Cyberattaque majeure au Crédit Mutuel Arkéa 🚨, Zero-day sur commutateurs Zyxel 🔌, Patchs critiques sur Node.js 🛠️

Veille

05 novembre 2026 • 3 minutes de lecture

Bonjour, voici ta veille Cybere du 5 novembre 2026 !

Le Crédit Mutuel Arkéa confirme avoir été ciblé par une cyberattaque massive ayant entraîné des opérations frauduleuses vers des plateformes crypto. De son côté, Zyxel publie un correctif en urgence pour colmater une faille zero-day activement exploitée sur près de 1 000 commutateurs réseau. Enfin, l'équipe Node.js prépare la sortie de patchs de sécurité critiques pour trois des principales branches de son environnement.

Retrouve les trois articles à la une du jour :

Fraude massive chez Arkéa : plus de 133 millions de dollars auraient été détournés de Fortuneo vers des portefeuilles crypto via des identités volées
Exploitation zero-day Zyxel (CVE-2026-107441) : une vulnérabilité dans l'interface web de gestion permet l'exécution de commandes sur les commutateurs GS1900
Alerte sécurité Node.js : annulation de vulnérabilités de gravité élevée avec publication de correctifs prévue le 11 novembre pour les branches 22, 24 et 26

Crédit Mutuel Arkéa confirme avoir subi des opérations frauduleuses

Le Crédit Mutuel Arkéa, maison mère de Fortuneo, a confirmé le 4 novembre 2026 une cyberattaque ayant permis « la réalisation d'opérations frauduleuses ». Selon ZachXBT, spécialiste du traçage sur blockchain, plus de 133 millions de dollars, soit environ 118 millions d'euros, auraient été détournés. La banque ne chiffre pas le préjudice.

D'après le journaliste Grégory Raymond, des virements émis depuis Fortuneo auraient visé les fonds propres de la banque. Ils auraient été envoyés vers des comptes crypto ouverts avec de fausses identités, via un réseau de mules. Selon Bitquery, 108,8 millions de dollars en USDC ont quitté des comptes Kraken, Crypto.com et OKX en 21 heures. Le groupe juge l'incident maîtrisé et sans conséquence financière pour ses clients.

Points d'attention

Selon Bitquery, 62,98 millions de dollars de stablecoins ont été échangés contre 27 553 ETH via UniswapX en quatre heures environ, sans aucun gel de la part de Circle.
Onze des quinze portefeuilles destinataires avaient déjà reçu des paiements de ces plateformes, le plus ancien dès mai, ce qui pourrait trahir une opération préparée de longue date.
Tether n'a gelé que 1,14 million d'USDT, et le groupe ne détaille ni le mode opératoire ni le montant exact, les 133 millions restant une estimation de ZachXBT.

→ Lire la source

Une zero-day a compromis 996 commutateurs Zyxel GS1900

Zyxel a publié le 22 octobre des mises à jour corrigeant la CVE-2026-107441, une zero-day d'écriture hors limites dans l'interface web de gestion de dix modèles de commutateurs GS1900. Selon GreyNoise, 996 appareils répartis dans 48 pays ont été compromis depuis le 17 août environ, afin de dérober configurations et identifiants.

Un attaquant non authentifié peut exécuter des commandes système au moyen de requêtes HTTP forgées. GreyNoise avait d'abord attribué les attaques à la CVE-2026-7273, corrigée le 16 juin, mais Binarly a établi que l'exploit visait une faille distincte. Zyxel l'a confirmée le 11 octobre et a publié son avis le 3 novembre.

Points d'attention

Le correctif de juin ajoutait des contrôles contre le débordement de tampon, mais les attaquants les contournaient en corrompant un compteur de paramètres avant sa validation.
Binarly a trouvé une archive exposée contenant un exploit Python obfusqué, issu de l'infrastructure Red Heron liée à la porte dérobée JITTERLY et au rootkit SIXZUT.
Il reste incertain si l'exploit a été conçu pour contourner les correctifs de la CVE-2026-7273 ou s'il exploite une faille connexe que ces derniers n'avaient pas traitée.

→ Lire la source

Node.js prépare des correctifs de gravité élevée pour trois branches

Le projet Node.js a annoncé, dans un bulletin du 3 novembre 2026, la publication de correctifs le 11 novembre pour plusieurs vulnérabilités, dont au moins une de gravité élevée. Les branches 22, 24 et 26 sont concernées. Le nombre exact de vulnérabilités, leurs identifiants CVE et les composants touchés restent confidentiels.

Cette annonce suit de trois semaines les correctifs du 21 octobre 2026 visant dix vulnérabilités. Parmi elles, la CVE-2026-111497 affectant le décodeur Brotli et pouvant provoquer une corruption de la mémoire, jusqu'à l'exécution de code. Le centre national de cybersécurité du NHS britannique a signalé des tentatives d'exploitation, et la CISA l'a ajoutée à son catalogue.

Points d'attention

Aucun lien technique n'a été établi entre la CVE-2026-111497 et les vulnérabilités de novembre, qui constituent une série distincte de celle d'octobre.
Les versions 26.13.0, 24.22.2 et 22.23.4, les plus récentes au 4 novembre, intègrent les correctifs d'octobre, mais pas ceux annoncés pour le 11 novembre.
Node.js 20 et les versions antérieures ne reçoivent plus de mises à jour de sécurité ordinaires, et npm audit, qui analyse principalement les dépendances du projet, ne suffit pas à détecter ou corriger les vulnérabilités du moteur Node.js.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere