Sony Network Communications a annoncé le vol des informations personnelles de ses abonnés So-net et Plala au Japon. Les pirates ont pénétré la base de données de So-net le 19 octobre, et l’entreprise a confirmé l’incident le 27 octobre, touchant près de 2,6 millions d’enregistrements.
L’intrusion a été détectée le 23 octobre, moment où l’entreprise a mis hors ligne le serveur ciblé pour stopper les flux malveillants. Les données exposées sont nombreuses : noms, dates de naissance, genres, numéros de téléphone, adresses e-mail, et identifiants de connexion. Sur ce total, 2,14 millions de profils concernent les abonnés So-net, et 443 000 sont liés à Plala (S Course).
Il est à noter que près de 293 000 de ces dossiers appartiennent à des personnes ayant quitté les services en mars 2026 ou plus tard, car ces informations sont conservées pour le traitement des factures finales ou des demandes de support. En plus des identifiants, les attaquants ont récupéré environ 54 000 adresses e-mail et leurs mots de passe associés à quatre services de messagerie distincts.
Face à ce risque, So-net a commencé à réinitialiser les mots de passe des adresses e-mail affectées, forçant les utilisateurs à en créer de nouveaux pour reprendre l’accès. L’entreprise explique que cette mesure est une « étape d’urgence » pour prévenir l’utilisation non autorisée des boîtes mail.
La brèche a également révélé seize enregistrements contenant des détails bancaires, incluant le nom du titulaire, le numéro de compte, le type de compte et la banque. So-net précise n’être pas en possession des codes PIN, et aucune donnée de carte de crédit n’a été compromise, car elle n’est pas stockée par le fournisseur. Le mode opératoire précis des attaquants n’a pas été divulgué ; So-net évoque un accès non autorisé par un tiers et a transmis l’incident à la Commission japonaise de protection des informations personnelles.
Des acteurs malveillants, dont l’infrastructure chevauche celle de Volt Typhoon, ont exploité une faille critique dans les contrôleurs SD-WAN de Cisco pour injecter le malware KeyDrift, selon les rapports de Cisco Talos. Cette vulnérabilité, identifiée sous le nom de CVE-2026-20127, permet à un attaquant d’accéder à des privilèges administratifs à distance, et ce, sans avoir besoin de fournir d’identifiants. Le score CVSS est de 10.
Cisco avait émis un avis de sécurité en février 2026 concernant cette faille dans les composants comme le Catalyst SD-WAN Controller, le Manager ou le Validator. Le mécanisme d’authentification par peering n’était pas correctement implémenté. Un attaquant pouvait exploiter cette faiblesse en envoyant des requêtes spécialement construites. Un succès permettait de se connecter comme un utilisateur interne disposant de hautes permissions, donnant ensuite accès à NETCONF, outil qui permet de manipuler l’architecture complète du réseau SD-WAN.
L’ombre de Volt Typhoon et l’espionnage ciblé
Il ne s’agit pas d’un simple abus de service. Les recherches de Black Lotus Labs, qui surveille le réseau « Silent Train » depuis fin 2023, montrent que ce réseau, utilisé par Volt Typhoon pour cibler des entités américaines, semble être en lien avec cette exploitation. Talos a estimé avec une forte certitude que l’infrastructure des acteurs attaquant avec KeyDrift « chevauche considérablement le réseau d’accès furtif Silent Train de Volt Typhoon ». Il ne dit pas que les deux groupes sont identiques, mais le recoupement est significatif.
Ce malware, KeyDrift, est conçu pour assurer une persistance auprès des opérateurs. Son module principal, PolyFlame, agit comme une porte dérobée capable de relayer des commandes vers d’autres machines en tant que nœud C2 intermédiaire. Quant à LittleFilch, il est chargé de récolter les matériaux de chiffrement, ce qui signifie que les attaquants peuvent siphonner les clés protégeant le trafic au niveau du plan de données. Les cibles identifiées par Lumen incluent des opérateurs télécoms, des entreprises de défense, des fournisseurs de satellites et des entités gouvernementales. Ces secteurs sont névralgiques en période de crise géopolitique, notamment dans la région Indo-Pacifique.
La menace de l’exploitation persistante
Lumen a noté que Volt Typhoon utilisait cette vulnérabilité CVE-2026-20127 bien après la divulgation initiale par Cisco. Leur stratégie, axée sur les plateformes de gestion et les systèmes du plan de contrôle, vise clairement à s’établir durablement dans l’infrastructure d’une organisation. Au-delà de l’espionnage lié aux opérations militaires, des documents sur les structures réseau et les opérations militaires auraient été exfiltrés, selon Mike Horka, chercheur chez Lumen.
Les conséquences sont lourdes : la capacité à lire le trafic chiffré d’un réseau entier, sans jamais avoir besoin de passer par une authentification valide, est un atout majeur pour les services de renseignement. L’absence de contournement officiel, soulignée par Cisco, rend la mise à jour indispensable.
Que faire maintenant
Pour les administrateurs de systèmes impactés, l’action est immédiate. Il faut impérativement appliquer les mises à jour logicielles fournies par Cisco pour corriger le défaut de peering d’authentification. En attendant, Cisco conseille vivement aux équipes d’auditer méticuleusement les fichiers auth.log sur les contrôleurs exposés. Il faut vérifier les entrées d’acceptation de clés publiques pour des connexions venant d’adresses IP inconnues, et comparer ces adresses avec l’inventaire des systèmes autorisés dans l’interface de gestion. Si un doute persiste sur une connexion, l’article de Cisco insiste sur la nécessité d’utiliser la commande admin-tech pour préparer un dossier à fournir au Centre d’Assistance Technique (TAC) de Cisco.
L’écosystème des développeurs sur GitHub a connu une accélération spectaculaire en 2026. Les contributions de code ont atteint 17,9 milliards de pushes au cours des douze derniers mois, un chiffre qui dépasse la somme des années 2024 et 2025 confondues, selon les données publiées par GitHub. Ce bond n’est pas le fruit d’une simple croissance démographique, mais d’une transformation profonde des méthodes de travail. Les agents d’intelligence artificielle sont passés du statut de curiosité à celui d’outil de travail intégré, modifiant fondamentalement le rythme de production.
Les métriques montrent bien cette mutation. Parmi les nouveaux dépôts créés cette année, ceux qui incluent une configuration d’agent enregistrent en moyenne huit fois plus de commits que les dépôts équivalents qui n’utilisent pas ce type de configuration. C’est une donnée qui sonne fort : construire avec un agent dès le départ, c’est opérer à une vitesse différente.
L’intégration des agents réinvente le cycle de développement
L’adoption des agents est palpable dans les processus quotidiens. Au mois de septembre, plus de 40 % des demandes de tirage (pull requests) sont initiées en directive d’un agent. Rappelons que ce chiffre n’était qu’à 17 % en mars. L’agent n’est plus là pour suggérer une ligne de code ; il est en train de dicter la première action, laissant au développeur le rôle d’affinage et de validation finale.
Les contributeurs ne se contentent pas d’un seul modèle d’IA. En septembre, 61 % des utilisateurs de GitHub Copilot utilisaient plus d’un modèle, jonglant entre des modèles généralistes, des modèles de raisonnement profond et des modèles rapides et légers. Cette flexibilité est nécessaire pour aborder des problèmes aussi variés que le bulletin de crues en Népal, monté sur GitHub Pages, ou le développement de logiciels pour les sondes spatiales de la NASA.
On constate également une diversification impressionnante des domaines concernés. Pour la première fois, GitHub publie une ventilation par industrie, et les dépôts dans des secteurs comme l’agriculture, la construction, la santé et l’extraction minière ont tous vu leur volume croître plusieurs fois depuis 2022. Le travail est partout.
Une machine à vitesse record
Au-delà de la nouveauté apportée par l’IA, la cadence brute du développement est en hausse fulgurante. Les commits à travers tous les types de dépôts, qu’ils soient publics ou privés, ont grimpé à 34,3 milliards sur la période, soit plus du triple par rapport à deux ans auparavant. Les pull requests fusionnées ont également triplé, atteignant 1,3 milliard sur la même période, soit une moyenne de 3,5 millions par jour.
Pour soutenir cette vélocité, les mécanismes d’automatisation sont devenus des piliers. GitHub Actions a exécuté un travail 1 440 fois par seconde cette année, ce qui représente 124 millions d’exécutions par jour, soit plus du triple de l’année précédente. De plus, pour maintenir la sécurité en ligne, plus de 30 millions de demandes de Dependabot ont été fusionnées afin de mettre à jour les dépendances et limiter l’exposition aux vulnérabilités connues, doublant la cadence de 2025.
Ce rythme n’est pas uniforme. L’activité a démarré en janvier, mais a pris une envolée marquée autour de juin, lorsque, selon l’analyse des flux, une convergence de facteurs est apparue : l’amélioration des modèles sous-jacents, l’affinement des outils autour de ces modèles, et la capacité des agents à fonctionner de manière persistante, orchestrant des tâches sur plusieurs jours et utilisant intensivement le cloud.
La persistance des acteurs et les enjeux futurs
Ce mouvement massif n’est pas uniquement porté par les nouveaux projets. La persistance des contributeurs est notable. Les développeurs qui ont contribué au cours des douze derniers mois sont, en moyenne, sur GitHub depuis 36 mois. Par ailleurs, ceux qui ont ouvert une pull request en août ont plus de 75 % de chances d’avoir poussé du code en septembre. L’engagement se traduit aussi par une exploration plus large ; le développeur moyen travaille désormais sur 10 % de dépôts en plus qu’il ne le faisait un an auparavant.
L’impact sur l’open source est quantifié par une explosion des contributions publiques, qui ont atteint 2,5 milliards en 2026, soit plus du double de l’année précédente (1,12 milliard). Derrière ces chiffres, des contributeurs comme @kinlane, qui a généré plus d’un million de contributions en utilisant des flux de travail agentiques pour maintenir à jour un catalogue API, ou @kim-em, qui a maintenu la bibliothèque mathlib avec plus de 178 000 contributions, témoignent de cette nouvelle culture de contribution autonome.
Les projections de croissance de GitHub, initialement fixées sur cinq ans, sont désormais en phase de révision ; les modèles prévisionnels internes ne parviennent plus à converger sur l’évolution future, signalant une accélération imprévue de la courbe. Il faut observer comment les entreprises vont intégrer cette dynamique. Si l’open source montre une telle résilience et cette capacité d’auto-maintenance assistée par agents, la question demeure de savoir si ces gains de vélocité se traduiront par une réduction équivalente des coûts opérationnels dans les environnements d’entreprise, ou si le coût de l’orchestration de ces agents va simplement se répercuter en interne.
L’émergence de CVE-2026-97229, une vulnérabilité d’overflow ou de wraparound d’entier au sein des éditions Community et Enterprise de GitLab, est désormais officiellement cataloguée par la CISA comme étant exploitée activement. Cette faille, d’une gravité maximale (CVSS 10.0), permet à un utilisateur sans aucune authentification d’exécuter du code arbitraire directement sur le serveur GitLab, simplement en soumettant une expression régulière spécialement conçue dans une configuration CI/CD.
Les informations détaillées sur cette découverte proviennent de GitLab lui-même, qui a publié des correctifs critiques le 12 octobre 2026. L’impact est net : une validation insuffisante des expressions régulières dans le compilateur CI/CD est la cause racine. Les versions concernées sont toutes celles antérieures à 19.2.8, 19.3.5 ou 19.4.2, selon la branche.
Alpine Linux, qui utilise GitLab pour gérer son propre projet, a d’ailleurs récemment été visé, comme le rapporte The Hacker News. Bien qu’ils n’aient trouvé aucune preuve de succès de l’attaque, le fait que des acteurs malveillants tentent de tirer parti de cette lacune, même après que des correctifs aient été mis à disposition, témoigne de l’urgence de la situation. Il est difficile de ne pas y voir une attaque visant l’infrastructure source elle-même.
Ce qui est touché et la gravité réelle
La portée de cette faille est vaste, car elle ne requiert ni accès, ni privilège, pour déclencher l’exécution de code. C’est le scénario le plus redouté en cybersécurité. Les données techniques confirment que l’injection passe par une mauvaise gestion des types d’entiers lors du traitement des expressions régulières. De plus, le fait que la CISA l’ait hissée dans son catalogue KEV signifie que les agences fédérales américaines ont une échéance très courte, fixée au 1er novembre 2026, pour se conformer aux mesures de mitigation.
Ce n’est pas une question d’erreur de configuration utilisateur, c’est une défaillance fondamentale de la validation des entrées au niveau du moteur de compilation. On voit d’ailleurs que GitLab a déjà publié des détections de menaces pour aider les instances auto-hébergées à identifier les tentatives d’exploitation de CVE-2026-97229.
Que faire maintenant
La réponse n’est pas négociable. La recommandation affichée par GitLab est claire : migrer immédiatement vers les versions corrigées. Pour les utilisateurs qui gèrent eux-mêmes leur instance (auto-hébergement, self-managed), l’application des patchs est la seule voie viable pour éliminer le risque d’exécution de code non autorisé. Ceux qui ne disposent pas de la capacité d’appliquer ces correctifs doivent évaluer l’exposition de chaque actif sur Internet et, si aucune mitigation n’est disponible, envisager de cesser l’utilisation du produit, suivant les directives de la CISA.
Le maintien d’une bonne hygiène de sécurité passe par cette mise à jour rapide. Au-delà de cet incident, la présence de multiples failles critiques récemment corrigées par GitLab, comme celles concernant le Cross-site Scripting (CVE-2026-92883) ou les problèmes d’autorisation, confirme que ce type de plateforme complexe est une cible permanente.
