Le 4 novembre 2026, Debian et Ubuntu publient des correctifs pour CVE-2026-109518, une faille critique d’APT qui permet à un attaquant en position d’intermédiaire de remplacer un paquet déjà vérifié par le sien, puis d’exécuter du code en root. Mettez à jour apt dès aujourd’hui et basculez vos sources en HTTPS tant que tous vos hôtes ne sont pas corrigés.
Le 21 octobre 2026, Kaspersky révèle l’opération FlashHole : le groupe Lazarus nord-coréen utilise ML-KEM-1024, le standard post-quantique approuvé par le NIST, pour chiffrer la communication avec son C2 et masquer la charge finale. La cryptographie pensée pour survivre aux ordinateurs quantiques sert désormais à aveugler les analystes d’aujourd’hui : revoyez votre détection réseau si votre modèle de menace inclut la Corée du Nord.
Le 13 octobre 2026, Ivanti corrige CVE-2026-104935, un contournement d’authentification exploité en zero-day sur ses passerelles VPN Connect Secure, que Volexity relie à une chaîne de trois failles menant au root. La compromission ne laisse aucune trace détectable par l’outil d’intégrité du constructeur : il faut patcher en urgence et vérifier forensiquement chaque appliance.
Le samedi 5 septembre 2026, la clé PGP qui signe les dépôts APT et RPM de GitHub CLI expire, et toute installation de gh faite avant le 8 avril sans mise à jour de la keyring commencera à échouer. Vérifiez votre keyring locale avant la date butoir et ajoutez la nouvelle clé 7F38BBB59D064DBCB3D84D725612B36462313325.
Le 31 août 2026, Sygnia a documenté comment l’APT chinoise Fire Ant, qui recoupe UNC3886, abandonne les hyperviseurs VMware pour détourner les routeurs Cisco IOS XR et capter le trafic qui les traverse. Un tunnel GRE actif mais absent de la configuration suffit à changer un routeur de transit en plate-forme de collecte — et impose d’auditer ces équipements comme des points d’observation, pas comme de simples sauts.
Le 26 août 2026, le ministère américain de la Justice et le FBI ont saisi les domaines de QScan et QTRouter, deux plateformes du groupe chinois QTFY qui masquaient l’origine des intrusions contre les infrastructures critiques américaines. La leçon dépasse l’actualité : l’obfuscation réseau est devenue un service industrialisé, et elle se coupe là où l’attaquant a le moins de redondance.
Kaspersky a découvert une nouvelle variante du backdoor CoolClient équipée d’un pilote noyau signé qui masque processus, fichiers, clés de registre et connexions réseau. Le groupe HoneyMyte (Mustang Panda) l’utilise contre des administrations en Asie — sa détection exige une télémétrie au niveau du noyau.
