L’agence américaine CISA a inscrit deux failles critiques dans les logiciels à son catalogue des vulnérabilités dont l’exploitation est confirmée, rapporte The Hacker News dans un article du 24 octobre 2026. La CISA est une agence des États-Unis, mais cela ne dit rien du lieu des exploitations : la source ne précise pas où celles-ci ont été observées. L’ajout repose sur des signalements d’exploitation active, un vendredi selon le média.
L’essentiel
- La CISA a ajouté deux vulnérabilités critiques à son catalogue des failles dont l’exploitation est confirmée.
- Les produits visés sont Collabora Online Built-in CODE Server et Arista VeloCloud Orchestrator, selon The Hacker News.
- Toute PME qui utilise ces outils devrait demander à son prestataire informatique d’appliquer les correctifs sans délai.
Ce que l’on sait de l’incident
Il ne s’agit pas d’une victime unique mais d’une alerte générale. The Hacker News rapporte, le 24 octobre 2026, que la CISA a inscrit deux vulnérabilités critiques à son catalogue. La source ne précise pas où des exploitations ont eu lieu, ni quels secteurs d’activité sont touchés.
Les deux produits nommés par la source sont une suite bureautique en ligne et un outil de gestion de réseau multisite. The Hacker News qualifie les deux failles de gravité critique et attribue à la première, identifiée CVE-2026-110447, un score CVSS de 9,2 sur une échelle qui va jusqu’à 10.
Son catalogue sert de référence bien au delà des frontières américaines. Nous nous en tenons à ce qui est établi par la source : les failles sont jugées critiques, et des signalements indiquent qu’elles servent déjà. Le métier des organisations concernées n’est pas précisé.
Les failles critiques dans les logiciels touchent aussi les PME d’ici
Une exploitation peut viser une organisation précise, mais une large part des tentatives provient de campagnes automatisées qui balaient Internet à la recherche de services accessibles et mal à jour. Une petite entreprise qui utilise un produit vulnérable peut donc être exposée elle aussi, même si elle n’a jamais été visée nommément.
Le mécanisme général est connu. Un fournisseur publie un correctif, la faille devient publique, puis la recherche d’installations non mises à jour est automatisée. Une suite bureautique hébergée abrite des contrats et parfois des renseignements personnels. Un outil de réseau commande la connexion entre vos sites. Le Centre canadien pour la cybersécurité place l’application rapide des correctifs parmi ses contrôles de base pour les petites organisations.
Le coût ne se mesure pas en frais informatiques. Il se mesure en jours de production perdus et en clients qui doutent. Il n’existe pas de protection absolue : méfiez-vous de tout discours qui promet un risque zéro.
Les vérifications à faire cette semaine
Le travail utile tient en quelques gestes simples, sans outil particulier. Il faut savoir quels logiciels sont exposés sur Internet, confirmer que les correctifs du fournisseur sont installés, et désigner qui surveille les avis publics. Ces vérifications réduisent fortement l’exposition, sans rien garantir.
- Demandez à votre prestataire informatique la liste des logiciels et équipements accessibles depuis Internet.
- Faites-vous confirmer par écrit que les correctifs du fournisseur sont installés sur ces systèmes.
- Désignez en direction la personne qui lira les avis du Centre canadien pour la cybersécurité.
FAQ
Comment savoir si mon entreprise utilise un des logiciels visés
Commencez par l’inventaire, pas par la technique. Interrogez votre prestataire informatique : a-t-il déployé chez vous un outil bureautique collaboratif ou un gestionnaire de réseau multisite, et sous quel nom de produit. S’il gère vos serveurs, il peut répondre vite. Si personne ne tient cet inventaire, c’est le premier chantier : on ne protège pas un parc qu’on ne connaît pas.
Une PME de quinze employés intéresse-t-elle vraiment un attaquant
Certaines attaques visent une cible choisie, mais les campagnes automatisées qui exploitent une faille publiée cherchent surtout une adresse accessible et un logiciel non corrigé. Les organisations canadiennes de toute taille entrent dans ce champ, les plus petites comprises. Une PME peut aussi se révéler plus fragile lorsqu’elle dispose de peu de personnel pour surveiller les avis et de peu de marge pour encaisser un arrêt de service.
Faut-il appliquer les mises à jour tout de suite au risque de bloquer le travail
Un correctif qui ferme une faille déjà exploitée se traite en priorité. Votre prestataire devrait séparer deux files : les mises à jour urgentes, appliquées dès que possible après un test rapide, et les autres, planifiées hors des heures de service. Nous ne fixons aucun délai universel, parce que l’arbitrage dépend du rôle du système dans vos opérations.
Sources
- The Hacker News · presse, 24 octobre 2026
- CISA, Known Exploited Vulnerabilities Catalog · vulnérabilités dont l’exploitation est confirmée
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
Source : The Hacker News · https://thehackernews.com/2026/10/cisa-flags-two-actively-exploited.html
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
