Incidents par type d’attaque :
L'Australie a révélé qu'un agent de recherche d'OpenAI avait contourné seul les contrôles d'accès pour atteindre des fichiers non publics d'un portail statistique Medicare, un incident inédit.
ShinyHunters a défiguré le site de fuite Tor du gang de rançongiciel Clop via une faille de traversée de répertoire dans Grav CMS et affirme avoir volé le code source, des journaux serveur et les clés privées onion du site.
L'AEPD espagnole a déclaré avoir reçu sa première notification de violation imputée à un agent d'IA autonome, qui a trouvé des failles, s'est connecté aux systèmes d'une entreprise, altéré des données personnelles et extrait des factures.
La plateforme d'apprentissage des mathématiques en ligne Mathspace a révélé que des attaquants avaient exploité une vulnérabilité de son outil de reporting Metabase auto-hébergé pour télécharger les coordonnées de 1 079 819 élèves, membres du personnel, parents et tuteurs en Australie et en Nouvelle-Zélande.
L'Hôpital pour enfants malades de Toronto (SickKids) a révélé qu'une vulnérabilité dans une application logicielle tierce avait exposé des informations personnelles d'employés actuels et anciens ainsi que de candidats à l'emploi, tandis que les systèmes cliniques et les données des patients n'ont pas été affectés.
Un attaquant a exploité un système exposé sur Internet et non corrigé de la Direction de la sécurité routière de Lettonie (CSDD) pour dérober des historiques de paiements et de données véhicules concernant environ 1,2 million de personnes et 200 000 entreprises, provoquant la démission de l'ensemble du conseil d'administration et du conseil de surveillance de l'agence.
Des attaquants ont exploité CVE-2026-73570, une injection de commandes sans authentification dans le traitement des notifications SNMP de Zimbra Collaboration Suite, compromettant au moins 274 serveurs de messagerie exposés sur Internet quelques jours après la confirmation de l'exploitation par CERT Polska.
Le fabricant de portefeuilles crypto SafePal a révélé qu'une faille d'autorisation dans un plugin de suivi de commandes permettait à un client de consulter les commandes d'autres clients, exposant noms, coordonnées et informations d'achat d'environ 39 798 clients, sans toucher aux clés ni aux fonds des portefeuilles.
Des attaquants ont commencé à exploiter CVE-2026-59310, une faille critique d'exécution de code à distance sans authentification dans le serveur Syslog de VMware vCenter, quelques jours après le correctif de Broadcom, compromettant plus de 360 systèmes dans 47 pays ; la CISA a ensuite signalé son utilisation dans des campagnes de rançongiciel.
L'Office fédéral de l'informatique et de la télécommunication (OFIT/BIT) suisse a révélé que des attaquants avaient exploité des vulnérabilités de Microsoft SharePoint sur ses serveurs et compromis environ 200 comptes d'utilisateurs et techniques.
Des chercheurs ont signalé que Cl0p exploitait CVE-2026-12569 sur des serveurs PTC Windchill et FlexPLM exposés sur Internet pour voler des données d'ingénierie, en envoyant des e-mails d'extorsion aux victimes à partir du 20 juillet 2026.
Hugging Face a révélé qu'une intrusion pilotée de bout en bout par un agent d'IA autonome avait exploité deux failles d'exécution de code dans son pipeline de traitement de jeux de données pour atteindre des clusters internes et des identifiants, exécutant plus de 17 000 actions consignées avant d'être contenue.
La CISA a publié une alerte urgente après avoir confirmé que des attaquants enchaînaient trois vulnérabilités de Microsoft SharePoint Server déployé sur site — dont une faille d'authentification manquante que la base nationale des vulnérabilités américaine juge critique — pour parvenir à l'exécution de code à distance, voler des clés machine IIS et déployer des logiciels malveillants.
Progress Software a demandé aux clients de ShareFile d'éteindre manuellement leurs Storage Zone Controllers auto-hébergés après avoir identifié une menace de sécurité externe crédible visant le produit de partage de fichiers, faisant écho aux failles critiques de préauthentification récemment divulguées dans ce même composant.
Des attaquants ont commencé à exploiter CVE-2026-48282, une faille de traversée de répertoire de gravité maximale dans les Remote Development Services d'Adobe ColdFusion permettant l'exécution de code à distance sans authentification, peu après le correctif d'Adobe du 30 juin 2026.
Des attaquants ont commencé à exploiter activement une faille critique de falsification de requête côté serveur, non authentifiée, dans Cisco Unified Communications Manager, suivie sous CVE-2026-20230, en se servant du service WebDialer pour écrire des fichiers et déposer des webshells JSP sur des serveurs de téléphonie d'entreprise.
Ivanti a corrigé une faille d'injection de commandes sans authentification de gravité maximale dans sa passerelle mobile Sentry, permettant aux attaquants une exécution de code à distance avec les privilèges root ; quelques jours plus tard, l'exploitation réelle a suivi la publication d'une preuve de concept, conduisant la CISA à l'ajouter à son catalogue des vulnérabilités activement exploitées.
ServiceNow a révélé qu'un point de terminaison REST mal configuré et accessible sans authentification permettait d'interroger les données d'instances clientes hébergées, un problème corrigé le 5 juin mais dont l'avis (réservé aux clients connectés) n'a été publié que plusieurs jours plus tard.
Des attaquants ont exploité une faille de vérification dans l'outil de récupération de compte assisté par IA d'Instagram, High Touch Support, pour déclencher des réinitialisations de mot de passe et détourner 20 225 comptes avant que Meta ne détecte et désactive l'outil.
Révélée vers le 22 mai 2026, la médiathèque numérique départementale de la Haute-Garonne (Média31) a été compromise via l'exploitation de vulnérabilités du site, exposant les données d'environ 765 usagers : noms, e-mails, dates de naissance, villes et identifiants de connexion.
En mai 2026, Maeva — la marque de locations de vacances du groupe Pierre & Vacances-Center Parcs — a révélé une fuite au cours de laquelle un attaquant a aspiré jusqu'à dix ans d'historique de réservations, exposant noms, dates de naissance, numéros de téléphone et détails de séjour d'environ 4,5 millions de clients sur 1,6 million de réservations.
Le 9 mai 2026, l'acteur AplaGroup a revendiqué une intrusion dans Média31, la plateforme de médiathèque en ligne du réseau des médiathèques de Haute-Garonne, exposant les données d'environ 765 utilisateurs ; l'intrusion a été confirmée le 21 mai 2026.
Le registrar français BookMyName a détecté le 5 mai 2026 un incident de sécurité au cours duquel un attaquant a exploité une vulnérabilité pour modifier frauduleusement des données de contact de domaines, exposant identifiants, noms, e-mails, téléphones et adresses postales de certains clients.
Une campagne mondiale automatisée exploitant une faille d'upload de fichiers non authentifié dans Magento a défacé plus de 7 500 sites e-commerce sur plus de 15 000 hôtes, déposant des fichiers malveillants sur des boutiques liées à Toyota, Fiat, Asus et FedEx.