8 failles critiques sur ArubaOS 🚨, Nouvelle RCE sur PHP 🐘, Fuite de données à la FFTir 🔓

Bonjour, voici ta veille Cybere du 24 octobre 2026 !

Des équipements réseau jusqu'aux fuites de données personnelles, la veille du jour met en lumière plusieurs vulnérabilités majeures. HPE déploie une vague de correctifs pour combler huit failles d'une sévérité maximale dans ArubaOS. Côté développement web, l'équipe PHP signale une nouvelle vulnérabilité RCE liée à la gestion des sessions mais aux conditions d'exploitation très restrictives. Enfin, la FFTir confirme le vol de dizaines de milliers de photos d'identité après une intrusion sur ses plateformes. Voici les faits marquants du jour.

Retrouve les trois articles à la une du jour :

• Correctifs ArubaOS : HPE colmate 72 vulnérabilités dont 8 failles critiques RCE (CVE-2026-79844 à CVE-2026-79851)
• Faille PHP (CVE-2026-115560) : une vulnérabilité RCE non corrigée vise la fonction Session Upload Progress dans des configurations spécifiques
• Fuite de données FFTir : la fédération confirme le vol de 64 000 photos d'identité suite à un détournement d'identifiants

HPE corrige huit failles de sévérité maximale dans ArubaOS

Hewlett Packard Enterprise a publié des mises à jour corrigeant 72 failles dans ArubaOS (AOS), dont huit de sévérité maximale, référencées de CVE-2026-79844 à CVE-2026-79851. Elles touchent plusieurs versions d'AOS-8 et d'AOS-10, qui équipent les contrôleurs, points d'accès, passerelles et mobility conductors d'Aruba Networking.

D'après l'avis de HPE, ces failles s'exploitent à distance, sans privilège ni interaction utilisateur, par des attaques de faible complexité. Elles combinent contournements d'authentification, injections de commandes, injections SQL et débordements de tampon menant à une exécution de code à distance. L'éditeur presse ses clients d'appliquer les correctifs et de restreindre l'accès aux interfaces de gestion.

Points d'attention

• HPE indique ne connaître ni code d'exploitation public ni exploitation en conditions réelles à la date de l'avis, ce qui ne garantit pas l'absence d'exploitation future.
• La CVE-2026-79845 vise le protocole PAPI d'AOS-10, tandis que les deux injections SQL non authentifiées, CVE-2026-79848 et CVE-2026-79849, ne concernent qu'AOS-8.
• HPE avait déjà corrigé en juin 2025 huit failles critiques de StoreOnce, mêlant contournement d'authentification et exécution de code, puis des failles critiques sur AOS-CX.

→ Lire la source

PHP signale une nouvelle faille d'exécution de code difficile à exploiter

L'équipe de PHP a signalé le 23 octobre la CVE-2026-115560, une faille d'exécution de code à distance sans correctif, qui passe par la fonction Session Upload Progress. Distincte de PHP2Shell, elle n'est pas corrigée par les versions publiées le 21 octobre.

Selon PHP, l'exploitation exige trois conditions : session.serialize_handler défini sur php_binary ou php_serialize, une application qui le repasse sur php avec ini_set() avant session_start(), et Session Upload Progress actif, ce qui est le cas par défaut. PHP juge le vecteur peu probable et attendra sa prochaine mise à jour de maintenance.

Points d'attention

• PHP n'a précisé ni les versions affectées, ni la version du correctif, ni de score CVSS, et promet un bulletin complet avec la prochaine version.
• La configuration par défaut échappe au scénario, car session.serialize_handler vaut php, et une application qui ne le modifie jamais à l'exécution reste hors de ce chemin.
• Selon le bulletin GHSA-6wmf-4rv5-p3rp, session.upload_progress.enabled à 0 se fixe dans php.ini, le pool PHP-FPM ou le serveur, pas via ini_set() ni .user.ini.

→ Lire la source

La FFTir reconnaît le vol de 64 000 photos d'identité

La Fédération française de tir a confirmé le 22 octobre 2026 une cyberattaque survenue entre le 12 et le 15 octobre. Elle reconnaît le vol d'environ 64 000 photographies d'identité, de près de 19 000 documents personnels et de 55 dossiers complets, via les plateformes EDEN et Cibles Couleurs.

Selon la FFTir, l'attaquant aurait utilisé des identifiants de licenciés obtenus ou devinés pour accéder à EDEN et consulter les informations d'autres utilisateurs. Le cybercriminel ChimeraZ proposait depuis le 17 octobre une archive annoncée à 40 Go, révélée par ZATAZ. La Fédération a déposé plainte le 16 octobre et informé la CNIL et l'ANSSI.

Points d'attention

• Le système de vérification des licences de Cibles Couleurs a été visé par des requêtes en série, puis par une nouvelle tentative le 18 octobre.
• La concordance des volumes renforce la crédibilité de ChimeraZ, sans authentifier les 40 Go ni les 586 854 personnes qu'il revendique.
• Une interrogation demeure sur les adresses postales: le fichier en associerait à certaines personnes, alors que EDEN et Cibles Couleurs ne renvoyaient pas cette information.

→ Lire la source

Autres actus importantes

• Réseau Tor : 333 relais de sortie compromis interceptaient les connexions SSH pour diffuser Ebury
• Des attaquants exploitent une troisième faille critique Arista VCO en quatre mois
• L'application abandonnée Popcorn Time exposait des millions d'appareils aux attaques par exécution de code distant
• Vous avez détesté les failles critiques de PHP ? Le responsable de la sécurité d'Anthropic prévient que ça va être pire

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere