Forte hausse LLM-jacking en 2026 🤖, CERT-FR épingle le secteur santé 🇫🇷, zero-day sur Citrix NetScaler 🛠️

Veille
• 3 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 5 octobre 2026 !

La recrudescence spectaculaire des attaques de type LLM-jacking pour détourner des comptes d'IA et des ressources cloud, un rappel à l'ordre cinglant du CERT-FR sur la lenteur inadmissible des correctifs chez les éditeurs de santé, et une nouvelle faille zero-day corrigée en urgence sur Citrix NetScaler : l'actualité du jour souligne les risques d'exploitation opportuniste face à des fenêtres de remédiation trop longues.

Retrouve les trois articles à la une du jour :

  • Google signale une explosion du LLM-jacking : revente à prix cassés d'accès IA et piratage de serveurs cloud pour le calcul
  • Rapport CERT-FR / CERT Santé : des failles critiques laissées non corrigées pendant plus d'un an chez des éditeurs du secteur médical
  • Citrix colmate la CVE-2026-88779 (CVSS 8.7), un dépassement de mémoire tampon exploité en zero-day sur NetScaler ADC et Gateway

Google observe une forte hausse du LLM-jacking en 2026

John Hultquist, analyste en chef du Google Threat Intelligence Group, a alerté le 26 septembre sur la recrudescence du LLM-jacking, dans un entretien au Financial Times. Il observe une forte hausse en 2026 de ces accès illicites à l'IA, convoités par des cybercriminels isolés comme par des groupes APT.

Le premier scénario consiste à revendre sur le dark web des identifiants volés d'abonnements comme Claude Max ou ChatGPT Pro, avec des rabais allant jusqu'à 97 %. Le second vise des serveurs cloud d'entreprises compromis pour y installer des modèles d'IA, la victime réglant la facture de calcul.

Points d'attention

  • Certains vendeurs promettent un « accès garanti » : de nouveaux identifiants sont fournis gratuitement si le premier compte est fermé par le laboratoire d'IA.
  • Un pic soudain de consommation de calcul peut passer pour la conséquence d'un déploiement récent, car les entreprises découvrent encore l'ampleur de leurs besoins.
  • Le second scénario reprend la logique du cryptojacking. Google l'a observé chez des groupes criminels et chez un groupe chinois de cyberespionnage actif, sans autre précision.

→ Lire la source

Le CERT-FR épingle la lenteur des correctifs dans la santé

Le CERT Santé et le CERT-FR ont publié un retour d'expérience sur des vulnérabilités critiques, facilement exploitables depuis Internet, dans des solutions de santé. Pour quatre éditeurs importants, le traitement dure depuis plus d'un an, et un dernier correctif de criticité moyenne est planifié cinq ans après son signalement.

Le rapport recense des secrets exposés (répertoire .git accessible, mots de passe de télémaintenance par défaut), des injections XSS et SQLi, un contrôle d'accès déficient et des instances VNC sans authentification. D'après un sondage de l'Agence du Numérique en Santé, 74 % des répondants ont affronté des éditeurs qui tardent ou refusent de corriger.

Points d'attention

  • Les correctifs sont souvent intégrés à des évolutions fonctionnelles parfois payantes, ce qui pousse certains clients à retarder le déploiement ou à y renoncer.
  • Les attaquants compromettent d'abord un compte de professionnel de santé par hameçonnage, puis élargissent leur périmètre via le contrôle d'accès déficient, de façon difficilement détectable.
  • Le Cyber Resilience Act oblige depuis le 11 septembre 2026 à déclarer les vulnérabilités exploitées, sous peine d'une amende pouvant atteindre 15 M€.

→ Lire la source

Citrix corrige une zero-day NetScaler exploitée par des attaquants

Citrix a publié des mises à jour d'urgence pour la CVE-2026-88779 (CVSS 8.7), une faille de dépassement de mémoire tampon exploitée en zero-day dans NetScaler ADC et NetScaler Gateway. Elle touche les appliances configurées avec l'authentification SAML et provoque, selon Citrix, des dénis de service lors d'attaques ciblées.

Les versions 14.1-73.41 et 13.1-64.28 corrigent la faille, tandis que les déploiements FIPS et NDcPP passent par 14.1-73.41 FIPS ou 13.1-37.282. Citrix propose aussi des Global Deny Lists bloquant des adresses IP malveillantes. La CISA a ajouté la CVE à son catalogue KEV, avec une échéance au 7 octobre pour les agences FCEB.

Points d'attention

  • Un administrateur a observé, juste avant trois plantages confirmés de nsaaad sur une appliance, des noms d'utilisateur forgés contenant des commandes shell visant à télécharger un payload depuis 213.209.159[.]55 et à l'enregistrer sous /v, sans que leur exécution soit confirmée.
  • Kevin Beaumont a vu un honeypot corrigé exécuter un binaire téléchargé, rappelant la CVE-2025-6543, d'abord décrite comme un déni de service avant une exécution de code.
  • Selon des administrateurs sur Reddit, des appliances 14.1-73.37 redémarraient en boucle, le processus Pitboss forçant un redémarrage après des plantages répétés de nsaaad.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere