Le signal du jour est net : plusieurs risques critiques ne se règlent pas par la seule présence d’un antivirus ou d’une mise à jour automatique. Les entreprises doivent contrôler les révocations Secure Boot, les firmwares réseau, les versions réellement embarquées dans leurs conteneurs et les échéances de support de leurs serveurs.
1. BlackX contourne Secure Boot sur des postes pourtant mis à jour
Constat technique
Le 22 octobre 2026, Kaspersky a documenté BlackX, un bootkit UEFI observé lors d’attaques contre des organismes diplomatiques d’Asie centrale. Son installation intervenait après la compromission du réseau et l’obtention de privilèges administrateur : il ne s’agit donc pas d’un vecteur d’accès initial. Les chercheurs indiquent que les postes visés étaient à jour, mais que la révocation du certificat « Windows Production PCA 2011 » nécessaire pour bloquer les anciens composants vulnérables n’avait pas été activée manuellement.
Le risque réel
Un implant UEFI s’exécute avant Windows et peut maintenir une présence discrète malgré une réinstallation classique du système. Kaspersky attribue cette campagne à APT41 avec un niveau de confiance moyen : cette attribution reste une évaluation, pas une preuve définitive.
Priorité pour une PME
Les administrateurs doivent vérifier l’état des révocations Secure Boot et suivre la procédure Microsoft sur un échantillon de machines avant généralisation. Une sauvegarde des clés de récupération BitLocker et un test des postes en double démarrage sont indispensables, car la modification de la base DBX peut empêcher certains supports ou systèmes anciens de démarrer.
Source directe
Rapport technique Securelist/Kaspersky, 22 octobre 2026.
2. ArubaOS : huit vulnérabilités de gravité maximale à corriger
Correctifs publiés
HPE a publié des mises à jour pour 72 vulnérabilités touchant ArubaOS, dont huit failles de gravité maximale permettant, selon les versions, un contournement de l’authentification, une injection de commandes ou une exécution de code à distance. Les branches AOS-8 et AOS-10 sont concernées. Au moment de l’avis, HPE ne signalait ni code d’exploitation public ni attaque confirmée utilisant ces failles.
Pourquoi l’exposition est sérieuse
Les contrôleurs Wi-Fi, passerelles et interfaces d’administration réseau occupent une position privilégiée. Leur compromission peut ouvrir l’accès aux VLAN internes, aux identifiants d’administration et aux flux de plusieurs sites, même si les postes utilisateurs sont correctement protégés.
Mesures à appliquer
Une TPE ou PME utilisant Aruba doit inventorier les versions, sauvegarder les configurations, installer le correctif recommandé par HPE puis contrôler les journaux. Les interfaces web et CLI ne devraient pas être accessibles depuis Internet ni depuis le VLAN utilisateur : HPE recommande un segment de gestion dédié, filtré par pare-feu et associé à une journalisation des accès.
Références directes
Synthèse BleepingComputer, 23 octobre 2026 — bulletin de sécurité HPE.
3. PHP signale un troisième scénario de RCE sans correctif d’urgence
Configuration concernée
Le 23 octobre 2026, le projet PHP a réservé l’identifiant CVE-2026-115560 à un scénario d’exécution de code jugé peu probable. Il nécessite une combinaison inhabituelle : une application configurée avec le gestionnaire de sérialisation de session php_binary ou php_serialize, le basculant ensuite vers php avec ini_set() avant session_start(), tout en conservant la progression des téléversements activée.
Portée opérationnelle
Le projet prévoit le correctif dans le prochain cycle normal plutôt qu’une publication d’urgence. Cette décision ne signifie pas que tous les serveurs PHP sont vulnérables dans leur configuration courante. Elle impose en revanche de vérifier les applications historiques, les réglages spécifiques aux hébergeurs et les modifications de configuration effectuées par le code.
Vérification côté TPE/PME
PHP recommande temporairement session.upload_progress.enabled=0 pour éliminer ce vecteur. Cette mesure doit être appliquée dans la configuration serveur effective, puis les workers doivent être redémarrés. Elle ne remplace pas l’installation des versions de sécurité PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 publiées le 21 octobre pour deux autres vulnérabilités critiques.
Avis officiel
Avis du projet PHP, 23 octobre 2026.
4. Node.js : une entrée Brotli malveillante peut conduire à une exécution de code
Démonstration et versions
Le 23 octobre 2026, des chercheurs d’Imperva ont présenté une démonstration d’exploitation de CVE-2026-111497 sur l’image officielle Node.js 24.22.0 pour Linux arm64. Une donnée Brotli spécialement construite a permis une corruption mémoire puis l’exécution de code. Le test n’a pas réussi à chaque tentative et ne démontre pas une exploitation identique sur toutes les architectures. Aucune attaque dans la nature n’était rapportée au 22 octobre.
Impact sur les services web
La faille du décodeur Brotli intégré concerne les branches 22.x, 24.x et 26.x. Une application peut atteindre le code vulnérable lorsqu’elle décompresse une requête reçue ou une réponse obtenue auprès d’un service externe. Les API Express 5 acceptant des corps compressés et les traitements utilisant directement node:zlib méritent donc une attention particulière.
Action côté exploitation
Les versions corrigées sont Node.js 22.23.4, 24.22.1 et 26.12.1. Il faut aussi reconstruire les images de conteneurs et vérifier le binaire Node réellement embarqué : la mise à jour du seul fichier package.json ne corrige pas un runtime ancien présent dans l’image de base.
Sources techniques
Bulletin officiel Node.js, 21 octobre 2026 — compte rendu de la démonstration, 23 octobre 2026.
5. Windows Server 2016 approche de sa dernière mise à jour de sécurité
Échéance confirmée
Microsoft rappelle que la mise à jour de janvier 2027 sera la dernière mise à jour de sécurité mensuelle pour Windows Server 2016. La fin du support étendu est enregistrée au 13 janvier 2027 à 06 h 59, heure du Pacifique, après la publication du cycle de correctifs du 12 janvier. Les éditions Datacenter, Standard, Essentials et MultiPoint Premium sont concernées, tout comme les images de conteneurs basées sur Windows Server 2016.
Pourquoi attendre coûte plus cher
Une migration de serveur ne se limite pas au système : elle implique les rôles Active Directory, les partages, les droits NTFS, les logiciels métiers, les pilotes, les sauvegardes et parfois des licences liées au matériel. Commencer après la dernière mise à jour augmente le risque d’une migration urgente ou d’un maintien temporaire sous ESU.
Plan pour une petite structure
L’action immédiate consiste à recenser les serveurs physiques, machines virtuelles et conteneurs 2016, puis à classer les applications selon leur compatibilité avec Windows Server 2022, Windows Server 2025 ou une alternative Linux. La restauration des sauvegardes doit être testée avant toute bascule. Un renouvellement matériel n’est pas automatiquement nécessaire si l’hôte de virtualisation reste supporté et correctement dimensionné.
Calendrier officiel
Rappel Microsoft publié le 14 octobre 2026 — fiche de cycle de vie Windows Server 2016.
Radar RISC-V / Edge AI
Aucune nouveauté vérifiable et suffisamment récente concernant RISC-V, Xuantie ou une plateforme Edge AI professionnelle n’a été trouvée dans les sources examinées pour le 24 octobre 2026. Une ancienne fiche produit ou une annonce sans disponibilité réelle ne doit pas être recyclée comme actualité.
Avant de recommander une future plateforme, il faudra encore mesurer :
- le prix complet avec mémoire, stockage, alimentation et boîtier ;
- la consommation en veille, au repos et en charge continue ;
- la disponibilité réelle en France et les délais de remplacement ;
- les performances sur des charges reproductibles, pas seulement les TOPS annoncés ;
- la maturité des pilotes, du noyau Linux, des outils de déploiement et des frameworks d’inférence.
Opportunité commerciale du jour
Le marché à surveiller est celui des serveurs x86 professionnels reconditionnés et des hôtes sobres destinés à remplacer ou consolider les installations Windows Server 2016. Une PME peut souvent regrouper plusieurs anciens serveurs dans un hôte Proxmox récent, à condition de ne pas acheter uniquement sur le nombre de cœurs ou le prix affiché.
- Compatibilité : vérifier les contrôleurs de stockage, cartes réseau, fonctions de virtualisation, TPM et logiciels métiers.
- Bruit : les serveurs rack peuvent être inadaptés à un bureau ou à un petit local sans isolation.
- Consommation : demander une mesure au repos et en charge ; un matériel peu cher peut coûter davantage sur trois ans.
- Garantie : privilégier une garantie écrite couvrant au minimum la carte mère, les alimentations et les contrôleurs.
- Livraison : contrôler l’emballage, le poids, les rails, les délais de remplacement et l’état des disques.
- Usage possible : virtualisation Proxmox, serveur de fichiers, contrôleur de domaine, sauvegarde locale ou réplication hors site, avec séparation des rôles critiques.
Forge Informatique Sarthoise peut transformer ce signal en service utile par un inventaire de l’existant, un comparatif entre migration Windows, virtualisation Proxmox et remplacement matériel, puis un devis incluant sauvegarde testée, réseau et plan de retour arrière. Le matériel ne doit être commandé qu’après validation des charges, de la consommation et de la compatibilité applicative.
La priorité du week-end est donc double : corriger les équipements exposés et préparer les migrations qui ne pourront pas être improvisées en janvier.