Faille RCE critique dans dormakaba evolo Service (CVE-2026-37719)

Ce qui s'est passé

L'avis dormakaba DKSA-26-31-031, publié le 31 mars 2026, décrit une exécution de code à distance non authentifiée dans le service evolo de dormakaba, un service Windows fondé sur .NET remoting. Le service désérialise des données non fiables (CWE-502): tout attaquant capable d'atteindre son port réseau peut exécuter du code arbitraire avec les privilèges SYSTEM. L'avis est sorti avec un CVE encore réservé, et l'identifiant CVE-2026-37719 n'est apparu dans le NVD que le 5 octobre 2026: 9,8 selon le NVD en CVSS 3.1, 9,3 en CVSS v4.0 selon le fabricant. Toutes les versions du service sont concernées et aucune version corrigée n'a été publiée.

Pourquoi c'est grave pour un hôtel

Le service evolo est un backend de programmation du contrôle d'accès électronique: il tourne là où les installations evolo Manager (KEM) utilisent des terminaux de mise à jour CardLink. Prendre ce service au niveau SYSTEM, c'est prendre la machine qui programme les serrures et les droits: configurations de portes modifiées, droits d'accès émis, et un point d'appui vers les réseaux opérationnels. En pratique, les serveurs de contrôle d'accès sont rarement isolés sur des VLAN dédiés, ce qui rend un point d'appui interne disproportionnément dommageable.

Qui est touché

• Toute propriété équipée de dormakaba evolo Manager (KEM) avec terminaux de mise à jour CardLink, donc exécutant le service evolo.
• Toutes les versions du service evolo, sur chaque machine Windows où il est installé.
• Les installations d'evolo Manager sans le service evolo ne sont pas concernées, et dormakaba indique que le service peut être désinstallé quand les terminaux CardLink ne servent pas.
• Selon le fabricant, l'exploitation n'est possible que depuis le réseau interne: l'attaquant doit d'abord obtenir un point d'appui (poste compromis, port réseau non contrôlé, réseau invités routé vers l'arrière-boutique).

Comment corriger

1. Si les terminaux CardLink ne sont pas utilisés, désinstaller complètement le service evolo. C'est l'option recommandée par le fabricant.
2. Si le service est indispensable, héberger sa machine dans un réseau protégé, sans connectivité externe.
3. Activer le pare-feu local et limiter le trafic entrant aux seuls terminaux utilisés comme stations CardLink; tout le reste doit être bloqué.
4. Placer le serveur de contrôle d'accès sur un VLAN dédié, isolé des réseaux d'entreprise et des invités.
5. Recenser chaque machine exécutant le service et surveiller sur ces hôtes les processus enfants inattendus, les nouveaux comptes locaux et les connexions anormales.

Contexte

Le fabricant a publié son avis le 31 mars avec un CVE encore réservé; le CVE n'est apparu que le 5 octobre, six mois plus tard, ce qui a rendu la faille invisible des outils fondés sur les CVE pendant l'essentiel de cette période. Aucune exploitation n'est signalée: la faille n'est pas au catalogue KEV de la CISA et aucune preuve d'exploitation publique n'est connue. La page des avis dormakaba liste aussi DKSA-26-23-101 (21 octobre 2026, CVSS 9,2, PHP2Shell) couvrant les gammes exos 9300, MATRIX, evolo Manager, evolo smart, exivo, resivo, B-COMM, skyra, EntriWorX, Keyscan, Ambiance et Community, qui confirme la présence de PHP dans des lignes de contrôle d'accès exposées par la campagne PHP d'octobre.