Microsoft et ses partenaires ont démantelé un service de phishing qui contournait la double authentification et avait compromis plus de 12 000 boîtes mail, notamment en France. Côté failles, WordPress publie un correctif critique à installer même si vous venez de faire la dernière mise à jour.
Attaques
- EvilTokens : un service de phishing « clé en main » démantelé. Microsoft et ses partenaires ont saisi 50 sites et neutralisé plus de 150 domaines de ce service, lié à plus de 12 000 boîtes mail piratées dans plus de 10 000 organisations. Deux suspects ont été arrêtés à Londres. La France fait partie des pays les plus touchés selon Microsoft. The Hacker News, 22 septembre 2026
- FBI : une intrusion revendiquée par le groupe ShinyHunters. Le groupe affirme être passé par une faille inconnue d’un logiciel Oracle et avoir volé 2 à 3 To de données d’agents et de candidats. Le FBI confirme enquêter sur une activité non autorisée touchant son site de recrutement, sans confirmer de vol de données. BleepingComputer, 22 septembre 2026
Vulnérabilités
- WordPress : une faille critique dans le cœur du logiciel. Sans avoir de compte, un attaquant peut faire exécuter un fichier piégé et, selon la configuration, prendre la main sur le site. Les versions 4.7.0 à 7.1.1 sont touchées, y compris la 7.1.1 sortie le 17 septembre : passez en 7.1.2. The Hacker News, 22 septembre 2026
- Check Point : une faille exploitée depuis juillet enfin corrigée. Elle touche la console de gestion des pare-feu (Security Management) et a été utilisée dans des attaques ciblées dès le 23 juillet. Le correctif est sorti le 22 septembre. The Hacker News, 22 septembre 2026
- Veeam Agent pour Windows et switchs Zyxel : failles exploitées. La faille Veeam (logiciel de sauvegarde) permet à un utilisateur déjà présent sur un poste d’en prendre le contrôle complet. La faille Zyxel permet de lancer des commandes sur certains switchs depuis le réseau local, sans mot de passe. The Hacker News, 22 septembre 2026
Réglementation et normes
- Cour des comptes européenne : la réponse européenne aux cyberattaques jugée incomplète. Son rapport sur 2022-2025 relève que le système d’alerte européen n’est pas encore opérationnel, que le partage d’information reste le point faible, et que presque tous les États membres ont raté l’échéance de transposition de la directive NIS 2. Euronews, 22 septembre 2026
- RGPD : Google condamné à 403 millions d’euros en Irlande. L’autorité irlandaise de protection des données sanctionne le traitement des données de localisation entre 2018 et 2020 : manque de transparence et conservation trop longue. Google a 6 mois pour se mettre en conformité. BleepingComputer, 21 septembre 2026
Pour aller plus loin : notre décryptage du jour, « EvilTokens : la double authentification était activée, le pirate est quand même entré ».
Veille publiée le 23 septembre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.