Édition du 28 octobre 2026

Failles à retenir

PHP2Shell: un correctif incomplet (CVE-2026-115560). Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées en urgence le 21 octobre contre PHP2Shell, ne ferment pas une troisième voie d'exécution de code à distance, confirmée par le projet PHP dans un avis du 23 octobre et rappelée par le CERT-FR le 26 octobre. Son exploitation exige une combinaison rare: gestionnaire de sessions modifié à l'exécution et suivi de progression des téléversements activé. Aucun cas d'exploitation signalé à ce jour. En attendant le correctif, une ligne de configuration ferme la porte: session.upload_progress.enabled=0, à poser dans php.ini ou le pool FPM, pas via ini_set(). Les portails de réservation développés sur mesure en PHP passent en priorité.

Adobe Commerce et Magento entrent au catalogue KEV (CVE-2026-48356). La CISA a ajouté le 27 octobre cette faille d'envoi de fichiers sans restriction de type, notée 9,6 par l'éditeur, à sa liste des failles exploitées dans la nature, avec une échéance de correction au 10 novembre. Sansec avait documenté dès mars des vagues d'attaques déposant des web shells sur des boutiques puis injectant des scripts dans les pages. Magento Open Source et Adobe Commerce hébergent des boutiques d'hôtels, des billetteries et des frontaux de vente annexes. Vérifiez que le correctif publié en juillet (versions 2026-jul) est appliqué, y compris sur les instances infogérées.

Tendances

Rakuten Travel: la plateforme de réservation encore au point d'entrée. Rakuten Group a annoncé le 26 octobre des accès non autorisés sur une partie de son site de réservation d'hôtels à l'étranger, exploité par sa filiale Rakuten Travel Xchange, et sur son site multilingue: jusqu'à environ 2,6 millions d'identités d'utilisateurs connectés, quelque 40 000 réservations avec coordonnées et montants, des données bancaires partielles pour 36 000 dossiers (porteur, expiration, quatre derniers chiffres, sans numéro complet ni code de sécurité) et des comptes de 40 000 employés d'établissements. L'anomalie datait du 10 septembre, corrigée le 16; l'annonce est venue six semaines plus tard. Le modèle se répète: la plateforme est violée, l'hôtel encaisse les questions des clients et les faux messages de confirmation qui suivent.

Sur le fil

Veeam: mise à jour critique pour Backup for Microsoft 365. Le 27 octobre, l'éditeur a publié ses avis de sécurité, dont une injection SQL à effet inter-locataires avec exécution de code (CVE-2026-106076, CVSS v4.0 9,0) et un contournement d'authentification de l'API REST par jeton fédéré falsifié (CVE-2026-106078). La correction complète est la version 8.6 Patch 1, build 8.6.0.5011; la version 8.6 de base n'en corrige que deux sur quatre. Les groupes hôteliers qui sauvegardent leur environnement Microsoft 365 avec ce produit patchent cette semaine et vérifient le build réellement installé, pas seulement la version annoncée. Le serveur de sauvegarde reste l'objectif numéro un des rançongiciels.