Édition du 4 novembre 2026

Failles à retenir

Cisco Secure Email Gateway: une faille root sans authentification, avec activité malveillante détectée. CVE-2026-76461 (CVSS 9,8): un courriel spécialement construit déclenche une injection SQL dans l'analyseur et s'exécute en root sur le système d'exploitation sous-jacent. L'avis cisco-sa-esa-inj-2bLVGmhX est passé en version 1.2 le 3 novembre: aucun contournement, seule la version corrigée d'AsyncOS protège. Cisco indique avoir contacté directement des clients de Secure Email Cloud chez qui une activité malveillante a été détectée. Pour vérifier: rechercher les instructions COPY vers TO PROGRAM dans les journaux de messagerie. La passerelle mail d'un groupe charrie les confirmations de réservation et la correspondance clients. Fiche détaillée publiée ce jour.

Linux: un trou du code TCP signalé 9,8 par l'éditeur du noyau. CVE-2026-98432: une condition de course qui libère trop tôt la mémoire des options IPv4 (Record Route, Timestamp) lors de connexions TCP entrantes, présente depuis le noyau 4,4, sans identifiants ni interaction utilisateur. Red Hat a relevé sa note de 5,9 à 9,8 et publié des errata du 1er au 3 novembre, avec redémarrage requis; son bulletin du 3 novembre propose une règle nftables filtrant les paquets à options IP en attendant. Ubuntu LTS attend toujours un correctif hors dépôt expérimental. Back-office PMS, pages de réservation, contrôleurs Wi-Fi: tout le parc Linux est concerné.

Siemens IoT2050: la passerelle notée 10/10 exploitée en conditions réelles. CVE-2026-58115: l'interface web de Node-RED sans authentification permet d'exécuter des commandes en root sur les passerelles SIMATIC IoT2050 Advanced sous Industrial OS antérieure à V4.3.4.1. Des leurres ont capté dès le 30 octobre des implantations de bots Linux et des canaux de commande persistants. Siemens publie firmware et avis SSA-834709 depuis août, sans correction automatique: les appareils restent exposés tant que quelqu'un ne monte pas en version. Ces passerelles circulent dans les kits de locaux techniques et de régulation.

Tendances

La fenêtre de mise à jour devient une vulnérabilité exploitée. CISA confirme au catalogue KEV, le 3 novembre, l'ajout de CVE-2026-119977: la condition de course du cœur WordPress qui expose l'installeur décompressé sous wp-content/upgrade pendant quelques secondes, en exploitation active. La conduite opératoire reste celle de la fiche publiée hier: bloquer l'accès web au répertoire de transit avant chaque montée de version, mettre à jour hors heures. Les microsites d'hôtels, mis à jour par lots et sans fenêtre de maintenance, sont le profil le plus exposé.

La donnée de réservation sert d'appât au hameçonnage. Trois récits de la semaine disent la même chose: Amadeus notifie ses clients un par un, des clients de RMS Cloud reçoivent des messages citant de vraies réservations pour « revérifier » leur carte, et l'allégation de fuite visant IHG décrit des folios et des données de fidélité. Inutile de voler la carte: connaître le séjour suffit. Briefer le front desk sur l'hameçonnage au motif d'une réservation, et exiger un rappel sur le numéro officiel pour toute modification.

Sur le fil

Amadeus: la vague de déclarations monte. Singapore Airlines a déclaré le 3 novembre environ 46 000 dossiers de réservation consultés via la plateforme, dont 620 contenant courriel, téléphone, document de voyage et numéro KrisFlyer. Japan Airlines et ANA ont communiqué début novembre des chiffres à plusieurs dizaines de milliers; Qantas a confirmé la notification et sa déclaration aux autorités australiennes. Amadeus maintient une lecture seule d'un environnement d'affichage des réservations entre août 2023 et septembre 2026, sans données de paiement. Le volet hôtelier n'est toujours pas chiffré par l'opérateur.

IHG: une allégation, pas une confirmation. Le groupe BYOD, apparu en septembre, a publié le 3 novembre une annonce revendiquant l'accès aux données clients, aux folios, à la fidélité et à des clés AWS du parc IHG (Holiday Inn, Crowne Plaza, Six Senses), via un mot de passe de liaison LDAP affaibli. Aucune preuve publiée, aucune confirmation du groupe à l'heure actuelle; Cyber Daily relève 69 établissements en Australie. En cas de confirmation, la donnée de réservation et de fidélité alimenterait une fraude massive par hameçonnage: anticiper, ne pas relayer l'allégation aux clients.

RMS Cloud: l'endiguement annoncé, le hameçonnage continue. Le fournisseur de réservations a confirmé la maîtrise de l'incident d'octobre cette semaine, tandis que la vague de messages exploitant de vraies données de réservation se poursuit en Australie, avec les régions du Kimberley et de Tasmanie nommées par la presse. La leçon vaut pour tout établissement branché sur une plateforme de réservation tierce: la fuite est en amont, mais l'appel ou le SMS frauduleux arrive au nom de votre hôtel.

Froid commercial: l'Irlande nomme les équipements. Le centre national de cybersécurité irlandais a publié le 3 novembre un avis visant les automates Danfoss AK-SM/AK-SC et Copeland/Dixell XWEB: changer les mots de passe par défaut, n'autoriser la maintenance à distance que par VPN, et remplacer les appareils en fin de vie là où c'est possible. La Belgique a ouvert une enquête sur les perturbations de la semaine. Les chambres froides, caves et spas des hôtels utilisent les mêmes familles d'équipements, souvent maintenues à distance par un prestataire.

PHP2Shell: les éditeurs ajustent leurs matrices. Mitel a publié le 3 novembre la révision 7.0 de l'avis MISA-2026-0008: MiVoice 5000 jusqu'à R8.4 et passerelles OpenScape concernés, correctifs publiés ou planifiés produit par produit. Schneider Electric a publié la révision 3.0 de la notification SESB-2026-295-01 pour ses gammes EcoStruxure. Deux réflexes côté hôtel: isoler les VLAN téléphonie et BMS de toute exposition directe, et demander à l'intégrateur l'inventaire des interfaces web exposées.

La mise à jour automatique de cPGuard détournée. Le canal d'auto-mise à jour de cette suite de sécurité pour serveurs d'hébergement Linux a servi de vecteur le 2 novembre: un script injecté a installé une porte dérobée et collecté fichiers de mots de passe, identifiants de bases et clés SSH, exfiltrés vers un serveur de licences. L'éditeur fait état d'environ 2 900 serveurs touchés et publie la version 5.88.25 qui nettoie l'infection. Sur tout serveur ayant reçu les versions 5.88.12 à 5.88.19, tourner les identifiants root, base et SSH. Beaucoup de sites d'hôtels vivent sur ce type d'hébergement mutualisé.