Cyberattaque Crédit Mutuel Arkéa (RDS du 31 octobre au 6 novembre 2026)

Cyberattaque au Crédit Mutuel Arkéa et exploitation d'une vulnérabilité par le groupe ransomware C3RB3r au sein d’appareils NAS Synology, les experts du service de veille cyber Yuno vous livrent une synthèse des évènements clés pour vous permettre de rester informés et d’anticiper les risques.

‍

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

‍

Correctifs

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par Google pour Chrome [1] [2], par Microsoft pour Edge [3] [4] [5],par Ivanti pour Connect Secure [6], par Elastic pour Kibana [7], par OpenBSD pour OpenSSH [8] et par Progress pour Progress WS_FTP [9]. Ces correctifs remédient à des dommages allant du déni de service à la prise de contrôle du système.

Cescorrectifs remédient à des dommages allant du déni de service à la prise decontrôle du système.

‍

Code d’exploitation

Un code d'exploitation a été publié cette semaine. Un correctif est disponible.

Prise de contrôle du système via une vulnérabilité au sein deGitlab [10]

Un code d'exploitation tirant parti de la vulnérabilité référencée CVE-2026-97229 et affectant GitLab a été publié.L'exploitation de cette faille permet de prendre le contrôle du système. Ce code d'exploitation se présente sous la forme d'un template Nuclei. Ce template effectue deux requêtes HTTP sans authentification. La première, envoyée vers/users/sign_in, permet de vérifier la présence de GitLab à travers l'en-tête X-GitLab-Meta. La seconde transmet une configuration CI/CD spécialement construite à l'API /api/v4/ci/lint, contenant une expression régulière destinée à tester le mécanisme de validation de GitLab. Le template considère la cible comme positive lorsque le serveur retourne un code HTTP 200 et indique que la configuration CI/CD est valide et ne comporte aucune erreur. Il tente également d'extraire la version de GitLab depuis l'en-tête HTTP X-GitLab-Meta. Le CERT-XMCO recommande l'installation de l'une des versions suivantes de GitLabCE / EE : 19.4.2 ; 19.3.5 et 19.2.8. Ces versions sont disponibles auprès du support de l'éditeur

‍

INFORMATIONS

‍

Vulnérabilités

Exploitation malveillante de la faille 0-dayCVE-2026-107441 au sein de Zyxel GS1900 [11]

Le 3 novembre 2026, les chercheurs de la société de sécurité Binarly ont publié l'analyse d'une vague d’attaques ayant compromis près de 1 000 commutateurs Zyxel de la série GS1900 reposant sur l'exploitation d'une vulnérabilité 0-day. Cette faille de sécurité, référencéeCVE-2026-107441, a reçu un score CVSS de 8,8 et provenait d'un défaut d'écriture hors limites dans le programme CGI (CWE-787). Elle permettait à un attaquant positionné sur le réseau local et non authentifié de provoquer une prise de contrôle du système (cf. CXA-2026-9370). Binarly propose des indicateurs de compromission et des règles de détection Yara disponibles ici.

Exploitation active de la CVE-2026-119977 affectant WordPress [12]

Le 29 octobre 2026, Wordfence a alerté sur l'exploitation active de la vulnérabilité référencée CVE-2026-119977 affectant WordPress, corrigée la veille dans la version 7.1.4 (cf. CXA-2026-9086). Des milliers de requêtes malveillantes tentant de l'exploiter ont été identifiées dans la journée suivant sa divulgation par l'éditeur. La vulnérabilité est due à une condition de course Time‑of‑Check‑Time‑of‑Use (TOCTOU) dans des chemins de staging prévisibles et accessibles via le web, exploités pendant la fenêtre de mise à jour complète du cœur, permettant une exécution de code à distance sans authentification préalable. Le 3 novembre 2026, l'Agence de Cybersécurité américaine (CISA) a confirmé l'exploitation de cette vulnérabilité en l'ajoutant à son catalogue de vulnérabilités exploitées (KEV - Known Exploited Vulnerabilities).

Exploitation de la CVE-2026-58115 au sein des appareils Siemens IoT2050 [13]

VulnCheck a détecté le 30 octobre 2026 une tentative d'exploitation active de la faille CVE‑2026‑58115 sur des appareils Siemens SIMATIC IoT2050 Advanced.L'attaque provenait d'une adresse IP du réseau Microsoft au Brésil, exploitant l'interface Node‑RED non authentifiée pour déployer un bot Linux. Corrigée en août 2026, cette vulnérabilité permet à un attaquant distant et non authentifié d'exécuter du code arbitraire (cf. CXA-2026-6336). En complément de la mise à jour des produits vulnérables vers la version 4.3.41, les organisations doivent déployer les signatures de détection publiées par VulnCheck et surveiller les IoCs listés.

Synology avertit de nouvelles attaques ransomware C3RB3R ciblant les appareils NAS fonctionnant sous DiskStation Manager (DSM) [14]

Le 29 octobre 2026, le fabricant taïwanais Synology a publié un bulletin alertant sur l'exploitation active d'une vulnérabilité parle groupe ransomware C3RB3r afin de compromettre des appareils NAS exécutant des versions obsolètes de DiskStation Manager (DSM). L'éditeur n'a pas spécifié précisément la vulnérabilité exploitée mais renvoie vers un bulletin de sécurité publié en novembre 2024 informant de la publication de correctifs pour les CVE-2024-10441, CVE-2024-50629 et CVE-2024-10445 (cf. CXA-2024-6363). Il est de ce fait recommander de bloquer l'accès aux interfaces de gestion Web depuis Internet, d'appliquer les mises à jour renseignées dans ce bulletin de sécurité et d'activer les mises à jour automatiques pour DSM. Ces mesures permettraient de maintenir ses appareils entièrement à jour, afin d'éviter toute tentative de compromission à l'appui de vulnérabilités désormais corrigées, à l'instar des CVE-2026-13684 et CVE-2026-13639, corrigées le 18septembre 2026 par Synology dans les versions les plus récentes de DSM (cf.CXA-2026-7669).

‍

France

Une nouvelle vague d’attaques cyber sur les systèmes de réfrigération touche des supermarchés européens, l'Établissement Français du Sang (EFS) également affecté [15]

Le 2 novembre 2026, des cybercriminels ont compromis les contrôleurs de réfrigération de supermarchés européens, contraignant les magasins à retirer les denrées alimentaires. L’incident a touché des points de vente en Belgique, Suède, Estonie et d’autres pays, en utilisant probablement des équipements Danfoss. L'Établissement Français du Sang a également publié un communiqué indiquant qu'un prestataire d'équipements frigorifiques avait été victime d'un incident de sécurité, provoquant une altération du fonctionnement des chambres froides sans impact identifié sur la sécurité des stocks de produits sanguins.

Crédit Mutuel Arkéa victime d’une cyberattaque qui aurait conduit au vol de 133 millions de dollars [16]

Le 4 novembre 2026, Le Télégramme a annoncé que Crédit Mutuel Arkéa aurait été victime d’une fraude estimée à 133 millions de dollars, les fonds étant détournés puis blanchis via des cryptomonnaies. L’information a été révélée par l’enquêteur ZachXBT, puis relayée par le journaliste GregoryRaymond sur X. L'entreprise a depuis publié deux communiqués sur l'incident, indiquant que celui-ci est désormais circonscrit et que le montant du vol ne pouvait être confirmé à ce stade. Pour l'heure, aucun groupe ransomware ou cybercriminel n’a revendiqué cette attaque. La technique de blanchiment repose sur la conversion rapide de stablecoins en ETH puis en Monero. Les hackers ont d’abord récupéré les fonds en fiat, les ont transformés en USDC/USDT, puis le sont acheminés via des services d’échange instantané comme WellWallet et Kyrrexpour masquer la trace avant de les convertir en XMR, une monnaie réputée intraçable. Cette chaîne de conversion multi‑étapes complique la détection et le gel des actifs.

‍

——————————————————————————————————-

‍