Cybersécurité
PHP : les failles PHP2Shell sont exploitées, et une nouvelle faille sans correctif impose un réglage
Les deux failles critiques PHP2Shell (CVE-2026-109618 et CVE-2026-109619), corrigées le 21 octobre 2026 dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, sont désormais exploitées avec succès : des pots de miel (serveurs leurres) d’un chercheur ont enregistré des attaques réelles, ont rapporté BleepingComputer et SecurityWeek le 26 octobre. Par ailleurs, le projet PHP a signalé le 23 octobre une autre faille, CVE-2026-115560, que ces versions ne corrigent pas. Elle ne touche que des configurations particulières des sessions PHP ; en attendant le correctif prévu dans la prochaine version régulière, PHP recommande de régler session.upload_progress.enabled à 0.
Ce que ça change pour vousPHP fait tourner une grande partie des sites web de TPE-PME, notamment ceux sous WordPress ou PrestaShop. Un serveur resté sur une version non corrigée peut être pris en main à distance sans identifiant.
À faire cette semaineÀ faire cette semaine : demandez à votre hébergeur ou à votre prestataire quelle version de PHP fait tourner votre site, s’il a appliqué la mise à jour du 21 octobre et s’il a désactivé session.upload_progress.
Sources : BleepingComputer · SecurityWeek · The Hacker News
Réglementation
DSA : la Commission européenne ouvre une enquête sur la lutte de Booking.com contre les arnaques
Le 21 octobre 2026, la Commission européenne a ouvert une procédure formelle contre Booking.com au titre du règlement sur les services numériques (DSA). Elle examine si la plateforme évalue et limite suffisamment les risques liés aux annonces d’hébergement frauduleuses et à l’hameçonnage, notamment la façon dont les données de réservation sont transmises aux hébergeurs et le fonctionnement de sa messagerie. Elle vérifie aussi que les annonces mieux classées contre paiement sont clairement signalées comme publicitaires. L’ouverture de la procédure ne préjuge pas de son issue.
Ce que ça change pour vousLes hôtels, gîtes et chambres d’hôtes qui vendent via Booking.com sont directement concernés : les faux messages de « confirmation » ou de paiement envoyés aux clients visent leur réputation et leurs réservations. L’enquête porte aussi sur la transparence des annonces payées pour être mieux classées.
À faire cette semaineÀ faire cette semaine : rappelez à vos clients, dans vos messages de confirmation, que vous ne demandez jamais de paiement ni de coordonnées bancaires par un lien envoyé dans la messagerie, et vérifiez la sécurité de votre compte extranet (mot de passe, double authentification).
Sources : Commission européenne · Siècle Digital · L’Écho touristique
Réglementation
Produits dangereux : la Commission européenne accepte le plan d’action de Temu, cinq mois après son amende
Le lundi 26 octobre 2026, la Commission européenne a annoncé avoir accepté le plan d’action présenté par Temu, sanctionné en mai d’une amende de 200 millions d’euros au titre du règlement sur les services numériques (DSA) pour avoir laissé vendre des produits illégaux. Le plan comporte cinq mesures, dont une analyse des risques propre à la plateforme et l’examen du rôle de ses systèmes de recommandation dans la diffusion de produits illégaux.
Ce que ça change pour vousLes commerçants et fabricants européens sont en concurrence directe avec les produits vendus sur ces places de marché. Le respect de ces engagements par Temu fera l’objet d’un suivi de la Commission.
À faire cette semaineÀ faire cette semaine : si vous repérez sur une place de marché un produit dangereux ou contrefaisant qui concurrence le vôtre, signalez-le via l’outil de signalement de la plateforme et conservez une copie de votre signalement.
Sources : FashionNetwork · LaPresse · Entrevue
