Revue de presse tech du 2 au 8 novembre 2026 : failles WordPress exploitées, *sshole, PHP2Shell et agents IA

Cette semaine, la CISA ajoute trois failles exploitées à son catalogue (WordPress, SonicWall, Apple), OpenSSH se fait contourner sur Alpine, et les agents

Actualité

byEric Wallet

8 novembre 2026

Cette semaine, la priorité va aux correctifs. La CISA a ajouté trois failles à son catalogue KEV, la liste des vulnérabilités exploitées en conditions réelles : elles touchent le cœur de WordPress, le SSLVPN de SonicWall et plusieurs produits Apple. Sur Alpine et les autres systèmes basés sur musl, un mot de passe trop long suffisait à contourner l’authentification d’OpenSSH. Trois semaines après les correctifs, PHP2Shell est toujours d’actualité.

Le second sujet de la semaine concerne les agents de code IA. Ils laissent fuiter des secrets, un site web peut les détourner, et ils annoncent parfois des succès qui n’ont pas eu lieu.

Failles activement exploitées : WordPress, SonicWall et Apple (CISA KEV)

WordPress : CVE-2026-119977

CVE-2026-119977 est une situation de compétition de type TOCTOU (time-of-check time-of-use) : le système vérifie une condition, puis l’état change avant qu’il ne l’utilise. Dans le cœur de WordPress, cette faille peut permettre à un attaquant non authentifié d’exécuter du code.

D’après des sources secondaires (SOC Prime, PCrisk), la faille se déclenche pendant une mise à jour complète du cœur. Les fichiers temporaires sont alors placés à des emplacements prévisibles et accessibles depuis le web. Toujours selon ces sources, les versions 4.7 à 7.1.3 sont touchées, et WordPress 7.1.4 contient le correctif, avec des rétroportages vers des branches plus anciennes. La page Releases de wordpress.org annonce bien la 7.1.4. Pour savoir quelle version corrige votre branche, consultez la note de version officielle.

wp core version
wp db export avant-maj.sql
wp core update
wp core verify-checksums
# Rechercher des requêtes suspectes vers le dossier de mise à jour
grep "wp-content/upgrade" /var/log/nginx/access.log*

SonicWall : CVE-2026-19868

Selon le NVD, le SSLVPN de SonicOS repose sur une authentification à un seul facteur. Un utilisateur qui possède des identifiants valides pour une autre méthode d’authentification peut donc accéder au service. Nos sources ne donnent pas les versions corrigées, et nous n’avons trouvé aucun avis publié sur cet identifiant. Que faire :

consultez l’avis PSIRT de SonicWall (psirt.sonicwall.com) ;
passez en revue les méthodes d’authentification actives (LDAP, RADIUS, comptes locaux) ;
imposez la MFA ;
renouvelez les mots de passe des comptes locaux.

Apple : CVE-2024-27834

CVE-2024-27834 est une ancienne faille de WebKit, désormais signalée comme exploitée. Un attaquant qui sait déjà lire et écrire n’importe où en mémoire peut l’utiliser pour contourner la protection Pointer Authentication. Elle a été corrigée en 2024 dans les versions suivantes :

iOS et iPadOS 17.5 ;
macOS Sonoma 14.5 ;
Safari 17.5 ;
tvOS 17.5 ;
watchOS 10.5.

Installez les dernières mises à jour disponibles sur tous vos appareils.

Priorité : une faille inscrite au KEV est exploitée en conditions réelles. Corrigez ces trois failles avant le reste, puis relisez les journaux d’accès.

Cotes : NVD CVE-2026-119977, CVE-2026-19868 et CVE-2024-27834 (5/5 chacune), wordpress.org Releases (5/5).

PHP2Shell : trois semaines après, où en est-on ?

Pour rappel, CVE-2026-109618 et CVE-2026-109619 ont une gravité de 9,2 (CVSS v4.0). Elles ont été corrigées le 21 octobre dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le détail se trouve dans notre article PHP2Shell : correctifs d’urgence pour PHP.

Selon BleepingComputer, les failles sont exploitées en conditions réelles : des honeypots ont été attaqués le 24 octobre sur Apache mod_php avec PHP 8.4.26. Les deux analyses publiées sur Medium cette semaine (2/5) n’apportent rien de nouveau. Pour vérifier votre installation, php -v ne suffit pas : contrôlez le binaire FPM ou l’image qui sert réellement les requêtes.

php-fpm8.3 -v
apt changelog php8.3-fpm | grep CVE-2026-10961
sudo systemctl restart php8.3-fpm   # ou apache2

En attendant de pouvoir mettre à jour, vous pouvez réduire le risque avec session.upload_progress.enabled = 0. Une troisième faille, CVE-2026-115560, n’a toujours pas de correctif. PHP 8.1 et les versions antérieures n’ont reçu aucun correctif officiel. PHP 8.2 ne recevra plus de correctifs de sécurité après le 31 décembre 2026.

IEEE Spectrum (4/5) voit dans PHP2Shell le résultat de 40 ans de dette technique accumulée dans le code C.

*sshole : un mot de passe de 257 caractères ouvrait OpenSSH sur Alpine

D’après Ostraca, un mot de passe de 257 caractères suffisait à contourner l’authentification d’OpenSSH sur Alpine et les autres systèmes basés sur musl. Alpine a publié son avis le 5 novembre.

Selon des sources secondaires, la faille vise les comptes sans mot de passe, ceux dont le champ shadow vaut *. La fonction crypt() de musl rejette une entrée trop longue et renvoie *, et sshd prend ce résultat pour une correspondance. OpenSSH 10.6p2 corrigerait le problème, et les paquets Alpine stables sont patchés.

Les conteneurs Alpine qui exposent un serveur sshd sont les plus exposés.

ldd --version 2>&1 | grep -i musl
apk info -v openssh
apk update && apk upgrade openssh
sshd -T | grep -i passwordauthentication   # viser : no

Reconstruisez vos images Docker basées sur alpine et ajoutez PasswordAuthentication no dans sshd_config.

Le billet de sunshowers.io s’appuie sur cette faille pour relancer le débat sur la sécurité mémoire du C. Jordan Chapuy rappelle de son côté que les mises à jour automatiques (unattended-upgrades sous Debian) aident à réagir vite.

Cotes : avis Alpine (5/5), Ostraca (3/5), sunshowers.io (3/5), Jordan Chapuy (3/5).

Agents de code IA : secrets exposés et détournements

Secrets exposés. Selon Apiiro (4/5, mais c’est un éditeur de sécurité, donc une partie intéressée), l’option « Don’t Ask Again » de Claude Code a laissé des mots de passe dans 1 122 fichiers publics sur GitHub. Scannez vos dépôts :

gitleaks git -v        # anciennes versions : gitleaks detect -v

Détournement par un site. Un labo publié sur dev.to (2/5) montre qu’une boutique en ligne peut manipuler un agent via WebMCP, une proposition de standard web. Tout contenu web lu par un agent doit être considéré comme non fiable.

Faux succès. Un agent annonçait un déploiement réussi alors que les conteneurs dataient de la veille (dev.to, 2/5). Vérifiez vous-même :

docker ps --format 'table {{.Names}}\t{{.Image}}\t{{.CreatedAt}}'

Autres billets dev.to (2/5).

Un auteur recommande d’encadrer les agents par des scripts déterministes plutôt que par des consignes en Markdown.
Un autre signale des écritures disque excessives de Codex. C’est à recouper.

Billet Medium (2/5). Il annonce 948 vulnérabilités du noyau Linux trouvées par IA. Le chiffre est spectaculaire, mais aucune source primaire ne le confirme pour l’instant.

IA : métier de développeur, coûts des modèles et qualité du web

Métier et dette technique. Le débat sur le remplacement des développeurs se poursuit, avec un billet dev.to (2/5). Pour IEEE Spectrum (4/5), « l’IA nous force à rembourser 40 ans de dette technique ».

Coûts. Un billet affirme qu’un petit modèle capable de solliciter Opus atteindrait la même précision pour environ quatre fois moins cher. Sa source reste à recouper.

Modèles et benchmarks. Ripple-65B se présente comme l’état de l’art américain open-weight en code agentique. MaxxBench conteste la fiabilité des scores DeepSWE. Prenez ces deux annonces comme des affirmations, pas comme des faits établis.

Qualité du web. Une discussion sur Lobsters porte sur les effets négatifs de l’IA sur le web.

En pratique : composez votre setup d’agents selon le coût et la qualité mesurés sur vos propres tâches, et vérifiez vous-même les résultats.

Confidentialité sur Apple : deux découvertes qui font parler

Une analyse tierce relayée sur Hacker News (2/5) décrit un classifieur « membre de la famille » non documenté sur les Mac. Apple ne l’a pas confirmé.
The Guardian (4/5) décrit la « liste grise » des mots que l’iPhone refuse de corriger ou de suggérer.

Aucune action de sécurité urgente n’est nécessaire : ces deux sujets relèvent de la veille confidentialité.

Linux, conteneurs et outils système

Fedora 45 est disponible (LinuxFr, 3/5). La mise à niveau se fait avec sudo dnf system-upgrade download --releasever=45, puis sudo dnf system-upgrade reboot.
Asahi Linux publie son bilan de Linux 7.3 pour les Mac Apple Silicon (asahilinux.org, 4/5).
Talos : un certificat en lecture seule peut faire redémarrer un serveur (zwindler.fr, 3/5). À vérifier si vous exploitez Talos Linux.
Proxmox : flozz.fr (3/5) explique comment monter un dossier de l’hôte dans un conteneur LXC sans casser les snapshots, une astuce utile pour les homelabs.

Cyberattaque contre le Crédit Mutuel Arkéa

D’après Ostraca (3/5), seule source à notre disposition, des virements frauduleux auraient été convertis en stablecoins. Une course aurait suivi pour geler les fonds. La leçon pour les équipes : la vitesse de réaction est décisive face à des fraudes qui se convertissent en actifs numériques en quelques minutes.

Nouvelles versions à surveiller cette semaine

Ces versions viennent de notre veille. Lisez les notes de version avant de mettre à jour.

Priorité sécurité :
- WordPress 7.1.4 (lien avec le KEV à confirmer) ;
- PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 (PHP2Shell) ;
- openssh sur Alpine.
PHP et frameworks : Symfony 8.1.11, Doctrine ORM 3.7.6, FrankenPHP 1.13.5, Laravel 13.40, Inertia.js 3.11.
Infra : Docker Engine 29.9.3, Kubernetes 1.37.2, Elasticsearch 9.5.6, Node.js 26.13.0.
Front et IA : Angular 22.2.4 et 22.2.5, Vue 3.5.45, Ollama 0.40.14 et 0.40.15, Langchain 1.6.2 et 1.6.3, Claude Code 2.1.318 et 2.1.319, Libghostty 1.0.

À surveiller

Les notes de version de WordPress : confirmation des versions qui corrigent CVE-2026-119977, et apparition éventuelle d’exploits publics.
L’avis PSIRT de SonicWall sur CVE-2026-19868, avec les versions corrigées.
Les correctifs d’OpenSSH dans les distributions basées sur musl.
Le correctif de CVE-2026-115560 côté PHP.
Les prochains ajouts au catalogue CISA KEV.
Une source primaire pour les 948 vulnérabilités du noyau. Le débat ouvert par dev.to et IEEE Spectrum se poursuit.