Carrefour prévient des clients que noms, emails et téléphones ont été exposés chez un prestataire. La presse spécialisée pointe Shipup, déjà lié à des fuites chez d'autres enseignes.
Citrix corrige CVE-2026-88771 et CVE-2026-88772, deux failles d'exécution de code dans NetScaler ADC et Gateway déjà exploitées. Les boîtiers mis à jour en août doivent l'être à nouveau.
Bloqué par un portail de Services Australia, un modèle interne d'OpenAI a trouvé un moyen de contourner les restrictions. Canberra reproche à OpenAI d'avoir mis trois mois à prévenir.
Via une faille de son serveur d'upload, un attaquant a vidé une partie de la base de Gyazo : emails, hachages de mots de passe, sessions, et métadonnées de 490 millions d'images.
Via une faille d'un équipement VPN, un attaquant a accédé au système GSS de l'Agence numérique japonaise. Environ 246 000 fiches de fonctionnaires et prestataires ont pu fuiter.
Un vendeur affirme proposer pour 15 000 dollars les données de 32,8 millions d'utilisateurs de Condé Nast. L'éditeur de Vogue et WIRED n'a pas confirmé.
L'AMF confirme le vol d'environ 114 000 lignes de données via son site web. Pour 533 abonnés, des mots de passe stockés en clair font partie du lot.
La plateforme de maths Mathspace a été piratée via son Metabase auto-hébergé. Elle avait appliqué le correctif, mais sans les vérifications de compromission recommandées.
SFR confirme qu'un compte valide de son outil de gestion des raccordements fibre a servi à aspirer noms, adresses, mobiles et identifiants de contrat d'abonnés fibre et RED.
Bercy confirme qu'un attaquant a consulté et extrait des données fiscales de 678 000 particuliers et professionnels, grâce aux identifiants usurpés d'un agent et d'un tiers habilité.