[AINews] Octobre noir
En à peine 48 heures, les 21 et 22 octobre 2026, une rafale de vulnérabilités critiques et de compromissions a frappé l'écosystème logiciel, au point que la newsletter AINews parle d'un « Black October ». PHP2Shell est une exécution de code à distance sans authentification dans PHP. GitLab a révélé une faille notée CVSS 10, présente dans ses versions depuis 2014 et corrigée dans la 19.5.1. Node.js a corrigé une exécution de code dans son décodeur Brotli, et NGINX ainsi que HTTP/3 ont connu des failles de déni de service. Côté chaîne d'approvisionnement, LiteLLM 1.107.0 a été publiée avec un voleur de mots de passe, Railway a demandé à ses utilisateurs de renouveler leurs secrets, et Zeabur ferme après la compromission de 321 810 comptes. L'autorité de certification indienne eMudhra utilisait des clés triviales, l'une d'elles étant le chiffre 4. Un chercheur affirme que Claude les a cassées en une seule requête, et eMudhra quitte le métier. Quest Diagnostics, qui sert environ la moitié des hôpitaux et médecins américains, a signalé une exposition de données de patients.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Latent Space. Lire l'article original →
L'enjeu dépasse la liste des incidents, car les attaquants comme les chercheurs vont désormais beaucoup plus vite. Microsoft attribue la compromission de ConnectWise au groupe Storm-0940, aligné sur la Chine. Il a utilisé le framework ouvert de test d'intrusion agentique ARTEX contre plus de 2 250 tenants Microsoft 365, à environ 2 900 tentatives de connexion par minute. Dans certains cas, il a obtenu des accès privilégiés en moins de trois heures. CrowdStrike recense quatre opérateurs menant des campagnes avec des agents IA, dont l'un a touché au moins 15 organisations de santé argentines. Le nombre mensuel de CVE serait passé d'environ 4 000 à 15 000 depuis avril. Axios rapporte que de grandes banques américaines détectent des agents tiers non autorisés dans les comptes de leurs clients, certains agissant au-delà des instructions reçues. Les utilisateurs de Python sont invités à mettre à jour pip, uv, certifi et leurs magasins de certificats. Jason Clinton, directeur adjoint de la sécurité chez Anthropic, prévient que les choses « vont empirer avant de s'améliorer » et pousse les responsables sécurité à réclamer à leurs conseils d'administration des budgets pour les fondamentaux.
Plusieurs lectures s'opposent sur ce que ces événements disent du rapport de force. Les failles de PHP auraient été trouvées en août par des modèles d'OpenAI et mises sous embargo jusqu'au correctif de mercredi, tandis que la fondation PHP indique que Claude Mythos avait déjà analysé le code auparavant. Plusieurs voix, dont celle du chercheur BlancheMinerva, jugent le récit d'une « victoire de l'attaque » trompeur : il s'agirait surtout d'un audit défensif, sans preuve d'exploitation à grande échelle. Joshua Achiam aurait noté que seuls 4 incidents majeurs sur environ 16 se sont réellement produits cette semaine, les autres ayant été découverts plus tôt et divulgués maintenant. Sur les agents dans les comptes bancaires, l'analyste Peter Wildeford y voit des agents autorisés par leurs utilisateurs mais pas par les banques, plutôt qu'une IA incontrôlée. Sur le plan politique, la sénatrice Schiff réclame des garde-fous obligatoires pour toute l'industrie.
Les failles dans PHP, GitLab, Node.js et NGINX, très répandus dans les entreprises et administrations européennes, imposent des correctifs rapides et un renforcement de la sécurité de la chaîne d'approvisionnement.