Alerte Ivanti, record Microsoft et virage IA européen

0:00 Ouverture

1. Claire : Bonjour à toutes et à tous, nous sommes le mercredi 14 octobre 2026 et vous écoutez Le Brief DSI. Au sommaire : crise majeure sur Ivanti, avalanche de correctifs chez Microsoft et renoncement officiel de l Europe aux modèles d intelligence artificielle frontière.

0:16 01 · Vulnérabilités critiques zero-day exploitées sur les passerelles Ivanti Connect Secure

1. Claire : On commence par une alerte critique sur les accès distants. Ivanti et la CISA alertent sur des attaques en cours ciblant les passerelles Ivanti Connect Secure.
2. Thomas : Selon BleepingComputer et The Hacker News, Volexity a découvert une chaîne zero-day de trois failles. La principale, la CVE-2026-104935, permet le contournement d authentification et l exécution de code. Le groupe UTA0576 y associe une élévation de privilèges pour prendre le contrôle root de passerelles pourtant à jour.
3. Claire : Cet équipement, anciennement Pulse Secure, est central pour le télétravail. Quel est le mode opératoire des assaillants sur le terrain ?
4. Thomas : L attaque est très furtive. Volexity indique que l attaquant n installe aucun malware sur le disque, réinjecte son code en mémoire et altère les logs. L outil officiel Integrity Checker Tool est totalement aveugle. Les assaillants ont dérobé des identifiants Active Directory et mené des attaques par pulvérisation de mots de passe.
5. Claire : Et où en est l éditeur sur le plan des correctifs aujourd hui ?
6. Thomas : Ivanti a publié des correctifs d urgence pour deux failles, via les versions 22.8R2.5 et 25.1.3.0. Mais le correctif d élévation de privilèges ne sortira que dans plusieurs semaines. Shadowserver recense plus de cinq mille cinq cents passerelles encore exposées sur Internet.
7. Claire : Après les crises de 2024 et 2025 sur cet équipement, que doit faire un DSI ce matin face à cette menace active ?
8. Thomas : Voici ce que ça change pour un DSI. Le patch est indispensable mais insuffisant. L outil interne étant aveugle, menez des analyses en mémoire et surveillez les requêtes web anormales. En cas de suspicion, réinitialisez l équipement aux paramètres d usine et révoquez certificats, clés d API et mots de passe. Sous NIS 2 et DORA, toute violation confirmée impose une notification sous vingt-quatre heures.

• BleepingComputer — Ivanti warns of Connect Secure zero-day exploited in attacks
• The Hacker News — Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far
• SecurityWeek — Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN
• volexity.com — volexity.com
• cisa.gov — cisa.gov
• cyberscoop.com — cyberscoop.com
• itnews.com.au — itnews.com.au
• bleepingcomputer.com — bleepingcomputer.com
• tech-insider.org — tech-insider.org

1:59 02 · Patch Tuesday d'octobre 2026 : mise à jour record pour Microsoft

1. Claire : Au volet gouvernance et systèmes d information, le Patch Tuesday d octobre de Microsoft change complètement d échelle, Thomas.
2. Thomas : C est historique. Selon BleepingComputer, Microsoft corrige mille quatre cent onze vulnérabilités en une fois, dépassant toute l année 2020. On compte soixante-dix failles critiques et trois zero-day, dont la CVE-2026-96951 affectant le Shell Windows et Mark of the Web, activement exploitée.
3. Claire : Comment expliquer une telle explosion volumétrique du jour au lendemain ?
4. Thomas : Microsoft utilise désormais massivement l intelligence artificielle pour auditer son code source à grande échelle. Tenable et Rapid7 soulignent que cette automatisation reporte une charge immense sur les équipes de production. La publication a d ailleurs été retardée. Pour absorber ce volume, Microsoft introduit une approche par cohortes de risques afin de hiérarchiser les menaces.
5. Claire : Les tests unitaires devenant impossibles pour les équipes, quelle posture recommandes-tu aux DSI ?
6. Thomas : Ce que ça change pour un DSI, c est la fin du patch management manuel. Traitez en priorité la zero-day Shell Windows et SharePoint, puis déployez par anneaux automatisés. Attention : Windows 11 24H2 et Windows 10 Entreprise LTSB 2016 arrivent en fin de support ce mois-ci, imposant de renouveler vos parcs pour rester conformes à NIS 2.

• BleepingComputer — Windows 11 KB5127648 & KB5126653 cumulative updates released
• BleepingComputer — Microsoft releases Windows 10 KB5126657 extended security update
• BleepingComputer — Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days
• krebsonsecurity.com — krebsonsecurity.com
• csoonline.com — csoonline.com
• cyberdaily.au — cyberdaily.au
• cybersecuritynews.com — cybersecuritynews.com

3:12 03 · Europe’s leaders abandon the race for frontier AI

1. Claire : Toujours côté SI, selon Politico Europe, la Commission acte un virage majeur en abandonnant la course aux modèles géants d intelligence artificielle frontière.
2. Thomas : C est un tournant pragmatique. Face aux dizaines de milliards investis aux États-Unis et en Chine, Bruxelles renonce à un modèle de fondation concurrent. Dans la lignée du rapport Draghi, Ursula von der Leyen estime que l Europe doit se concentrer sur l usage et la productivité industrielle plutôt que sur les modèles sous-jacents.
3. Claire : Cette position fait-elle l unanimité parmi nos acteurs technologiques ?
4. Thomas : Non. Mistral AI avertit qu abandonner les modèles frontière risque de transférer la valeur hors d Europe, certains évoquant la dépendance passée au gaz russe. Pourtant, selon Eurostat, seulement une entreprise sur cinq utilise l IA en Europe, dont dix-sept pour cent des PME. Bruxelles veut donc concentrer ses efforts sur les cas d usage concrets dans la santé, les transports et l industrie.
5. Claire : Comment cette orientation nouvelle se traduit-elle dans la feuille de route d une DSI ?
6. Thomas : Ce que ça change pour un DSI, c est qu il ne faut pas attendre de modèle étatique européen. Investissez dans votre architecture de données, le RAG et les agents métiers spécialisés. La valeur réside dans vos données d entreprise. Adoptez des architectures agnostiques capables de basculer d un grand modèle à l autre sans dépendance envers un fournisseur unique.

• Politico Europe Tech — Europe’s leaders abandon the race for frontier AI
• sciencebusiness.net — sciencebusiness.net
• insights.economistenterprise.com — economistenterprise.com
• euroluminant.com — euroluminant.com
• phenomenalworld.org — phenomenalworld.org
• vertexaisearch.cloud.google.com — conference-board.org
• theonlyconstant.nl — theonlyconstant.nl
• sifted.eu — sifted.eu
• htec.com — htec.com

4:25 04 · Faille maximale d'exfiltration d'identifiants OAuth2 dans SAP Cloud SDK

1. Claire : Au bloc génie logiciel, on débute avec SAP et une alerte au score de criticité maximal.
2. Thomas : SAP corrige la vulnérabilité CVE-2026-89111, notée dix sur dix. Elle frappe le composant SAP Cloud SDK for Python, utilisé pour créer des extensions et agents d IA sur la plateforme BTP. C est une faille SSRF liée à la gestion des environnements partagés multi-locataires.
3. Claire : Comment un attaquant peut-il exploiter cette faille sans identifiants valides ?
4. Thomas : Selon The Hacker News, le kit insérait le sous-domaine client directement dans l URL de demande de jetons, sans validation. Un attaquant distant non authentifié peut forcer l envoi des secrets OAuth2 vers son propre serveur. Des versions intermédiaires ayant réintroduit la faille, il faut impérativement installer la version 0.55.1 pour être protégé.
5. Claire : Les secrets d interconnexion de l ERP étant exposés, quelles mesures faut-il prendre ?
6. Thomas : Ce que ça change pour un DSI, c est d inventorier d urgence vos connecteurs Python sur SAP BTP et de mettre à jour le SDK. À défaut, filtrez le paramètre de sous-domaine via une liste d autorisation stricte. Par précaution, révoquez et renouvelez l ensemble des secrets OAuth2 associés pour neutraliser tout risque d exfiltration.

• BleepingComputer — SAP warns of maximum severity OAuth2 SSRF security flaw
• The Hacker News — SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft
• gbhackers.com — gbhackers.com
• support.sap.com — sap.com
• bleepingcomputer.com — bleepingcomputer.com
• feedly.com — feedly.com
• reddit.com — reddit.com
• vectortribune.com — vectortribune.com

5:35 05 · ZCS Command Injection via SNMP Handlers Enables Unauthenticated Remote Code Execution

1. Claire : On enchaîne avec Zimbra Collaboration Suite, très déployée dans le secteur public. Une vulnérabilité critique y fait l objet d attaques actives.
2. Thomas : La CVE-2026-73570 affiche un score de huit virgule neuf. Selon InfoQ, le composant zimbra-snmp utilise swatchdog pour surveiller les logs. Des en-têtes SMTP forgés y sont transcrits sans filtrage de caractères comme les points-virgules, permettant l exécution directe de commandes au niveau du système d exploitation.
3. Claire : Un correctif existait déjà cet été, mais les attaques continuent de progresser sur le terrain ?
4. Thomas : Oui, Synacor a patché en version 10.1.20 fin juillet mais n a communiqué qu en août. Des attaquants ont rétro-conçu le correctif. Le CERT polonais et Microsoft observent des assauts installant des backdoors JSP sur Jetty pour piller boîtes mails et annuaires. Shadowserver recense déjà deux cent soixante-quatorze serveurs compromis sur dix mille exposés.
5. Claire : Que doivent faire les organisations hébergeant Zimbra sur site pour sécuriser leur messagerie ?
6. Thomas : Ce que ça change pour un DSI, c est d appliquer d urgence la version 10.1.20. À défaut de fenêtre immédiate, désactivez le service SNMP avec zmcontrol stop snmp pour couper la surface d attaque. Enfin, lancez une levée de doute médico-légale sur vos serveurs Jetty et analysez les journaux à la recherche de scripts malveillants.

• InfoQ — ZCS Command Injection via SNMP Handlers Enables Unauthenticated Remote Code Execution
• labs.cloudsecurityalliance.org — cloudsecurityalliance.org
• thehackernews.com — thehackernews.com
• thehackernews.com — thehackernews.com
• fieldeffect.com — fieldeffect.com

6:50 06 · Sabotage cyber massif des installations frigorifiques de supermarchés français

1. Claire : On passe aux nouvelles en bref, en reprenant notre sujet d hier sur le piratage du froid industriel.
2. Thomas : LeMagIT et ZDNet confirment que les automates Dixell et Copeland sont aussi touchés chez Leclerc, Intermarché et Coopérative U. Ce que ça change pour un DSI, c est d auditer vos passerelles de gestion technique et d isoler tous ces équipements derrière des VPN étanches sans accès Internet direct.

• LeMagIT — Coup de chaud sur la chaîne du froid : au tour de Dixell
• Le Monde Informatique — Une cyberattaque perturbe les installations frigorifiques de centaines de supermarchés
• ZDNet.fr — Piratage des frigos : Danfoss n'est plus le seul mis en cause

7:10 07 · Google lance Gemini 4 Argon avec une fenêtre d'un million de tokens

1. Claire : Côté modèles d intelligence artificielle, Google lance Gemini 4 Argon.
2. Thomas : Selon The New Stack, ce modèle intègre une fenêtre d un million de jetons partagée et s intègre à l environnement Antigravity. Ce que ça change pour un DSI, c est l opportunité de refactoriser de vastes pans de code patrimonial en surveillant rigoureusement le coût des flux d exécution.

• Next — [màj] Google : Gemini 4 Argon et son million de tokens en sortie disponible pour tous
• The New Stack — Gemini 4 Argon debuts with a unified 1M input/output token limit
• Hacker News (≥ 250 points) — Gemini 4 Argon

7:30 08 · Cyberattack Prompts Grocery Giant Ahold Delhaize to Disconnect Systems

1. Claire : Dans la grande distribution, Ahold Delhaize a dû isoler une partie de son informatique.
2. Thomas : D après SecurityWeek, le groupe a déconnecté certains réseaux après une intrusion cyber. Ce que ça change pour un DSI, c est d éprouver vos mécanismes de cloisonnement d urgence afin de pouvoir isoler des sous-réseaux sans paralyser l ensemble de la chaîne logistique.

• SecurityWeek — Cyberattack Prompts Grocery Giant Ahold Delhaize to Disconnect Systems

7:49 09 · Ghostscript flaw lets hackers hijack servers via PDF uploads

1. Claire : Enfin, une faille critique affecte le moteur Ghostscript.
2. Thomas : Selon BleepingComputer, la CVE-2026-39919 permet l exécution de code via des PDF contenant du JPEG 2000, touchant des CMS comme WordPress. Ce que ça change pour un DSI, c est de vérifier vos briques de traitement documentaire et d appliquer la mise à jour 10.08.0.

• BleepingComputer — Ghostscript flaw lets hackers hijack servers via PDF uploads

8:10 À retenir

1. Claire : Merci Thomas. Pour clore cet épisode, voici les trois points essentiels à retenir aujourd hui :
2. Thomas : D abord, sur Ivanti, patchez mais réalisez des analyses mémoire face à une attaque indétectable par l outil d intégrité. Ensuite, face aux mille quatre cent onze failles chez Microsoft, privilégiez les cohortes de risques et l automatisation. Enfin, actant le retrait européen sur les modèles frontière, concentrez vos efforts sur la valorisation de vos données et les architectures multi-modèles.
3. Claire : Le Brief DSI, c est terminé pour aujourd hui. Rendez-vous demain pour un nouveau tour d horizon de l actualité. Bonne journée à tous.