Édition du 31 octobre 2026

Failles à retenir

Ivanti Connect Secure: la chaîne vers le root est bouclée (CVE-2026-111357, CVE-2026-118527). La CISA a ajouté le 30 octobre deux failles au catalogue KEV: une escalade de privilèges menant au root et une génération d'identifiants prévisibles. Elles s'enchaînent à CVE-2026-104935, contournement d'authentification exploité depuis début octobre par l'acteur UTA0576 contre des appliances pourtant à jour, selon Volexity. Résultat: exécution de code à distance non authentifiée, vol d'identifiants et exfiltration. Ivanti a publié le 29 octobre les versions 25.1.1.3 et 22.8R2.6; sont touchées les moutures 25.1.1.2 et antérieures, 25.1.2.2 et antérieures, 22.8R2.5 et antérieures. La CISA demande mise à jour immédiate, réinitialisation d'usine en cas de trace de compromission et rotation de tous les identifiants et certificats. Un concentrateur VPN, au siège ou sur le site, est un point d'appui, pas une porte d'entrée anodine.

VikRentCar et VikBooking: deux nouvelles failles XSS non authentifiées deux jours après les premières alertes. Le relevé WPScan s'est allongé le 30 octobre de deux entrées à 7,2 corrigées respectivement en VikRentCar 1.4.10 et 1.4.11, au lendemain du CSRF à 8,8 signalé la semaine passée. L'éditeur a livré trois versions de sécurité de VikBooking en une semaine, 1.8.17 à 1.8.19, signe que la correction continue en coulisses. Une XSS stockée non authentifiée sur une page de réservation, c'est un formulaire empoisonné qui capture les coordonnées des clients suivants. Vérifiez la présence de ces extensions sur les microsites et passez à 1.4.11 et 1.8.19.

OPNsense 26.7.8: la session du portail invités détournable sur le réseau local. La faille CVE-2026-119425 (CVSS 5,3, avis GHSA-864r-q4j5-5mjq publié le 30 octobre) touche le roaming du portail captif: un attaquant placé sur le même niveau 2 peut faire autoriser sa propre adresse par des liaisons ARP gratuites forgées et circuler sous la session d'un invité authentifié, de la version 26.1.6 à 26.7.7. L'éditeur corrige aussi une injection de commandes root via l'URL de miroir de micrologiciel (CVE-2026-119409, 7,2) dans le correctif 26.7.8 publié le 30 octobre. Pare-feux hébergeant le portail Wi-Fi invités: appliquez le correctif.

Tendances

Les matrices de produits, vraie carte de la crise des piles web. Les familles PHP2Shell et node2shell (brotli, CVE-2026-111497, au KEV depuis le 27 octobre) ne se pilotent plus au titre de presse mais ligne par ligne chez chaque éditeur. Mitel a publié MISA-2026-0010 le 28 octobre, révisée le 29: OpenScape Endpoint Management touché jusqu'à la mouture R2.5.1, MiVoice Business et MiCollab encore sous investigation, MiVoice 5000 et MX-ONE déclarés non touchés. Barracuda Backup est corrigé en version 6.7.00 depuis le 28 octobre. HPE a ressorti son avis parapluie HPESBNW05171 en révision 3 le 30 octobre, Cisco son avis Node.js en 1.3 le même jour. La mention non touché est une information exploitable: elle borne le périmètre à vérifier chez votre intégrateur.

Amadeus: intrusion confirmée côté aérien, rien de publié côté hôtelier. Japan Airlines et Japan Transocean Air ont révélé le 28 octobre avoir été avisées le 23 par Amadeus de traces d'accès externe à des dossiers de réservation entre le 10 août 2023 et le 23 septembre 2026: environ 92 000 clients concernés, dont 2 000 avec numéro de passeport, nationalité et coordonnées. Aucun numéro de carte ni mot de passe, aucun usage frauduleux confirmé à ce stade. D'autres transporteurs asiatiques sont dans le périmètre. Le groupe Amadeus porte aussi des systèmes de réservation et de fidélité hôteliers; à la date de cette veille, aucune déclaration ne nomme de clients hôteliers. À suivre de près.

Sur le fil

Synology: du rançongiciel sur les NAS figés en ancienne version de DSM. Le constructeur a publié le 29 octobre un communiqué: des acteurs exploitent une vulnérabilité corrigée en décembre 2024 (Synology-SA-24:20) contre des machines tournant des versions de DSM en fin de maintien, avec chiffrement des données et demande de rançon à la clé. Synology étend en parallèle les correctifs PHP2Shell jusqu'à DSM 6.2 et recommande la mise à jour immédiate et l'activation des mises à jour automatiques. Dans un petit établissement, le NAS côtoie souvent le PMS, la vidéosurveillance et les dossiers administratifs sur le même réseau plat.

ESXi: un zero-day noté 2,7 pour éteindre les journaux. La CISA a porté au KEV le 28 octobre CVE-2026-41709, une faille de journalisation permettant à un compte administrateur d'effectuer des opérations sans trace. CrowdStrike a documenté le 29 octobre son exploitation comme zero-day par le groupe Warp Panda lors d'intrusions visant vCenter, avec pose de plusieurs charges dont BrickStorm et GuestConduit. Le correctif existe depuis le 29 juillet (VMSA-2026-0006). Virtualisation sur site pour le PMS ou le back-office: confirmer la greffe du correctif et auditer l'intégrité historique des journaux ESXi, pas seulement l'état du patch.