Édition du · Période analysée : 19 octobre 2026 – 25 octobre 2026
Une sélection éditoriale, non exhaustive : la couverture de presse est recoupée avec les avis des éditeurs et chercheurs. Les analyses ci-dessous distinguent risque, tentative et compromission confirmée. Cette édition est datée ; elle ne constitue pas un flux en temps réel.
Échelle éditoriale : 1–3 faible, 4–6 modéré, 7–8 élevé, 9–10 critique. 10 représente le risque maximal. La note évalue l’impact potentiel, l’exposition et les conditions d’exploitation des systèmes concernés, avant correction. Ce n’est ni un score CVSS ni un audit de votre système.
Vulnérabilités
PHP2Shell : corriger le moteur PHP en priorité
Risque sécurité 9/10
Exécution de code sans authentification possible ; priorité élevée pour les déploiements PHP exposés et non corrigés.
Deux failles critiques, CVE-2026-109618 et CVE-2026-109619, peuvent permettre une exécution de code sans authentification. PHP a publié les correctifs le 21 octobre.
Notre analyse
La presse souligne l’urgence ; le risque dépend aussi du mode de déploiement. Une tentative détectée ne prouve pas une compromission. L’avis PHP du 23 octobre décrit un scénario supplémentaire et rare lié aux sessions.
Action prioritaire
Installer PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou le correctif du distributeur ; consulter aussi l’avis du 23 octobre.
Certificats
eMudhra : la confiance TLS dépasse le navigateur
Risque sécurité 8/10
Des certificats frauduleux peuvent permettre une interception ; le risque dépend du magasin de confiance et de sa mise à jour.
Huit certificats intermédiaires eMudhra ont des clés faibles récupérables. Signalé le 17 octobre puis rendu public le 20, cet incident peut permettre de fabriquer de faux certificats.
Notre analyse
Il s’agit d’un incident de confiance cryptographique, pas d’une faille PHP. Les navigateurs ont diffusé des protections, mais les applications avec leur propre magasin de certificats nécessitent une vérification distincte.
Action prioritaire
Mettre à jour systèmes, navigateurs, runtimes et SDK concernés. Vérifier notamment les applications Flutter et Firestore citées par Google.
Chaîne logicielle
LiteLLM 1.107.0 : traiter les secrets comme exposés
Risque sécurité 10/10
La version compromise peut voler des secrets dès le démarrage de Python ; retirer le paquet ne suffit pas à rétablir la sécurité.
Microsoft analyse une version compromise de LiteLLM publiée le 21 octobre. Du code malveillant peut s’exécuter au démarrage de Python, sans import explicite de LiteLLM.
Notre analyse
Retirer le paquet ne suffit pas : les postes développeurs, conteneurs et agents CI peuvent avoir exposé leurs identifiants. La récupération doit couvrir l’environnement et les secrets accessibles.
Action prioritaire
Isoler les environnements concernés, examiner les artefacts sans y lancer Python ou pip, reconstruire depuis une source saine et révoquer les secrets exposés.
Vulnérabilités
Node.js : correctifs Brotli, DNS et TLS
Risque sécurité 8/10
Des défauts réseau et TLS peuvent contourner des contrôles de sécurité ; la gravité dépend des fonctions utilisées.
La publication de sécurité du 21 octobre corrige notamment CVE-2026-111497 dans le décodeur Brotli, ainsi que des problèmes de résolution DNS et de vérification TLS.
Notre analyse
Le risque Brotli concerne les applications qui décompressent des entrées contrôlées par un tiers. Une preuve de concept publique ne signifie pas que tous les serveurs Node.js sont compromis.
Action prioritaire
Déployer les versions corrigées 22.23.4, 24.22.1 ou 26.12.1 selon la branche, puis reconstruire et redéployer les images applicatives.
