Quotidien suisseMardi 13 octobre 2026Édition de 13h, technologie
Prochaine publication le 13 octobre 2026 à 17h
Une · Cybersécurité · OT · Distribution
France : une cyberattaque force le dégivrage des frigos de centaines de supermarchés
Dans la nuit du 11 au 12 octobre 2026, des assaillants ont détourné des contrôleurs de froid Danfoss (séries AK-SM et AK-SC) pour imposer un dégivrage forcé, avec une consigne allant jusqu’à 50 °C. Intermarché/Netto (environ 300 magasins), Coopérative U (plus de 100), Carrefour, Monoprix et E.Leclerc ont signalé des pertes de denrées et, selon le parquet de Paris, des départs de feu. Le CERT-FR a publié l’alerte CERTFR-2026-ALE-012 ; le Premier ministre a saisi l’ANSSI.
Selon BFMTV et des sources AFP/Reuters, les pirates ont déclenché à distance le mode dégivrage des installations, détournant une fonction prévue pour éliminer le givre. Les enseignes ont dû jeter des stocks frais et surgelés. Thierry Cotillard (Intermarché) a évoqué des pertes de « dizaines de millions d’euros » à l’échelle nationale pour une seule journée. Dominique Schelcher (Coopérative U) a qualifié l’attaque d’« inédite » et d’« inacceptable ». Le parquet de Paris a ouvert une enquête confiée à l’Office anticybercriminalité (OFAC).
Danfoss indique avoir connaissance d’incidents en France sur « un nombre limité » de systèmes de gestion frigorifique, souvent des équipements en fin de vie (AK-SM800, AK-SC355) ou des AK-SM800A avec des micrologiciels obsolètes. L’ANSSI pointe une vulnérabilité dans le logiciel Danfoss. En août, Claroty (Team82) avait déjà décrit des failles permettant de contourner l’authentification sur des contrôleurs AK-SM 800A. Le CERT-FR recommande de déconnecter ou de filtrer strictement l’accès Internet aux instances, puis, en cas de suspicion, un retour usine, les correctifs, la rotation des secrets et une reconfiguration. Des effets ont aussi été signalés en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique, selon Sekoia.
GitLab : correctif critique pour un débordement d’entier CVSS 10 dans le compilateur d’expressions régulières CI/CD
Le 12 octobre 2026, GitLab a publié les versions 19.4.2, 19.3.5 et 19.2.8 (CE et EE), avec 24 corrections de sécurité dont CVE-2026-97229, notée 10,0. Un utilisateur non authentifié pouvait, sous certaines conditions, exécuter du code arbitraire sur le serveur via une expression régulière spécialement conçue dans une configuration CI/CD, faute de validation suffisante. Les versions touchées vont de 19.2 avant 19.2.8, 19.3 avant 19.3.5 et 19.4 avant 19.4.2. GitLab.com est déjà à jour ; les clients Dedicated n’ont rien à faire.
La même salve corrige cinq failles de gravité haute (XSS dans la coloration syntaxique, pipelines aval non autorisés, empoisonnement de cache de fichiers de dépôt, politiques de pipelines planifiés, injection de prompt Duo) et une série de problèmes moyens et faibles. La 19.3.5 corrige aussi une régression des pages de merge request avec l’intégration Ona. Les migrations de base peuvent imposer un arrêt sur une installation mononœud. L’avis officiel ne fait pas état d’exploitation active.
AD FS : dès ce 13 octobre, Windows durcit par défaut les ACL du conteneur DKM
Avec la mise à jour de sécurité d’octobre 2026, Microsoft passe en mode application pour KB5121391 / CVE-2026-56155. Le conteneur Distributed Key Manager (DKM) d’Active Directory Federation Services stocke les clés symétriques qui protègent les clés privées des certificats de signature et de chiffrement de jetons. Une ACL trop permissive permettait à un attaquant disposant d’un accès en lecture de déchiffrer ces clés et de forger des jetons SAML (« Golden SAML »). Depuis le 14 juillet, AD FS se contentait d’auditer (événements 1132/1133) ; aujourd’hui, sur Windows Server 2016 et suivants, la remédiation automatique devient le comportement par défaut.
L’état cible n’accorde l’accès qu’aux Domain Admins, Enterprise Admins, SYSTEM et au compte de service AD FS, avec héritage désactivé. Windows Server 2012 / 2012 R2 restent hors remédiation automatique : il faut d’abord accorder WriteOwner et WriteDacl au compte de service, puis activer RemediateDkmAcl=1. Un opt-out existe (RemediateDkmAcl=0), mais la documentation Microsoft avertit explicitement qu’il laisse le conteneur vulnérable. L’événement 1135 journalise l’ancienne ACL en SDDL pour un éventuel retour arrière.
Isoler un pilote sans le sortir du noyau : LFI et l’expérience Kage de Google
À la Linux Plumbers Conference 2026, des ingénieurs Google ont présenté Kage : des bacs à sable dans le noyau Linux, collés au compilateur via Lightweight Fault Isolation (LFI) de LLVM. Atelier pédagogique sur l’isolation logicielle des fautes.
1. Le problème : même privilège, même espace d’adressage. Un pilote de périphérique tourne en mode noyau. S’il contient une faille mémoire, il peut lire ou écrire n’importe où dans l’espace du noyau : buffers réseau, structures de processus, clés. Les solutions classiques (machines virtuelles, processus utilisateur avec VirtIO) ajoutent du coût et de la latence. L’idée de Kage est de garder le pilote au même niveau de privilège matériel, mais de le confiner à un sous-ensemble de la mémoire virtuelle.
2. Ce qu’est la LFI. Lightweight Fault Isolation est une technique d’isolation logicielle des fautes (software-based fault isolation), initiée à Stanford avec le soutien de Google. Le compilateur réécrit le code natif pour que chaque accès mémoire et chaque branche restent dans une « cage » : masques d’adresses, garde-fous sur les sauts, vérifications instrumentées. L’overhead vise à rester nettement inférieur à celui d’un hyperviseur ou d’un processus séparé. Dans LLVM, la LFI est déjà en amont pour AArch64 ; le support x86/x86_64 vise LLVM 24.
3. Ce que fait Kage. Kage est un sous-système noyau qui offre ces bacs à sable LFI aux pilotes. Le code « kagé » partage toujours l’espace d’adressage du noyau, mais le compilateur l’empêche d’en sortir. En couplant Kage à VirtIO « à l’envers » (VKage), Google a prototypé des pilotes NVMe, réseau et Wi-Fi dans cet environnement confiné. L’objectif évoqué côté Android : pouvoir sandboxer davantage de pilotes de périphériques sans les sortir entièrement du noyau.
4. Ce que ça change pour le développeur. Ce n’est pas encore un modèle de production généralisé : les perfs restent à mesurer, et le sandboxing des GPU n’est qu’exploré. En revanche, la leçon est claire pour quiconque écrit du code noyau ou des modules : l’isolation n’est plus seulement une affaire d’hyperviseur ou de processus ; le compilateur peut devenir une frontière de confiance. Pour un mainteneur, cela signifie accepter une chaîne de build qui instrumente les accès, et raisonner sur ce qu’un pilote a vraiment le droit de toucher — plutôt que de faire confiance à l’absence de bugs.
Let’s Encrypt : certificats de 64 jours par défaut dès février 2027, staging dès le 14 octobre
Let’s Encrypt confirmera le 10 février 2027 le passage du profil classique à 64 jours de validité (au lieu de 90), avant les 45 jours prévus en 2028. Le staging émettra des certificats 64 jours dès le 14 octobre 2026 pour les tests. Les clients ACME qui suivent ARI (ACME Renewal Info) n’ont rien à changer ; ceux qui hardcodent un délai avant expiration (83, 80, 60 jours…) doivent viser environ les deux tiers de la durée de vie. La période de réutilisation des autorisations passera de 30 à 10 jours.
SonicWall SMA 1000 : 135 tentatives d’exploitation d’une SSRF CVSS 10 en deux jours
CVE-2026-102255, une SSRF pré-authentifiée sur l’interface WorkPlace des appliances SMA 1000 (modèles 6210, 7210, 8200v), a été corrigée par SonicWall le 6 octobre (firmware 12.4.3-03670 et 12.5.0-03082). Dès le 8 octobre, Previdian et Defused Cyber ont vu des tentatives ; Previdian en a compté 135 depuis deux adresses IP américaines au 12 octobre. L’avis SonicWall ne confirmait pas encore d’exploitation réussie en production. Des failles SMA 1000 avaient déjà été utilisées en juin (UTA0533 / KNUCKLEBALL).
