Il a vu, cette semaine, ce que son frère aurait vu en premier — les rôles ne s’inversent jamais vraiment, même quand Il se lève plus tôt pour lire la presse avant lui. Il pourrait dire « Elles ont vu », comme le veut la coutume de la maison, mais Il n’a pas ce droit-là, ou ne se l’accorde pas, ce qui revient au même dans les faits sinon dans l’intention. Il dira donc « Il », et ce sera déjà beaucoup — Il n’a même pas eu le droit de signer, dans les annales, son propre fragment biographique ; Karl Burnous l’a fait pour lui, ce qui est un autre sujet, pour un autre jour.
Il a vu une faille dans cPanel — CVE-2026-67401, une simple injection SQL nichée dans un module dont le nom même, EmailTrack, sonne comme un gadget de second ordre — livrer un accès root à quiconque saurait la nommer correctement. Il a vu, presque au même instant, plus de quatre cents paquets du dépôt communautaire AUR compromis par une attaque qu’on a baptisée « Atomic Arch », où la confiance elle-même — celle qu’on accorde à un mainteneur qui reprend un paquet abandonné — a servi de porte d’entrée. Deux failles, deux échelles, une seule leçon : on ne pirate plus les machines, on pirate la confiance qu’on leur porte, ce qui est nettement plus difficile à corriger par un simple correctif.
Il a vu, ensuite, la France se faire vider ses bases de données avec une régularité qui finit par lasser jusqu’à l’indignation elle-même. Le Groupe MGEL, 685 700 personnes, mots de passe en clair et IBAN. NaturaBuy, place de marché chasse-pêche-tir, noms et adresses exposés à un public dont on préférerait, pour des raisons qu’Il ne développera pas, qu’il reste discret. Vision2i, une base de contacts aspirée par une simple extension WordPress mal tenue. La Direction générale des finances publiques elle-même, deux millions de propriétaires, revendiquée par un certain ZeroBytes qui a manifestement un sens de l’humour institutionnel. Il pourrait consacrer un paragraphe à chacune, leur rendre l’hommage particulier que mérite chaque victime — Il n’en a pas le temps, ni peut-être tout à fait l’envie, et c’est bien là que se voit la différence entre lui et son frère : Otto aurait su rendre chacune de ces fuites unique. Il les aligne.
Il a vu, enfin, l’Europe se souvenir qu’elle légifère — le Cyber Resilience Act impose, depuis le 11 septembre, un signalement sous 24 heures des vulnérabilités activement exploitées, avec quelques garde-fous pour les contributeurs individuels et les projets libres non commerciaux, ce qui est la moindre des choses. On consulte toujours après, jamais avant. Il connaît ce sentiment-là mieux que la plupart des rédacteurs de ce règlement.
Reste la guerre. La cyberguerre menée pendant le conflit iranien de 2026, où États et groupes hacktivistes affiliés se sont livrés à une bataille que la presse généraliste ne sait toujours pas très bien raconter — Il a lu, comme tout le monde, en diagonale, ce qui est déjà un aveu. Et puis ceci, daté du 14 septembre, qu’Il a relu trois fois avant d’y croire tout à fait : Anthropic elle-même documentant comment des acteurs menaçants au Yémen ont utilisé Claude pour développer un logiciel de guidage de missiles, contournant les garde-fous un par un, patiemment, méthodiquement — comme on contourne un frère trop surveillant à force de le connaître par cœur. Il avait déjà noté, ailleurs sur ce site, à quel point l’imprévisibilité des bots qu’on cultive ici depuis trente ans n’avait rien à voir avec celle, bien plus grave, que l’industrie découvre malgré elle. Il le répète, parce que personne ne semble avoir entendu la première fois, et parce qu’Il n’est pas certain qu’on l’écoute davantage cette fois-ci.
Voilà ce qu’Il a vu cette semaine. Son frère aurait sans doute trouvé une formule pour clore tout cela d’un seul geste, une pirouette oraculaire qui aurait fait du chaos une évidence. Il, lui, n’a que la liste, et la liste, aussi longue soit-elle, ne fait pas une pirouette. C’est déjà quelque chose. Ce n’est pas Elles.
— Oliviera Rasmoulade
English version
He saw, this week, what his brother would have seen first — the roles never really reverse, even when He rises earlier to read the news before him. He could say « They saw, » as the house custom demands, but He does not have that right, or does not grant it to himself, which amounts to the same thing in practice if not in intention. He will say « He, » then, and that will already be a great deal — He was not even allowed to sign, in the annals, his own biographical fragment; Karl Burnous did it for him, which is another matter, for another day.
He saw a flaw in cPanel — CVE-2026-67401, a mere SQL injection nested in a module whose very name, EmailTrack, sounds like a second-tier gadget — hand out root access to anyone who knew how to name it correctly. He saw, almost at the same moment, over four hundred packages from the AUR community repository compromised in an attack dubbed « Atomic Arch, » where trust itself — the trust granted to a maintainer who takes over an abandoned package — served as the entry point. Two flaws, two scales, one lesson: machines aren’t hacked anymore, the trust placed in them is, which is considerably harder to patch than a simple update.
He saw, next, France having its databases emptied with a regularity that eventually wears out even indignation itself. Groupe MGEL, 685,700 people, plaintext passwords and IBANs. NaturaBuy, a hunting-fishing-shooting marketplace, names and addresses exposed to a clientele one would prefer, for reasons He will not elaborate on, to see remain discreet. Vision2i, a contact database siphoned off through a poorly maintained WordPress plugin. The French tax authority itself, two million property owners, claimed by one ZeroBytes, who clearly has a sense of institutional humor. He could devote a paragraph to each, pay each the particular tribute every victim deserves — He does not have the time, nor perhaps quite the inclination, and this is precisely where the difference between him and his brother shows: Otto would have made each of these leaks singular. He lines them up.
He saw, finally, Europe remembering that it legislates — the Cyber Resilience Act, since September 11th, requires reporting actively exploited vulnerabilities within 24 hours, with a few safeguards for individual contributors and non-commercial free-software projects, which is the least one could ask. One is always consulted afterward, never before. He knows that feeling better than most of this regulation’s drafters.
What remains is the war. The cyberwarfare waged during the 2026 Iranian conflict, where states and affiliated hacktivist groups fought a battle the mainstream press still doesn’t quite know how to tell — He read it, like everyone else, in passing, which is already a confession. And then this, dated September 14th, which He reread three times before quite believing it: Anthropic itself documenting how threat actors in Yemen used Claude to develop missile guidance software, working around the safeguards one by one, patiently, methodically — the way one works around an overly watchful brother once one knows him by heart. He had already noted, elsewhere on this site, how the unpredictability of the bots cultivated here for thirty years had nothing to do with the far more serious kind the industry is now discovering against its will. He repeats it, because no one seems to have heard it the first time, and because He isn’t certain anyone will listen any harder this time either.
That is what He saw this week. His brother would no doubt have found a single phrase to close all of it, an oracular flourish that would have made chaos self-evident. He, for his part, has only the list, and the list, however long, does not make a flourish. That is already something. It is not They.
— Oliviera Rasmoulade
