Édition du 7 novembre 2026

Failles à retenir

SonicWall SSL-VPN: le contournement de MFA est exploité, la CISA fixe une date butoir. CVE-2026-19868 permet à un attaquant disposant d’identifiants valides pour une méthode d’authentification alternative de contourner les contrôles SAML du SSL-VPN, y compris le MFA imposé par SAML. Le PSIRT de SonicWall a examiné un signalement d’exploitation, et CISA a ajouté la faille à son catalogue KEV le 6 novembre, avec échéance au 20 novembre pour les agences fédérales américaines. Sont touchés SonicOS Gen7 jusqu’à 7.3.3-7015 et Gen8 jusqu’à 8.2.2-8015 lorsque le SSL-VPN est configuré avec SAML. Corrigé en 7.3.4-7013 et 8.2.3-8015, aucun contournement disponible. La fiche détaillée est publiée ce jour.

Barracuda ESG: la chaîne d’accès à distance devient pré-authentification. L’avis publié le 2 novembre sur CVE-2026-116606 a été révisé le 5 novembre: l’exploitation ne demande plus d’accès administrateur, mais seulement que l’interface d’administration de l’appliance soit joignable par l’attaquant. La passerelle de messagerie ESG, filtre anti-hameçonnage du front desk et des réservations, passe donc d’un risque interne à un risque exposé. Vérifiez que l’interface d’administration n’est jamais accessible depuis l’internet et appliquez la version 9.4.017 ou plus.

WatchGuard AuthPoint: quatre failles publiées, dont une notée 9,2. Quatre vulnérabilités touchent la passerelle AuthPoint, le serveur MFA de WatchGuard: suppression non authentifiée de la configuration de synchronisation d’annuaire (CVE-2026-121639, 9,2), résultats d’authentification LDAP falsifiables (8,9), interception par faille de validation de certificat (9,1) et contournement par rejeu d’authentification (9,1). Les deployments configurés avec un annuaire LDAP ou Active Directory sont les plus exposés. Corrigé en AuthPoint Gateway 7.6.0.

Johnson Controls Control Cures: des identifiants du système lisibles dans les journaux. CVE-2026-106019 (8,8), publiée le 6 novembre par le fabricant lui-même, expose des informations sensibles dans les journaux de C-CURE 9000 et Victor, la plateforme de contrôle d’accès, au point de permettre l’usage d’identifiants système connus. CVE-2026-106020 (8,6) touche en parallèle l’IO Manager EasyIO Neo utilisé en gestion technique du bâtiment. C-CURE équipe des groupes hôteliers et des complexes mixtes: les journaux de ces serveurs deviennent un butin. Pas d’exploitation signalée à ce jour.

Tendances

La chaîne du froid des hôtels visée par la guidance fédérale américaine. CISA et ses partenaires ont publié le 5 novembre une guidance conjointe: de l’activité malveillante cible les contrôleurs électroniques de température et les systèmes de surveillance de chambre froide, dans la foulée des vagues européennes des 2 et 12 octobre qui forçaient les congélateurs à 50 degrés. Chambre froide de cuisine, stockage de spa, pilotage technique: exigez de votre frigoriste la liste écrite de ses accès distants et coupez ceux qui ne servent plus.

nginx: la vague de correctifs arrive chez les hébergeurs. Les builds Ubuntu déployés le 5 novembre (USN-8955-1 et -2) corrigent les trois failles critiques d’octobre, dont deux débordements de tas notés 9,2 exploitables sur des configurations alias et map courantes. nginx assure la tête de pont d’une large part des points de réservation et des microsites hôteliers. Demandez à votre hébergeur la version en production: 1.30.6 ou 1.31.7 minimum, ou l’équivalent distribué.

Sur le fil

Turning Stone: cinq jours sans cartes, la leçon du plan cash. L’attaque informatique du 2 novembre a coupé réseaux, téléphones, distributeurs et paiements par carte chez Turning Stone Enterprises (Oneida Nation), casinos, hôtels, stations-service et dépanneurs. Le retour des cartes n’a été annoncé que le 5 novembre, certaines opérations restant en espèces le week-end; aucune compromission de données confidentielles n’est retenue à ce jour. Le scénario de référence pour tout établissement: procédure d’encaissement de secours, téléphones autonomes, file de traitement différé des réservations.

Quest Hotels: le décompte final de la brèche par fournisseur interposé tombe. L’opérateur d’appart’hôtels australien a bouclé l’enquête forensique sur l’incident du 17 août: 1 991 613 clients touchés, dont 46 727 numéros de carte avec cryptogramme et 104 268 passeports ou permis. Le fournisseur technologique tiers à l’origine de la faille n’est toujours pas nommé. Attente logique: vagues de phishing ciblant les clients et question à poser à tout prestataire qui héberge vos données de réservation.

Lightspeed: retards de virement chez les commerçants L et K. Un incident ouvert le 5 novembre avertit d’un possible retard sur les virements du 4 novembre pour un sous-ensemble de marchands des gammes L et K, tandis que deux incidents d’inventaire ont touché les gammes X et C le 6 novembre. Les points de vente de restauration d’hôtels tournant sur Lightspeed doivent vérifier la réconciliation des dépôts du week-end.

Ruckus: première matrice sur la famille brotli. Bulletin du 6 novembre: les points d’accès autonomes et les commutateurs ICX et FastIron sont évalués non vulnérables; pour RUCKUS One et RUCKUS AI, aucun chemin d’exploitation du décodeur Brotli n’a été identifié dans les services revus à date, et des images sont mises à jour par précaution. SmartZone et Unleashed restent sous examen, la matrice se finalise au prochain tick.

Omni Hotels: la revendication du site de fuite monte à 1,4 téraoctet. Le groupe Redact, qui a listé Omni Hotels & Resorts le 5 novembre, revendique désormais la base complète des réservations clients, noms, téléphones, courriels et dates de séjour. Aucun communiqué d’Omni ne confirme ni n’infirme à date. Tant que l’opérateur n’a pas parlé, le dossier reste au statut rumeur; la vigilance phishing côté clients et employés, elle, se justifie dès maintenant.