Édition du 5 novembre 2026

Failles à retenir

HPE Networking Fabric Composer: des identifiants codés en dur notés 9,8. Le bulletin HPESBNW05172, publié le 3 novembre, couvre 56 failles de l'orchestrateur de maillages réseau Aruba/HPE. La plus sérieuse, CVE-2026-95731: un mot de passe de la ligne de commande, connu de l'éditeur, donne un accès administrateur à distance sans authentification. Versions corrigées: 7.4.1 et 7.3.5. Le CERT-FR a relayé les bulletins le 4 novembre (CERTFR-2026-AVI-1451), avec exécution de code à distance et élévation de privilèges parmi les risques. Bonne nouvelle: cette vague ne touche ni ClearPass ni les contrôleurs Wi-Fi ArubaOS. Fiche détaillée publiée ce jour.

OPNsense: le renouvellement de certificats ouvre la porte au root. CVE-2026-123025, notée 9,4 en CVSS 4.0, publiée le 5 novembre: le module de validation DNS Google Cloud du plugin os-acme-client, versions 4,17 et antérieures, recopie des champs déclarés dans une commande shell sans échappement. Un utilisateur authentifié doté du droit d'émettre ou renouveler un certificat obtient une exécution de code en root. OPNsense équipe beaucoup de petits hôtels et signe les certificats des portails invités. En attendant le plugin mis à jour: restreindre les comptes habilités sur l'interface d'administration et tourner la clé de service Google Cloud. Fiche détaillée publiée ce jour.

Apple: une vieille faille devient une obligation d'exploitation. CISA a ajouté le 4 novembre CVE-2024-27834 à son catalogue des vulnérabilités exploitées. Ce défaut WebKit aide un attaquant déjà doté d'un accès en lecture et écriture sur l'appareil à contourner Pointer Authentication, la protection matérielle des puces Apple silicon. Apple a corrigé en mai 2024: iOS et iPadOS 17.5, iOS 16.7.8, macOS 14.5, Safari 17.5. Les chercheurs de Sekoia décrivent en octobre une chaîne d'exploitation l'ayant utilisée via Safari. Les iPad de front desk ou de restaurant non mis à jour depuis deux ans sont concernés. Échéance fédérale américaine: le 18 novembre.

Tendances

L'obligation node2shell gagne les standardphones et les clients légers. L'avis Mitel MISA-2026-0010 est passé en révision 5.0 le 4 novembre: MiVoice Business jusqu'à 10.6.0.7, OpenScape SBC, Contact Center et Xpert sont déclarés concernés, avec correctifs annoncés et contournements publiés pour la SBC et le centre de contact; MiCollab figure parmi les non concernés. Côté HP, le bulletin HPSBHF04161 du 2 novembre couvre les clients légers ThinPro 8.1 et 9, pour la même bibliothèque Brotli en cause. PABX et terminaux de front desk: réclamer à l'intégrateur le calendrier de correctifs pour ces deux familles.

Trois moyens de paiement ont toussé en 48 heures. Worldpay a clos le 3 novembre ses incidents Sterling File Gateway et Integrated Payments et affichait une journée du 4 sans incident: la fenêtre se referme, sans volet sécurité. Adyen maintient une dégradation de Tap to Pay sur certains iPhone iOS 27, liée à un flux de mise à niveau par gestion mobile, identifiée le 2 novembre et non résolue. Square a enregistré deux interruptions le 4 novembre, paiement puis monnaie électronique, chacune d'environ une heure et demie. Aucun de ces épisodes n'est une brèche; chacun coupe la recette. Gardez un mode encaissement manuel prêt et vérifiez la page d'état du processeur avant d'accuser votre réseau.

Sur le fil

Amadeus: les chiffres côté aérien se précisent. Japan Airlines a déclaré le 2 novembre environ 92 000 clients touchés, dont près de 2 000 avec numéro de passeport, nationalité, contacts et numéro de fidélité; ANA évoque 37 800 clients dont 1 700 avec données personnelles; Cathay Pacific compte environ 53 000 réservations, sur un accès d'août 2023 à septembre 2026. Qantas a saisi les autorités australiennes. Amadeus répète: environnement d'affichage en lecture seule, pas de données de paiement. Le volet hôtelier reste sans chiffre communiqué par l'opérateur.

IHG: l'allégation BYOD circule, IHG reste muet. La couverture australienne du 4 novembre situe 69 hôtels du pays dans le périmètre revendiqué; Cyber Daily note que le groupe BYOD a depuis retiré les données de son site de fuite. Aucune preuve publiée, aucune déclaration du groupe à ce jour. En l'état, rien à relayer aux clients, mais deux réflexes à préparer: le message de marque en cas de confirmation, et la vague de hameçonnage citant de vrais séjours qui suit d'ordinaire ce type d'affaire.

Synology: le CERT-FR publie son avis. Le centre français a émis le 2 novembre l'avis CERTFR-2026-AVI-1435 sur DSM, le système des NAS où beaucoup d'hôtels stockent sauvegardes, comptabilité et téléphonie: appliquer les versions corrigées. Les campagnes de rançongiciel exploitent des failles pourtant corrigées depuis décembre 2024 sur des versions anciennes; l'éditeur a publié le 2 novembre une matrice de versions corrigées par modèle. Le NAS du local technique a-t-il une mise à jour programmée?

DreamHost: la fuite de l'hébergeur est confirmée. La société américaine a confirmé le 4 novembre qu'un intrus a exploité une vulnérabilité de son gestionnaire de fichiers web de août au 23 octobre et dérobé les identifiants FTP et SFTP des personnes connectées sur cette période; les sessions webmail de certains comptes ont aussi été exposées. Pas de trace d'accès aux moyens de paiement. Beaucoup de microsites d'hôtels vivent chez des hébergeurs de ce type: tourner les identifiants réutilisés ailleurs, relire fichiers du site et règles de transfert de messagerie depuis août.