Édition du 3 novembre 2026

Failles à retenir

Barracuda: deux failles chaînables aboutissent au root sur la passerelle de messagerie. Publiées le 2 novembre par l'éditeur et le Centre pour la cybersécurité du Canada: un contournement d'authentification sans identifiants dans la fonction d'importation de configuration de l'Email Security Gateway (CVE-2026-116606, CVSS v4.0: 9,3), et une injection de commandes exécutée en root via le champ fuseau horaire (CVE-2026-111560, 8,6), présente aussi sur l'ADC, la WAF, la Web Security Gateway, le Message Archiver et la WAF Control Center. Aucune exploitation signalée. Les correctifs sont disponibles: ESG 9.4.0.030, ADC 6.4.0, WAF 11.0.1, WSG 16.1.100.100, Message Archiver 5.5.4.0, WCC 2.2.1. La passerelle mail est le filtre anti-hameçonnage du front desk; sa console ne doit jamais être joignable depuis l'internet. Fiche détaillée publiée ce jour.

WordPress: la faille qui frappe pendant la mise à jour reçoit son CVE et ses consignes CERT. Le correctif 7.1.4 datait du 28 octobre; Wordfence a publié le 31 octobre le CVE-2026-119977 (8,1), une condition de course qui expose l'installeur décompressé sous wp-content/upgrade pendant quelques secondes, à portée d'un attaquant non authentifié. Le CERT national du Bhoutan a publié le 2 novembre une conduite opératoire: bloquer l'accès web au répertoire de transit avant chaque montée de version, mettre à jour hors heures. Les sondages se poursuivent, aucune compromission confirmée à ce jour. Les parcs de microsites hôteliers, mis à jour par lots, sont le profil type. Fiche détaillée publiée ce jour.

Tendances

Le froid commercial devient une cible. Une deuxième vague en trois semaines a touché le 2 novembre une dizaine de pays d'Europe: températures relevées à 50 degrés dans les vitrines et chambres froides, produits jetés par tonnes, et pour l'Union européenne une «tentative délibérée de perturber la chaîne d'alimentation». Les incidents français d'octobre pointaient déjà des équipements de réfrigération pilotés à distance, reliés à internet et parfois non maintenus. Les hôtels ont le même profil technique: chambres froides de cuisine, caves, spas, pilotés par des prestataires qui accèdent aux automates à distance. Deux réflexes: inventorier ces accès prestataires et vérifier qu'aucune console de régulation n'est exposée.

La dernière fenêtre Cisco de l'année tombe demain. Le PSIRT publiera le 4 novembre des avis avec versions corrigées pour Identity Services Engine, UCS Central et Unified Communications Manager, le contrôle d'accès réseau et la téléphonie sur lesquels nombre d'établissements s'appuient. Cisco précise qu'il n'y aura plus d'avis de durcissement d'ici janvier 2027: les équipes qui reportent ces montées de version jusqu'en fin d'année n'auront pas d'autre échéance intermédiaire. Planifier la maintenance maintenant, hors heures d'arrivée.

Sur le fil

Synology: l'alerte rançongiciel C3RB3R se précise. Après le communiqué du 29 octobre, le CERT hongkongais HKCERT a repris l'alerte le 2 novembre et BleepingComputer a publié la matrice des versions corrigées, de DSM 6.2.4-25556-8 à DSM 7.2.2-72806-1: les NAS visés tournaient pour la plupart sur des versions non à jour, avec un chiffrement en extension .L0CK3D. Shadowserver recense plus de 380 000 NAS Synology joignables depuis l'internet. Ces boîtiers servent souvent de sauvegarde ou de serveur de back-office dans les petits établissements: mise à jour immédiate et coupure de l'exposition directe.

Rien de nouveau au catalogue KEV depuis le 30 octobre, les deux ajouts Ivanti Connect Secure du 30 restant les seuls mouvements récents; le rythme des correctifs, lui, ne ralentit pas.