Un congélateur de supermarché en Estonie a atteint 50 °C cette semaine, et ce n’était pas un dysfonctionnement, mais une cyberattaque. Six pays ont été touchés pendant la nuit. Des magasins en Irlande ont retiré tous leurs aliments réfrigérés, un boucher en Belgique a jeté des centaines de kilos de viande, et certaines de ces entreprises utilisaient encore des mots de passe par défaut en 2026. C’est ce que les gens ne comprennent pas à propos de la cybersécurité : il ne s’agit plus seulement de votre crypto ou de vos mots de passe. Quelqu’un assis dans une pièce quelque part peut gâcher la totalité de la chaîne alimentaire d’un pays avec un ordinateur portable. La prochaine cyberattaque ne videra pas votre wallet, elle pourrait vider votre réfrigérateur.

Quelqu’un peut déverrouiller votre téléphone avec une photo imprimée de votre visage, et la plupart d’entre vous ne le savent même pas. La plupart des téléphones Android utilisent une caméra 2D basique pour le déverrouillage facial, sans infrarouge, sans détection de profondeur, juste une correspondance d’image plane. Des chercheurs démontrent depuis des années qu’une simple photo suffit à le contourner. C’est cette « sécurité » qui protège vos applications bancaires, vos wallets de crypto, vos phrases secrètes, votre vie entière. Et à chaque fois que vous l’utilisez, votre caméra avant traite une image de votre visage et la stocke localement dans des dossiers système que vous n’avez jamais ouverts. Non chiffrée, non protégée, simplement là. Si vous utilisez le déverrouillage facial sur un appareil qui n’est pas un flagship avec une détection de profondeur adéquate, passez dès aujourd’hui à l’empreinte digitale ou à un code PIN robuste. Votre visage est le seul mot de passe que vous ne pourrez jamais réinitialiser.

L'application que vous avez téléchargée pour protéger vos comptes aurait pu être la raison pour laquelle vous avez été piraté. Microsoft Authenticator sur Android présentait une vulnérabilité permettant à des applications malveillantes de voler vos jetons d'accès au compte professionnel sans nécessiter aucune autorisation. C'est une application installée sur votre téléphone qui fait ce qu'elle veut. La faille se trouvait dans le composant broker, soit la partie chargée de gérer l'authentification entre les applications. Elle ne vérifiait pas correctement, permettant à n'importe quelle application de se présenter et de récupérer vos jetons comme s'ils lui appartenaient. Microsoft a déjà corrigé cette faille (CVE-2026-80097, CVSS 8.6, soit une gravité élevée), mais si vous n'avez pas mis à jour récemment votre application Authenticator, vous pourriez toujours être exposé. C'est ce qui me choque. Les gens installent des applications d'authentification parce qu'on leur dit que c'est la chose sûre à faire, et c'est effectivement le cas. Mais quand l'outil de sécurité lui-même présente une faille, la plupart des gens n'auraient jamais pensé à vérifier. Mettez à jour vos applications. Pas seulement votre système d'exploitation, mais aussi vos applications. Surtout celles dont vous faites le plus confiance. Car ce sont celles auxquelles vous cessez de prêter attention.

J’ai publié un post sur ce qui se passait sur internet il y a quelques jours, et il a atteint 2,3 millions de vues. Depuis, la situation s’est aggravée. Cette vulnérabilité Brotli qu’OpenAI a découverte par accident ? Elle a évolué. On la nomme désormais HTTP2Shell, et elle affecte tous les principaux navigateurs, tous les systèmes d’exploitation, ainsi que des applications comme Discord, Slack, VS Code, 1Password. Les correctifs ne sont même pas encore disponibles pour tout. Le PDG de Cloudflare a déclaré : « Chaque semaine, ça va faire comme si le ciel tombait. » Polymarket a même ouvert un marché de paris sur le fait que davantage de failles majeures seront dévoilées ce mois-ci. Des pirates ont utilisé des modèles d’IA pour automatiser des attaques simultanées contre plus de 400 banques en Amérique latine, 24 heures sur 24, sans pause. X avait une faille permettant de se connecter au compte d’un inconnu en saisissant simplement votre numéro de téléphone. Le wallet matériel Keystone a été compromis via leur API Shopify ; les noms et adresses des clients ont été divulgués. Une entreprise japonaise du cloud a perdu 27 000 serveurs, et le Japon a activé pour la première fois une défense cybernétique de niveau militaire. Mettez à jour votre navigateur. Mettez à jour vos applications. Changez vos mots de passe. Activez l’authentification à deux facteurs partout. Octobre n’est pas encore terminé avec nous.

Un développeur vient de placer 2 000 $ en bitcoin sur un serveur présentant une vulnérabilité PHP et a défie toute l’internet de le voler. 17 heures plus tard, l’argent est toujours là. Les gens essaient de saturer le serveur, mais personne ne parvient à exploiter la vulnérabilité. Rappelez-vous quand j’ai posté sur Marcus Hutchins dénonçant toutes ces exploits falsifiés générés par l’IA sur GitHub ? Voici la preuve. La vulnérabilité est réelle. Mais l’utiliser effectivement est une toute autre histoire. 2 000 $ reposent sur un serveur défectueux, et toute l’internet ne peut pas les toucher.

Un seul bug a mis chaque navigateur, chaque système d’exploitation et presque toutes les applications que vous utilisez en danger d’être piratées. La vulnérabilité du bug Brotli, découverte accidentellement par OpenAI lors d’un test de red teaming de ses propres systèmes, a évolué de « node2shell » à ce que les chercheurs appellent désormais HTTP2Shell, et l’impact est énorme. Nous ne parlons plus d’une seule bibliothèque. Nous parlons de tous les principaux navigateurs : Chrome, Edge, Firefox. Tous les systèmes d’exploitation, y compris iOS. Les applications Electron comme Discord, Slack, VS Code, 1Password, Notion. Les outils d’image, les lecteurs PDF, les logiciels d’archivage, les applications AI de bureau, même curl. En bref, si cela touche Internet ou gère des données compressées, il est probablement concerné. Le CVE original CVE-2026-111497 était déjà grave : exécution de code à distance sans authentification via des données compressées malveillantes. Mais le champ d’application vient de s’étendre à presque tout ce que vous utilisez quotidiennement. Les correctifs ne sont même pas encore disponibles pour tous les services concernés. Mettez à jour tout de suite. D’abord les navigateurs, puis les applications de bureau, puis les outils de développement. Si une mise à jour est proposée aujourd’hui, ne posez pas de questions, installez-la simplement. Internet repose sur une fondation fissurée et les fissures viennent de devenir bien plus grandes.

Cet informaticien vient juste de sauver toute une entreprise d’une attaque de ransomware à minuit, et cette histoire est folle. Le gars regardait littéralement Netflix quand son téléphone a commencé à s’affoler avec des alertes serveur. Il s’est connecté à distance et a vu les fichiers de l’entreprise changer de nom un par un en temps réel, tout devenant un charabia incompréhensible. Ce type a saisi ses clés de voiture et a conduit jusqu’au bureau comme un fou. Il est arrivé à 00h20, dans le noir complet, et a retiré à la main les câbles LAN de 40 ordinateurs, les mains tremblantes. Le message de rançon sur chaque écran ? Payez-nous l’intégralité de votre bénéfice mensuel en bitcoin dans les 72 heures. Son patron l’a appelé et lui a dit de payer, on a besoin de ces fichiers pour lundi. Il a répondu non. Les entreprises qui paient sont ciblées à nouveau. Il a tenté de restaurer à partir des sauvegardes, mais le serveur de sauvegarde avait aussi été touché. Même réseau, même ransomware. Le gars dit que son esprit est devenu complètement blanc. Mais il avait une dernière carte à jouer. Chaque mercredi, en rentrant chez lui, il faisait manuellement une sauvegarde des données de l’entreprise sur un disque dur externe qu’il gardait dans son tiroir de bureau. Un réflexe qu’il avait failli arrêter parce qu’il trouvait ça une perte de temps. Ce disque dur dans un tiroir a sauvé toute l’entreprise. Il a tout reconstruit pendant le week-end, et lundi matin, tous les envois ont été expédiés. Son patron a ri et dit : « Je suis content que tu n’aies pas envoyé ce bitcoin. » La semaine suivante, deux autres disques durs sont apparus sur son bureau. L’habitude ennuyeuse que personne ne veut faire était la seule chose qui ait vraiment fonctionné.

OpenAI a accidentellement découvert une faille pouvant compromettre des millions de serveurs, alors qu’ils ne cherchaient même pas à en trouver. Ils essayaient de empêcher leurs modèles d’IA d’accéder à Internet pendant l’entraînement, en créant un monde entièrement hors ligne pour eux. Pendant un test de red-team de cette configuration, ils ont découvert une vulnérabilité dans Brotli, l’une des bibliothèques de compression les plus utilisées sur Internet. Cette faille permet à un attaquant d’exécuter son propre code sur tout système affecté en envoyant des données compressées malveillantes. Aucune connexion requise, aucun compte utilisateur nécessaire. Il suffit d’envoyer les données et vous avez accès. Brotli est intégré à Node.js, Bun, Envoy, et pratiquement tout ce qui gère le trafic web compressé. La faille a été techniquement corrigée en février, mais personne ne savait à l’époque qu’il s’agissait d’un problème de sécurité. Pendant des mois, le correctif existait, mais presque personne ne l’a appliqué, car il semblait être une mise à jour routinière. Parfois, les découvertes les plus effrayantes surviennent quand on ne cherche même pas.

Ils l'appellent « Black October » et je ne pense pas que les gens réalisent à quel point c'est grave. Au cours des dernières 48 heures, plus de 27 incidents majeurs de cybersécurité ont eu lieu. Pas en un mois. Pas en une semaine. En 48 heures. L'un de ces incidents seul serait normalement la plus grande histoire de l'année. PHP : vulnérabilité critique dans le logiciel qui alimente 80 % du web. Sévérité de 9,2 sur 10. Node.js : faille de haute sévérité permettant aux attaquants de prendre le contrôle des serveurs à distance. Concerne les versions 22, 24 et 26. Java : également compromise. Trois des langages de programmation les plus utilisés au monde touchés simultanément. GitLab : faille de sévérité maximale (10/10) dans toutes les versions depuis 2014. Railway : plateforme d'hébergement compromise. Les clés API d'OpenAI, Claude et Stripe pourraient être exposées. Signal : un bogue qui pourrait laisser votre micro et votre caméra allumés après avoir raccroché. WordPress : des pirates ont volé les clés d'un créateur de plugin et ont installé des backdoors sur des sites web. LiteLLM : un outil d'IA téléchargé 3,4 millions de fois par jour a été infecté par un voleur de mots de passe. Et ce n'est même pas la moitié de la liste. Des milliers de grappes d'agents IA analyseraient et attaqueraient actuellement des serveurs vulnérables en continu, de manière automatisée. Les chercheurs en sécurité affirment que cela pourrait être les premiers stades d'un incident cybernétique mondial que personne ne comprend encore pleinement. Si vous gérez un site web, utilisez des services cloud, stockez des clés API sur des plateformes d'hébergement ou utilisez tout logiciel basé sur PHP, Node.js ou Java, vous êtes potentiellement concerné. Mettez à jour tout ce qui peut l'être. Faites pivoter vos clés API. Changez vos mots de passe sur les services critiques. Activez l'authentification à deux facteurs partout où vous ne l'avez pas encore fait. Ce n'est pas une semaine normale sur internet. C'est quelque chose de différent.

Revolut encore, mec. Une violation de données qui a exposé des noms, des adresses, des photos de passeports et l'historique des transactions crypto. Il y a quelques semaines. Un homme a potentiellement été agressé à l'arme blanche pour 800 000 $ à cause de ces données divulguées. La semaine dernière. Maintenant, une interruption de service affectant des millions d'utilisateurs aujourd'hui. « Votre argent et vos données sont en sécurité », disent-ils. À ce stade, combien de fois Revolut doit-il apparaître dans les actualités pour les mauvaises raisons avant que les gens ne commencent à poser des questions sérieuses ? Vos données sont divulguées. Votre service tombe en panne. Et tout ce que vous obtenez, c'est « Nous nous excusons pour tout désagrément ». Un vol de 800 000 $, ce n'est pas un désagrément, mec.