the-winning-title-of-the-european-cybersecurity-challenge

Journée RGPD de la CNIL à Poitiers, le 1er décembre : une session dédiée au risque cyber

La CNIL organise le 1er décembre 2026 une Journée RGPD gratuite à Poitiers en présentiel avec l’AFCDP et la Ville de Poitiers. La première session porte sur la gestion du risque cyber par les acteurs publics et privés, avec un point d’actualité de la déléguée régionale de l’ANSSI et le retour d’expérience d’une cyberattaque par la Ville et la Communauté urbaine de Poitiers. Au programme aussi : la préparation d’un contrôle de la CNIL, l’articulation entre le RGPD et le règlement européen sur l’IA et l’éducation au numérique. Les inscriptions sont complètes mais une liste d’attente est possible par courriel auprès de la CNIL. Aucune rediffusion n’est prévue : inscrivez-vous sur liste d’attente si le sujet vous concerne.

Source : https://www.cnil.fr/fr/journee-rgpd-2026-poitiers