Édition du 30 octobre 2026

Failles à retenir

Cisco ASA/FTD: la VPN SSL mise à genoux, exploitation active confirmée (CVE-2026-76418). L'avis Cisco publié le 28 octobre 2026 vise le service Remote Access SSL VPN des logiciels ASA et Secure Firewall Threat Defense: une déréférencation de pointeur NULL, classée CWE-690, déclenchée par une requête façonnée adressée à un groupe de tunnel configuré avec une authentification secondaire, qui provoque le rechargement du coupe-feu. Cisco note la faille 8,6 et ne fournit aucun correctif de contournement: seule parade temporaire, retirer l'authentification secondaire de tous les groupes de tunnel, DefaultWEBVPNGroup compris. La CISA l'a ajoutée au catalogue KEV le 29 octobre. Coupe-feux de périmètre et concentrateurs VPN d'hôtels: la version corrigée passe avant la fenêtre de maintenance.

PHP2Shell: Palo Alto Networks confirme l'exploitation sur ses interfaces d'administration. Dans un avis mis à jour le 28 octobre, l'éditeur déclare une exploitation active de PHP2Shell (CVE-2026-109618, CVE-2026-109619) contre les interfaces d'administration PAN-OS exposées à Internet, limitées à la console web HTTPS et au service API XML. Aucune configuration particulière n'est nécessaire pour être à risque: c'est l'exposition qui déclenche tout. Les hotfixes sortent branche par branche, certains attendus jusqu'au 30 octobre; l'éditeur précise que les clients corrigés, comme ceux qui gardent l'administration hors d'Internet, ne sont pas touchés. Réflexe: console d'administration jamais joignable côté WAN.

Microsites WordPress d'hôtels: lot de failles à 9,8 sur les réservations et les memberships. Trois publications convergent entre le 27 et le 29 octobre: contournement d'authentification menant à la prise de compte dans Qode Membership jusqu'à 2.0.6.2 (CVE-2026-92885, 9,8), contournement par connexion sociale Twitter/X dans Jupiter X Core jusqu'à 4.61.0 (CVE-2026-106013, 9,8), et une référence directe non sûre dans l'extension Hotel Booking jusqu'à 3.8 qui livre à tout utilisateur connecté les réservations d'autrui, nom, courriel, téléphone, adresse (CVE-2026-118084). Le plugin, retiré du répertoire officiel, n'a aucun correctif annoncé. S'y ajoutent le 28 octobre un CSRF à 8,8 et une injection SQL aveugle dans VikRentCar. Inventorier les extensions, supprimer ce qui n'est plus maintenu.

Tendances

Les WAN inter-établissements dans le collimateur des APT. Cisco Talos a publié le 28 octobre le framework KeyDrift: le groupe suivi sous UAT-11473, dont l'infrastructure recoupe celle de Volt Typhoon, a exploité CVE-2026-20127 (10,0, corrigé en février) contre les contrôleurs Catalyst SD-WAN pour poser une persistance, intercepter le trafic du plan de contrôle déchiffré et récolter les clés IPsec. Lumen documente en parallèle Silent Train, un réseau de relais jetables composés de routeurs et d'équipements réseau compromis, lié à au moins quatre zero-days. Groupes qui relient leurs établissements en SD-WAN Cisco: vérifier le correctif de février et rechercher les connexions vmanage-admin suspectes dans les journaux.

L'authentification, point mou de la pile web hôtel. Le lot WordPress de la semaine frappe les composants d'identification: gestionnaire de connexion sociale, couple de greffons de double authentification Two Factor Authentication et All-In-One Security dont le code n'est pas lié au compte en cours de connexion (CVE-2026-111739, publié le 29 octobre), systèmes de fidélité et de membership. Le filon est clair: la réservation hôtelière en ligne ne vaut que par la confiance dans les sessions, et ce sont elles qu'on perce. Prioriser les correctifs d'authentification avant les correctifs d'apparence, et supprimer les extensions de connexion sociale inutilisées.

Sur le fil

UEFI: une faille de serveur âgée de seize ans exposée (CVE-2026-97631). Rendue publique le 28 octobre, une écriture hors limites dans le pilote de démarrage PXE du micrologiciel EDK II, présent dans une grande partie des machines de centre de données et d'hébergement cloud: un attaquant en position sur le réseau peut exécuter du code avant le système d'exploitation, donc avant Secure Boot, en envoyant un message ICMP déformé pendant un amorçage réseau de la victime. CVSS 4.0: 9,5. Correctif amont fusionné le 15 octobre, mises à jour des constructeurs encore très attendues. Hôtels avec matériel sur place: désactiver l'amorçage réseau quand c'est possible et différer les redémarrages tant que le micrologiciel n'est pas à jour.

GitLab au KEV, le versant prestataire informatique. La CISA a ajouté le 29 octobre une exécution de code à distance non authentifiée dans GitLab Community et Enterprise Edition (CVE-2026-97229, 10,0), avec des tentatives d'attaque observées. Ce n'est pas un produit hôtelier, mais les plates-formes de développement et d'automatisation des intégrateurs et des SI de groupes y passent. Demander aux prestataires qui hébergent du code ou des pipelines d'exploitation une confirmation écrite du correctif.

Sites de fuite: pas de nouveau lotel revendiqué avant le 30 octobre. La veille des sites de fuite ciblant l'hospitalité n'a enregistré entre le 27 et le 30 octobre aucune nouvelle revendication visant un opérateur du secteur; les publications les plus récentes dataient du 26 octobre et avaient déjà été couvertes. Les avis ICS de la CISA de la semaine ne citent ni Metasys, ni Inncom, ni Trane. Un répit à employer sur les ASA, PAN-OS et ArubaOS.