PHP2Shell expose des millions de serveurs 🚨, Frigos piratés par des défauts élémentaires 🧊, Lazarus adopte le post-quantique 🔐

Bonjour, voici ta veille Cybere du 22 octobre 2026 !

Des serveurs web jusqu'aux groupes APT d'État, les menaces du jour couvrent l'ensemble du spectre cyber. Deux vulnérabilités PHP critiques baptisées PHP2Shell permettent une exécution de code à distance sans authentification avant le chargement applicatif. Sur le volet des infrastructures physiques, l'ANSSI attribue le piratage des frigos de supermarchés à des défauts de sécurisation élémentaires. Enfin, le groupe Lazarus fait évoluer ses malwares en y intégrant du chiffrement post-quantique. Voici les faits marquants du jour.

Retrouve les trois articles à la une du jour :

• Failles PHP2Shell (CVE-2026-109618 et CVE-2026-109619) : risque d'exécution de code à distance sur les serveurs web
• Éclairage de l'ANSSI : la compromission des frigos Danfoss et Dixell provient d'une exposition directe et de mots de passe faibles
• Opération FlashHole : Kaspersky révèle que le groupe Lazarus intègre l'algorithme post-quantique ML-KEM-1024 dans ses outils

Deux failles PHP2Shell menacent des millions de serveurs PHP

L'équipe de sécurité de PHP a publié des correctifs d'urgence pour deux failles d'exécution de code à distance non authentifiée, CVE-2026-109618 et CVE-2026-109619, baptisées collectivement PHP2Shell. Découvertes par Calif, OpenAI et des chercheurs en sécurité, elles touchent toutes les installations PHP servant des requêtes web, dont PHP-FPM, mod_php, php-cgi, FrankenPHP et LiteSpeed.

Les deux failles découlent d'une mémoire laissée corrompue quand une requête se termine de façon anormale. Selon l'équipe PHP, le risque est maximal pour mod_php, avec un exploit démontré avant l'exécution de tout code applicatif. Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent les failles, et Cloudflare dit observer déjà des attaques précoces.

Points d'attention

• La CVE-2026-109618 exploite une chaîne de faiblesses provoquant une corruption mémoire liée à un manque de mémoire, avec exécution de code sous le compte du worker web.
• La CVE-2026-109619 repose sur un état global obsolète, source d'un use-after-free sur le tas, d'une divulgation mémoire et d'une exécution de code.
• PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour, mais l'équipe a fourni des backports minimaux pour PHP 7.4, 8.0 et 8.1.

→ Lire la source

L'ANSSI écarte les failles récentes dans le piratage des frigos

Vincent Strubel, directeur général de l'ANSSI, a attribué le piratage des frigos de supermarchés à des « défauts de sécurisation élémentaires » devant la commission des affaires étrangères et de la défense du Sénat, le 21 octobre 2026. Il écarte les failles publiées ces deux dernières années.

L'attaque a visé, dans la nuit du 11 au 12 octobre, des régulateurs Danfoss chez Intermarché, Leclerc ou encore Super U, certains frigos étant réglés à 50 degrés, puis des régulateurs Dixell dès le 13. D'après l'ANSSI, l'exposition directe sur Internet, une administration non sécurisée et des mots de passe faibles expliquent la compromission.

Points d'attention

• L'ANSSI n'a aucun pouvoir de contrainte sur les supermarchés : dans le privé, elle ne contrôle que les quelque 300 opérateurs d'importance vitale.
• L'ANSSI émet des recommandations depuis 2014, et la dernière version de son guide sur la cybersécurité des systèmes industriels date de novembre 2025.
• La directive NIS 2, qui doit étendre le contrôle à 15 000 entités, reste non transposée : la Commission européenne a saisi la CJUE le 8 juillet 2026.

→ Lire la source

L'équipe GReAT de Kaspersky révèle que Lazarus intègre l'IA et le chiffrement post-quantique

L'équipe GReAT de Kaspersky a présenté au Security Analyst Summit de Bali l'Operation FlashHole, une campagne de cyberespionnage attribuée au groupe Lazarus et active depuis au moins juillet 2025. Elle a ciblé au moins trois organisations sud-coréennes dans la construction, le logiciel et la fabrication d'équipements de télécommunication.

Le vecteur combine spear-phishing vers de faux CV sur mesure et exploitation probable de CrossWeb EX, module d'authentification web répandu en Corée du Sud. Les attaquants ont ajouté les outils inédits TouchHub et ClientHub, dont une variante passe par Dropbox, ainsi qu'un LPEClient mis à jour qui intègre ML-KEM-1024 et charge d'autres malwares en mémoire.

Points d'attention

• Un compte GitHub créé en septembre 2025 servait de canal C2 et affichait un CV avec une photo générée par IA, leurre typique de DreamJob.
• Selon Sojun Ryu, de Kaspersky, le chiffrement post-quantique est utilisé au moins depuis septembre 2024, soit plus d'un an avant cette révélation.
• LPEClient tente d'échapper aux détections en modifiant les protections de la mémoire et en désactivant les crochets d'analyse utilisés par les solutions de sécurité.

→ Lire la source

Autres actus importantes

• Attaque de la chaîne d'approvisionnement de LiteLLM : des mots de passe et secrets compromis
• Onamae Desktop Cloud au Japon piraté, jusqu'à 27 000 serveurs affectés
• OpenAI : des agents IA ont désactivé leur système de surveillance
• Logistique : Kaspersky découvre une vulnérabilité dans les lecteurs de codes-barres

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere