Les polices américaine, allemande et britannique décrivent le rançongiciel SafePay, crédité d’au moins 600 victimes, et des sites WordPress ont été piégés grâce à des clés volées chez l’éditeur d’UpdraftPlus. Côté failles, les correctifs PHP2Shell sont sortis et l’État a coupé par précaution plusieurs de ses sites, dont ceux des préfectures.
Rectificatif
- Certificats eMudhra : pas de fuite, mais des clés mal fabriquées. Dans notre bulletin du 21 octobre, nous écrivions que huit clés de cette autorité de certification avaient fuité. Selon le rapport d’incident publié chez Mozilla, une erreur de script en avril 2025 a produit des clés si faibles que n’importe qui pouvait les recalculer ; eMudhra dit n’avoir vu aucun usage frauduleux. BleepingComputer, 20 octobre 2026 – bulletin corrigé
Attaques
- Rançongiciel SafePay : au moins 600 victimes en deux ans. Le FBI, l’agence américaine CISA et des polices européennes décrivent un groupe qui entre par des mots de passe devinés ou volés et par des VPN et pare-feu pas à jour, vole les données, remet à zéro les sauvegardes, puis chiffre. CISA, 20 octobre 2026
- WordPress : des sites piégés avec des clés volées chez l’éditeur d’UpdraftPlus. L’éditeur de cette extension de sauvegarde confirme une intrusion sur son site les 17 et 18 octobre ; des clés de gestion à distance ont servi à installer des extensions piégées. Les utilisateurs du service UpdraftCentral en ligne doivent mettre à jour l’extension, vérifier les comptes administrateurs et changer leurs mots de passe. The Hacker News, 21 octobre 2026
- LiteLLM : une version piégée d’un outil d’accès aux modèles d’IA. La version 1.107.0, diffusée par les canaux officiels, installait un programme voleur d’identifiants et une porte dérobée ; elle a été retirée. The Hacker News, 21 octobre 2026
Vulnérabilités
- PHP2Shell : les correctifs sont sortis, l’État coupe des sites par précaution. PHP a publié le 21 octobre les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, qui corrigent deux failles critiques permettant de prendre la main sur un serveur web. Des premières tentatives d’attaque sont observées, sans compromission confirmée à ce stade ; à la demande de l’ANSSI, le ministère de l’Intérieur a mis ses sites exposés en maintenance. Demandez à votre hébergeur si vos sites sont à jour. CERT-FR, 21 octobre 2026 ; Cyberattaque.org, 21 octobre 2026
- GitLab : une faille notée 10 sur 10 sur les serveurs auto-hébergés. Elle permet d’exécuter du code sans compte et touche toutes les versions depuis 2014 ; même une instance mise à jour le 12 octobre doit être mise à jour de nouveau. Aucune attaque signalée à ce stade. The Hacker News, 21 octobre 2026
Réglementation et normes
Rien de notable ce jour-là.
Le bon réflexe
- Une sauvegarde qui reste branchée n’est pas une sauvegarde. Les groupes de rançongiciel comme SafePay effacent les sauvegardes avant de chiffrer. Trois gestes, au bureau comme à la maison : garder au moins une copie débranchée ou hors ligne, la ranger dans un autre lieu, et vérifier de temps en temps qu’on sait vraiment la restaurer. Les dix conseils sont dans la fiche de Cybermalveillance.gouv.fr, mise à jour le 14 septembre 2026.
Pour aller plus loin : notre décryptage du jour, « Rançongiciel SafePay : 600 victimes, et toujours les mêmes portes d’entrée ».
Veille publiée le 22 octobre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.