Édition du 1 novembre 2026

Failles à retenir

Drupal Commerce Core activement exploitée (CVE-2026-118539). L'avis SA-Contrib-2026-254, publié le 30 octobre, qualifie la faille de « highly critical » et confirme une exploitation en nature. Le module ne protège pas certaines routes ni certains champs d'entités, d'où un contournement d'accès dont le coût retombe sur le marchand. Toutes les versions antérieures à 2.41 (branche 8.x-2.x) et à 3.3.13 (branche 3.x) sont concernées. Les hôtels qui vendent soins, billets ou articles de boutique via Drupal Commerce doivent mettre à niveau sans attendre, puis auditer commandes, avoirs et comptes apparus depuis la fin octobre. Fiche détaillée publiée ce jour.

WordPress: la faille du canal de mise à niveau sous attaque massive. Wordfence a bloqué près de 63 000 tentatives en 24 heures contre une faille du cœur corrigée dans WordPress 7.1.4 le 28 octobre: exécution de code sans identifiant CVE, notée 8,1, qui exploite les chemins de préparation rendus accessibles publiquement pendant la montée de version, de la 4.7 à la 7.1.3. Rien de neuf côté correctif, mais l'automatisation est lancée. Pour les microsites hôteliers: confirmer la version 7.1.4 ou plus, purger les résidus de wp-content/upgrade et vérifier l'apparition de comptes administrateurs.

Noyau Linux: CVE-2026-98432, root à distance sur les écouteurs MPTCP. Une condition de course dans l'établissement des connexions TCP IPv4 conduit à lire de la mémoire déjà libérée; Anthropic a publié le 27 octobre un exploit permettant d'exécuter des commandes en root sur un serveur exposant un écouteur MPTCP. L'équipe CVE du noyau note 9,8, Red Hat entre 5,9 et 8,1. Amazon a livré des correctifs les 24 et 29 octobre; Ubuntu et RHEL n'en avaient aucun au 29 octobre. Les plateformes SaaS hôtelières sous Linux doivent planifier la mise à jour du noyau et inventorier les services MPTCP exposés.

Tendances

PHP2Shell, deux semaines après: l'exploitation se trie. Wiz a publié le 30 octobre un bilan arrêté au 25 octobre: 52,1 % des organisations encore touchées, et deux familles d'activité distinguées, les proof-of-concept publics d'un côté, des outils estampillés PHP2Shell de l'autre qui n'utilisent pas les failles mais un empoisonnement de session et une inclusion de fichier locale applicative distincte. Enseignement pour l'hôtellerie: la fiabilité de la chaîne dépend des compilations PHP et des limites mémoire, et le bruit copié sur la marque ne doit pas masquer les vraies tentatives.

Le rançongiciel reste braqué sur les indépendants. The Gentlemen a mis en ligne le 31 octobre deux victimes de l'accueil: la chaîne de restaurants milanaise Spontini et Belmont Resorts, établissement boutique de Dharamshala, en Inde. Revendications non confirmées de façon indépendante, mais la cadence du week-end confirme que les petites structures sans équipe informatique restent le gibier de prédilection, loin des projecteurs des grandes chaînes.

Sur le fil

Mitel publie la révision 3.0 de l'avis MISA-2026-0010 (30 octobre): quatorze familles passent à « Non concerné », dont les postes 6800/6900, MiVoice Border Gateway, MiVoice Connect et Contact Center. Seul OpenScape Endpoint Management reste concerné, correctif planifié; l'exposition est jugée faible si le produit est déployé selon les consignes Mitel. MiVoice Business et MiCollab sont toujours à l'état « Investigating ». Les clients cloud Unify Phone et CloudLink sont déjà corrigés.

Johnson Controls a publié le 30 octobre JCI-PSA-2026-31 v2, guidance générale sur HTTP2Shell (brotli, CVE-2026-111497), et révisé en v5 JCI-PSA-2026-24 sur PHP2Shell. La matrice produit par produit n'est pas lisible depuis nos outils, la page de téléchargement renvoie un mur de consentement: les hôtels équipés en Metasys, Kantech ou American Dynamics doivent réclamer le détail à leur intégrateur bâtiment et contrôle d'accès.

VikRentCar: le NVD a attribué le 31 octobre deux CVE aux XSS stockées relevées la semaine dernière sur le module de location de Viksoft, CVE-2026-115840 (versions jusqu'à 1.4.9) et CVE-2026-116548 (jusqu'à 1.4.10), notées 7,2 et corrigées dans les versions 1.4.10 et 1.4.11. Les identifiants servent désormais aux scans de conformité PCI des microsites de réservation.