Rubrique

Info

Sécurité, fuites, régulation. Ce qui se décide et ce qui casse, expliqué sans panique.

InfoOn a lu la doc

Amende CNIL de 7 millions d'euros contre Fnac : des traceurs dans l'application mobile malgré le refus

Le 22 octobre 2026, la CNIL inflige 7 millions d'euros à deux sociétés du groupe Fnac Darty pour un traceur de l'application mobile Fnac. Six millions visent FNAC DARTY PARTICIPATIONS ET SERVICES, un million vise FNAC DIRECT. Lors d'un contrôle le 6 mars 2024, ce traceur envoyait encore un identifiant et les produits consultés après un clic sur « Continuer sans accepter ». L'amende vise ce manquement. Elle ne dit pas si l'application proposée au téléchargement en novembre 2026 se comporte encore ainsi.

8 min de lecture

InfoEt concrètement ?

WordPress 7.1.4 : le billet dit de mettre à jour tout de suite, l'avis parle d'un risque faible

Le 28 octobre 2026, le billet officiel de WordPress 7.1.4 demande de mettre les sites à jour immédiatement. Il ne donne ni gravité ni numéro de faille, et il écrit que les correctifs pour les anciennes versions sont encore en cours. L'avis de sécurité du 29 octobre classe le problème principal comme faible, indique qu'aucun numéro public n'est connu, et liste déjà vingt-cinq versions corrigées, de la 7.1.4 à la 4.7.39.

7 min de lecture

InfoOn a lu la doc

Jenkins : le bordereau dit important, l'avis range deux fiches en medium

L'avis du 28 octobre 2026 annonce 15 failles du cœur, 13 high et 2 medium, à corriger en weekly 2.588 et en LTS 2.580.2. Le mot important n'y est pas. Les deux changelogs du même jour disent Important security fixes. Le weekly s'arrête là. Le LTS ajoute trois enhancements et deux corrections, dont colours. Les CVE vont de 117612 à 117626, et la page les imprime dans un autre ordre.

5 min de lecture

InfoOn a lu la doc

Cinq bordereaux du 6 octobre : le numéro haut n'est que sur trois

Les notes 3.22.2, 3.21.7, 3.20.9, 3.19.13 et 3.18.16 sont datées du 6 octobre 2026. CVE-2026-96890, signalé through le programme, n'est que sur les trois premières. CVE-2026-103620, signalé via le programme, est sur les cinq. L'erratum du 15 octobre est sur les cinq. Celui du 22 octobre n'est un erratum que sur la 3.22.2.

5 min de lecture

InfoOn a lu la doc

Tomcat : le registre est daté du 12, chaque fiche dit publique le 20

Les pages 11, 10 et 9 titrent 2026-10-12. Les sept, six et sept fiches disent rendues publiques le 20 octobre. L'AJP n'est que sur la 11. Le TOCTOU n'est que sur la 9. La page 10 envoie encore chercher le mode d'emploi de la 10.0, morte depuis le 31 octobre 2022.

5 min de lecture

InfoOn a lu la doc

Six fiches au catalogue : le panneau ne dit pas le 23 octobre ni le 3 novembre

Le 20 octobre, l'alerte CISA nomme six CVE et ne donne pas de date de retour. Le CSV du catalogue en met trois au 23 octobre et trois au 3 novembre. La case forensic triage est Oui sur deux fiches seulement, et l'une des trois du 23 octobre est à Non. Les deux SSRF Plex partagent le CWE-918 et pas la date.

5 min de lecture

InfoOn a lu la doc

PHP : quatre billets disent « only safe choice », le 23 nomme un autre numéro

Le 21 octobre, les notes de 8.5.12, 8.4.27, 8.3.36 et 8.2.35 disent qu'il n'y a pas de mitigation complète. L'avis du même jour liste des mesures, et l'avis GitHub dit qu'une option reste prudente même après le correctif. Le changelog date les quatre versions du 22, avec 90 lignes d'un côté et une de l'autre. Le 23 octobre, une note nomme CVE-2026-115560 et dit « fully protect ».

8 min de lecture

InfoOn a lu la doc

Django : l'avis a une porte, les trois fiches n'ont pas la même suite

Le 6 octobre, le journal annonce 6.1.2, 6.0.9 et 5.2.18 pour quatre CVE et un renforcement qui n'ouvre pas de nouveau numéro. Les notes de 6.1.2 ajoutent une perte de données, une boucle infinie écrite comme un bogue de 5.2, et onze puces de correctifs. Les notes de 6.0.9 et de 5.2.18 ont deux puces, et la boucle n'y est pas. Le chapeau de 6.1 dit « in 6.1 », ceux d'à côté disent 6.0.8 et 5.2.17.

6 min de lecture

InfoOn a lu la doc

nginx : le haut-parleur a cinq lignes, les deux registres n'ont pas la même suite

Le 14 octobre, la page d'actualités annonce 1.30.6 stable et 1.31.7 mainline avec les mêmes cinq CVE. Les deux journaux recopient cinq paragraphes identiques, puis le stable baisse un niveau de log et le mainline ajoute trois fonctions et le schéma RFC 9218. Les correctifs d'après ne sont pas la même liste.

5 min de lecture

InfoOn a lu la doc

GitLab : le tableau dit 19.3.5, une fiche dit toutes les 19.3

Le 12 octobre, GitLab publie 19.4.2, 19.3.5 et 19.2.8. Le tableau a vingt-quatre titres, un mot Critique, cinq High, quatorze Medium, quatre Low, et pas de numéro CVE. La fiche de la hiérarchie des work items dit que toutes les versions 19.3 sont touchées. Les listes de correctifs réimpriment deux fois les lignes Ruby, et les migrations post-déploiement ne nomment que 19.3.5.

5 min de lecture

InfoOn a lu la doc

Android : la question dit deux niveaux, le bouton n'imprime que le 1er octobre

Le bulletin d'octobre 2026, publié le 5 et mis à jour le 8, dit que le niveau 2026-10-01 ou plus haut couvre tous les problèmes de la page. La question 2 demande pourquoi le bulletin a deux niveaux de correctif. La réponse ne nomme que 2026-10-01, et la page ne contient pas de second numéro. Vingt-cinq CVE, sept critiques, et les colonnes de versions ne sont pas toutes les mêmes.

5 min de lecture

InfoOn a lu la doc

Next.js : l'affiche dit SVG, la note dit glibc, et la case CVE est vide

Le 14 octobre, l'avis GHSA-2464-fhr4-w9xw titre une exécution de code non authentifiée dans l'optimisation d'images quand des SVG sont utilisés. Le paragraphe d'impact parle d'une bibliothèque amont, d'un RCE possible, et de Linux avec glibc. Les plages touchées s'arrêtent avant 16.0.0, et la case CVE n'a pas d'identifiant.

4 min de lecture

InfoOn a lu la doc

Chrome : le ticket du 1er octobre a onze lignes, le rouleau du 6 en a 247

Le 1er octobre, le stable desktop passe à Chrome 154.0.8037.97, avec 11 correctifs, dont un critique dans WebGL. Le 6 octobre, Chrome 155.0.8059.39 aligne 247 lignes CVE : 4 critiques, 53 hautes, 122 moyennes, 68 basses. Linux n'a pas le second numéro de build, ni le 1er ni le 6.

5 min de lecture

InfoEt concrètement ?

Cyberattaque Smartbox : noms et e-mails de clients potentiellement consultés, ce qu'il faut savoir

Le 3 novembre 2026, Smartbox écrit à des clients avoir détecté un accès non autorisé à l'une de ses plateformes. Des noms et des adresses e-mail « pourraient avoir été consultées ». L'entreprise dit que les mots de passe et les coordonnées bancaires ne l'ont pas été. Aucun nombre de personnes n'est publié. Le courriel original et la page d'aide citée par une partie de la presse n'ont pas été ouverts : ce texte s'appuie sur les citations, et sur la charte et le mode d'emploi du coffret, qui ne décrivent pas l'incident. Les copies du message ne s'accordent pas sur un nouveau code des bons, ni sur le nom de l'autorité prévenue. Une revendication de juin 2026 n'est pas reliée à cette attaque par les sources qui en parlent.

22 min de lecture

InfoEt concrètement ?

Arnaque WhatsApp aux réservations d'hôtel et fuite de données Transcontinents : ce qu'il faut savoir

Le 30 octobre 2026, l'agence de voyages Transcontinents, à La Réunion, écrit que des données de réservation ont été extraites les 20 et 21 octobre : noms, e-mails, téléphones, hôtels, vols et dates. Aucune donnée bancaire, selon l'agence, dont l'outil n'en conserve pas. Des clients reçoivent des messages WhatsApp qui citent le vrai hôtel, les vraies dates et la référence de réservation, puis demandent une confirmation urgente par un lien. L'agence ne démontre pas que chaque message est fabriqué à partir de cette extraction. En octobre, le GHR a alerté sur des hameçonnages après des incidents chez Medialog et Mister Booking. En avril, Booking.com a confirmé un accès non autorisé à des informations de séjour. Aucun de ces textes ne publie un nombre de personnes touchées.

17 min de lecture

InfoEt concrètement ?

Arnaque WhatsApp : le faux vote de concours qui prend le contrôle du compte

L'OFCS suisse a reçu plus de 50 signalements en octobre 2026, la plupart aboutis : un proche demande de voter pour un enfant, le lien réclame le code à six chiffres de WhatsApp ou un scan dans « Appareils connectés ». Safeonweb a décrit la même vague en Belgique le 21 octobre. Aucune alerte française spécifique n'a été trouvée pour cette rédaction.

6 min de lecture

InfoEt concrètement ?

Piratage Illicado : des codes de cartes-cadeaux volés et déjà utilisés

Le 1er novembre 2026, un attaquant a copié des e-cartes cadeaux illicado commandées par des entreprises en 2025 et 2026 : nom du bénéficiaire, numéro, cryptogramme, montant et message. Certaines ont été utilisées avant le blocage du 2 novembre. illi&co annonce, à partir du 5 novembre, une nouvelle carte créditée du solde d'avant l'incident, sans démarche et sans frais. Le nombre total de cartes et le montant des fraudes ne sont pas publiés. Le seul chiffre donné, 3 295,76 euros, est le solde restant de 16 cartes d'une seule entreprise.

15 min de lecture

InfoEt concrètement ?

Cyberattaque au Crédit Mutuel Arkéa et Fortuneo : opérations frauduleuses confirmées, 118 millions non confirmés

Le 4 novembre 2026, le Crédit Mutuel Arkéa annonce une attaque qui a permis des opérations frauduleuses. La banque écrit que l'argent est parti de son compte propre, un compte du groupe, et non des comptes de ses clients. Elle dément que Fortuneo ait servi de porte d'entrée : le passage décrit est la plateforme d'un prestataire, dont le nom n'est pas donné. Le chiffre de 118 millions d'euros n'est pas confirmé. La banque dit seulement en valider l'ordre de grandeur. Le parquet de Paris a ouvert une enquête. Pour un client, l'effet décrit est un virement exécuté plus tard, et le risque de faux appels ou de faux SMS qui exploitent l'actualité.

14 min de lecture

InfoEt concrètement ?

Cyberattaque contre l'EFS : des chambres froides de sang piratées chez un prestataire, aucun produit altéré

Dans la nuit du 1er au 2 novembre 2026, un prestataire frigorifique de l'Établissement français du sang a subi un incident informatique. Des réglages de chambres froides ont été modifiés. L'EFS affirme qu'aucun produit n'a été altéré et qu'aucune perte n'est à déclarer. Le chiffre de 110 °C vient du Canard enchaîné : le journal parle d'une température programmée, pas d'une mesure dans les poches.

10 min de lecture

InfoEt concrètement ?

Auto-Planning confirme un piratage et conteste le décompte des plaques

La société qui fournit l'agenda en ligne de centaines de centres de contrôle technique, ainsi que de garages et d'auto-écoles, a confirmé une attaque informatique et dit avoir prévenu la CNIL. Elle conteste les volumes avancés par les sites d'alerte, proches de 14 millions de plaques et de 18 millions de personnes. Pour qui a pris rendez-vous en ligne, le risque concret est un message très précis qui se fait passer pour le centre, pour l'agence des amendes ou pour celle des cartes grises.

12 min de lecture

InfoEt concrètement ?

PHP2Shell et Fragnesia : deux failles PHP au catalogue KEV, enchaînées à une élévation root

La CISA a inscrit le 26 octobre 2026 les failles PHP CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom php2shell, à son catalogue des vulnérabilités exploitées. Le 28 octobre, la fiche de CVE-2026-46300 indique que cette faille du noyau Linux peut servir avec les deux premières à déposer des webshells PHP et à lancer des commandes en root. Les versions officielles corrigées commencent à PHP 8.2.35.

8 min de lecture

InfoEt concrètement ?

Faille critique chez Cisco : 72 heures chrono

Un contournement d'authentification dans la console qui pilote tous les pare-feux, et trois jours pour corriger. Tu es l'admin de garde. Ton téléphone vibre.

3 min de lecture