Édition du 27 octobre 2026

Failles à retenir

PHP2Shell, CVE-2026-109618 et CVE-2026-109619 (critique, CVSS 9,2). Deux failles d'exécution de code à distance dans PHP, corrigées en urgence le 21 octobre, sont désormais exploitées avec succès: les honeypots de Perplexity ont documenté une exécution de code sur Apache mod_php en PHP 8,4,26, et la CISA les a ajoutées au catalogue KEV le 26 octobre. Amazon précise que les attaques ont commencé quatre jours avant les correctifs. Or PHP reste très présent dans les portails de réservation, les sites vitrines et les back-offices hôteliers. Inventoriez vos instances PHP, patchez cette semaine, surveillez le trafic sortant.

Tendances

Deux logiciels hôteliers, une même mécanique: l'hameçonnage post-fuite. Chez Misterbooking (Septeo), l'intrusion détectée le 19 octobre a touché un serveur utilisé par environ 1 800 hôtels: identité et coordonnées des clients, réservations, pièces jointes, parfois des copies de pièces d'identité. Chez RMS Cloud, plateforme utilisée par plus de 6 000 établissements, des messages frauduleux par SMS, courriel et WhatsApp citent de vraies dates de séjour pour soutirer des coordonnées bancaires. Les deux éditeurs écartent toute sortie de carte bancaire complète. Le piège est crédible parce qu'il cite des données exactes: rappelez l'hôtel via son numéro officiel, ne payez jamais sur message reçu.

Sur le fil

Rançongiciel confirmé chez Seetelhotels. Le groupe allemand, 16 établissements sur la Baltique et Majorque, a communiqué le 16 octobre: sa DSI a constaté un accès non autorisé le 10 octobre, les systèmes touchés ont été isolés, l'autorité de protection des données du Mecklembourg et la police criminelle régionale sont saisies, et une fuite de données personnelles n'est pas exclue. Le groupe INC Ransom a revendiqué le 19 octobre, affirmant détenir identités et passeports de clients, cartes bancaires et comptabilité. Comme le rappelle Seetel: vigilance renforcée sur les courriels de paiement et les changements de coordonnées bancaires.

Deux claims sans confirmation. Hotel DuPont aux États-Unis (N0n, 19 octobre) et Castle Howard Estate au Royaume-Uni (Qilin, 24 octobre) figurent sur les suivis de sites de fuite, sans communiqué des établissements: à vérifier.

Méfiez-vous du recyclage. Un règlement Marriott de 52 millions de dollars présenté cette semaine comme une nouveauté date en réalité d'octobre 2024, comme l'atteste le communiqué des attorney generals. Vérifiez la date du communiqué source avant de diffuser une alerte.