Faits marquants de la semaine
- Une faille critique de 16 ans dans l’UEFI (CVE-2026-97631, score CVSS 9,5) utilisée pour fabriquer des firmwares serveur, et permet d’exécuter du code avant le démarrage du système.
- La CISA a ajouté au catalogue KEV deux failles critiques PHP dites « PHP2Shell » (CVSS 9,2), corrigées en urgence le 21 octobre : exploitation à distance via requêtes HTTP, avec des millions de tentatives rapportées dès le 22 octobre.
- Une faille de Telegram sur Android permettait à un attaquant d’exécuter du code via un appel vocal, une fois l’appel décroché. Le correctif a été publié dans Telegram 12.10.4 fin septembre, divulgation le 29 octobre.
- PHP a reconstruit ses packages officiels Windows pour PHP 8.2 à 8.5 afin de corriger une faille dans la bibliothèque Brotli (corruption mémoire, exécution de code possible), atteignable via l’extension cURL lors de la décompression automatique.
Cette semaine, une faille UEFI très critique (CVE-2026-97631, CVSS 9,5) rend publique une surface d’attaque en amont du système d’exploitation : elle affecte TianoCore EDK II, composant largement utilisé pour les firmwares serveur, et permet une exécution de code avant que Secure Boot ne soit pleinement actif. Dans le même temps, la CISA a ajouté au catalogue KEV les vulnérabilités PHP « PHP2Shell », corrigées le 21 octobre, après une montée rapide des tentatives d’exploitation (jusqu’à des millions dès le 22 octobre). Côté postes et mobiles, Telegram a corrigé une exécution de code sur Android via appels vocaux (version 12.10.4), tandis que PHP a aussi publié côté Windows un correctif lié à Brotli via cURL.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
La sélection des 15 actualités à retenir cette semaine
CVE-2026-97631 : Une faille UEFI vieille de 16 ans menace les serveurs
Une faille UEFI vieille de 16 ans (score CVSS de 9,5/10) permet l’exécution de code avant le démarrage du système d’exploitation. Les serveurs exposés nécessitent des correctifs et des vérifications du firmware. Une faille critique, référencée CVE-2026-97631… Lire la suite
L'agence américaine CISA ajoute la faille PHP2Shell à son catalogue de vulnérabilités exploitées connues.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ajoute la faille PHP2Shell à son catalogue des vulnérabilités exploitées connues. La CISA a ajouté la vulnérabilité PHP2Shell à son catalogue des vulnérabilités exploitées connues (KEV). Lire la suite
Une faille de sécurité dans Telegram pour Android permet à des attaquants d'exécuter du code lorsque les utilisateurs répondent à des appels vocaux.
Une faille dans Telegram pour Android permettait à un attaquant d'exécuter du code malveillant sur le téléphone d'une victime via un appel vocal, une fois que celle-ci avait décroché, selon la start-up de sécurité NebuSec. Un simple… Lire la suite
PHP publie une deuxième mise à jour de sécurité Windows en cinq jours pour corriger une faille d'exécution de code Brotli.
PHP a reconstruit ses packages Windows officiels pour PHP 8.2 à 8.5 afin de corriger la vulnérabilité CVE-2026-111497, une faille de sécurité dans la bibliothèque de compression Brotli incluse dans ces packages. Cette faille permet à un… Lire la suite
Une faille critique du noyau Linux permet des attaques root à distance sur les serveurs MPTCP.
Des chercheurs en sécurité d'Anthropic ont développé une faille exploitant une vulnérabilité critique du noyau Linux, permettant à des attaquants non authentifiés d'exécuter à distance des commandes en tant que superutilisateur (root) sur des serveurs exécutant des… Lire la suite
Des chercheurs découvrent des bugs dans 5 outils de développement d'IA, les failles d'OpenAI et de Microsoft n'étant toujours pas corrigées.
De multiples vulnérabilités dans cinq outils de développement d'IA populaires pourraient permettre à des attaquants d'exécuter du code sur une machine hôte, de lire et de voler des fichiers, ou d'usurper la barre d'adresse du navigateur. Les… Lire la suite
La CISA met en garde contre une vulnérabilité critique d'exécution de code à distance (RCE) dans GitLab, activement exploitée lors d'attaques.
L'Agence de cybersécurité et de sécurité des infrastructures (CISA) a signalé une vulnérabilité critique dans GitLab Community Edition et Enterprise Edition, actuellement exploitée. Les organisations exploitant des serveurs vulnérables sont donc soumises à une pression urgente pour… Lire la suite
Une nouvelle faille zero-day exploitée dans les pare-feu Cisco provoque le plantage des périphériques VPN SSL.
Cisco a publié des mises à jour de sécurité pour corriger une faille de déni de service zero-day dans les logiciels Adaptive Security Appliance (ASA) et Threat Defense (FTD), que des attaquants exploitent pour paralyser à distance… Lire la suite
Microsoft publie des correctifs Windows hors cycle avec des mises à jour de certificats
Microsoft a publié une nouvelle mise à jour hors cycle pour Windows, mais il ne s'agit pas d'un correctif d'urgence pour les dernières failles de sécurité. Cette fois-ci, elle concerne les certificats. Cette mise à jour hors… Lire la suite
L'agence américaine CISA ajoute les failles d'Ivanti Connect Secure à son catalogue de vulnérabilités exploitées connues.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ajoute des failles d'Ivanti Connect Secure à son catalogue de vulnérabilités exploitées connues. La CISA a ajouté les vulnérabilités suivantes d'Ivanti Connect Secure à son catalogue de… Lire la suite
Une faille d'exécution de code à distance dans WordPress a entraîné près de 63 000 tentatives d'attaque en seulement 24 heures.
Des acteurs malveillants ont été observés tentant d'exploiter une faille de sécurité critique dans le noyau de WordPress peu après la publication de correctifs. Cette vulnérabilité, qui ne possède pas d'identifiant CVE, concerne une exécution de code… Lire la suite
Des attaquants exploitent une vulnérabilité critique du noyau Drupal Commerce (CVE-2026-118539)
Drupal alerte sur l'exploitation d'une faille critique d'autorisation dans Commerce Core, mettant en danger les boutiques en ligne vulnérables. Drupal signale qu'une faille de sécurité critique, référencée CVE-2026-118539, est exploitée par des acteurs malveillants dans son module… Lire la suite
Une nouvelle faille de sécurité Android, appelée SMS of Death, permet de faire planter à distance les téléphones non patchés.
Un chercheur en sécurité a publié une preuve de concept d'exploitation d'une vulnérabilité Android récemment corrigée, surnommée « SMS de la mort » et référencée CVE-2026-58882, qui permet à des attaquants de perturber à distance le service… Lire la suite
Des pirates informatiques ciblent une faille critique d'exécution de code à distance (RCE) dans Oracle E-Business Suite, quelques jours après la mise au point d'un correctif de sécurité.
D'après la société de veille sur les menaces Defused Cyber, des acteurs malveillants commencent à exploiter une vulnérabilité critique récemment corrigée dans Oracle E-Business Suite (EBS). Cette vulnérabilité, référencée CVE-2026-101767 (score CVSS : 9,8), se situe dans la… Lire la suite
Les pirates informatiques peuvent détourner des agents d'IA simplement en plaçant des fichiers malveillants dans le dossier Téléchargements.
Les assistants de programmation IA, tels que Claude Code et OpenAI Codex, écrivent, exécutent et modifient du code avec un minimum de supervision. Chacun lit et exécute automatiquement les instructions de tout fichier trouvé dans le dossier… Lire la suite
