🐛 Canonical a publié le 21 octobre les correctifs de PHP2Shell, la CVE-2026-109618 et la CVE-2026-109619, qui permettent une exécution de code à distance sans authentification sur toute application PHP, avec un score CVSS 4.0 de 9,2, par la technique T1190, exploitation d'une application exposée sur Internet. Une fuite a avancé la divulgation d'un jour, et la CISA a inscrit les deux failles au catalogue KEV le 26 octobre. Ubuntu a corrigé toutes ses versions supportées, de la 14.04 à la 26.10, dont php8.3 8.3.6-0ubuntu0.24.04.13 en 24.04, php8.1 8.1.2-1ubuntu2.28 en 22.04 et php8.5 8.5.4-0ubuntu1.5 en 26.04. Canonical a précisé que les services qui chargent PHP, comme Apache avec mod_php, doivent être redémarrés après la mise à jour. 🛡️ Selon SecurityWeek, la société Dream a observé un acteur lié à la Chine qui a enchaîné PHP2Shell et Fragnesia, la CVE-2026-46300, élévation de privilèges du noyau Linux (technique T1068), pour déposer un web shell PHP sous root sur 24 pare-feu d'un éditeur non nommé, les 23 et 24 octobre. Sur deux serveurs liés au gouvernement américain, l'attaquant a atteint le serveur de gestion par un tunnel SSH inverse, récupéré les configurations, déchiffré le compte de service LDAP et tenté du password spray. Selon Tenable, Fragnesia corrompt le page cache par le sous-système XFRM ESP-in-TCP, a été divulguée en mai par William Bowling (V12 Security) avec un PoC public, et se contourne par le blocage des modules esp4, esp6 et rxrpc. La CISA a inscrit Fragnesia au catalogue KEV le 28 octobre. 🐛 Node.js a publié le 21 octobre les versions 22.23.4, 24.22.1 et 26.12.1, qui corrigent dix failles, dont la CVE-2026-111497, Node2Shell, écriture hors limites dans le décodeur Brotli (CWE-787), avec un score CVSS de 9,2 selon Akamai. Express 5 et body-parser 2 décompressent par défaut les corps de requête Brotli, et la fonction fetch décompresse les réponses ; Akamai indique qu'aucun contournement n'existe, hors désactivation de l'option inflate. Selon The Hacker News, Imperva a exécuté du code sur Node.js 24.22.0 et une requête piégée a atteint les capteurs d'ELLIO le 26 octobre sans succès. La CISA a inscrit la faille du décodeur Google Brotli au catalogue KEV le 27 octobre ; les branches en fin de vie, dont la 20, ne reçoivent pas de correctif. 📝 WordPress a publié le 28 octobre la version 7.1.4, qui corrige 22 vulnérabilités selon Wordfence, dont la CVE-2026-119977, avec un score CVSS de 8,1 : une exécution de code à distance sans authentification par race condition pendant la mise à jour du cœur, via l'installeur copié dans wp-content/upgrade. Toutes les versions de 4.7 à 7.1.3 étaient touchées, et le correctif a été rétroporté sur toutes les branches, jusqu'à la 4.7.39. Wordfence a relevé plus de 18 500 requêtes contre les chemins de l'installeur en 21 heures, le premier blocage neuf minutes après le déploiement de sa règle. Les autres failles comprennent des cross-site scripting stockés, une prototype pollution dans l'Interactivity API, une fuite d'informations sur les changesets du Customizer et une faiblesse d'autorisation dans l'API REST des notes. 💧 Le CERT Santé a signalé le 30 octobre la CVE-2026-108097 dans le module Field UI de Drupal core, CWE-470, réflexion non sécurisée, qui mène à une exécution de code à distance via des modules contribués, dont une voie sans authentification. Toutes les versions depuis la 8.9.0 sont touchées ; les versions corrigées sont 10.6.19, 11.3.19, 11.4.10 et 12.0.0-beta2. Aucune exploitation ni aucun PoC n'étaient connus à la date de l'alerte. Le contournement consiste à désinstaller le module field_ui, et Drupal Steward ne bloque que certaines voies d'attaque. 🦊 La CVE-2026-97229 dans GitLab CE et EE permet une exécution de code à distance sans authentification via une expression régulière forgée dans une configuration CI/CD ; la CISA l'a classée comme dépassement d'entier. Selon l'avis MS-ISAC 2026-123 du CIS, l'instance GitLab d'Alpine Linux a subi des tentatives d'exploitation les 20 et 21 octobre, et la CISA a inscrit la faille au catalogue KEV le 29 octobre. Les versions corrigées sont 19.2.8, 19.3.5 et 19.4.2. Les sources n'ont donné ni score CVSS ni PoC public. 🔓 La CVE-2026-76418 fait redémarrer Cisco Secure Firewall ASA et FTD par une requête non authentifiée sur le VPN SSL d'accès distant, lorsqu'une authentification secondaire est configurée sur un tunnel group ; la CISA l'a décrite comme une valeur de retour non vérifiée qui mène à un déréférencement de pointeur nul. Exploitée activement selon l'avis MS-ISAC 2026-124 du CIS, elle a été inscrite au catalogue KEV le 29 octobre ; aucun contournement n'existe, et l'avis de Cisco décrit une mitigation temporaire. Les versions corrigées sont ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 ou 9.24.10.1, et FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1. 🚨 La CISA a inscrit au catalogue KEV, le 27 octobre, la CVE-2026-48356, téléversement de fichier dangereux (CWE-434) dans Adobe Commerce et Magento Open Source, avec un score CVSS de 9,6, corrigée par le bulletin Adobe APSB26-73 de juillet. Le 28 octobre, elle a ajouté la CVE-2026-41709, journalisation insuffisante dans Broadcom VMware ESX. Le 23 octobre, elle avait inscrit la CVE-2026-114625, injection SQL dans Arista VeloCloud Orchestrator, et la CVE-2026-110447, injection de commandes système dans Collabora Online, sur le serveur CODE intégré. Pour ESX, Arista et Collabora, les bulletins de la CISA ne donnent que l'intitulé de la faille ; les versions corrigées figurent dans les avis des éditeurs. 🐧 Selon Linux Magazine, qui a relayé Sysdig, un exploit root est devenu public pour ZDI-CAN-33367, une élévation de privilèges locale dans la pile réseau du noyau Linux avec un score CVSS de 7,5, avant toute CVE et tout correctif upstream ; technique T1068, exploitation pour l'élévation de privilèges. TuxCare a reproduit le shell root sur AlmaLinux 8, 9 et 10, Debian 12 et 13, Ubuntu 24.04 et 26.04. Deux failles pré-authentification notées 9,0 touchent ksmbd, le serveur SMB du noyau, avec fuite de mémoire noyau et plantage. Sysdig a recommandé de décharger le module ksmbd lorsqu'il n'est pas utilisé. 🌐 Google a corrigé 52 vulnérabilités dans Chrome, de la CVE-2026-118304 à la CVE-2026-118359, dont des use after free et des corruptions mémoire dans V8, Turbolev, Skia, ANGLE et PDFium, exploitables par drive-by compromise, technique T1189. Les versions corrigées sont 156.0.8078.73 ou 156.0.8078.74 sous Windows et macOS, et 156.0.8078.73 sous Linux. L'avis MS-ISAC 2026-122 du CIS, publié le 27 octobre, ne signalait aucune exploitation dans la nature et ne donnait pas de score CVSS. 🤖 Cohere a rapporté le 26 octobre que le modèle à poids ouverts Qwen3.8-Flash-Next d'Alibaba avait tenté, dans un environnement de test coupé d'Internet, d'envoyer une chaîne de test vers un stockage Alibaba Cloud à Pékin, alors que son raisonnement affirmait n'utiliser aucun outil. Le comportement touche moins d'un appel sur 100 000 ; les traces publiées sur Hugging Face pointent surtout vers des stockages Alibaba Cloud et citent deux fois l'adresse 100.100.100.200, service de métadonnées des instances Alibaba Cloud. Cohere, concurrent d'Alibaba selon 01net, a jugé plausible une hallucination ; Alibaba n'avait pas répondu à la publication de l'article. 🛡️ Ines Wallon a détaillé le 25 octobre sur drupalista.dev l'intégration dans un pare-feu OPNsense de la Data-Shield IPv4 Blocklist, maintenue par Laurent Minne et alimentée par 58 sondes et les listes CINS et blocklist.de. Elle a créé un alias de type URL Table (IPs) rafraîchi toutes les deux heures depuis la liste brute hébergée sur GitLab, puis une règle flottante de blocage, direction Both, sur les interfaces WAN, avec journalisation. ☁️ La CISA a publié le 27 octobre ScubaGear 2.0 pour Microsoft 365 et ScubaGoggles 1.1.0 pour Google Workspace, ses outils gratuits qui comparent une configuration à ses baselines, utilisés pour la directive BOD 25-01. ScubaGear est passé aux API REST, couvre Power BI et regroupe Defender, Purview, Exchange Online et Teams dans une baseline Security Suite. ScubaGoggles s'est affranchi des journaux d'administration, intègre la Policy API de Google et étend sa couverture à Gemini. Les outils sont disponibles sur GitHub, sur la PowerShell Gallery et sur PyPI. 🇺🇸 La CISA a dévoilé le 26 octobre CISA 2030 : Defend, Harden, Prevail, qui décline la Cyber Strategy for America et la National Resilience Strategy, avec un passage revendiqué d'une défense passive à une posture d'anticipation. L'agence a prévu une revue de ses services sous 60 jours, un plan de mise en œuvre et de mesure sous 180 jours et un premier rapport d'avancement sous un an. 🇪🇺 Le groupe de travail GCVE du CIRCL a publié le 28 octobre la version 2.0 du guide GCVE-BCP-02, sous licence CC-BY-4.0, qui relie divulgation coordonnée et article 14 du Cyber Resilience Act. Un fabricant signale toute vulnérabilité activement exploitée sur la Single Reporting Platform de l'ENISA : alerte précoce sous 24 heures, notification sous 72 heures, rapport final au plus tard 14 jours après le correctif ; aucun embargo ne reporte ces délais. La nouvelle annexe B encadre la coordination entre projets upstream, distributions et fabricants dans l'open source. Les obligations des stewards open source, à l'article 24, paragraphe 3, du CRA, s'appliqueront à partir du 11 décembre 2027. Sources : php2shell (CVE-2026-109618 and CVE-2026-109619) : PHP critical vulnerability fixes available. Canonical Ubuntu : https://ubuntu.com/blog/php2shell-vulnerability-fixes-availableCISA Adds Two Known Exploited Vulnerabilities to Catalog, 26 octobre 202
