« Black October » : ce qu’il s’est passé, expliqué simplement

par | Oct 25, 2026 | Cybersécurité, ISO 27001

Le chaos dans la Cyber

Mercredi 21 octobre 2026, des sites de préfectures, de Bercy et de Météo-France ont affiché une page de maintenance. Ils n'avaient pas été piratés. Ils ont été coupés par précaution, à la demande de l'ANSSI. L'Allemagne, les Pays-Bas et la Finlande ont fait de même.

Ce jour-là, et dans les jours autour, les incidents cyber se sont enchaînés. Sur les réseaux, certains ont parlé de « Black October ». Le surnom n'a rien d'officiel. Les faits, eux, sont bien documentés, et ils tournent tous autour d'un même sujet : l'IA accélère à la fois la découverte des failles et leur exploitation.

PHP2Shell : une faille cachée depuis plus de dix ans

PHP est un langage informatique. Il fait tourner WordPress, Drupal, Joomla, et environ 7 sites web sur 10 parmi ceux dont la technologie est connue, selon W3Techs.

Deux failles y ont été découvertes. Une faille, c'est une porte mal fermée. Celle-ci permettait de prendre la main sur un serveur à distance, sans mot de passe. Note de gravité : 9,2 sur 10. Le code fautif était présent depuis plus de dix ans.

Ce qui rend l'histoire particulière : c'est une IA qui l'a trouvée.

  • Un chercheur de l'entreprise Calif l'a repérée en août, avec l'aide d'un modèle d'OpenAI.
  • Ce type de bug avait été signalé il y a longtemps, puis oublié, parce que jugé trop difficile à exploiter.
  • Selon Wiz, un seul chercheur équipé d'IA a fait en une semaine ce qui aurait demandé des mois à une équipe d'élite.

Le secret devait tenir jusqu'au 22 octobre. L'information a fuité sur un forum deux jours avant. PHP a avancé son correctif au 21.

En France et en Europe, on a préféré débrancher.

  • Le ministère de l'Intérieur a mis ses sites exposés en maintenance préventive, à la demande de l'ANSSI. Aucun n'a signalé d'intrusion.
  • En Allemagne, l'agence informatique fédérale a désactivé plusieurs sites par précaution. La Finlande a coupé des services web de l'État, les Pays-Bas des portails publics.
  • La CNIL, le parlement néerlandais ou encore DeviantArt ont aussi coupé ou basculé en lecture seule.
  • L'agence cyber de l'Union européenne et son équivalent britannique ont conseillé de mettre hors ligne tout système impossible à corriger tout de suite.

Les attaquants n'ont pas attendu. Cloudflare a compté des dizaines de milliers de tentatives 45 minutes après l'annonce, puis des millions le lendemain. Des tentatives avaient même été repérées plusieurs jours avant que les failles soient rendues publiques.

Le 23 octobre, plus de 34 millions de services PHP restaient vulnérables. Au 24 octobre, aucun piratage réussi n'était encore confirmé publiquement... mais un site déjà piraté avant la mise à jour, le reste après.

Votre plateforme de conformité dopée à l'humain BASILIS

Des agents IA qui piratent seuls, pour 50$

Pendant que les défenseurs utilisent l'IA pour trouver des failles, les attaquants l'utilisent pour les exploiter.

Selon une enquête de Reuters publiée le 19 octobre, un hacker sinophone a confié une campagne entière à des agents IA du commerce :

  • Depuis le 25 septembre, ses agents ont tenté de s'introduire dans plus de 1 200 sites, aux États-Unis, au Canada, en Australie et au Japon.
  • Plus de 100 entreprises ont été touchées, dont Deere (machines agricoles), SharkNinja (électroménager) et Cummins (moteurs).
  • Ses instructions tenaient en moins de 100 caractères chinois. Les agents ont fait le reste, en environ 23 heures par intrusion réussie.
  • Coût estimé par le chercheur de NorForge qui a suivi l'opération : environ 5 000$ au total, soit 50$ par intrusion réussie.

Deere indique n'avoir aucun signe d'accès à des données sensibles. Cummins enquête sur un site géré par l'un de ses prestataires. Reuters n'a pas pu établir combien de données ont été volées.

Entrer sans mot de passe

Selon Microsoft, un groupe aligné sur l'État chinois a utilisé des agents IA pour viser plus de 2 250 environnements Microsoft 365 d'entreprises. Pékin dément régulièrement ce type d'accusation.

Le mécanisme mérite d'être compris, parce qu'il ne demande aucun mot de passe :

  • Les attaquants passent par ConnectWise, et notamment son application de sauvegarde, déjà autorisée par ses clients à accéder à leur compte Microsoft 365.
  • L'application étant déjà autorisée, personne n'a besoin de se connecter. La double authentification ne se déclenche donc jamais.
  • Dans plusieurs cas, moins de trois heures ont suffi pour obtenir des droits d'administrateur.

À retenir : une application que vous avez autorisée sur votre compte n'a pas besoin de votre mot de passe.

Pendant ce temps, ailleurs

  • GitLab (outil de développeurs) : une faille notée 10 sur 10, présente dans toutes les versions depuis la 7.0.
  • Zeabur (hébergeur) : 321 810 comptes et environ 3,2 millions de secrets techniques exposés. L'entreprise ferme d'ici fin décembre. Les accès utilisés venaient probablement d'une première attaque en août, jamais complètement nettoyée.
  • Railway (hébergeur) : clés d'accès clients possiblement lues, déploiements suspendus, tous les clients invités à changer leurs clés.
  • LiteLLM (outil d'IA très utilisé par les développeurs) : une version piégée avec un voleur de mots de passe est restée en ligne environ deux heures. C'est la deuxième fois cette année.
  • eMudhra (autorité qui garantit l'authenticité des sites) : huit clés étaient de simples petits nombres, comme 4 ou 56, au lieu de nombres immenses. Chrome, Firefox et Safari les ont bloquées.
  • Signal : un bug pouvait permettre à un participant malveillant de continuer à vous entendre après la fin d'un appel. Il fallait être dans l'appel pour l'exploiter, et le chiffrement des messages n'est pas en cause. Le correctif est sorti.

Les banques s'adaptent aussi. JPMorgan bloque désormais les agents IA externes sur les comptes de ses clients particuliers, et Bank of America a recruté 1 000 consultants pour corriger ses failles logicielles.

Ce qu'il faut retenir pour votre entreprise

Les attaquants ne sont pas plus malins. Ils vont plus vite, ils testent beaucoup plus de portes à la fois, et ça leur coûte de moins en moins cher. Le délai entre « faille publiée » et « faille exploitée » se compte maintenant en heures.

Regardez la liste de nouveau : ConnectWise, Zeabur, Railway, LiteLLM, eMudhra, le prestataire de Cummins. Presque tous ces incidents touchent un fournisseur. Les victimes finales n'ont rien fait de travers chez elles... c'est un outil de confiance qui a lâché.

Et le cas Zeabur résume le reste : la première attaque était gérable. C'est l'absence de ménage derrière qui a coûté l'entreprise.

Ce que vous pouvez faire dès cette semaine :

  • Mettez à jour téléphones, navigateurs et applications, Signal compris : les correctifs sont sortis.
  • Faites le tri dans les applications autorisées sur vos comptes Google et Microsoft. Retirez celles que vous n'utilisez plus.
  • Vous avez un site WordPress ? Demandez à votre hébergeur s'il est passé à PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
  • Activez la double authentification sur vos boîtes mail, et rangez vos mots de passe dans un gestionnaire.

Et quatre questions à vous poser :

  • Savez-vous quels outils vous utilisez ? Votre site, votre hébergeur, les outils de vos prestataires, les applications connectées à vos comptes.
  • Qui les met à jour, et en combien de temps ? Un correctif installé une semaine plus tard, c'est trop tard.
  • Qui change les accès quand un fournisseur est touché ?
  • Pouvez-vous couper un service vite, comme l'ont fait les préfectures, sans tout bloquer ?

Ce sont aussi les questions que vos clients grands comptes posent dans leurs questionnaires de sécurité. Y répondre ne vous rend pas invulnérable. Ça prouve que vous savez où sont vos portes, et qui les ferme.

Et Basilis dans tout ça ?

Un consultant cyber vous guide, mais il ne surveille pas vos outils au quotidien. Une plateforme de conformité surveille, mais elle ne vous guide pas. Basilis fait les deux.

D'abord, vous écrivez vos règles : qui installe les mises à jour, sous quel délai, qui retire les accès quand un collaborateur part ou qu'un fournisseur est touché. La plateforme vous aide à les rédiger.

Ensuite, Basilis se connecte à vos outils (Scaleway, AWS, Google Workspace, Slack, Notion...) et vérifie chaque jour que ce qui est configuré correspond à ce que vous avez déclaré. Vous vous êtes engagés à une sauvegarde toutes les deux semaines ? En cas d'écart, vous êtes alerté, avec un plan de remédiation. Nos connecteurs sont en lecture seule : Basilis ne touche jamais à vos outils, c'est votre équipe qui agit.

Sur le Pack Complet, Melvin, notre expert cyber, vous accompagne de A à Z pour construire ces règles et les tenir dans la durée.

Ça ne vous protège pas de la prochaine faille : être conforme n'est pas être invulnérable. Mais le jour où elle tombe, vous avez la réponse sous la main : quels outils sont concernés, qui doit agir, et ce qui a été fait.

Sources