L’ANSSI a rendu public son rapport sur le vol de données du fisc, ainsi qu’un premier bilan de près d’une centaine de violations de données dans les services de l’État. Côté failles, un nouveau zero-day (faille exploitée avant tout correctif) touche les équipements réseau Cisco SD-WAN.
Attaques
- DGFiP : l’ANSSI publie son rapport d’incident. Pas d’attaque sophistiquée, mais des identifiants d’agents volés par des logiciels espions (infostealers), souvent sur des PC personnels, deux portails sans double authentification et 14 Go de données aspirés sans la moindre alerte. Environ 353 000 particuliers et 252 000 professionnels sont concernés. ANSSI, rapport publié le 29 septembre 2026
- Opération REACTIV : 99 violations de données signalées dans l’État depuis le 1er août. 67 sont confirmées. Les causes reviennent : une faille du logiciel d’analyse de données Metabase, des identifiants volés, une double authentification absente ou faible, des sous-traitants. CERT-FR, 30 septembre 2026
- DIVD (suite) : l’agent IA est entré par deux failles inconnues de Zammad. Cet outil open source de gestion de tickets a permis de voler une session puis de prendre le contrôle complet du serveur ; le cloisonnement du réseau a limité les dégâts. DIVD conseille de passer en version 7 ou de couper l’outil. BleepingComputer, 30 septembre 2026
Vulnérabilités
- Cisco Catalyst SD-WAN Manager : faille exploitée (CVE-2026-76504). Elle permet d’obtenir un accès administrateur sans identifiant, quelle que soit la configuration. La CISA a fixé au 3 octobre l’échéance de correction pour les administrations fédérales américaines ; c’est le cinquième zero-day SD-WAN exploité cette année. BleepingComputer, 30 septembre 2026
- MikroTik RouterOS : faille critique sans authentification (CVE-2026-84411). Une seule requête piégée vers l’interface web d’administration peut donner le contrôle total du routeur ou le faire planter. Pas d’exploitation connue à cette date ; les versions concernées restent floues. BleepingComputer, 30 septembre 2026
- GitHub : plus de 543 000 secrets encore valides dans des dépôts publics. Selon une étude de Truffle Security, ces mots de passe et clés restent exposés 784 jours en durée médiane. Les outils qui bloquent la publication d’un secret n’annulent pas ceux déjà publiés. BleepingComputer, 30 septembre 2026
Réglementation et normes
- REACTIV : l’ANSSI a plus de poids sur les ministères. Elle peut leur faire prendre des mesures d’urgence dans des délais courts et centralise la communication technique en cas de crise ; la décision date du 1er septembre. Le texte juridique sur lequel elle repose n’est pas cité : information non confirmée à ce stade. CERT-FR, 30 septembre 2026
- Projet de loi Résilience : examen à l’Assemblée nationale à partir du 7 octobre. Ce texte transpose notamment la directive NIS2. Rien de nouveau à cette date, simple rappel d’échéance. Next
Pour aller plus loin : notre décryptage du jour, « Piratage du fisc : pas de pirate de génie, des mots de passe volés et personne pour regarder ».
Veille publiée le 1er octobre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.