Édition du 2 novembre 2026

Failles à retenir

Gravity Forms: injection PHP critique sur les microsites (CVE-2026-103039). Wordfence a publié le 30 octobre une faille notée 9,8 dans Gravity Forms, le plugin de formulaires le plus répandu de WordPress. Toutes les versions jusqu'à 3.1.2 inclus sont concernées: un champ personnalisé de type liste transmet la saisie du visiteur à une fonction de désérialisation sans garde-fou, permettant l'injection d'objets sans identifiants. L'exécution de code devient possible si un autre plugin ou thème fournit la chaîne d'exploitation, ou sur les hébergements réunissant certaines conditions. Le correctif 3.1.3 est disponible depuis début octobre. Les hôtels qui collectent demandes de devis ou réservations événementielles via Gravity Forms doivent vérifier leur version installée. Fiche détaillée publiée ce jour.

Dell OpenManage: injection de commandes dans la console de gestion des serveurs. Le 30 octobre, le NVD a publié seize CVE issues de l'avis DSA-2026-467, dont deux injections de commandes système évaluées à 8,8 (CVE-2026-111505 et CVE-2026-91913). OpenManage Enterprise pilote les parcs de serveurs PowerEdge sur lesquels nombre d'établissements exécutent leur logiciel de gestion hôtelière (PMS) ou leurs applicatifs de back-office: un attaquant peu privilégié mais présent sur le réseau peut obtenir l'exécution de commandes sur la console, puis pivoter vers chaque machine gérée. La version 4.8.0 corrige l'ensemble du lot; aucune exploitation n'est signalée. Fiche détaillée publiée ce jour.

Ivanti Connect Secure: la chaîne à trois failles approche de son échéance fédérale. Les analyses publiées le 31 octobre détaillent la chaîne documentée par Volexity: contournement d'authentification (CVE-2026-104935), écriture de fichier à distance puis élévation de privilèges aboutissent à une exécution de code en root sans identifiants. Deux des trois failles ont rejoint le catalogue KEV de la CISA le 30 octobre, avec une correction exigée des administrations fédérales américaines pour le 2 novembre sur CVE-2026-111357. L'acteur, inédit, collecte identifiants et métadonnées Active Directory plutôt que de poser des web shells. Les groupes opérant un VPN ICS doivent vérifier la mise à niveau et exécuter l'outil d'intégrité recommandé par l'éditeur.

Tendances

La désérialisation PHP, filière d'attaque des microsites. Après la salve WordPress de la semaine dernière, près de 63 000 tentatives en 24 heures contre une faille du cœur corrigée en 7.1.4, Gravity Forms et une fournée de thèmes reçoivent fin octobre des CVE d'injection d'objets PHP, la plupart notées 9,8 et déclenchables sans authentification. Le mécanisme reste le même: une donnée visiteur désérialisée sans restriction. Pour les microsites hôteliers sans processus de correctif, la check-list ne change pas: inventaire des extensions, versions à jour, méfiance envers les hébergements qui diffèrent les montées de version.

Amadeus: la vague de divulgations pose la question côté hôtels. Après Japan Airlines fin octobre, Cathay Pacific a confirmé le 30 octobre l'accès à environ 53 000 réservations via un compte système Amadeus, entre août 2023 et septembre 2026; Malaysia Airlines évalue à son tour son exposition. Point commun des victimes: l'usage détourné d'identifiants légitimes sur un environnement d'affichage des réservations, et non une intrusion brutale. Amadeus indique avoir corrigé la faille d'affichage et renouvelé les mots de passe, mais reste muet sur le volet hôtelier de sa plateforme. Les établissements qui redistribuent leurs inventaires via Amadeus sont en droit d'exiger une déclaration explicite.

Sur le fil

Cisco a porté le 30 octobre à la révision 1.5 son avis sur les autorités de certification eMudhra: huit clés de certificats intermédiaires ont été compromises, exposant à des certificats TLS frauduleux et à du man-in-the-middle. La matrice de correctifs couvre ISE (3.5P5 attendu en décembre), Unified CM et Meraki. Les établissements utilisant des certificats eMudhra, fréquents sur le marché indien, doivent anticiper les retraits de confiance annoncés par les navigateurs.

Adyen signale depuis le 31 octobre des taux d'erreur élevés sur son intégration Givex, cartes cadeaux et fidélité, sans résolution publiée au 2 novembre. Item de continuité, pas de violation: les hôtels, spas et stations qui acceptent des cartes Givex via Adyen peuvent constater des refus en caisse. À suivre sur la page d'état de l'éditeur.

En marge: notre dossier opérationnel « Alberta fige l'heure : la checklist systèmes pour les hôtels », publié ce jour dans la section Équipements clients, détaille les vérifications à mener propriété par propriété après l'abandon du changement d'heure en Alberta.