Les sujets qui ont le plus compté, toutes sources confondues.
Deux failles RCE critiques non authentifiees dans PHP
PHP a publie des correctifs le 21 octobre pour CVE-2026-109618 et CVE-2026-109619, deux RCE non authentifiees notees CVSS 9.2. Risque maximal sur mod_php, ou une requete non authentifiee declenche la faille avant tout code applicatif. Versions corrigees : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Krebs signale des exploits actifs.
Pourquoi c'est important : PHP fait tourner une large part du web : correctif d'urgence sur tout le parc. Tout PHP non patche et expose est presume compromis.
Les cles d'une autorite de certification cassees en quelques millisecondes
Cloudflare a decouvert huit certificats d'AC intermediaires eMudhra aux cles privees catastrophiquement faibles : quiconque pouvait retrouver la cle de signature et forger un certificat pour n'importe quel domaine. Ces intermediaires remontent a des racines de confiance Mozilla, Microsoft, Apple et Chrome. Cloudflare a attenue les 19 et 20 octobre ; eMudhra quittera le marche mondial du TLS.
Pourquoi c'est important : Tout systeme embarquant ces ancres reste expose a l'interception TLS tant que les certificats ne sont pas revoques. Mettez a jour clients et trust stores mTLS.
Un paquet LiteLLM piege et une breche chez Railway frappent les secrets
Un LiteLLM 1.107.0 malveillant a ete publie sur PyPI le 21 octobre : voleur d'identifiants et porte derobee persistante pilotee via GitHub. Avec des identifiants GitHub CLI voles, les attaquants ont contourne la protection de branche et compile depuis un depot sosie, avant retrait par PyPI. Le meme jour, Railway a divulgue un acces non autorise a des systemes contenant des variables d'environnement clients, certaines dechiffrees ; faites tout tourner.
Pourquoi c'est important : Une dependance de passerelle IA empoisonnee s'execute dans chaque processus Python ; les secrets chez un PaaS forment un point de compromission unique. Epinglez les dependances et tournez les identifiants.
Meta condamne a 25 milliards de dollars dans l'affaire Cambridge Analytica
Le 21 octobre, un tribunal du Nouveau-Mexique a inflige a Meta 25 milliards de dollars de penalites civiles dans l'affaire de protection des consommateurs liee a Cambridge Analytica, un jury ayant constate environ 43,9 millions d'infractions. Montant fixe bien en deca du maximum legal. Meta fera appel ; 48 autres Etats avaient deja transige.
Pourquoi c'est important : L'une des plus lourdes penalites vie privee a ce jour accroit l'enjeu financier des manquements aux donnees et a la protection des consommateurs, et maintient la gouvernance des donnees au conseil.
Le DHS ordonne le retrait de DeepSeek des systemes civils federaux
Le 19 octobre, le DHS a publie un ordre interdisant aux agences civiles federales d'acquerir des produits DeepSeek et exigeant le retrait de DeepSeek et des outils tiers bases dessus, au titre du Federal Supply Chain Security Act. Securite nationale et SCI exclus ; derogations possibles.
Pourquoi c'est important : L'exclusion d'un fournisseur d'IA par un gouvernement renforce l'examen de la provenance des modeles, effet pouvant se repercuter sur les prestataires.
