Failles exploitées fin octobre 2026 : noyau Linux, Node.js, Magento, GitLab et Drupal

En quatre jours ouvrables, du 27 au 30 octobre 2026, l'agence américaine de cybersécurité CISA a ajouté huit vulnérabilités à son catalogue des vulnérabilités exploitées (Known Exploited Vulnerabilities, KEV). Le catalogue ne recense que des failles pour lesquelles il existe des preuves d'attaques réelles : ce n'est pas une liste de risques théoriques. Dans la même période, l'équipe de sécurité de Drupal a publié un avis sur une faille déjà exploitée dans le module de commerce en ligne le plus répandu.

Toutes ne concernent pas une PME. Certaines touchent cependant des composants très courants : le noyau des serveurs Linux, Node.js, les boutiques Magento et Drupal, GitLab installé en interne. Vous trouverez ci-dessous, pour chacune, qui est concerné et quelle version installer. Nous ne donnons pas de détails techniques sur la manière dont elles sont exploitées.

Noyau Linux : CVE-2026-46300

La faille, rendue publique le 13 mai 2026, permet à quelqu'un qui dispose déjà d'un accès limité à un serveur Linux d'obtenir les privilèges d'administrateur (root). Le score CVSS est de 7,8. Le 28 octobre 2026, la CISA l'a ajoutée au catalogue, en indiquant qu'elle est utilisée en combinaison avec les failles PHP CVE-2026-109618 et CVE-2026-109619 : l'attaquant entre par le site, puis prend le contrôle de tout le serveur.

Les distributions ont publié des noyaux corrigés depuis un certain temps. Ubuntu indique, entre autres, les versions 5.15.0-181.191 pour 22.04, 6.8.0-124.124 pour 24.04 et 7.0.0-22.22 pour 26.04. AlmaLinux indique kernel-4.18.0-553.124.3.el8_10 pour la version 8, 5.14.0-611.54.5.el9_7 pour la 9 et 6.12.0-124.56.3.el10_1 pour la 10. Un point souvent négligé : le nouveau noyau ne protège qu'après le redémarrage du serveur. Une mise à jour installée en mai sur une machine jamais redémarrée laisse le serveur exposé.

PHP : le lien avec les failles d'octobre

Les deux failles PHP avaient été signalées par l'OFCS le 21 octobre 2026 et traitées dans notre article du 22 octobre. La combinaison avec la faille du noyau rend la mise à jour encore plus urgente : qui n'a pas encore installé PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou le correctif équivalent de son fournisseur, devrait mettre à jour PHP et le noyau ensemble, puis contrôler le serveur à la recherche de fichiers et d'accès inhabituels.

Node.js et la bibliothèque Brotli : CVE-2026-111497

Le 27 octobre, la CISA a aussi ajouté une faille du décodeur Brotli de Google, un format de compression utilisé sur le web. La faille est incluse dans Node.js : la mise à jour de sécurité du 21 octobre 2026 la corrige, avec une gravité élevée, dans les versions 22.23.4, 24.22.1 et 26.12.1. Le risque existe lorsqu'une application décompresse des données Brotli envoyées par des tiers. Les versions de Node.js qui ne sont plus prises en charge (end-of-life) sont vulnérables et ne recevront pas de correctif : il faut les remplacer par une version prise en charge.

Boutiques en ligne : Magento et Drupal Commerce

Adobe Commerce et Magento Open Source (CVE-2026-48356) : la faille permet de téléverser des fichiers sans authentification et est évaluée à 9,6 par Adobe dans le bulletin APSB26-73. La CISA l'a ajoutée au catalogue le 27 octobre. Le correctif figure dans les versions 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul et 2.4.6-2026-jul ; pour Adobe Commerce aussi dans les versions 2.4.5 et 2.4.4 correspondantes. Lors de notre dernière vérification, le bulletin d'Adobe ne mentionnait pas d'attaques connues ; l'exploitation est confirmée par l'inscription au catalogue de la CISA.

Drupal Commerce Core (CVE-2026-118539) : l'avis du 28 octobre 2026 classe la faille comme hautement critique. Certaines fonctions ne sont pas suffisamment protégées, avec un possible préjudice financier pour le vendeur, et l'équipe de Drupal confirme qu'elle est exploitée. Le correctif figure dans les versions 3.3.13 et 8.x-2.41. Drupal recommande aussi de contrôler les commandes pour y repérer des incohérences, par exemple des montants, rabais ou statuts qui ne correspondent pas aux paiements reçus.

GitLab installé en interne : CVE-2026-97229

Qui utilise GitLab sur ses propres serveurs (self-managed) doit traiter cette faille en priorité : elle a un score CVSS de 10 et permet d'exécuter du code sans authentification. GitLab l'a corrigée le 12 octobre 2026 avec les versions 19.4.2, 19.3.5 et 19.2.8 ; le 29 octobre, la CISA a confirmé qu'elle est exploitée. Les utilisateurs de GitLab.com n'ont rien à faire.

Pare-feu, VPN et virtualisation

Dans la même période, la CISA a aussi ajouté une faille de VMware ESX (CVE-2026-41709, 28 octobre), une faille du VPN SSL de Cisco ASA et FTD qui peut interrompre le service (CVE-2026-76418, 29 octobre) et deux failles d'Ivanti Connect Secure (CVE-2026-111357 et CVE-2026-118527, 30 octobre). Si l'un de ces produits est utilisé dans votre entreprise, demandez à qui le gère si les correctifs du fabricant sont installés.

Que vérifier cette semaine

1. Inventaire. Quels serveurs Linux, versions de Node.js et de PHP, boutiques et outils de développement sont accessibles depuis internet, et qui les gère.
2. Noyau et redémarrage. La version du noyau réellement en service, pas seulement celle installée. Si le redémarrage a été repoussé, il faut le planifier maintenant.
3. PHP et Node.js. Versions corrigées installées, versions non prises en charge remplacées.
4. Boutiques. Magento et Drupal Commerce à jour ; contrôle des commandes et des fichiers téléversés récemment avec qui gère la boutique.
5. Fournisseurs. Pour l'hébergement géré, les agences et les services cloud, une confirmation écrite que les correctifs ont été appliqués.
6. Traces. Après la mise à jour, vérifier les utilisateurs, fichiers et processus inconnus : la mise à jour ferme la faille, mais ne supprime pas un accès déjà obtenu.

Obligations en Suisse

La loi fédérale sur la protection des données exige des mesures techniques et organisationnelles appropriées pour la sécurité des données (art. 8 nLPD) ; maintenir à jour serveurs et applications en fait partie. Si une attaque entraîne une violation de la sécurité des données susceptible d'entraîner un risque élevé pour les personnes concernées, le responsable du traitement doit l'annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (art. 24 nLPD). Depuis le 1er avril 2025, les exploitants d'infrastructures critiques ont en outre l'obligation de signaler les cyberattaques à l'OFCS dans les 24 heures suivant leur découverte. Les autres entreprises peuvent signaler un incident à l'OFCS de manière volontaire.

Questions fréquentes

Mon site est sur un hébergement mutualisé : dois-je faire quelque chose ?

Le noyau et PHP du serveur relèvent en général du fournisseur, mais l'application (boutique, CMS, extensions) souvent pas. Demandez au fournisseur si le noyau et PHP sont à jour et si le serveur a été redémarré, et vérifiez la partie applicative vous-même ou avec votre agence.

Pourquoi citer un catalogue américain ?

Le catalogue KEV est l'une des sources publiques les plus claires pour savoir quelles failles sont réellement exploitées. Les mêmes failles touchent des serveurs et des boutiques en Suisse ; pour les signalements locaux, la source de référence reste l'OFCS.

J'ai mis à jour : la question est-elle réglée ?

Seulement si le système n'avait pas déjà été compromis. Pour les failles exploitées avant la mise à jour, une recherche de traces est conseillée, surtout sur les serveurs exposés avec un PHP non à jour.

Notre approche

ElaraTeq Sagl développe et exploite des sites, des boutiques et des applications pour les PME et les collectivités publiques au Tessin, avec un hébergement en Suisse et des mises à jour de sécurité planifiées, redémarrages compris. Pour la maintenance continue, il y a le service présenté dans l'article sur Orbit ; voyez aussi nos articles sur Nextcloud et Collabora et sur les extensions WordPress. Pour une vérification de vos systèmes, vous pouvez nous contacter.

Sources

• CISA, alertes du 27 octobre, 28 octobre, 29 octobre et 30 octobre 2026 ; Known Exploited Vulnerabilities Catalog
• NIST NVD, CVE-2026-46300
• Ubuntu, Fragnesia Linux vulnerability fixes available ; AlmaLinux, CVE-2026-46300, 13 mai 2026
• Node.js, October 2026 Security Releases, 21 octobre 2026
• Adobe, Security update available for Adobe Commerce, APSB26-73
• Drupal, SA-CONTRIB-2026-254, Commerce Core, 28 octobre 2026
• GitLab, Critical Patch Release 19.4.2, 19.3.5, 19.2.8, 12 octobre 2026
• OFCS, Vulnérabilités critiques dans PHP, 21 octobre 2026 ; Obligation de signaler les cyberattaques contre des infrastructures critiques
• Fedlex, Loi fédérale sur la protection des données (LPD), RS 235.1, art. 8 et 24