Cyber-assurance : les événements de la semaine du 17 au 24 octobre 2026

Cinq événements cyber de la semaine du 17 au 24 octobre 2026, dont quatre liés à la chaîne d'approvisionnement : PHP2Shell, ConnectWise, LiteLLM et Railway, n0n et Capcom. Avec l'impact pour l'assurance et les questions à poser lors des renouvellements.

Semaine du 17 au 24 octobre 2026

La semaine du 17 au 24 octobre 2026 confirme que le risque cyber circule de plus en plus par la chaîne d'approvisionnement. Quatre des cinq événements retenus ne naissent pas d'une attaque directe contre la victime, mais d'un fournisseur, d'une bibliothèque ou d'un logiciel utilisé par des milliers d'entreprises. Pour la souscription du risque cyber, l'analyse de l'assuré pris isolément ne suffit plus : ce qui compte, ce sont les dépendances communes du portefeuille.

En bref

PHP2Shell : deux vulnérabilités critiques dans le moteur PHP, exploitées à grande échelle quelques heures après le correctif.
ConnectWise Cloud Backup : une application multi-tenant compromise ouvre l'accès aux tenants Microsoft 365 des clients des MSP. Microsoft attribue l'attaque à un acteur aligné sur l'État chinois.
LiteLLM et Railway : la chaîne d'approvisionnement de l'intelligence artificielle devient un canal de vol d'identifiants.
n0n et le secteur maritime : un fournisseur informatique compromis introduit un ransomware dans plus de 40 entreprises de 18 pays.
Capcom : 11,7 millions d'enregistrements exposés, une violation de données massive mais de faible gravité par enregistrement.

Les attaques de la semaine

1. PHP2Shell : une vulnérabilité au cœur du web

Deux failles dans le moteur PHP (CVE-2026-109618 et CVE-2026-109619) permettent l'exécution de code à distance sans authentification. Elles touchent presque toutes les versions à partir de la 5.4 et permettent aussi de lire la mémoire du processus, où peuvent se trouver des identifiants et des clés API (SecurityWeek).

La divulgation était prévue le 22 octobre, mais les détails ont fuité en ligne le 20. La PHP Foundation a avancé les correctifs d'un jour et l'exploitation à grande échelle a commencé quelques heures plus tard. Selon AWS, certaines attaques étaient déjà en cours avant la divulgation publique (Risky Bulletin).

Le périmètre est immense : PHP fait tourner environ 70 % des sites web et près de la moitié d'entre eux utilisent des versions qui ne sont plus maintenues (Island). Plusieurs agences de sécurité ont conseillé d'éteindre les serveurs PHP jusqu'à leur mise à jour. La comparaison avec Log4Shell en 2021 s'impose (Dark Reading).

2. ConnectWise Cloud Backup : le MSP comme multiplicateur

Un identifiant applicatif de ConnectWise Cloud Backup (anciennement SkyKick), service de sauvegarde pour Microsoft 365 utilisé par les MSP, a été compromis. À partir du 15 octobre, l'attaquant l'a utilisé pour entrer dans les tenants des clients, en exploitant la confiance déjà accordée à l'application. Les estimations font état d'au moins 173 tenants compromis (Rescana).

ConnectWise a suspendu le service le 17 octobre et, le lendemain, également SaaS Security et Cloud Management. Au 19 octobre, les clients ne pouvaient ni effectuer de sauvegardes ni restaurer leurs données (Help Net Security).

Le 21 octobre, Microsoft a attribué l'attaque à Storm-0940, acteur aligné sur l'État chinois. Le groupe a utilisé un framework d'agents d'IA, ARTEX, pour tenter d'accéder à plus de 2 250 tenants ; dans certains cas, il a obtenu des accès privilégiés en moins de trois heures (Microsoft).

3. LiteLLM et Railway : la chaîne d'approvisionnement de l'intelligence artificielle

Le 21 octobre, la chaîne de publication de LiteLLM, bibliothèque Python qui relie les applications à différents modèles de langage, a été compromise. La version 1.107.0 publiée sur PyPI et Docker contenait un logiciel malveillant qui vole des identifiants (LiteLLM). Elle est restée disponible environ deux heures, sur un paquet téléchargé environ 23 millions de fois par semaine ; c'est le deuxième incident de ce type pour LiteLLM en 2026 (Datadog).

Le lendemain, la plateforme cloud Railway a annoncé que des attaquants avaient accédé aux variables d'environnement chiffrées de certains clients et en avaient déchiffré une partie. Elle a demandé à tous les utilisateurs de renouveler leurs clés API et leurs identifiants cloud. Selon Railway, l'attaque s'inscrit dans une campagne plus large contre les fournisseurs de services d'IA (TechCrunch).

4. n0n : un ransomware via un fournisseur du secteur maritime

Le groupe de ransomware n0n est passé du réseau d'un fournisseur informatique du secteur maritime à plus de 40 autorités portuaires, compagnies de navigation et opérateurs logistiques dans 18 pays. Les indices désignent le sud-coréen CyberLogitec, dont la moitié des victimes sont clientes. Les demandes de rançon publiées sur le site du groupe atteignent au total 1,2 milliard de dollars (Risky Bulletin).

Le délai de paiement expirait le 19 octobre et la plupart des victimes n'ont pas payé, ce qui a entraîné la publication de leurs données. C'est l'une des attaques les plus graves contre le secteur maritime depuis NotPetya.

5. Capcom : la violation de données massive

Capcom a détecté le 19 octobre un accès non autorisé aux données des comptes CAPCOM ID. 11 774 247 enregistrements comportant l'adresse e-mail et des données techniques du compte sont exposés ; aucune donnée de paiement ne semble concernée (Help Net Security). Le principal risque pour les personnes concernées est l'hameçonnage ciblé.

Autres événements à signaler

Quest Diagnostics (Santé) : violation de l'application de commandes et de résultats, déclarée à la SEC
Iwai Cosmo Securities (Finance) : accès au système de négociation en ligne, ordres non autorisés sur au moins 7 comptes
Onamae Desktop Cloud (Cloud / VPS) : logiciel malveillant installé sur plus de 26 700 serveurs virtuels
Richmond Public Schools (Éducation) : ransomware dans les 53 établissements du district
ETS / Californie (Éducation) : données de millions d'élèves dérobées sur un serveur SFTP du fournisseur

Impact pour l'assurance

Les cinq événements touchent des garanties différentes, mais trois partagent un trait : ils peuvent générer des sinistres corrélés chez de nombreux assurés d'un même portefeuille.

PHP2Shell. Garanties potentiellement activées : réponse à incident, violation de données, perte d'exploitation, éventuel arrêt volontaire des systèmes. Potentiel de cumul : élevé, la même vulnérabilité sur une grande partie du web. Point contractuel : définition de l'événement unique et agrégation des sinistres.
ConnectWise. Garanties potentiellement activées : perte d'exploitation dépendante, restauration des données, violation de données ; tech E&O pour les MSP et le fournisseur. Potentiel de cumul : élevé, une application, des centaines de tenants. Point contractuel : attribution étatique et exclusion state-backed.
LiteLLM / Railway. Garanties potentiellement activées : violation de données, vol d'identifiants, sinistres à manifestation tardive ; tech E&O pour les fournisseurs. Potentiel de cumul : moyen à élevé, concentré sur les entreprises technologiques et d'IA. Point contractuel : date de découverte et période de garantie.
n0n maritime. Garanties potentiellement activées : extorsion cyber, perte d'exploitation dépendante, violation de données. Potentiel de cumul : moyen à élevé, plus de 40 victimes dans le même secteur. Point contractuel : articulation entre la police cyber et les garanties maritimes.
Capcom. Garanties potentiellement activées : notification, gestion de crise, responsabilité en matière de données personnelles. Potentiel de cumul : faible, événement unique. Point contractuel : coût par enregistrement et cadre réglementaire applicable.

L'attribution ne suffit pas pour exclure. Le cas ConnectWise relance la question des attaques imputables à un État. Depuis le 31 mars 2023, Lloyd's impose dans les polices cyber autonomes une exclusion des attaques soutenues par un État, en plus de l'exclusion de guerre (Lloyd's, Market Bulletin Y5381). Le bulletin lie toutefois l'exclusion à un seuil d'impact : l'attaque doit compromettre de manière significative le fonctionnement ou la sécurité d'un État (Simmons & Simmons). Une opération d'espionnage et de vol de données comme celle de Storm-0940 atteint difficilement ce seuil. L'issue dépendra de la clause LMA retenue et du mécanisme d'attribution prévu par le texte.

Le fournisseur comme point de cumul. ConnectWise, CyberLogitec et LiteLLM montrent le même schéma : un seul fournisseur compromis, de nombreuses victimes en aval. Pour la garantie de perte d'exploitation dépendante, ce qui compte est la façon dont la police définit le fournisseur (informatique ou non, nommé ou générique) et les sous-limites applicables.

L'arrêt préventif. Avec PHP2Shell, plusieurs agences ont recommandé d'éteindre les serveurs non mis à jour. C'est le cas typique où vérifier si la police couvre l'interruption volontaire décidée pour contenir un risque, même sans compromission effective.

Ce qu'il faut apporter aux renouvellements

Les événements de la semaine suggèrent quelques questions concrètes à intégrer aux questionnaires et aux échanges de souscription :

Gestion des correctifs critiques. En combien de temps l'assuré applique-t-il un correctif critique sur les systèmes exposés à internet ? Existe-t-il un inventaire des versions PHP utilisées, y compris celles qui ne sont plus maintenues ?
Applications tierces disposant de privilèges. Quelles applications externes ont accès au tenant Microsoft 365 ou Google Workspace, et avec quelles autorisations ? Les consentements OAuth sont-ils revus périodiquement ?
Dépendance envers le MSP. L'assuré confie-t-il à un MSP la gestion informatique ou les sauvegardes ? La sauvegarde est-elle indépendante du fournisseur et la restauration est-elle testée ?
Sécurité de la chaîne de publication logicielle. Pour les entreprises technologiques : les versions des dépendances sont-elles figées ? Les identifiants de publication sont-ils protégés et renouvelés ?
Gestion des secrets. Les clés API et les identifiants cloud sont-ils conservés dans un système dédié et peuvent-ils être renouvelés rapidement après un incident ?
Fournisseurs critiques du secteur. Pour des secteurs comme le maritime ou la logistique : quelles plateformes informatiques partagées l'assuré utilise-t-il, et combien d'autres assurés du portefeuille en dépendent ?

Au niveau du portefeuille, il est utile de cartographier l'exposition à ConnectWise, à LiteLLM et aux principaux fournisseurs informatiques du secteur maritime. Ce sont les premiers indicateurs pour estimer un cumul possible avant l'arrivée des sinistres.