La Veille Cyber — n°1

21 – 28 octobre 2026 · Source : bulletins maCERT / DGSSI

Synthèse technique des bulletins du maCERT (DGSSI) publiés sur la période, destinée aux responsables informatiques et DSI. Toutes les versions, CVE et recommandations ci-dessous proviennent des bulletins cités. Lorsqu'une information n'y figure pas, elle est indiquée « non précisé par le bulletin ». Les mesures ajoutées par la rédaction sont signalées comme telles.

Résumé exécutif

Produit	Sévérité	Exploitée	CVE	Action
PHP « PHP2Shell »	Critique	PoC public	CVE-2026-109618, -109619	PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 + redémarrage
PHP — nouvelle RCE	Critique	Non précisé	CVE-2026-115560	session.upload_progress.enabled=0
Fortinet (FortiOS, FortiManager…)	Critique	Non précisé	CVE le 10/11	FortiOS 8.0.2 / 7.6.8 / 7.4.13 / 7.2.14
HPE Aruba AOS-8 / AOS-10	Critique	Non précisé	72 CVE	AOS-10 10.8.1.2 ; AOS-8 8.13.3.1
Apple (iOS, macOS, Safari…)	Critique	Oui (CVE-2026-86950)	328 CVE	iOS 27.2, macOS 27.2, Safari 27.2
Brotli « HTTP2Shell »	Critique	Exploit existant	CVE-2026-111497	Mettre à jour chaque produit embarquant Brotli
Arista VeloCloud Orchestrator	Critique	Oui	CVE-2026-114625	5.2.3.18 / 6.4.2.12
GitLab CE/EE	Critique	Non précisé	12 CVE	19.4.3, 19.3.6, 19.2.9…
EDK II — pilote PXE UEFI	Critique	Non précisé	CVE-2026-97631	Désactiver ou isoler le PXE

1. PHP « PHP2Shell » : exécution de code à distance

Bulletin : maCERT 69782110/26 — Lien DGSSI

CVE : CVE-2026-109618, CVE-2026-109619 · Exploitation : PoC public

Versions corrigées

Branche	Version corrigée
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12
8.1 et antérieures	Hors support — migrer vers branche maintenue

Environnements concernés : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP, LiteSpeed.

Erreurs de déploiement à éviter

Confondre remédiation et correctif : désactiver session.upload_progress.enabled ou filtrer multipart/form-data ne sont que des mesures transitoires contournables.
Installer le paquet sans redémarrer : les workers PHP-FPM, Apache/mod_php continuent d'exécuter l'ancien binaire. Sous Docker, recréer les conteneurs.
Correctifs non officiels pour PHP 8.1 et antérieures : risque de régressions.

Remédiation

Inventorier toutes les instances PHP (serveurs, conteneurs, appliances, environnements tiers).
Mettre à jour vers 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12, puis redémarrer et recréer les conteneurs.
Pour F5, QNAP et Citrix sans correctif : appliquer les mesures de remédiation éditeur.
En transitoire : session.upload_progress.enabled=0 (couvre aussi CVE-2026-115560).
Exiger une confirmation écrite des prestataires.

1b. Nouvelle RCE : CVE-2026-115560

Conditions : session.serialize_handler modifié dynamiquement avant session_start() ET suivi de progression activé.

Contournement : session.upload_progress.enabled=0

1c. Produits tiers embarquant PHP

Éditeur	Produits affectés	Correctif
F5	BIG-IP (APM, SSLO…) 21.1.0, 17.5.0–17.5.1, 17.1.0–17.1.3	Aucune MAJ — remédiations éditeur
Cisco	URWB < 27.1.1, Expressway < 15.5.21	URWB 27.1.1 (fév. 2027), Expressway TBD
Citrix	NetScaler ADC/Gateway (NSIP GUI, SNIP, Cluster IP)	MAJ annoncées 27/10
QNAP	QTS 6.1.0, 5.2.11 ; QuTS hero ; QuTScloud ; etc.	Aucune MAJ — remédiations éditeur
Tenable	Enclave Security ≤ 1.9.1, Security Center ≤ 6.9.1	TNS-2026-29, TNS-2026-28

1d. WordPress : extensions et thèmes vulnérables

Bulletin : maCERT 69972310/26 — Lien DGSSI

82 CVE · Extensions de réservation concernées : Salon Booking, WP Booking System, Appointment Booking, Simply Schedule, Amelia, Booktics

Mettre à jour toute extension ou thème listé. Pour les entrées « ≤ X » sans version corrigée, désactiver l'extension.

2. Réseau et sécurité périmétrique

2a. Fortinet — mises à jour urgentes

Bulletin : maCERT 69822110/26 — Lien DGSSI

CVE : non publiées (annoncées le 10 novembre 2026)

Produit	Versions corrigées
FortiOS	8.0.2, 7.6.8, 7.4.13, 7.2.14
FortiManager	8.0.2, 7.6.8, 7.4.12, 7.2.13
FortiAnalyzer	8.0.2, 7.6.8, 7.4.12, 7.2.13
FortiMail	8.0.2, 7.6.7, 7.4.9 (7.2 : migrer vers 7.4+)
FortiAuthenticator	8.0.4, 6.6.11

2b. HPE Aruba AOS-8 et AOS-10

Bulletin : maCERT 69962310/26 — Lien DGSSI

72 CVE · Mobility Conductors, contrôleurs, passerelles, points d'accès

Système	Versions corrigées
AOS-10	10.8.1.2, 10.7.2.7, 10.4.1.14
AOS-8	8.13.3.1, 8.10.0.24

3. Postes et mobiles : Apple, Chrome, Edge

3a. Apple — CVE-2026-86950 exploitée

Bulletin : maCERT 70052710/26 — Lien DGSSI

328 CVE · CVE-2026-86950 (CoreGraphics) exploitée dans des attaques ciblées sur iOS < 27

Produit	Version corrigée
iOS / iPadOS 27	27.2
iOS / iPadOS 26	26.7.2
iOS / iPadOS 18	18.7.11
macOS Golden Gate / Tahoe / Sequoia	27.2 / 26.7.2 / 15.8.2
Safari, tvOS, visionOS, watchOS	27.2

3b. Navigateurs

Produit	Version corrigée
Google Chrome	156.0.8078.47/.48 (Win/Mac), .47 (Linux)
Microsoft Edge	156.0.4314.42

4. Brotli « HTTP2Shell » : RCE dans le décodeur

Bulletin : maCERT 70032310/26 — Lien DGSSI

CVE : CVE-2026-111497 · Exploit existant

Produit	Version corrigée
Node.js	22.23.4, 24.22.1, 26.12.1
Bun	1.4.4
.NET	8.0.33, 9.0.22, 10.0.14
Envoy	1.40.0, 1.39.3, 1.38.6, 1.37.8
Istio	1.31.2, 1.30.6, 1.29.9
Python Brotli	1.2.1
PHP (Windows)	8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1
Palo Alto PAN-OS 12.2	12.2.4-h1
Palo Alto PAN-OS 12.1	12.1.4-h13 / 12.1.7-h11 / 12.1.10-h3
Palo Alto PAN-OS 11.2	11.2.4-h23 / 11.2.16-h1
Prisma Cloud Transporter	0.2.9

5. Arista VeloCloud Orchestrator — activement exploité

Bulletin : maCERT 69952310/26 — Lien DGSSI

CVE : CVE-2026-114625 · Exploitation : active

Branche	Version corrigée
5.2.x	5.2.3.18
6.4.x	6.4.2.12

Un utilisateur à faible privilège peut élever ses droits et usurper un opérateur super-utilisateur.

Détection

Journaux d'accès Web et activité inhabituelle des comptes administrateurs
Connexions sortantes anormales depuis l'hôte VCO
Processus malveillants, portes dérobées ou webshells

Le reste en bref

Produit	Sévérité	Action
GitLab CE/EE	Critique	19.4.3, 19.3.6, 19.2.9…
Cisco (ASR 9000, IOS XE, FTD…)	Critique	FTD 7.0.10+, IOS XE 17.12.8+
EDK II PXE UEFI	Critique	Désactiver/isoler PXE
ISC BIND 9	Important	9.20.30, 9.21.27
Veeam B&R / Agent Linux	Important	Voir KB4948
Nginx	Important	1.30.6, 1.31.7
Apache Tomcat	Important	11.0.27, 10.1.61, 9.0.123
MongoDB, Splunk, Oracle CPU	Important	Voir bulletins respectifs

eMudhra — retrait des certificats SSL/TLS

8 AC intermédiaires compromises. Chrome et Firefox bloquent les certificats TLS concernés. Inventorier vos certificats, vérifier la chaîne, planifier le remplacement.

Checklist de priorisation

P0 — immédiat

PHP2Shell : PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 + redémarrage + recréation conteneurs
PHP2Shell appliances : F5, QNAP, Citrix, Cisco, Tenable
Arista VCO : 5.2.3.18 / 6.4.2.12, accès Web restreint
Apple : iOS 27.2 / 26.7.2 / 18.7.11 (CVE-2026-86950)
Fortinet : FortiOS 8.0.2 / 7.6.8 / 7.4.13 / 7.2.14
HTTP2Shell : PAN-OS, Node.js, .NET, Envoy/Istio

P1 — sous 7 jours

HPE Aruba AOS-10 / AOS-8
Extensions WordPress (73 entrées)
GitLab CE/EE, Cisco, EDK II PXE
eMudhra : inventaire certificats, plan de remplacement
Chrome 156, Edge 156, BIND 9

P2 — cycle de patch normal

Veeam, Nginx, Tomcat, MongoDB, Splunk, WatchGuard Agent
Oracle CPU octobre 2026, IBM
Surveiller le 10 novembre : avis détaillés Fortinet

Les versions citées proviennent des bulletins maCERT / DGSSI. Vérifiez toujours auprès de l'éditeur avant toute intervention en production.