PHP2Shell : la faille PHP qui menace téléphones et réseaux d’hôtel
Deux failles du moteur PHP, exploitées activement, touchent appliances, téléphonie et sites d’hôtels. Statut par fournisseur, plan de remédiation.
La cybersécurité de l'hôtellerie, en clair.
PMS, caisses, moteurs de réservation, wifi, clés de chambre: tout ce qui fait tourner un hôtel est connecté, donc attaquable. HotelSec suit les failles, les incidents, les menaces et la conformité, en français et en anglais.
Veille quotidienne · 30 octobre 2026→
Cisco ASA/FTD: faille SSL VPN activement exploitée, ajoutée au KEV. PAN-OS: exploitation PHP2Shell confirmée sur les consoles d'administration exposées.
À la une
Dernières actualités
Tests de cartes : les moteurs de réservation d’hôtels sous pression
Trustwave, Imperva et Visa documentent des tests de cartes volées sur les moteurs de réservation hôteliers. Un phénomène persistant, pas un incident unique.
27 octobre 20265 min de lecture
Serrures d’hôtel : de la faille Onity de 2012 aux CVE SALTO
En 2012, une sonde branchée sur le port de service ouvrait les serrures Onity. Quatre CVE de SALTO ProAccess SPACE montrent que ce risque physique persiste.
27 octobre 20265 min de lecture
Kr00K : la faille Wi-Fi que les bornes des hôtels traînent encore
Kr00K (CVE-2019-15126) : des puces Wi-Fi chiffraient des trames avec une clé nulle. Corrigé en 2019-2020, le sujet reste le micrologiciel des bornes d’hôtels.
27 octobre 20265 min de lecture
Marriott-Starwood : trois fuites, une amende, un ordre fédéral
Trois brèches Marriott-Starwood, 2014-2020, jusqu’à 500 millions de clients. £18,4M d’amende ICO, 52 M$ versés à 49 États.
27 octobre 20264 min de lecture
Unsaflok : 3 millions de serrures d’hôtel ouvertes en deux impulsions
La technique Unsaflok ouvrait toute serrure Dormakaba Saflok avec deux cartes forgées. Une backdoor matérielle frappe aussi des cartes MIFARE Classic d’hôtels.
27 octobre 20265 min de lecture
Oracle OPERA : des failles dans le logiciel de gestion hôtelière
CVE-2018-2957 et CVE-2023-22087 touchent Oracle OPERA, un PMS très déployé. Données exposées, prise de contrôle: ce que la cadence des correctifs impose.
27 octobre 20264 min de lecture
Fuite Otelier : des millions de réservations hôtelières exposées
Le fournisseur Otelier, utilisé par plus de 10 000 hôtels dont Marriott, Hilton et Hyatt, a confirmé une fuite. Réservations et données clients exposées.
27 octobre 20264 min de lecture
MGM et Caesars : l’appel au helpdesk qui a coûté 100 millions
En 2023, Scattered Spider a fait tomber MGM et Caesars par hameçonnage vocal : plus de 100 M$ de pertes et 45 M$ de règlement collectif.
27 octobre 20264 min de lecture
Rubriques
Vulnérabilités
Failles des PMS, des caisses, des moteurs de réservation et des équipements connectés, avec correctifs et contexte à l'appui.
Incidents
Rançongiciels, pannes et intrusions vécus par des hôtels et des resorts, remis en ordre par les faits et le calendrier, sans mise en scène.
Brèches de données
Fuites de données clients et de données de paiement, confirmées ou sous enquête, avec ce que chaque épisode impose aux exploitants.
Veille menaces
Groupes rançongiciels, réseaux de fraude, campagnes ciblant le tourisme: l'activité des acteurs hostiles, documentée au plus près et décrite sans dramatiser.
Équipements clients
Wifi, clés de chambre, serrures connectées, télévisions et services en chambre: la technologie que voient les clients, et sa sécurité.
Défense
Bonnes pratiques de durcissement, discipline de correctifs, questions à poser aux fournisseurs et retour d'expérience des équipes IT de l'hôtellerie.
Conformité
NIS2, RGPD, PCI DSS, exigences de l'ANSSI: ce que les hôtels doivent faire, ce qui change, et à quelle échéance, expliqué comme une information, pas comme une pub.