Édition du 29 octobre 2026

Failles à retenir

Dell PowerProtect Data Domain: root à distance sans identifiants (CVE-2026-86400). La fiche publiée le 28 octobre 2026 dans le bulletin Dell DSA-2026-416 décrit une authentication insuffisante permettant à un attaquant distant non authentifié d'exécuter des commandes avec les privilèges root sur la baie de sauvegarde. Dell la note 9,8 en CVSS 3.1, le NVD garde son analyse en attente. Quatre des sept failles critiques du bulletin s'exploitent sans aucun compte. Versions concernées: Feature Release 7.7.1.0 à 8.8 et les branches LTS2024, LTS2025, LTS2026. Aucune exploitation signalée à ce jour; la sauvegarde étant le dernier rempart de l'hôtel, le correctif ne peut pas attendre la maintenance trimestrielle.

WordPress 7.1.4: l'exécution de code se loge dans la fenêtre de mise à jour. La version de sécurité publiée le 28 octobre 2026 corrige 22 failles réparties sur 17 avis, dont une faiblesse du processus de mise à jour du coeur qui permet une exécution de code à distance pendant la fenêtre d'update, et de nombreuses XSS stockées, notamment dans l'Interactivity API. Les microsites hôteliers cumulent deux expositions, le coeur et les extensions de réservation: mettre à jour le coeur ne corrige pas les extensions, faire les deux dans la foulée.

PHP2Shell: un rapport grave, mais non confirmé. Dream Research a rapporté les 26 et 28 octobre une campagne ayant enraciné 25 serveurs, dont trois d'un environnement gouvernemental américain, en chaînant PHP2Shell (CVE-2026-109618, CVE-2026-109619) avec Fragnesia (CVE-2026-46300, escalade de privilèges du noyau Linux) via une arme maison ciblant un pare-feu non nommé. L'éditeur ne nomme aucune victime et aucune organisation n'a confirmé de compromission; attribution non confirmée. Ce qui est établi: la CISA tient PHP2Shell pour activement exploitée. Réflexe hôtel: versions PHP à jour, consoles d'administration jamais exposées.

Tendances

Les back-offices Oracle dans le collimateur. Des tentatives d'exploitation exploratoire de CVE-2026-101767, injection SQL non authentifiée menant à l'exécution de code dans Oracle E-Business Suite (9,8), ont été enregistrées dès le 27 octobre, et le Centre pour la cybersécurité du Canada a signalé le 28 octobre que la faille est exploitée dans la nature. Le même jour, des chercheurs détaillaient la chaîne de trois failles de CVE-2026-35273, le point d'entrée PeopleSoft exploité depuis mai. Les groupes hôteliers qui tournent sur la suite entreprise d'Oracle appliquent les versions correctives d'octobre et gardent consoles EBS et PeopleSoft hors des réseaux accessibles.

Le Wi-Fi sous charge de correctifs. HPE a publié le 22 octobre le bulletin HPESBNW05162: 72 failles corrigées dans ArubaOS 8 et 10, dont huit notées 10,0, exécutions de code à distance ou contournements d'authentification sur contrôleurs, passerelles et points d'accès, le standard des réseaux clients d'hôtels. La couverture médiatique s'est étalée des 27 et 28 octobre, tardivement au vu du risque. Versions corrigées: 8.10.0.24, 8.13.3.1, 10.4.1.14, 10.7.2.7 et 10.8.1.2. Côté Cisco, la révision du 28 octobre de l'avis PHP2Shell ajoute Expressway, avec correctif 15.5.21, et confirme que Portal Builder de l'ISE reste hors ligne le temps de la remédiation.

Sur le fil

OPNsense: deux escalades locales publiées à un jour d'écart. Deux avis GitHub du 28 et du 29 octobre: une injection de commandes root par l'URL du miroir de firmware (CVSS 7,2, nécessite le privilège System: Firmware) et une injection de directives OpenVPN dissimulées dans un certificat importé (CVSS 6,4). La version 26.7.8 corrige les deux. Les hôtels qui utilisent OPNsense en pare-feu mettent à jour et réduisent au strict minimum les comptes disposant du privilège firmware.

Rançongiciels et GTB: semaine calme. La veille des sites de fuite estampillés hospitalité n'a enregistré entre le 26 et le 29 octobre aucune revendication visant un opérateur hôtelier structurant, et les avis ICS de la CISA de la semaine ne citent ni Johnson Controls Metasys, ni Honeywell Inncom, ni Trane. Un répit à mettre à profit pour appliquer les correctifs d'ArubaOS et de Data Domain ci-dessus.