Édition du 8 novembre 2026

Failles à retenir

Téléviseurs Hisense VIDAA : la télécommande ouverte dans les chambres. CVE-2026-123998, notée 8,3 et publiée au NVD le 6 novembre : le micrologiciel VIDAA expose un service MQTT de télécommande sur le port TCP 36669 qui accepte des identifiants par défaut documentés publiquement, avec authentification contournable. Un attaquant placé sur le réseau, y compris là où la segmentation est lâche, peut prendre le contrôle du téléviseur de la chambre et s'en servir de point d'appui. Les parcs « hospitality » équipés en Hisense sont concernés par construction. En attendant un correctif du fabricant : isoler les téléviseurs dans un VLAN dédié et bloquer le port 36669 entre ce VLAN et le reste du réseau, Wi-Fi invité compris.

Sophos pare-feu : le correctif du noyau est là, avec sa fenêtre de coupure. Sophos a publié le 6 novembre un correctif urgent pour CVE-2026-98432, la condition de course du code TCP signalée 9,8 par l'éditeur du noyau et traitée dans notre veille du 4 novembre. Il s'applique à SFOS 23.0 GA, 23.0 EAP1 et 22.0 MR3, et son installation exige un redémarrage du pare-feu ; les versions plus anciennes doivent d'abord monter vers l'une de ces branches pour le recevoir. Les boîtiers SD-RED 20/60 sont corrigés depuis le micrologiciel 3.0.012. L'éditeur ne signale pas d'exploitation connue. Planifiez la bascule en heures creuses : réception, PMS et contrôleurs d'accès passent par le boîtier.

Tendances

Fortinet : vague de correctifs annoncée pour mardi 10 novembre, l'occasion du ménage FortiBleed. L'éditeur doit publier des avis accompagnant FortiOS 8.0.2, 7.6.8, 7.4.13 et 7.2.14, plus FortiManager et FortiAnalyzer. Le rappel tombe bien : dans la campagne FortiBleed d'usurpation d'identifiants VPN, signalée par le FBI et le Secret Service avec plus de 86 644 appareils confirmés selon SOCRadar, des attaquants suppriment ou réinitialisent les comptes administrateur, excluant les propriétaires. Avant l'installation : rechercher les comptes admin inconnus, couper les sessions admin et VPN actives, réinitialiser les mots de passe, activer un double facteur résistant à l'usurpation d'identité. Cet item est un rappel d'action, pas une nouveauté de la semaine.

Sur le fil

WorkOS : mise à jour de l'incident du 30 octobre. L'éditeur d'authentification pour applications professionnelles, utilisé par des plateformes logicielles hôtelières pour le single sign-on, a publié le 6 novembre un complément d'enquête : accès non autorisé à une application interne de ventes, données CRM concernées, indicateurs techniques détaillés. Les services de production et le chemin d'authentification restent épargnés, aucun client n'est nommé. Les intégrateurs qui s'appuient sur WorkOS gardent le bulletin sous surveillance sans mesure d'urgence à ce stade.

IHG et Omni : toujours ni confirmation ni démenti. Les revendications BYOD contre IHG (mots de passe LDAP faibles allégués, 4-5 novembre) et Redact contre Omni Hotels (1,4 téraoctet annoncé, 5 novembre) n'ont donné lieu à aucun communiqué des deux groupes au 8 novembre, et aucune preuve publique n'a filtré. Le stade reste la revendication. La prudence vaut quand même : préparez l'information anti-hameçonnage pour les clients et surveillez les tentatives d'usurpation de ces marques, qui accompagnent régulièrement ce genre de rumeur.