Fiches de vulnérabilités critiques pour l'hôtellerie: qui est touché, comment corriger, d'après les CERT et les avis des éditeurs.
Faille critique PowerProtect Data Domain: exécution de commandes root par un attaquant distant sans identifiants. Correctif disponible, DSA-2026-416.
Faille PHP exploitée activement: exécution de code à distance sans authentification, validée sur Apache mod_php. Correctifs 8.5.12, 8.4.27, 8.3.36, 8.2.35.
Le décodeur Brotli, embarqué dans Node.js, .NET et Python, permet l'exécution de code par données compressées. Exploitation active; échéance CISA: 10 novembre.
Un attaquant sur le réseau interne peut exécuter du code en SYSTEM dans dormakaba evolo Service, le backend des contrôles d'accès. Aucun correctif publié.
Johnson Controls corrige une clé codée en dur dans Kantech EntraPass, son contrôle d'accès. Correctif 9.20, aucune exploitation signalée.
Kr00K laisse déchiffrer des trames Wi-Fi après déconnexion sur les puces Broadcom et Cypress. Correctifs connus, mais le parc hôtelier reste exposé.
Une faille d'authentification dans OPERA 5 permet à un attaquant peu privilégié via HTTP de contrôler le PMS. Correctif Oracle d'octobre 2023.