Mattermost Server : correctifs de sécurité relayés par le CERT-FR
Mattermost corrige plusieurs failles sur quatre branches (11.7.12, 11.8.6, 11.10.3, 11.11.2). Le CERT-FR relaie dans l'AVI-1344. Détails sous embargo : mettez à jour.
Rédaction
Toutes les actus cybersécurité de la rédaction Hacker Posts.
Scanners de codes-barres : RCE Bluetooth, CVE-2026-4272 chez Honeywell
Kaspersky détaille un audit d'entrepôt : des scanners de codes-barres sans fil injectent des frappes clavier via Bluetooth. CVE-2026-4272 (Honeywell), score CVSS 8,1.
Laravel : contournement d'authentification critique (CVSS 9.2)
Laravel corrige deux failles, dont un contournement du guard d'authentification par token noté 9.2, et une destruction de données via des endpoints en lecture. Patch en 12.68.0 / 13.29.0.
Microsoft traite les agents IA comme des « initiés » à surveiller
Microsoft déclare les modèles de pointe non fiables et publie un cadre pour traiter les agents IA comme des initiés : identités dédiées, bac à sable, permissions dynamiques. Promesses, pas dates.
Le CLI officiel d'OVHcloud piégé sur GitHub par un voleur de secrets
Les binaires des versions v0.11.0 à v0.15.0 du CLI OVHcloud ont été remplacés sur GitHub par un voleur de secrets, le 19 octobre, pendant moins de deux heures. Passez en v0.16.0.
Roundcube 1.6.20 et 1.7.5 corrigent plusieurs failles, dont une RCE
Roundcube publie 1.6.20 et 1.7.5. Le CERT-FR (AVI-1340) liste exécution de code à distance, SSRF, XSS, CSRF et contournement de politique. Mettez à jour les installations exposées.
Stormshield SNS : signature de firmware contournable (CVE-2026-111090)
Le CERT-FR signale sur Stormshield Network Security une vérification de signature défaillante qui accepte firmware et mises à jour non authentifiés, plus un XSS DOM. Correctifs disponibles.
Exchange déstabilisé par les mises à jour Windows du 13 octobre
Microsoft confirme que les mises à jour Windows Server du 13 octobre perturbent Exchange sur site : files de messagerie bloquées, accès aux boîtes en échec, quorum DAG perdu.
F5 corrige 11 failles dans NGINX, dont des RCE critiques
Le CERT-FR relaie l'avis F5 du 14 octobre : 11 CVE touchent toute la gamme NGINX (OSS, Plus, App Protect, Ingress, Gateway Fabric), avec exécution de code à distance possible.