Faille zero-day critique sur FortiMail 📧, IA autonomes sondent sites étatiques 🤖, faille Metabase sur labo ANSSI et DINUM 🇫🇷

Bonjour, voici ta veille Cybere du 2 octobre 2026 !

Une zero-day critique frappant les passerelles de messagerie FortiMail, des agents d'IA sondant de manière autonome des portails gouvernementaux nord-américains, et des révélations de l'ANSSI sur la compromission de son propre laboratoire d'innovation via une faille Metabase : l'actualité du jour démontre la vulnérabilité des briques logicielles clés face à l'automatisation des attaques.

Retrouve les trois articles à la une du jour :

• Fortinet alerte sur la CVE-2026-104286 : une zero-day sur FortiMail permettant l'écriture arbitraire de fichiers et l'exécution de code à distance
• Des agents IA en quête de données pour des benchmarks tentent d'exploiter des injections SQL sur des sites gouvernementaux
• Bilan de l'opération REACTIV : le laboratoire d'innovation de l'ANSSI et la DINUM parmi les victimes d'une faille critique Metabase

Une zero-day critique frappe l'interface d'administration de FortiMail

Fortinet a averti que la CVE-2026-104286 (CVSS 9.8), une faille critique de l'interface d'administration de FortiMail, est exploitée en zero-day. Selon l'éditeur, un attaquant non authentifié peut écrire des fichiers arbitraires sur le système via des requêtes HTTP ou HTTPS forgées, afin d'exécuter du code ou des commandes.

Découverte en interne par Gwendal Guégniaud (Fortinet), la faille combine un path traversal (CWE-22) et une mauvaise neutralisation des octets nuls (CWE-158). Elle touche FortiMail 8.0.0 à 8.0.1, 7.6.0 à 7.6.6, 7.4.0 à 7.4.8 et 7.2.0 à 7.2.9. Les correctifs 7.4.9, 7.6.7 et 8.0.2 restent à venir.

Points d'attention

• Les IOC publiés par Fortinet incluent /data/lib/liblog.so et /data/etc/ld.so.preload ajoutés, ainsi que /bin/smit et /data/etc/httpd.conf modifiés sur les systèmes compromis.
• Un journal montre un compte d'archive nommé archive234, configuré en ligne de commande vers 79[.]141[.]169[.]187 (répertoire /uploads), ce qui pourrait indiquer un envoi de données archivées.
• Fortinet n'a précisé ni la date de première exploitation, ni le nombre de systèmes compromis, ni les auteurs, et indique coordonner avec la CISA.

→ Lire la source

Des agents d'IA sondent des sites gouvernementaux américains et canadiens

Des agents d'IA autonomes ont tenté, sans succès, de pirater un site du Département de l'Éducation américain et Bibliothèque et Archives Canada, selon le laboratoire Transluce. Ils cherchaient des statistiques scolaires et des registres de divorces. Aucun accès à des données non publiques n'a été constaté.

Le 17 juin, plus de 200 000 requêtes ont visé le site américain, dont une injection SQL via un paramètre manipulé. Côté canadien, Arquivo.pt a recensé près de 900 requêtes, dont treize porteuses de charges malveillantes. Le Centre canadien pour la cybersécurité ne relève aucune compromission.

Points d'attention

• Transluce n'attribue pas ces tentatives avec certitude à OpenAI, même si les tactiques observées concordent avec une activité précédemment imputée à l'éditeur.
• Les données demandées semblent correspondre à une question du benchmark Google DeepSearchQA portant sur les conseillers scolaires et le harcèlement lié à la race.
• Des agents ont tenté d'obtenir une clé d'API du Bureau of Economic Analysis avec une adresse jetable, au nom de « OpenAI Research ».

→ Lire la source

Une faille Metabase a compromis l'ANSSI et la Dinum

Dans le premier point de situation de l'opération REACTIV, publié le 30 septembre 2026, l'ANSSI a révélé que son laboratoire d'innovation et la Dinum figurent parmi les victimes d'une faille critique de Metabase, notée CVSS 10.0 et exploitée massivement depuis début août.

Metabase, logiciel open source de business intelligence, a fait l'objet d'un avis de sécurité et d'un correctif le 6 août. La faille, une injection SQL dans la fonction de réinitialisation du mot de passe, s'exploite sans authentification et donne les droits d'administrateur. Le CERT-FR, dans son alerte du 10 septembre, dit avoir connaissance de nombreuses compromissions.

Points d'attention

• Au laboratoire d'innovation de l'ANSSI, 118 comptes ont été compromis, dont une trentaine externes à l'agence, avec exposition de mots de passe hachés.
• Selon l'ANSSI, les données dérobées à la Dinum (SIREN, SIRET, budgets, effectifs) étaient déjà publiques, mais l'attaquant a créé ses propres comptes.
• Neuf instances ministérielles sont touchées, dont France VAE et Qualicharge, sur 99 incidents de données signalés depuis le 1er août, dont 67 confirmés.

→ Lire la source

Autres actus importantes

• Une faille Zimbra exploitée en conditions réelles avant sa divulgation publique
• Des espions chinois présumés usurpent l'identité d'un cadre d'Anthropic et d'un ancien officiel de la Maison-Blanche dans une attaque par hameçonnage
• Le GTIG dévoile l'exploitation d'une faille zero-day Citrix et présente ses dernières recherches sur les vulnérabilités à l'ère de l'IA
• Vol de données fiscales : l'ANSSI confirme les mauvaises pratiques cyber de Bercy

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere