Zero-day sur VeloCloud Orchestrator 🚨, Faille critique sur GitLab 🦊, Faille de raccrochage sur Signal 📞

Veille
• 3 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 23 octobre 2026 !

Des orchestrateurs réseau jusqu'aux messageries chiffrées, la sécurité des composants critiques est à l'épreuve. Arista corrige d'urgence une zero-day exploitée en conditions réelles sur VeloCloud Orchestrator. De son côté, GitLab corrige une vulnérabilité critique vieille de douze ans dans son moteur d'expressions régulières. Enfin, Signal déploie un correctif pour bloquer une faille WebRTC qui laissait les micro et caméra actifs après un appel. Voici les faits marquants du jour.

Retrouve les trois articles à la une du jour :

  • Zero-day VeloCloud Orchestrator (CVE-2026-114625) : une injection SQL permet d'obtenir les privilèges opérateur
  • Faille GitLab (CVE-2026-110264) : un débordement d'entier vieux de douze ans expose les instances à une RCE
  • Bug RingRTC sur Signal (CVE-2026-113380) : une vulnérabilité maintenait la captation audio et vidéo après raccrochage

Une zero-day exploitée dans VeloCloud Orchestrator offre des droits d'opérateur

Arista Networks a publié des correctifs pour la CVE-2026-114625, une zero-day exploitée en conditions réelles dans les déploiements VeloCloud Orchestrator (VCO) On-Prem. Classée critique, cette faille permet à un utilisateur authentifié aux privilèges basiques d'élever ses droits par une injection SQL de faible complexité, sans interaction utilisateur.

Selon Arista, tout utilisateur authentifié peut obtenir les privilèges d'opérateur et se faire passer pour l'utilisateur local « superuser operator ». La confidentialité, l'intégrité et la disponibilité de l'orchestrateur et de ses données sont exposées. Les déploiements hébergés sont déjà corrigés, sous les versions 5.2.3.18, 6.1.3.10 et 6.4.2.12 ou supérieures.

Points d'attention

  • Arista a relevé deux adresses IP associées aux attaques en cours, 74[.]82.197.86 et 38[.]54.50.151, qui constituent les seuls marqueurs concrets publiés à ce stade.
  • Trois autres zero-days exploitées en 2026 ont touché EOS et VCO On-Prem: CVE-2026-7473 en mai, CVE-2026-16812 en juillet et CVE-2026-93952 en septembre.
  • Les fonctions atteintes sont conçues pour un usage interne uniquement, sans accès distant prévu, d'où un impact possible sur l'hôte VCO lui-même.

→ Lire la source

Une faille vieille de douze ans expose les instances GitLab

GitLab a publié le 21 octobre 2026 un correctif critique pour la CVE-2026-110264 (CVSS 10.0), une faille de type integer overflow dans le compilateur d'expressions régulières des éditions Community et Enterprise. Selon l'éditeur, elle pourrait, sous certaines conditions, permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur.

Le composant en cause est Onigmo, le moteur d'expressions régulières de Ruby embarqué par GitLab, d'où des versions touchées depuis 7.0, sortie en 2014. Le correctif vise Ruby 3.3, 3.4 et 4.0, et a été rétroporté jusqu'à 18.11.13. L'ensemble corrige 12 failles, dont deux de sévérité élevée.

Points d'attention

  • Les versions 19.2.8, 19.3.5 et 19.4.2, publiées le 12 octobre pour la CVE-2026-97229, sont vulnérables à cette nouvelle faille.
  • Le chercheur joaxcar signe sa quatrième faille d'exécution de code dans ce moteur de regex en moins d'un mois, après CVE-2026-89078 et CVE-2026-93577.
  • Le bulletin de GitLab ne fait pas état d'une exploitation active, et la faille ne figure pas dans le catalogue KEV de la CISA.

→ Lire la source

Signal corrige une faille critique qui empêche de raccrocher

Signal a corrigé la CVE-2026-113380 (CVSS 9.3), une faille critique de RingRTC, la bibliothèque open source fondée sur WebRTC qui sert à ses appels vocaux et vidéo. Un appelant malveillant pouvait maintenir actives les pistes audio et vidéo après le raccrochage de l'utilisateur.

Un pair distant pouvait saturer de données parasites la file d'événements de la machine à états finis (FSM) de l'appel, qui ne se terminait alors pas. Le correctif figure dans RingRTC 2.72.0, publié le 4 septembre. Les détails et une preuve de concept ont été divulgués mardi, et le NIST a ajouté la CVE à la NVD.

Points d'attention

  • Le raccrochage était un simple événement de la file FSM, sans priorité, et aucune limite de débit n'encadrait les événements émis par le pair.
  • Selon une analyse publiée sur GitHub, le micro, et possiblement la caméra, restent actifs alors que la victime croit l'appel terminé.
  • Le correctif détecte les demandes de terminaison indépendamment de la file de la FSM, qui ne peut plus les bloquer.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere