Un agent IA pirate le DIVD 🤖, faille Metabase chez sous-traitant de Carrefour 🛒, Cloudflare prépare sa CA post-quantique 🔐

Bonjour, voici ta veille Cybere du 1er octobre 2026 !

Un agent IA autonome exploitant deux zero-days pour compromettre le réseau du DIVD, une faille Metabase touchant la plateforme Shipup et exposant les clients de Carrefour, ainsi que le lancement d'une Autorité de Certification post-quantique par Cloudflare : l'actualité du jour met en relief la rapidité d'exécution des attaques automatisées face aux réarchitectures de fond de la sécurité du web.

Retrouve les trois articles à la une du jour :

• Le DIVD victime d'une intrusion menée par un agent IA via deux failles zero-day chaînées dans l'outil Zammad
• Une vulnérabilité Metabase chez le prestataire Shipup expose les coordonnées de clients de Carrefour et de plusieurs enseignes
• Cloudflare prépare le lancement d'une Autorité de Certification gratuite et post-quantique basée sur les certificats d'arbre de Merkle

Un agent IA compromet le réseau du DIVD via Zammad

Le Dutch Institute for Vulnerability Disclosure (DIVD) a indiqué que la compromission de son réseau reposait sur l'enchaînement de deux zero-days dans le système de ticketing open source Zammad, identifiés comme CVE-2026-102489 et CVE-2026-102490. L'attaque était pilotée par un agent IA autonome.

Selon le DIVD, les deux failles permettent le détournement de session, l'exécution de code à distance et l'élévation de privilèges de l'utilisateur Zammad vers root. L'attaquant a ensuite accédé à d'autres services et exfiltré des données en quelques secondes. La segmentation du réseau a limité sa progression. L'organisation recommande la version 7 ou la mise hors ligne des instances.

Points d'attention

• L'agent IA a laissé des explications claires de chacune de ses décisions, ce qui a permis au DIVD de reconstituer l'incident malgré une attaque jugée « bruyante et très désordonnée ».
• Les deux failles ont été découvertes par le DIVD avec Merlon Security, qui ont notifié Zammad et alertent désormais les utilisateurs d'instances vulnérables.
• Zammad revendique plus de 2 000 clients et 55 000 utilisateurs, dont Amnesty International et NextCloud, et l'enquête du DIVD reste en cours.

→ Lire la source

Une faille Metabase expose des données clients de Carrefour

Carrefour a informé certains clients qu'un incident chez l'un de ses prestataires a exposé leurs noms, prénoms, adresses e-mail et numéros de téléphone. Selon FrenchBreaches et Cyberattaque.org, il s'agit de Shipup, fournisseur français de suivi de livraison utilisé par plus de 700 marques, déjà lié aux cas Micromania, Easypara et Printemps.

Selon les informations disponibles, la compromission de Shipup résulte de l'exploitation d'une faille critique de Metabase, plateforme open source d'analyse de données, qui permettait à un attaquant distant d'accéder à des instances sans authentification. Carrefour assure qu'aucune donnée bancaire ni aucun mot de passe n'est concerné et qu'aucun de ses systèmes n'a été touché.

Points d'attention

• Carrefour ne nomme pas son prestataire: le lien avec Shipup repose sur l'attribution de spécialistes de la veille cyber, pas sur une confirmation du distributeur.
• Un seul fournisseur SaaS partagé par plusieurs centaines d'entreprises suffit à exposer simultanément les données de nombreuses marques, sans qu'aucune d'elles ne soit directement attaquée.
• Le trio nom, adresse e-mail et numéro de téléphone permet de forger des messages de phishing crédibles, en se faisant passer pour l'enseigne ou pour un transporteur.

→ Lire la source

Cloudflare prépare une autorité de certification gratuite post-quantique

Cloudflare a soumis sa propre clé racine aux magasins de confiance de Chrome, Apple, Microsoft et Mozilla, en vue de devenir une autorité de certification publique gratuite. L'inscription pouvant durer plusieurs années, il a aussi racheté à GlobalSign une racine existant depuis 2012.

Le projet repose sur les Merkle Tree Certificates, en cours de spécification à l'IETF. Les certificats sont insérés par lots dans un arbre de Merkle dont seule la racine est signée. Cloudflare vise une admission début 2027 au programme post-quantique de Chrome, avec un fork de Boulder et le protocole ACME.

Points d'attention

• Un test sur la bêta de Chrome 146 a mesuré une négociation TLS 9 % plus rapide, gain surtout dû à l'élision des certificats intermédiaires.
• Le mode avec repère transmet les têtes d'arbre signées hors bande et écarte les signatures post-quantiques de la négociation TLS, mais exige des clients mis à jour.
• Selon Cloudflare, Let's Encrypt, qui émet près de 40 % des certificats TLS publics, représente un risque systémique faute de concurrent gratuit capable d'absorber la charge.

→ Lire la source

Autres actus importantes

• Cisco alerte sur l'exploitation d'une faille critique d'authentification dans SD-WAN Manager
• Des pirates présumément soutenus par un État exploitent une vulnérabilité zero-day NetScaler depuis début septembre (CVE-2026-88772)
• Alerte malveillante sur des mobiles de chercheurs ukrainiens incluant un kit d'exploitation iPhone
• Les hackers russes reviennent aux basiques du piratage et Microsoft rebaptise leur méthode

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere