Le week-end des 26 et 27 septembre a été marqué par deux failles critiques exploitées sur les passerelles Citrix NetScaler et par le retour de ShinyHunters sur Oracle PeopleSoft, en contournant des protections provisoires. Côté réglementation, le Cyber Resilience Act aurait connu son premier signalement médiatisé, sans confirmation officielle.
Attaques
- ShinyHunters contourne des pare-feu applicatifs pour attaquer Oracle PeopleSoft. Le groupe vise des serveurs PeopleSoft (logiciel de gestion RH et finance) qui n’ont pas reçu le correctif d’une faille critique de juin, mais qui étaient « protégés » par une règle de pare-feu applicatif (WAF). En modifiant légèrement l’écriture de l’adresse demandée, il passe à travers la règle et a installé des portes dérobées sur des dizaines de systèmes, selon Google/Mandiant. BleepingComputer, 26 septembre 2026
- Bitget : 351,6 millions de dollars volés. La plateforme d’échange de cryptomonnaies indique qu’un système interne lié à ses portefeuilles a été compromis pour faire signer de fausses transactions. Elle attribue l’attaque à la Corée du Nord, ce qu’aucune autorité n’avait confirmé à cette date. BleepingComputer, 25 septembre 2026
- Des GitHub Actions piégées remises en ligne. Deux briques d’automatisation compromises en mai ont été réactivées du 16 au 25 septembre sans avoir été nettoyées, selon la société Socket. Les projets qui les appelaient ont de nouveau exécuté un code malveillant qui vole les secrets (mots de passe, jetons d’accès) des chaînes de développement. BleepingComputer, 26 septembre 2026
- Un vendeur français de smartphones reconditionnés touché via sa boutique en ligne. Une faille alors inconnue du logiciel de boutique Magento a permis une intrusion dès le 4 septembre ; noms, coordonnées, commandes et empreintes de mots de passe sont potentiellement exposés. Le vol de données n’est ni confirmé ni exclu ; la CNIL a été notifiée. cyberattaque.org, 26 septembre 2026
- Carrefour prévient des clients d’une fuite chez l’un de ses prestataires. Nom, adresse e-mail et téléphone sont concernés. L’identité du prestataire n’a pas été confirmée par Carrefour. cyberattaque.org, 26 septembre 2026
Vulnérabilités
- Citrix NetScaler : deux failles critiques exploitées avant leur correctif. Les failles CVE-2026-88771 et CVE-2026-88772 permettent de prendre le contrôle de ces passerelles d’accès à distance sans mot de passe. Citrix a publié des correctifs le 27 septembre (versions 14.1-73.37 et 13.1-64.23 au minimum). Installer la mise à jour ne prouve pas que l’équipement n’a pas été compromis avant. BleepingComputer, 27 septembre 2026 · Bulletin Citrix CTX697096
Réglementation et normes
- Cyber Resilience Act : un premier signalement visible ? Selon un document du centre national de cybersécurité néerlandais (NCSC-NL) relayé par BleepingComputer, Citrix aurait déclaré ces deux failles au titre de l’article 14 du CRA, applicable depuis le 11 septembre 2026 (alerte précoce sous 24 heures, notification sous 72 heures). Le NCSC-NL a refusé de confirmer ce document. BleepingComputer, 27 septembre 2026
Pour aller plus loin : notre décryptage du jour, « Oracle PeopleSoft : quand la protection provisoire devient la porte d’entrée ».
Veille publiée le 28 septembre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.