Failles exploitées en octobre 2026 : par où commencer quand on est une TPE ?
Plusieurs failles activement exploitées ont été publiées ou corrigées en octobre : Windows, un VPN Ivanti, des passerelles Citrix et Cisco, un pare-feu Palo Alto, un logiciel de sauvegarde. Les listes qui circulent mélangent souvent produits, chiffres et niveaux de confirmation. Voici ce qui est établi chez les éditeurs et à la CISA, l’agence américaine de cybersécurité, et ce qu’une TPE peut en faire sans équipe informatique dédiée.
Trois mots à ne pas confondre
Une faille « zero-day » est exploitée avant que l’éditeur ait publié un correctif. Une faille « exploitée » peut en revanche être déjà corrigée : elle reste dangereuse tant que l’équipement n’est pas à jour. Enfin, le catalogue « KEV » de la CISA est la liste des failles dont l’exploitation est confirmée. C’est cette confirmation qui change l’urgence : à partir de là, on compte en jours, pas en mois.
Ce qui est confirmé ce mois-ci
Windows. Microsoft a corrigé le 13 octobre une faille de Windows Shell (CVE-2026-96951), déjà exploitée, qui contourne la protection « Mark of the Web ». Cette protection signale les fichiers venus d’Internet : une fois contournée, Windows n’avertit plus. Plus de 1 400 failles ont été corrigées ce mois-là, les décomptes variant selon les sources.
VPN Ivanti Connect Secure. La faille CVE-2026-104935, un contournement d’authentification, a été exploitée avant sa publication, chez un nombre limité de clients selon Ivanti. Selon l’avis d’Ivanti du 13 octobre, les versions corrigées sont la 25.1.1.2, les 25.1.3.0 et 25.1.3.1, et la 22.8R2.5, selon la branche installée. Les versions 22.7 et antérieures ne sont pas touchées. Attention : passer en 25.1.3.x demande un matériel ou un modèle virtuel récents (ISA4500, ISA6500 ou ISA8500) ; pour une 25.1.1.x, la mise à jour la plus simple est donc la 25.1.1.2. Selon Volexity, qui a détecté les attaques, une seconde faille, d’élévation de privilèges, a aussi été utilisée et n’était pas encore corrigée à la publication de son analyse, le 13 octobre. Volexity précise que l’outil de contrôle d’intégrité d’Ivanti ne détecte pas cette chaîne d’attaque : après la mise à jour, une vérification approfondie s’impose.
Citrix NetScaler. Deux failles critiques (CVE-2026-88771 et CVE-2026-88772, scores de 9,5) ont été exploitées, ce que Citrix a confirmé dans son bulletin du 27 septembre. La première touche tous les NetScaler ADC et Gateway en configuration par défaut ; la seconde seulement ceux où DTLS est activé, ce qui est le cas par défaut sur les serveurs virtuels VPN. Les versions corrigées sont les 14.1-73.37 et 13.1-64.23 et suivantes (les variantes FIPS ont leurs propres numéros). La CISA les a ajoutées à son catalogue. Une autre faille NetScaler (CVE-2026-88779) a été exploitée début octobre : visez la version la plus récente plutôt que la première version corrigée.
Cisco Secure Email Gateway. La faille CVE-2026-76519 (score de 9,8) permet à un attaquant distant, sans authentification, d’écrire des fichiers sur le système de la passerelle, via le traitement des pièces jointes. Elle ne concerne que les passerelles où le service File Reputation est activé et affecté à une politique de messagerie, et dont les Content Scanner Tools sont antérieurs à la version 25.3.0.5525. Cisco a confirmé une exploitation active (avis du 14 octobre). La mise à jour de cet outil suffit, sans redémarrage, et il n’existe aucun contournement.
Pare-feu Palo Alto (PAN-OS). La faille CVE-2026-0322 (score de 8,6) permet d’exécuter du code avec les droits root depuis l’interface d’administration, à condition d’être authentifié. Palo Alto parle d’une exploitation « très limitée » (avis du 14 octobre) et recommande de réserver cette interface à des adresses internes de confiance : le risque est maximal si elle est exposée sur Internet. Il n’existe pas de contournement connu, et les versions corrigées dépendent de la branche de PAN-OS installée (par exemple la 11.2.16).
Sauvegarde AhsayCBS. Deux failles enchaînées (CVE-2026-105133 et CVE-2026-105134) permettent de prendre le contrôle de serveurs exposés. Huntress a documenté des attaques qui y installent des accès cachés et des programmes de minage. Les correctifs précédents d’Ahsay étaient incomplets : il faut installer le plus récent.
Ce qui est resté flou dans les bilans
Certains bilans publiés cette semaine réunissent dans un même titre des failles uniques et des lots de plusieurs centaines de correctifs, avec des produits mal attribués ou des identifiants CVE douteux. Pour une décision de mise à jour, ne vous fiez pas à un résumé : l’avis de l’éditeur et le catalogue de la CISA font foi. Les éléments sur Ivanti, Citrix, Cisco et Palo Alto ont été vérifiés dans les avis officiels de ces éditeurs. Pour Windows et Ahsay, ils s’appuient sur la CISA et sur des articles qui reprennent les avis : avant d’intervenir sur un équipement, vérifiez la version corrigée dans l’avis officiel de son fabricant.
Le point commun : ce qui donne accès à votre réseau
Hormis Windows, ces failles touchent des équipements placés à la frontière du réseau : un VPN, une passerelle de messagerie, un pare-feu, un serveur de sauvegarde joignable depuis Internet. Ce sont les premiers visés, parce qu’ils sont accessibles de l’extérieur et que leur compromission ouvre tout le reste.
Vous n’avez peut-être aucun de ces produits. Mais vous avez probablement une box, un accès à distance, un NAS ou un outil de sauvegarde, et la logique est la même. Nous l’avons détaillée pour le NAS dans notre article sur l’accès distant.
La routine d’une TPE
Faites l’inventaire de ce qui est joignable depuis Internet : box, VPN, NAS, serveur de sauvegarde, outil de messagerie. Une liste d’une page suffit.
Désignez qui reçoit les alertes de chaque éditeur, et fixez un délai : une faille confirmée comme exploitée se corrige dans la semaine, pas au prochain cycle.
Réduisez l’exposition. Une interface d’administration ne devrait jamais être ouverte sur Internet. C’est la mesure que Palo Alto recommande elle-même.
Vérifiez avant et après la mise à jour d’un équipement visé : journaux de connexion, comptes créés, tâches inhabituelles. Si vous soupçonnez une compromission, conservez les journaux et les preuves de l’équipement avant de le reconstruire : Citrix le demande dans ses consignes, et la CISA attend de ses agences fédérales qu’elles cherchent une compromission avant d’appliquer le correctif. Corriger ne suffit pas si l’attaquant est déjà entré.
Installez les mises à jour Windows du mois, et rappelez à l’équipe qu’un fichier téléchargé reste à manier avec méfiance, même sans avertissement.
En pratique
Octobre rappelle une règle ancienne : les attaquants passent par les équipements d’accès avant les postes de travail. Pour une TPE, la bonne réponse n’est pas de lire chaque bulletin, mais de savoir ce qui est exposé, qui surveille quoi, et en combien de temps on agit.
Vous ne savez pas ce qui est joignable depuis Internet chez vous, ou qui devrait recevoir les alertes de vos équipements ? C’est exactement le type de question que Makantet traite avec les TPE et PME de Nouvelle-Aquitaine, support Apple et supervision de NAS compris : c’est l’occasion d’en parler.
Ce site utilise des cookies techniques nécessaires à son fonctionnement. Avec votre accord, il affiche aussi la carte interactive Google Maps de la page Contact, qui dépose ses propres cookies. Vous pouvez modifier votre choix à tout moment via le lien « Gérer les cookies » en bas de page.
En savoir plus
