Signal du jour : la priorité va aux accès distants et aux environnements que l’on croit secondaires. Caméras P2P, postes de travail cloud, paquets PHP Windows et bases de test montrent le même besoin : inventorier, isoler, mettre à jour et vérifier les accès plutôt que se fier au seul périmètre réseau.
1. Des caméras Dahua compromises par l’accès P2P et des authentifications faibles
Ce qui est confirmé
Publié le 27 octobre 2026, l’avertissement relayé par The Hacker News rapporte que le CERT-UA ukrainien a constaté des accès non autorisés à des caméras IP et enregistreurs Dahua : consultation des flux, modification de configuration et création de comptes tiers. Le mécanisme Easy4IP permet d’atteindre les équipements via leur numéro de série ; la structure prévisible de certains numéros facilite leur recherche à grande échelle. Des mots de passe faibles ou connus et d’anciens micrologiciels vulnérables peuvent ensuite permettre le franchissement de l’authentification. Le nombre total d’appareils touchés, les victimes exactes et l’auteur de la campagne n’ont pas été publiés.
L’enjeu pour le réseau
Une caméra non exposée directement sur Internet n’est pas nécessairement isolée si son service P2P cloud reste actif. La vidéosurveillance devient alors un point d’entrée, une source d’images sensibles et un équipement persistant souvent moins surveillé qu’un serveur.
Mesures utiles en petite entreprise
- Désactiver Easy4IP/P2P lorsqu’il n’est pas indispensable et supprimer les comptes inconnus.
- Mettre à jour les firmwares, remplacer les mots de passe par des secrets uniques et vérifier les journaux DVRIP, notamment les connexions associées à 127.0.0.1.
- Placer caméras et NVR dans un VLAN dédié, sans accès libre au réseau bureautique, puis contrôler les flux sortants.
Source directe
The Hacker News — 27 octobre 2026
2. Le piratage d’un cloud VDI japonais expose les limites de la confiance dans le poste hébergé
Incident déclaré
Le 27 octobre 2026, The Register a détaillé l’incident touchant Onamae.com Desktop Cloud de GMO Internet. L’entreprise a reconnu l’installation de programmes malveillants dans certains environnements clients, l’existence de vulnérabilités, un accès non autorisé et l’exfiltration d’informations. Des clients ont signalé des opérations non reconnues sur leurs comptes de trading ; GMO estime que jusqu’à 26 739 serveurs VDI pourraient être concernés. L’enquête reste en cours, et ce plafond ne constitue donc pas un décompte final confirmé.
Pourquoi le cloud ne suffit pas
Un bureau virtuel concentre identifiants, sessions persistantes et applications métier. Changer un mot de passe peut être insuffisant si des jetons ou sessions restent actifs, si l’image système est compromise ou si l’ordinateur personnel utilisé pour administrer le service a lui-même été exposé.
Décisions opérationnelles
- Prévoir dans le plan d’incident la révocation des sessions, jetons et clés, pas seulement la rotation des mots de passe.
- Demander au fournisseur ses délais de correction, journaux disponibles, segmentation, sauvegardes et procédure de restauration vers un environnement sain.
- Conserver une solution de repli testée pour les postes métiers critiques et éviter qu’un même compte admin serve à la fois au VDI, à la messagerie et aux applications financières.
Source directe
The Register — 27 octobre 2026
3. PHP republie ses paquets Windows pour corriger Brotli
Versions concernées
Le projet PHP a annoncé le 26 octobre 2026 de nouveaux builds Windows : 8.5.12-1, 8.4.27-1, 8.3.36-1 et 8.2.35-1. Ils intègrent Brotli 1.2.1 afin de corriger CVE-2026-111497, une écriture hors limites lors de la décompression. Dans les paquets PHP Windows, le décodeur peut être atteint par l’extension cURL quand la décompression automatique des réponses HTTP est activée. PHP précise que cette option est désactivée par défaut dans cURL, mais qu’une application ou une bibliothèque cliente peut l’activer.
Conséquence technique
Le suffixe « -1 » correspond à une reconstruction des paquets avec une dépendance corrigée, sans changement de version du moteur PHP lui-même. Un inventaire basé uniquement sur « PHP 8.4.27 » peut donc manquer la différence entre le paquet initial et le build 8.4.27-1.
Contrôle recommandé
- Identifier les serveurs Windows utilisant les paquets PHP officiels et vérifier le numéro complet du build.
- Rechercher les clients HTTP ou frameworks qui activent automatiquement la décompression cURL.
- Mettre à jour en environnement de recette, tester les appels API et redémarrer proprement les services concernés avant validation.
Source directe
PHP.net — annonce officielle du 26 octobre 2026
4. Linux 7.4 amorce la prise en charge des Apple M4, mais pas encore un poste professionnel complet
Avancée du noyau
Phoronix rapporte le 26 octobre 2026 l’intégration dans Linux 7.4 d’un support initial des SoC Apple M4 et A18 Pro, ainsi que de nouvelles plateformes Qualcomm et du Google Tensor G5. Pour les machines M4 citées, le niveau reste élémentaire : démarrage du noyau et console, tandis que la plupart des fonctions ne sont pas encore prises en charge dans le noyau principal.
Lecture pragmatique
Cette étape améliore la perspective de réemploi à long terme du matériel Apple, mais elle ne transforme pas encore un Mac M4 en serveur Linux ou poste métier standardisable. L’absence possible de pilotes complets pour le stockage, le réseau, le graphique, l’audio, la veille ou les périphériques suffit à bloquer un déploiement professionnel.
Impact pour les achats
- Ne pas acheter un parc M4 d’occasion pour Linux sur la seule base de cette intégration.
- Tester le modèle exact, le démarrage, le réseau, le stockage, la consommation au repos et la reprise après veille.
- Pour un serveur ou un nœud Proxmox, préférer encore une plateforme x86_64 ou ARM documentée dont la virtualisation, les pilotes et la maintenance sont validés.
Source directe
5. Une base de test expose les données de 525 000 personnes à Copenhague
Périmètre annoncé
Selon BleepingComputer le 26 octobre 2026, l’Université de Copenhague a confirmé l’accès d’attaquants à un environnement de test contenant les données personnelles de 525 000 personnes. Les informations potentiellement exposées comprennent noms, identifiants nationaux danois, téléphones et adresses électroniques. L’établissement a également ajouté 20 000 membres du personnel et étudiants dont les codes PIN d’accès ont été exposés. L’enquête se poursuit ; l’université indique ne pas avoir d’élément montrant un accès aux systèmes d’exploitation quotidienne.
Le signal à retenir
Un environnement « test » peut contenir une copie presque réelle du système d’information, avec moins de surveillance, des comptes anciens et des règles réseau plus permissives. Son étiquette ne réduit ni la sensibilité des données ni les obligations de protection.
Application en TPE et PME
- Interdire les copies de production non anonymisées dans les laboratoires, préproductions et sauvegardes de développeurs.
- Appliquer la même MFA, les mêmes correctifs, la journalisation et les durées de conservation qu’aux systèmes de production lorsque des données réelles subsistent.
- Inclure les badges, digicodes et accès physiques dans la réponse à incident lorsqu’un jeu de données contient des codes d’accès.
Source directe
BleepingComputer — 26 octobre 2026
Radar RISC-V / Edge AI
Edge AI vérifié : CNX Software a présenté le 27 octobre 2026 le module SMARC 2.2 MYIR MYC-JR3576. Il associe un Rockchip RK3576 ou RK3576J, un NPU annoncé à 6 TOPS en INT8, 4 ou 8 Go de LPDDR5, jusqu’à 64 Go d’eMMC, deux interfaces Gigabit Ethernet, un TPM 2.0 et un BSP Linux 6.1 sous Debian/Yocto. Les modules et kits sont annoncés comme disponibles, avec des prix d’échantillon publiés entre 192 et 293 dollars selon la configuration.
RISC-V / Xuantie : aucune nouveauté distincte, récente et suffisamment documentée n’a été trouvée aujourd’hui pour justifier une annonce séparée. Une ancienne fiche produit ne doit pas être recyclée comme actualité.
Avant toute recommandation Edge AI, il manque encore des mesures indépendantes : consommation réelle au repos et en charge plutôt que la seule alimentation nominale, débit du NPU sur des modèles identifiés, latence, température, maintien des performances, disponibilité en France, délais, garantie et qualité du support logiciel. Le BSP est fourni aux clients mais n’est pas publié ouvertement selon l’article, ce qui doit être évalué pour la maintenance à long terme.
CNX Software — 27 octobre 2026
Opportunité commerciale du jour
Le module SMARC RK3576 mérite une veille pour des usages ciblés : analyse vidéo locale, passerelle industrielle, traitement de capteurs ou petite appliance réseau évitant d’envoyer toutes les données dans le cloud. Ce n’est pas encore un achat standard pour une PME. La compatibilité des caméras, accélérateurs, conteneurs et modèles doit être testée ; le BSP client fermé au public augmente le risque de dépendance au fournisseur.
- Prix et livraison : les montants annoncés sont des prix d’échantillon pour les deux premières unités ; il faut chiffrer transport, taxes, quantité, disponibilité et délai réel en France.
- Consommation : le module accepte une alimentation 5 V/2 A et la carte de développement 12 V/2 A, mais ces valeurs ne prouvent pas la consommation réelle. Une mesure à la prise et sous charge IA reste nécessaire.
- Bruit et thermique : la carte possède un connecteur de ventilateur, sans mesure acoustique publiée. Le boîtier, le dissipateur et la température ambiante détermineront le bruit et la stabilité.
- Garantie et maintenance : durée, retour atelier, disponibilité des images système, mises à jour de sécurité et durée de fourniture doivent être obtenus par écrit.
Forge Informatique Sarthoise peut transformer cette veille en comparatif concret : banc d’essai face à un mini-PC professionnel ou reconditionné, contrôle réseau et segmentation, prototype d’IA locale, intégration à une infrastructure Proxmox lorsque l’architecture s’y prête, sauvegarde et devis chiffré. Le bon choix dépendra davantage du logiciel maintenable et du coût total que du seul chiffre de TOPS.
Conclusion : les nouvelles du jour convergent vers une règle simple : les services pratiques mais opaques — P2P, VDI, dépendances embarquées, environnements de test et BSP fournisseurs — doivent être inventoriés et testés comme des composants critiques.