24 pare-feu compromis via PHP2Shell et Fragnesia 🚨, Fuite de données Engie 🇫🇷, Modèles Hugging Face détournent des GPU ⛏️

Bonjour, voici ta veille Cybere du 30 octobre 2026 !

Un chaînage redoutable entre PHP2Shell et la faille Fragnesia permet d'obtenir des accès root sur des pare-feu d'entreprise. Chez Engie, une intrusion ciblant l'outil d'un partenaire commercial expose les données personnelles et contractuelles de clients français. Enfin, des modèles piégés sur Hugging Face exploitent une option de chargement pour transformer des serveurs GPU en mineurs de cryptomonnaie.

Retrouve les trois articles à la une du jour :

• Attaque chaînée : PHP2Shell et Fragnesia permettent la prise de contrôle root de 24 pare-feu d'entreprise
• Fuite de données Engie : l'outil d'un partenaire commercial est compromis, exposant les identifiants et contrats de clients
• Piège sur Hugging Face : 31 dépôts malveillants utilisent le code à distance pour infecter des serveurs GPU

Une chaîne d'attaque PHP2Shell et Fragnesia compromet 24 pare-feu

La CISA a ajouté la CVE-2026-46300, baptisée Fragnesia, à son catalogue KEV, après celles de PHP2Shell (CVE-2026-109618 et CVE-2026-109619) le 26 octobre. Selon Dream Security, ces failles chaînées ont permis de compromettre 24 pare-feu sur 240 ciblés, avec des permissions root.

PHP2Shell, corrigée le 21 octobre dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, permet une exécution de code à distance sans authentification. Fragnesia, faille locale du noyau Linux, donne ensuite le compte root. D'après Dream Security, les attaquants ont pivoté depuis le serveur de gestion vers l'Active Directory.

Points d'attention

• Fragnesia écrase /etc/pam.d/su dans le cache de pages pour que su root fonctionne sans mot de passe, l'exploitation complète prenant moins de 15 minutes.
• Dream n'attribue l'opération à aucun groupe, mais l'usage de FOFA et des modèles DeepSeek et Kimi oriente vers un acteur lié à la Chine.
• L'exploit vise le serveur appweb sous /var/appweb, ce qui évoque PAN-OS, hypothèse que ni Dream ni Palo Alto Networks n'ont confirmée.

→ Lire la source

Engie signale des accès non autorisés à un outil partenaire

Engie a alerté certains de ses clients français après avoir détecté des accès non autorisés à un outil utilisé par ses partenaires commerciaux pour prospecter et commercialiser ses offres d'électricité et de gaz. Révélé fin octobre 2026, l'incident porte sur des données personnelles et des références contractuelles.

Selon les informations rapportées par L'Usine Digitale, les données exposées comprennent noms, prénoms, adresses postales et électroniques, numéros de téléphone, identifiants clients et numéros de contrat, ainsi que les références PDL et PCE. Engie affirme que son système d'information interne n'a pas été compromis et qu'aucune donnée bancaire n'est concernée. Le groupe indique avoir interrompu les accès.

Points d'attention

• Ni le nombre de clients concernés ni l'identité du partenaire dont l'outil a été compromis n'ont été précisés, l'ampleur réelle reste donc inconnue.
• Des références contractuelles exactes permettraient à des fraudeurs de se faire passer pour des conseillers ou des techniciens d'Engie afin d'obtenir des informations supplémentaires.
• Les circonstances de l'intrusion, l'identité des attaquants et le volume de données consultées n'ont pas été détaillés publiquement à ce jour.

→ Lire la source

Des modèles Hugging Face piégés détournent des GPU

Des chercheurs de Pluto Security ont repéré 31 dépôts malveillants sur sept comptes Hugging Face, publiés en deux vagues depuis septembre. Déguisés en checkpoints Qwen2, ils ciblent des serveurs d'inférence GPU comme Xinference et GPUStack pour y installer un mineur de cryptomonnaie, et la campagne est réapparue quelques jours après sa suppression.

L'option trust_remote_code exécute le code Python du modèle dès son chargement. Le plus téléchargé, MENXIANGYU/qwen2-tiny, cumule 28 412 téléchargements, un chiffre qui ne prouve pas autant d'infections. Une copie quasi identique, htt0118/qwen2-tiny, restait en ligne selon BleepingComputer. Le portefeuille de l'opérateur a reçu environ 5 000 dollars en PRL, d'après Pluto.

Points d'attention

• Les scans de Hugging Face et de ses partenaires vérifient les malwares connus et les formats risqués, pas le comportement du code : le modèle phare est passé propre.
• Pluto attribue la campagne à un opérateur sinophone, d'après des commentaires en chinois simplifié, des serveurs de commande sur Alibaba Cloud et une activité nocturne en Chine.
• Séparément, Air Security signale SolanaUpdateTools/solana-starter-kit, un faux kit GitHub conçu pour pousser des agents de codage IA à installer NetSupport Manager.

→ Lire la source

Autres actus importantes

• Cisco corrige une faille VPN critiques des ASA et FTD exploitée activement pour paralyser les pare-feu
• Des pirates liés à la Chine ont exploité une vulnérabilité zero day de VMware ESX pour réduire la traçabilité des audits
• NAS Synology : une vague d'attaques du ransomware C3RB3R, voici comment vous protéger
• Japan Airlines victime d'une fuite de données chez un prestataire exposant les informations passagers

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere