Nouméa
Veille active
Le défilement s’arrête au survol ou au focus.Sujets5Critiques4Exploitées KEV5KEVLangflow exposé à une vulnérabilité critique d'injection de codeKEVUne vulnérabilité critique menace SharePoint et nécessite une mise à jour urgenteKEVUne faille critique touche VeloCloud Orchestrator et nécessite une mise à jourKEVFaille critique d'injection de commandes dans Collabora Online Built-in CODE ServerCERT-FR[Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)CERT-FRVulnérabilité dans Ivanti Connect Secure (ICS) (14 octobre 2026)CERT-FRIncident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12 octobre 2026)Flux CERT-FRsynchronisé 25 octobre 2026, 15 h 36Flux CISA KEVsynchronisé 25 octobre 2026, 15 h 36Flux EPSSsynchronisé 25 octobre 2026, 15 h 36
Les nouvelles de cybersécurité qui ne sont pas une faille : décision de justice, départ d'un service, incident, loi. Ce qui change et ce qu'il faut faire.
Dix faits marquent le mois d’octobre 2026 au 25 octobre, de la 5e édition de HacKagou à Nouméa à l’appel du gouvernement calédonien sur les failles PHP. Chacun renvoie à sa dépêche.
Le CERT-FR de l’ANSSI a publié le 23 octobre 2026 une version mise à jour de ses recommandations de sécurité pour les producteurs, intégrateurs et installateurs de systèmes industriels de l’énergie et de l’eau. Il relève que des groupes hacktivistes ont réussi à accéder à distance à des interfaces exposées sur Internet.
Selon Tahiti Infos (article du 20 octobre), Exodata Polynésie française a organisé le jeudi 15 octobre à l’InterContinental Tahiti un challenge cyber immersif, Ghost Protocol, dans le cadre du Cybermois. L’événement a réuni des décideurs et responsables IT en équipes de trois.
Le Parti communiste français indique avoir été alerté le vendredi 23 octobre 2026 par l’ANSSI d’une fuite de données affectant son fichier des adhérents et sympathisants. Selon le parti, aucune donnée bancaire n’est concernée à ce stade et la CNIL a été notifiée.
Le gouvernement de la Nouvelle-Calédonie publie le 22 octobre 2026 un communiqué appelant collectivités, entreprises et associations à vérifier et corriger leurs sites sous PHP, après l’alerte du CERT-FR du 21 octobre sur deux failles critiques. En Polynésie française, TNTV relaie un appel à la vigilance et signale des sites mis en maintenance à titre préventif.
Le site de La Poste Mobile a été inaccessible plusieurs heures le 21 octobre 2026. Selon 01net, le groupe prorusse NoName057(16) revendique une attaque par déni de service, puis affirme avoir dérobé les données de 25 000 clients ; Bouygues Telecom, maison mère, dit analyser la situation.
La CISA, le FBI, le Secret Service américain et des partenaires internationaux publient le 20 octobre 2026 un avis conjoint sur le rançongiciel SafePay. Ils y font état d’au moins 600 organisations de secteurs d’infrastructures critiques touchées depuis août 2024.
ConnectWise a coupé l’accès à son service Cloud Backup (ex-SkyKick) après avoir identifié un accès non autorisé aux identités applicatives de ce service. Selon la presse spécialisée, des environnements Microsoft 365 de clients ont été visés, et les prestataires qui gèrent ces environnements doivent les examiner.
Selon BugAlert, qui cite l’opérateur Onati, 13 000 abonnés aux adresses mail.pf n’accèdent plus à leur messagerie depuis début octobre 2026. L’opérateur évoque le basculement vers une nouvelle plateforme et annonce un retour à la normale d’ici une semaine environ ; aucune cyberattaque n’est établie.
Plusieurs enseignes de la grande distribution française ont vu leurs meubles frigorifiques dérégulés dans la nuit du dimanche 11 au lundi 12 octobre 2026, avec des pertes de denrées. Selon BleepingComputer, l’attaque aurait visé des contrôleurs Danfoss, mais ni le vecteur ni les auteurs ne sont établis.
L’éditeur Tensorlake indique qu’une version non autorisée de son paquet npm, la 0.5.144, a été publiée le 8 octobre 2026 depuis un compte de mainteneur compromis. Elle est restée en ligne environ 1 h 40 et collectait des identifiants sur les machines où elle s’installait.
Le fabricant de portefeuilles matériels Ledger a confirmé le 10 octobre qu’au moins un appareil acheté chez le revendeur CryptoBilis contenait un implant matériel non autorisé. Il déconseille de configurer ceux qui ne l’ont pas encore été.
Le 8 octobre, le ministère américain de la Justice et le FBI ont annoncé la saisie, autorisée par un tribunal, d’infrastructures liées aux outils Microscan et FishHub. Selon eux, ces outils étaient exploités par des acteurs liés à Integrity Technology Group, société chinoise sous contrat avec le gouvernement chinois.
L’opérateur japonais IDC Frontier a annoncé le 7 octobre qu’un rançongiciel a touché la région Est du Japon de son service IDCF Cloud depuis environ 3 h 40 du matin. L’entreprise indique que 495 entreprises et collectivités qui utilisent ce cloud sont concernées.
Selon l’état des informations de ce jour, LDLC a informé ses clients, vers le 2 octobre, qu’un acteur malveillant avait obtenu un accès non autorisé à l’un de ses systèmes d’information. Coordonnées et identifiants techniques ont pu être consultés, mais ni mots de passe ni données bancaires, d’après l’enseigne.
Les autorités danoises alertent sur une fuite de données du registre national de la population (CPR), qui concerne environ 8,8 millions de personnes. Selon l’annonce du registre, des attaquants ont détourné l’accès légitime d’une société privée danoise.
Le 3 octobre, la Région Hauts-de-France a révélé à l’AFP une cyberattaque visant deux de ses prestataires, Atexo et Docaposte, qui a donné accès à des données personnelles traitées pour son compte. Selon la Région, son propre système informatique n’a pas été attaqué.
Le Conservatoire national des arts et métiers (Cnam) annonce avoir été victime le 2 octobre d’un acte malveillant ayant entraîné une fuite de données. L’incident concerne des élèves ou anciens élèves et des enseignants intervenant dans les centres en région.
Le 1er octobre, le cluster OPEN NC a organisé la 5e édition de HacKagou au Domaine Nouméa. La journée a mêlé conférences et ateliers le matin, puis une compétition d’énigmes de cybersécurité l’après-midi, selon Radio Rythme Bleu.
Dix faits marquent le mois de septembre 2026, de Pronote hors service à Wallis-et-Futuna à l’ouverture de la plateforme européenne de signalement du Cyber Resilience Act. Chacun renvoie à sa dépêche.
La police néerlandaise a confirmé le 28 septembre qu’un homme de 24 ans, d’Amsterdam, a été arrêté ce mois-ci dans le cadre d’une enquête sur le groupe ShinyHunters. Il doit comparaître le lendemain devant le tribunal de Rotterdam, où d’autres informations doivent être données.
Keio Corporation, grand exploitant ferroviaire de l’agglomération de Tokyo, a confirmé au petit matin du 26 septembre une attaque par rançongiciel sur les serveurs de son groupe. Le réseau a été coupé pour limiter les dégâts, et selon l’entreprise la circulation des trains n’est pas touchée.
La plateforme d’échange de cryptoactifs Bitget indique que l’attaquant a lancé les premiers transferts non autorisés le 24 septembre à 18 h 31 UTC, depuis des portefeuilles chauds et tièdes. Elle affirme que les soldes des comptes restent exacts et que les retraits ont été bloqués à titre de précaution.
La CISA américaine a mis à jour son catalogue des failles exploitées pour indiquer que CVE-2026-63077, une faille critique de JetBrains TeamCity corrigée le 25 juillet, est désormais utilisée par des groupes de rançongiciel. Les serveurs TeamCity non corrigés exposés sur Internet restent la cible.
Selon l’état des informations de ce jour, l’éditeur japonais Helpfeel a confirmé le 16 septembre qu’un tiers avait accédé à la base de Gyazo, son service de partage de captures d’écran. Environ 23,62 millions d’enregistrements d’utilisateurs et 490 millions d’enregistrements de métadonnées d’images ont été divulgués.
L’université Ludwig-Maximilian de Munich (LMU) annonce le 19 septembre qu’un attaquant a accédé à des données d’immatriculation stockées dans l’un de ses systèmes. Elle doit supposer que ces données ont été consultées et conseille la vigilance aux personnes concernées.
Lors de la conférence LABScon, le groupe de renseignement sur les menaces de Google a présenté l’infiltration de TeamPCP, groupe cybercriminel connu pour ses compromissions en cascade de logiciels libres. Selon WIRED, un analyste de Mandiant a siégé dans le cercle restreint du groupe dès mars.
La néobanque Revolut a confirmé le 12 septembre avoir communiqué des données sensibles de certains clients à un tiers non autorisé, qui s’était fait passer pour une agence gouvernementale. Selon Numerama, les détenteurs présumés des dossiers ont commencé à publier des échantillons supposés le 13 septembre.
Les obligations de signalement du règlement européen Cyber Resilience Act s’appliquent aux fabricants depuis le 11 septembre 2026. L’ENISA a mis en service ce jour-là la capacité opérationnelle initiale de sa plateforme unique de signalement.
Un faux article circule sur les réseaux et utilise le nom de la CCI Nouvelle-Calédonie, du CIPAC et des Nouvelles Calédoniennes pour promouvoir une plateforme appelée « Ample Négocelle ». La CCI-NC dément toute implication et décrit un schéma classique d’arnaque financière.
La société CloudSEK publie une enquête sur BigBear 2.0, un service d’hameçonnage loué à des cybercriminels, qui cible Microsoft 365. Il intercepte le mot de passe et la session ouverte, ce qui lui permet de passer outre la double authentification classique.
Le jeudi 3 septembre, Internet a ralenti en Polynésie française. Selon Vini, un incendie survenu à Oahu (Hawaï) a endommagé une partie des infrastructures de son prestataire sur place, ce qui touche la connectivité internationale.
Depuis la cyberattaque détectée le 28 août au vice-rectorat de Wallis-et-Futuna, les utilisateurs de Pronote rencontrent des difficultés d’accès. Le suivi scolaire des élèves est perturbé et des conseils de classe sont reportés, selon ETV.
Coder indique qu’un acteur malveillant a ajouté des adresses IP non autorisées au pool de son registre de modules, qui ont servi des artefacts contenant du code malveillant. Les équipes qui ont téléchargé des modules le 31 août entre 07 h 35 et 21 h 45 UTC doivent vérifier leurs déploiements et renouveler leurs secrets.
Dix faits marquent le mois d’août 2026, du faux SMS d’amende en Nouvelle-Calédonie à la cyberattaque du vice-rectorat de Wallis-et-Futuna. Chacun renvoie à sa dépêche.
Le 29 août, Boston Scientific indique que son enquête, menée avec CrowdStrike, ne relève aucun impact sur ses systèmes et applications dans le cloud. Fabrication et expéditions de commandes restent toutefois perturbées depuis l’incident identifié le 25 août.
Le vice-rectorat de Wallis-et-Futuna indique avoir détecté, le 28 août, une cyberattaque qui perturbe une partie de ses systèmes informatiques. Selon les relevés de presse, la messagerie académique et Pronote figurent parmi les services touchés ; les autorités ont été saisies.
Manchester Airports Group indique avoir subi en août 2026 un incident de cybersécurité : des données de réservations de parking, de salons et de Fast Track, et d’inscriptions au Wi-Fi des aéroports ont été obtenues. Le groupe affirme que ni coordonnées bancaires ni opérations aéroportuaires ne sont concernées.
Le 25 août, l’opérateur TeleCoop France indique que des tiers ont contourné, les 18 et 19 août, l’authentification de sa plateforme Metabase et volé des données. Les développeurs de Metabase avaient communiqué sur cette vulnérabilité, correctifs en main, dès le 6 août.
L’agence norvégienne du numérique, Digdir, subit depuis la nuit de dimanche à lundi une attaque par déni de service distribué contre ses services communs. Selon l’état des informations de ce jour, elle ne relève aucune indication d’intrusion ni de fuite de données.
Solimut indique avoir identifié, en début de journée ce dimanche 23 août, une cyberattaque ayant entraîné une violation de données personnelles. Une annonce de vente de données publiée la veille évoque un volume très supérieur, dont le périmètre réel reste à établir.
Des données personnelles d’anciens usagers d’un logiciel français de recueil de données vaccinales ont pu être exposées chez un sous-traitant, SYADEM. La Direction de la santé précise que l’outil n’était plus exploité depuis 2023 et que l’incident est résolu.
Le groupe de rançongiciel Clop revendique le vol de données chez GE, Philips et Shell, parmi 43 nouvelles victimes annoncées. GE dit évaluer la revendication ; Philips parle d’une tentative de compromission contenue, sans effet sur ses clients.
SafePal indique qu’un défaut d’autorisation dans la fonction de suivi de commande d’un plug-in a permis d’accéder sans autorisation aux informations de commande d’environ 39 798 clients. L’entreprise précise que les phrases de récupération, clés privées et mots de passe de portefeuille ne sont pas concernés.
Dans un communiqué du 14 août, Bercy indique que des accès illégitimes au système d’information de la DGFiP, intervenus en juin et juillet, ont servi à consulter et extraire des données concernant 678 000 particuliers et professionnels. Le ministère dit que les espaces en ligne et les mots de passe des usagers n’ont pas été compromis.
Santé publique France a confirmé la cyberattaque de moncoupon.santepubliquefrance.fr, sa plateforme de commande de documents de prévention, après une revendication sur le darknet le 11 août. Selon son porte-parole, près de 80 000 données de contact sont concernées et aucune donnée de santé n’est en cause.
La DGCCRF annonce qu’un accès frauduleux à un compte professionnel a permis de récupérer des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel. Selon elle, aucune autre donnée personnelle (nom, adresse) n’a été divulguée et la base Bloctel elle-même n’a pas été compromise.
Selon Radio 1, des SMS frauduleux se faisant passer pour la gendarmerie, Fare Rata, la DRAJ ou Air Tahiti circulent sur les téléphones polynésiens, et la vague s’est nettement amplifiée ce lundi 10 août. Les autorités n’ont pas encore de bilan du nombre de personnes ciblées ni de victimes.
L’exploitant de la chaîne financière sud-coréenne 3PRO TV indique, dans un avis publié le 9 août, qu’un acteur externe a consulté sans autorisation des informations d’utilisateurs de son application mobile. Il estime l’exposition à environ 460 000 enregistrements et affirme que les abonnés de la chaîne YouTube ne sont pas concernés.
Kaspersky publie une alerte sur Head Mare, un groupe qui exploite deux failles d’un serveur de visioconférence TrueConf non mis à jour. Les attaquants remplacent le programme d’installation du client par une version infectée qui installe la porte dérobée PhantomCore.
Metabase annonce que son service Metabase Cloud a été attaqué par une faille de sécurité jusque-là inconnue, qui permet d’injecter du SQL dans la base de l’application et d’obtenir un accès administrateur. Les clients du cloud sont déjà protégés, mais les installations auto-hébergées peuvent être vulnérables et doivent être mises à jour.
Le gouvernement de la Nouvelle-Calédonie a publié le 4 août les résultats de l’analyse technique de la campagne de SMS de fausses amendes, qui usurpe service-public.nc et la direction des Finances publiques. Selon ce communiqué, le faux site transmet les premiers chiffres de la carte bancaire à un opérateur distant avant même la validation du formulaire.