Signal du jour : la priorité va à la réduction de l’exposition réelle : corriger les composants qui traitent des données non fiables, révoquer les secrets après un incident de chaîne logicielle et vérifier les protections de démarrage au-delà du simple état « à jour ».
1. Node.js corrige une faille Brotli pouvant mener à une exécution de code
État des lieux
Le projet Node.js a publié le 21 octobre 2026 des mises à jour de sécurité pour les branches 22.x, 24.x et 26.x. CVE-2026-111497 concerne le décodeur Brotli intégré : une entrée compressée malformée peut provoquer une écriture hors limites, avec comme conséquences possibles un plantage, une fuite de mémoire ou une exécution de code à distance.
Enjeu opérationnel
Le risque ne se limite pas aux serveurs qui proposent eux-mêmes du contenu compressé. Il concerne toute application Node.js qui accepte puis décompresse des données Brotli contrôlables par un tiers via node:zlib, notamment des API, passerelles, services d’import ou traitements de fichiers.
Priorité pour une TPE/PME
Inventorier les versions Node.js présentes dans les conteneurs, VM, postes de développement et chaînes CI, puis installer la version de sécurité correspondant à la branche utilisée. Il faut reconstruire les images depuis une base corrigée plutôt que seulement redémarrer les conteneurs, et tester en priorité les services exposés à Internet.
Source directe
Node.js Project — Security Releases, 21 octobre 2026
2. LiteLLM : une clé non révoquée a ouvert la voie à une version compromise
Chronologie confirmée
Dans son retour d’incident du 23 octobre 2026, LiteLLM indique qu’une clé maître publiée par erreur dans un dépôt public le 27 mai n’avait pas été révoquée. Selon l’éditeur, l’attaquant l’a utilisée en octobre pour atteindre une plateforme interne, récupérer des jetons GitHub privilégiés, modifier le processus de publication et faire diffuser la version malveillante 1.107.0 sur PyPI et dans des registres de conteneurs.
Leçon de sécurité
L’incident montre qu’effacer un secret de l’historique visible ne le neutralise pas. Une clé exposée doit être considérée comme compromise, révoquée immédiatement, puis recherchée dans les journaux, caches, artefacts CI et services qui auraient pu l’enregistrer.
Mesures concrètes
Les organisations ayant installé LiteLLM 1.107.0 doivent traiter l’hôte ou le conteneur comme potentiellement compromis : isoler l’environnement, préserver les éléments utiles à l’analyse, remplacer l’image ou l’environnement Python, puis renouveler les secrets accessibles au processus. Une simple désinstallation du paquet n’est pas une preuve d’assainissement.
Source directe
LiteLLM — chaîne d’attaque de la version 1.107.0, 23 octobre 2026
3. Collabora/Nextcloud et VeloCloud entrent au catalogue des failles exploitées
Alerte du 24 octobre
CISA a ajouté le 23 octobre deux vulnérabilités à son catalogue KEV, ce qui signifie qu’elle dispose d’éléments attestant une exploitation active : CVE-2026-110447 dans le serveur CODE intégré de Collabora utilisé avec Nextcloud, et CVE-2026-114625 dans Arista VeloCloud Orchestrator sur site. La première est corrigée dans richdocumentscode 26.4.303 ; la seconde dans VCO 5.2.3.18, 6.1.3.10 et 6.4.2.12.
Pourquoi l’urgence est élevée
Collabora peut permettre une exécution de commandes sans authentification dans une configuration précise, tandis que VeloCloud peut permettre à un compte faiblement privilégié d’atteindre des fonctions internes et des privilèges d’opérateur. Une mise à jour ferme la faille mais ne retire pas automatiquement un webshell, un compte ou une persistance déjà déposés.
Décision à prendre
Vérifier immédiatement les versions et l’exposition Internet. Pour Nextcloud, contrôler l’intégrité de l’application richdocumentscode et les journaux web ; pour VCO, préserver puis examiner les journaux d’accès, d’administration et système avant correction si un compromis est suspecté. Les affirmations sur l’identité des attaquants ou leurs objectifs ne sont pas établies par ces avis.
Sources directes
CISA KEV — CVE-2026-110447, ajout du 23 octobre 2026 ; CISA KEV — CVE-2026-114625, ajout du 23 octobre 2026
4. BlackX rappelle qu’un Windows « entièrement corrigé » peut rester vulnérable au démarrage
Résultat de l’enquête
Kaspersky a publié le 22 octobre 2026 une analyse du bootkit UEFI BlackX, observé lors d’une campagne d’espionnage contre des organisations diplomatiques d’Asie centrale. Les chercheurs indiquent que les machines visées étaient à jour, mais que la révocation Secure Boot nécessaire contre la chaîne Baton Drop n’avait pas été activée manuellement.
Portée réelle
Cette recherche ne prouve pas une campagne générale contre les PME françaises. Elle montre toutefois une faiblesse de gouvernance utile à tous : l’installation des correctifs Windows ne garantit pas, à elle seule, l’application des révocations UEFI. Kaspersky attribue la campagne à APT41 avec une confiance moyenne, ce qui doit rester présenté comme une évaluation et non comme une preuve définitive.
Contrôle recommandé
Sur les parcs Windows compatibles Secure Boot, vérifier l’état des certificats et révocations, la conformité UEFI, BitLocker et les procédures de récupération avant toute activation forcée. Tester d’abord sur un petit groupe, surtout en présence de double démarrage, de firmwares anciens ou de périphériques de démarrage spécifiques.
Source directe
Securelist — analyse technique de BlackX, 22 octobre 2026
5. Windows Server 2016 : la migration entre dans sa dernière ligne droite
Échéance rappelée
Un rappel publié le 23 octobre 2026 souligne la fin prochaine des mises à jour de sécurité de Windows Server 2016. Microsoft fixe la fin de support au 12 janvier 2027 pour les éditions concernées ; les environnements encore dépendants de cette version doivent donc préparer dès maintenant une transition ou une couverture temporaire adaptée.
Risque métier
Le danger principal est la migration tardive d’un serveur qui cumule Active Directory, fichiers, impression, applications anciennes et sauvegarde. Une mise à niveau improvisée peut révéler des incompatibilités de pilotes, de licences, de bases de données ou d’authentification plus coûteuses que le remplacement lui-même.
Plan pour une petite structure
Commencer par l’inventaire des rôles, applications, dépendances DNS, certificats, comptes de service et restaurations. Choisir ensuite entre Windows Server pris en charge, service cloud, Linux ou virtualisation sur Proxmox selon les logiciels réellement nécessaires. Une sauvegarde vérifiée et un test de restauration doivent précéder la bascule.
Sources directes
BleepingComputer — rappel publié le 23 octobre 2026 ; Microsoft Lifecycle — calendrier officiel de Windows Server 2016
Radar RISC-V / Edge AI
Aucune nouveauté RISC-V, Xuantie ou Edge AI à la fois récente, directement vérifiable et suffisamment concrète pour une décision d’achat n’a été trouvée dans les sources examinées pour ce brief du 25 octobre 2026. Les annonces anciennes ou simplement promotionnelles ne sont donc pas recyclées comme actualité.
Avant de retenir une future plateforme, il restera à obtenir des mesures indépendantes et comparables :
- prix réel rendu en France, mémoire et stockage compris ;
- consommation au repos, en charge soutenue et avec accélérateur IA ;
- disponibilité, délai, garantie et durée d’approvisionnement ;
- performances CPU, NPU et stockage sur des charges professionnelles ;
- maturité des pilotes, distributions Linux, outils d’inférence et mises à jour de sécurité.
Opportunité commerciale du jour
La fin de support de Windows Server 2016 ouvre un besoin concret d’audit et de renouvellement, notamment autour de serveurs professionnels reconditionnés capables d’héberger Proxmox, des VM Windows récentes et une sauvegarde séparée. L’achat ne doit pas se limiter au nombre de cœurs ou au prix affiché.
- Compatibilité : contrôler HBA/RAID, cartes réseau, virtualisation matérielle, TPM, pilotes et licences Windows.
- Bruit et énergie : mesurer les watts au repos et en charge ; un ancien bi-socket peu cher peut coûter davantage sur trois ans et être inadapté à un bureau.
- Garantie et livraison : exiger l’état des disques, la couverture des pièces, les rails, les alimentations, le délai ferme et les conditions de retour.
- Usage PME : viser la consolidation de fichiers, applications métier, contrôleur de domaine, supervision et sauvegarde, avec capacité de reprise testée.
- Prix : comparer le coût complet, TVA, stockage, mémoire, garantie et consommation inclus ; aucun tarif ponctuel non vérifié n’est présenté ici comme référence de marché.
Forge Informatique Sarthoise peut relier cet audit à un comparatif matériel neuf/reconditionné, à la préparation réseau, à une intégration Proxmox, à la migration des services et à un plan de sauvegarde avec test de restauration, avant établissement d’un devis.
Conclusion : le fil conducteur du jour est simple : mettre à jour, mais aussi vérifier ce que la mise à jour ne révoque pas, ne nettoie pas ou ne migre pas automatiquement.