Édition du 6 novembre 2026

Failles à retenir

CryptoPayment Gateway: 10 sur 10, sans correctif, attaquée. NVD confirme le CVE-2026-81648 (CVSS 10,0): un contrôle d'autorisation absent sur un point d'entrée AJAX de l'extension WordPress, versions 1.2.1 à 1.2.2, permet à un attaquant non authentifié de supprimer des fichiers du serveur, de réécrire la configuration de la passerelle de paiement et de récupérer en clair les clés de portefeuille stockées. Retirée du répertoire officiel le 28 août, l'extension n'a aucune version corrigée et reste installée sur environ 1 845 sites. Des tentatives d'exploitation active ont été observées dans la nature depuis le 3 novembre. La seule parade: retirer l'extension, même désactivée, et pivoter les clés.

Formulaires et garde WooCommerce: deux brèches critiques en 24 heures. CVE-2026-118423 (10,0, publié le 6 novembre): WP Libre Form 1.5.0.1 ne valide pas le type de fichier déposé via ses formulaires, si bien qu'un visiteur peut téléverser du code PHP. CVE-2026-100109 (9,8, publié le 5 novembre): Security For WooCommerce 1.0.10 à 1.0.16 laisse créer un compte utilisateur sans authentification ni droits. Le formulaire de contact devient porte d'entrée de webshell; l'extension de sécurité devient vecteur de prise de compte.

ModSecurity, le WAF qui doit se protéger. Deux failles notées 8,6 (CVE-2026-104269, CVE-2026-73856) touchent le moteur ModSecurity de la version 3.0.0 à 3.0.17, dans le traitement des requêtes multipart et la logique de comparaison des transactions; la version 3.0.17 corrige le tout, publié le 5 novembre. Présent devant des points de réservation derrière Apache ou nginx, il ne peut plus garantir l'application de ses règles tant qu'il n'est pas monté de version.

Tendances

WordPress: la fenêtre de mise à jour reste la fenêtre d'attaque. La CISA a confirmé le 4 novembre l'exploitation active du CVE-2026-119977, la condition de course du cœur ajoutée au KEV le 3 novembre. Wordfence a compté 12 632 tentatives bloquées en 24 heures, et sa règle de protection ne parvient aux sites du niveau gratuit que le 27 novembre: les microsites hôteliers encore en 4.7 à 7.1.3 restent trois semaines de plus exposés pendant leur propre mise à jour. Échéance fédérale américaine: le 6 novembre. La fiche du 3 novembre garde toute sa valeur: bloquer wp-content/upgrade avant la montée, de préférence en ligne de commande.

Le règlement, nouveau point faible des plateformes de paiement. En 72 heures, trois incidents de trésorerie sans volet sécurité. Toast a reconnu le 5 novembre que tout ou partie des dépôts des ventes du 3 et 4 novembre n'était pas parvenu à certains clients, régularisation annoncée en fin de journée. Worldpay a signalé deux jours ouvrés de retard de versement sur les transactions PayPal Direct, cause identifiée comme tierce (INC0716317, clos le 6 novembre), plus deux incidents d'autorisation le 5 novembre sur sa passerelle mondiale. Adyen n'a toujours pas résolu, depuis le 2 novembre, la disparition ou l'altération des libellés de versement d'un sous-ensemble de clients, qui déclenche fausses alertes frauduleuses et écarts de rapprochement. Aucun n'est une brèche; chacun coupe la visibilité sur l'encaissé.

Sur le fil

IHG: le site de fuite repost une sommation. Le groupe BYOD, qui avait retiré jeudi ses données, a republié le 5 novembre une ultime sommation (« First and Final Warning ») visant IHG Hotels & Resorts, date visible sur la veille des sites de fuite du secteur. Aucune déclaration du groupe. La vigilance hameçonnage recommandée hier reste de mise.

Omni Hotels cité sur un site de fuite. Le groupe rançongiciel Redact a publié le 5 novembre la fiche Omni Hotels & Resorts. Allégation seule, aucune déclaration du groupe à ce jour, attribution non confirmée. À suivre: les étapes de vérification habituelles s'appliquent.

OPNsense: injection de configuration cotée 8,1. Le CVE-2026-57154, publié le 3 novembre, permet à un utilisateur authentifié doté d'accès délégués d'injecter des lignes dans les fichiers de configuration de services privilégiés. Corrigé en 26.1.11 et 26.4.1p1. Ce pare-feu, souvent utilisé pour séparer le Wi-Fi clients des systèmes de carte, mérite la montée de version et une revue des comptes à droits partiels.