Fin octobre et début novembre 2026, plusieurs failles critiques ont été publiées puis exploitées en quelques heures. Voici celles qui méritent une action immédiate, ce qu'il faut vérifier, et les bons réflexes pour s'en protéger.
Photo : « Couple of metallic padlocks on old door frame », Horia Varlan, licence CC BY 2.0.
PHP : « php2shell », exécution de code à distance
Le 21 octobre, PHP a corrigé deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, qui permettent d'exécuter du code à distance. Le CERT-FR a ouvert une alerte (CERTFR-2026-ALE-014) et observe des tentatives d'exploitation ; des preuves de concept circulent depuis le 22 octobre.
- Versions corrigées : 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
- Sans correctif : les branches 5.x, 7.x, 8.0.x et 8.1.x ne sont plus maintenues. Il faut migrer.
- À faire : inventorier tous les sites et applications en PHP, y compris ceux confiés à un prestataire, mettre à jour, et rechercher des traces de compromission (fichiers inconnus, nouveaux comptes administrateur, connexions sortantes inhabituelles).
GitLab : une faille notée 10 sur 10
Le 21 octobre, GitLab a publié des correctifs pour CVE-2026-110264 : une exécution de code à distance sans authentification, dans certaines conditions, qui touche toutes les versions de GitLab CE et EE auto-hébergées depuis la 7.0. Les instances mises à jour le 12 octobre restent vulnérables. GitLab ne propose aucun contournement.
- Versions corrigées : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13.
- Pourquoi c'est sérieux : une forge logicielle porte les secrets de l'intégration continue, donc souvent les clés de déploiement des serveurs de production.
- À faire : sauvegarder la configuration et les secrets, mettre à jour, puis faire tourner les jetons et variables si les journaux montrent une tentative.
OpenSSH : « sshole », exploitée en moins de neuf heures
Le 5 novembre, OpenSSH 10.6p2 a corrigé CVE-2026-123158 (alerte CERTFR-2026-ALE-015). Sur les systèmes Linux qui utilisent la bibliothèque musl sans PAM, Alpine Linux en tête, des comptes sans mot de passe réel peuvent s'ouvrir sans authentification. Une première tentative d'exploitation a été observée moins de neuf heures après la publication.
- Concernés : Alpine Linux et autres systèmes musl (certaines images Docker, OpenWrt, Buildroot, Yocto). Les distributions à base de glibc et celles qui utilisent PAM ne le sont pas.
- À faire : appliquer le correctif et redémarrer sshd, sinon l'ancien programme continue d'accepter les connexions. À défaut, désactiver l'authentification par mot de passe.
Équipements exposés : passerelles d'accès et objets connectés
Photo : « Switch! », andrewfhart, licence CC BY-SA 2.0.
Trois alertes du CERT-FR restent ouvertes sur des équipements placés en bordure de réseau :
- Ivanti Connect Secure (CERTFR-2026-ALE-013) : trois vulnérabilités activement exploitées. En cas de doute, isoler l'équipement, conserver les journaux, puis rechercher des déplacements dans le réseau.
- Citrix NetScaler ADC et Gateway (CERTFR-2026-ALE-011) : plusieurs vulnérabilités, dont une exploitée.
- Contrôleurs à distance d'installations de réfrigération (CERTFR-2026-ALE-012) : de nombreuses compromissions de contrôleurs Danfoss AK-SC et AK-SM, Copeland et Dixell xweb, joignables depuis Internet. Le rappel du CERT-FR vaut pour tout objet connecté : « l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques ». L'accès passe par un VPN ou un réseau protégé, avec un micrologiciel à jour et des mots de passe changés.
Cinq réflexes pour la semaine
- Tenir l'inventaire de ce qui est exposé sur Internet, prestataires compris.
- Mettre à jour dans les jours qui suivent une alerte, et redémarrer les services concernés.
- Ne jamais exposer une interface d'administration : VPN ou réseau protégé.
- Après un correctif tardif, chercher des traces de compromission et faire tourner les secrets.
- Tester les comptes partagés comme un utilisateur malveillant le ferait.
Sources : alertes du CERT-FR, avis des éditeurs (PHP, GitLab, OpenSSH). Une question sur votre exposition : contact@cybelia-cloud.fr.