PHP : failles critiques 🚨, Frigos de supermarchés piratés 🧊, GitLab : faille 10/10 🔓

Bonjour et bienvenue dans l'édition du vendredi 23 octobre !

A la une aujourd'hui:

• Deux failles critiques de PHP provoquent des mises hors ligne préventives dans le monde
• eMudhra abandonne ses certificats SSL/TLS après la découverte de clés privées faibles
• Frigos de supermarchés piratés : l'ANSSI pointe l'absence de protections de base
• Des groupes de ransomware exploitent une faille des pare-feux Palo Alto
• GitLab corrige une faille critique notée 10.0 permettant l'exécution de code à distance

Deux failles critiques de PHP provoquent des mises hors ligne dans le monde

Points Clés :

• CVE-2026-109618 et CVE-2026-109619, notées 9,2, permettent l'exécution de code à distance sans authentification
• Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 publiées en urgence corrigent ces deux failles
• Préfectures, impôts et Météo-France figurent parmi les sites déconnectés par précaution dans le monde

Description :

L'équipe PHP a publié en urgence des correctifs pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10. Exploitables sans authentification, elles permettent d'exécuter du code à distance, et un outil de preuve de concept baptisé PHP2Shell a déjà circulé. Par précaution, de nombreux administrateurs ont mis leurs sites hors ligne, dont les préfectures, les impôts et Météo-France en France, ainsi que des services publics européens et américains.

Pourquoi c'est important :

Ces failles touchent un composant au cœur du Web : PHP propulse plus de 70 % des sites, dont WordPress, Drupal, Joomla et Magento. Leur exploitation permettrait une prise de contrôle de serveurs, des vols de données et des défigurations, et la société watchTowr signale déjà des attaques actives. Cette alerte souligne la dépendance d'Internet à un langage unique et la nécessité d'appliquer sans délai les versions corrigées.

eMudhra abandonne ses certificats SSL/TLS après la découverte de clés privées faibles

Points Clés :

• Un chercheur a reconstitué les clés privées de huit certificats intermédiaires d'eMudhra, toutes trivialement faibles
• Chrome et Firefox cessent de faire confiance à la racine ECC concernée, touchant environ 30 000 certificats
• Les certificats concernés proviennent presque tous d'InCommon, le service de certificats de l'enseignement supérieur américain

Description :

eMudhra, autorité de certification indienne, abandonne son activité mondiale de certificats SSL/TLS cinq jours après qu'un chercheur a reconstitué les clés privées de huit de ses certificats intermédiaires, toutes trivialement faibles. Chrome et Firefox retirent leur confiance à la racine ECC (Elliptic Curve Cryptography) concernée, ce qui affecte environ 30 800 certificats encore valides, délivrés presque tous via InCommon, le service de l'enseignement supérieur américain. L'entreprise affirme n'avoir jamais utilisé ces clés pour émettre des certificats et n'avoir subi aucune intrusion.

Pourquoi c'est important :

Cette affaire illustre la fragilité de la confiance numérique : des clés privées mal générées suffisent à invalider toute une hiérarchie de certificats. Les universités américaines, principales touchées via InCommon, doivent remplacer rapidement leurs certificats, faute de quoi leurs sites deviendront inaccessibles. Les questions soulevées par Chrome sur la gestion d'un incident similaire en 2025 et la transparence d'eMudhra pourraient aussi remettre en cause la confiance dans sa racine RSA restante.

Frigos de supermarchés piratés : l'ANSSI pointe l'absence de protections de base

Points Clés :

• Au moins 300 magasins Intermarché et Netto ont été visés dans la nuit du 11 au 12 octobre
• Les systèmes de régulation du froid étaient joignables directement depuis Internet, sans pare-feu ni segmentation
• L’ANSSI ne peut pas imposer de règles à la grande distribution et craint des reproductions dans la santé

Description :

Vincent Strubel, directeur général de l’ANSSI, a présenté au Sénat les premières conclusions sur la cyberattaque qui a touché les chambres froides de centaines de supermarchés français dans la nuit du 11 au 12 octobre. Selon lui, ces systèmes industriels étaient joignables directement depuis Internet, sans pare-feu ni segmentation réseau, et leur interface d’administration n’était protégée que par des mots de passe faibles.

Pourquoi c'est important :

Cette attaque rappelle que des équipements industriels restent exposés sur Internet, malgré le guide de sécurisation publié par l’ANSSI depuis 2014. L'agence peut alerter et conseiller, mais ne peut imposer de règles à la grande distribution : la sécurisation reste aux mains des enseignes et de leurs prestataires. L'enjeu dépasse le commerce : car des installations similaires équipent la santé, des laboratoires aux pharmacies stockant les vaccins.

Des groupes de ransomware exploitent une faille des pare-feux Palo Alto

Points Clés :

• La faille CVE-2026-0257 permet de contourner l'authentification des portails GlobalProtect de PAN-OS
• Les groupes Qilin, Inc et Settra l'exploitent depuis mai pour pénétrer des réseaux d'entreprise
• Les attaquants pivotent vers la virtualisation pour voler des identifiants avant de déployer le rançongiciel

Description :

Plusieurs groupes de rançongiciels, dont Qilin et Inc, exploitent la vulnérabilité CVE-2026-0257 (CVSS 7.8) de PAN-OS, le système des pare-feux Palo Alto Networks. Cette faille de contournement d'authentification touche les portails GlobalProtect et permet d'établir une connexion VPN non autorisée, en contournant l'authentification multifacteur. Corrigée le 13 mai, elle est exploitée depuis au moins le 17 mai contre de nombreux secteurs, dont la finance, la santé et l'industrie.

Pourquoi c'est important :

Cette campagne souligne le risque que représentent les équipements de sécurité exposés, devenus une porte d'entrée privilégiée vers les réseaux d'entreprise. Les attaquants pivotent ensuite vers la couche de virtualisation et dérobent des identifiants de domaine en contournant la détection classique, avant de déployer le rançongiciel. La mise à jour seule ne suffit pas : Unit 42 recommande de rechercher d'éventuelles compromissions antérieures à l'aide de ses indicateurs.

GitLab corrige une faille critique notée 10.0 permettant l'exécution de code à distance

Points Clés :

• La vulnérabilité CVE-2026-110264, notée 10.0, permet une exécution de code à distance sans authentification
• Toutes les versions de GitLab depuis la 7.0 sont concernées et sept versions corrigées sont disponibles
• Aucune exploitation n'est signalée et la mise à jour corrige aussi deux failles élevées

Description :

GitLab a publié le 21 octobre 2026 des correctifs d'urgence pour CVE-2026-110264, une vulnérabilité critique notée 10.0 touchant ses éditions Community et Enterprise. La faille provient d'un dépassement d'entier dans le compilateur d'expressions régulières et permet à un attaquant non authentifié d'exécuter du code arbitraire sur les serveurs vulnérables. Toutes les versions depuis GitLab 7.0 sont concernées ; les administrateurs d'instances auto-hébergées doivent mettre à jour immédiatement.

Pourquoi c'est important :

Cette faille est particulièrement grave car elle s'exploite via le réseau, sans privilèges ni interaction utilisateur, avec de forts impacts sur la confidentialité, l'intégrité et la disponibilité. L'étendue des versions concernées, qui remonte à GitLab 7.0, expose aussi bien les anciennes installations que les déploiements récents. Bien qu'aucune exploitation ne soit confirmée, la criticité maximale de la faille impose une mise à jour rapide des instances auto-hébergées.

Avant de partir, j'ai 2 (petits) services à te demander :

1. Réponds à ce mail avec ton avis/ressenti sur cette édition. C'est toujours un plaisir de pouvoir échanger avec toi sur ces sujets, je réponds à tout le monde ! Tu peux aussi donner ton avis en cliquant sur les boutons ci-dessous.
2. Si tu as trouvé cette newsletter utile, partage-la à tes proches. C'est ce qui m'aide le plus à la faire grandir.

Bon vendredi à toi !