RCE sans patch sur LMCache 🚨, le patron de MonsterCloud inculpé ⚖️, l'ANSSI clarifie NIS 2 🇫🇷

Bonjour, voici ta veille Cybere du 8 octobre 2026 !

Une faille RCE critique et non corrigée exposant les briques d'IA basées sur LMCache, la mise en examen retentissante du dirigeant d'une société de réponse aux ransomwares accusé de tromperie, et les précisions de l'ANSSI sur l'application de NIS 2 et l'échéance de 2028 : l'actualité du jour met en lumière les faiblesses techniques des environnements d'inférence tout comme les dérives morales du marché de la remédiation.

Retrouve les trois articles à la une du jour :

• Alerte sur LMCache : la CVE-2026-105192 (CVSS 9.8) permet l'exécution de code à distance sans authentification sur les serveurs d'IA
• Le patron de MonsterCloud inculpé aux États-Unis pour avoir secrètement payé les hackers tout en facturant des prix forts à ses victimes
• NIS 2 en France : l'ANSSI s'oppose à la surtransposition du texte et vise une conformité globale pour les organisations d'ici fin 2028

Une faille critique non corrigée expose les serveurs LMCache

JFrog a divulgué le 7 octobre la CVE-2026-105192 (CVSS 9.8), une faille d'exécution de code à distance sans authentification dans LMCache, logiciel open source qui accélère des serveurs LLM comme vLLM. Elle touche les versions 0.3.9 à 0.5.5 et les versions candidates 0.5.6, sans correctif disponible.

La faille se situe dans le mode multiprocess, où le cache fonctionne en serveur autonome joint par les workers via ZeroMQ. Un seul message réseau suffit à lancer des commandes avec les droits du processus LMCache. L'attaque exige toutefois que l'opérateur ait configuré une adresse routable, le serveur n'écoutant par défaut que sur localhost.

Points d'attention

• Le serveur désérialise un type de message avec pickle pendant la lecture des arguments, avant toute vérification du type, sur une socket ZeroMQ dépourvue d'authentification.
• Sur les images de conteneur officielles, le processus tourne en root selon JFrog, et l'exemple Kubernetes de LMCache écoute sur toutes les interfaces réseau.
• Confier une socket non authentifiée à pickle rappelle ShadowMQ, relevé en novembre 2025 dans d'autres frameworks d'inférence, sans qu'une origine commune soit établie.

→ Lire la source

Le patron de MonsterCloud est inculpé de fraude aux victimes

Zohar Pinhasi, 50 ans, propriétaire de la société de remédiation MonsterCloud, a été inculpé par un grand jury fédéral du district est de New York le 23 septembre. Il est accusé d'avoir payé en secret des attaquants de ransomware pour obtenir des clés de déchiffrement, tout en vantant une technologie propriétaire.

Selon l'acte d'accusation, le schéma a duré de juin 2018 à juin 2023 et a facilité plus de 8 millions de dollars de rançons. Des centaines d'entreprises américaines et canadiennes ont été facturées plus de 19 millions de dollars. Pinhasi a plaidé non coupable et encourt 20 ans de prison.

Points d'attention

• Dans un cas cité, Pinhasi aurait versé environ 8 200 dollars à un gang puis facturé environ 150 000 dollars à la victime.
• Certains contrats ne prévoyaient de contacter les attaquants qu'en l'absence d'autre moyen de déchiffrement, mais selon les procureurs, c'était généralement la première étape.
• En 2019, le chercheur Fabian Wosar a indiqué à ProPublica que des offres de paiement anonymes remontaient à MonsterCloud et Proven Data. Pinhasi contestait alors.

→ Lire la source

L'ANSSI écarte toute surtransposition de NIS 2

Vincent Strubel, directeur général de l'ANSSI, a appelé devant la commission spéciale de l'Assemblée nationale à ne pas « surtransposer » NIS 2, avant de revenir sur le sujet aux Assises de la sécurité. Le projet de loi a été retiré de l'ordre du jour la veille des débats prévus le 7 octobre, avec report sine die.

Selon l'ANSSI, le référentiel ReCyF publié en mars sert de socle de conformité, et une échéance à fin 2028 est désormais envisagée pour toutes les entités. L'agence s'oppose à l'intégration en bloc des éditeurs voulue par la commission spéciale, qui ne contraindrait que ceux implantés en France. Le CRA s'appliquera le 11 décembre 2027.

Points d'attention

• La feuille de route pour la sécurité de l'État, publiée en avril, impose aux ministères sept actions avant le 31 décembre 2026, dont le MFA pour les administrateurs et des EDR ou XDR sur tous les postes et serveurs.
• La généralisation de l'authentification forte concerne des milliers de services numériques, souvent externalisés et soumis aux marchés publics, et la DGFiP doit composer avec 90 000 agents et des centaines de milliers de partenaires externes.
• Avec 670 ETP, l'ANSSI dispose de moyens bien inférieurs à ceux du BSI allemand, qui compte entre 1800 et 2000 personnes pour les mêmes missions, selon Vincent Strubel.

→ Lire la source

Autres actus importantes

• Des pirates détournent des noms de domaine de premier niveau et créent de faux certificats de sécurité pour Google et d'autres organisations
• Vulnérabilités dans les bibliothèques Java : IBM et Red Hat corrigent plus de 400 failles jusque-là inconnues
• Supply chain open source : corriger devient le vrai défi
• Identité, réservations, numéro de chambre… une faille dans ce logiciel hôtelier français expose les clients de 1 500 établissements

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere