Rarement autant de failles graves auront été révélées en une seule journée. Ce mercredi 21 octobre, TechCrunch résumait la situation d’une formule : Internet vit une très mauvaise journée en matière de cybersécurité. PHP, Node.js, l’autorité de certification eMudhra, la bibliothèque d’IA LiteLLM, Plex ou encore BeyondTrust sont touchés en même temps.
Ces incidents n’ont pas de lien entre eux, mais leur accumulation est inhabituelle. Ils concernent des briques utilisées par des millions de sites et d’applications, des serveurs web aux outils de développement en passant par les certificats qui sécurisent les connexions HTTPS.
Pour la plupart, des correctifs sont déjà disponibles. Cet article fait le point sur chaque incident, sur les personnes concernées et sur les gestes à adopter. Certains détails techniques restent encore à confirmer.
Failles de sécurité d’octobre 2026 : le tableau récapitulatif
| Produit | Qui est concerné | Que faire |
|---|---|---|
| PHP | Serveurs web sous PHP 8.2 à 8.5 (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed) | Passer en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 |
| Node.js | Applications et serveurs Node.js | Installer la dernière version de sa branche |
| eMudhra | Sites dont le certificat a été émis par les huit intermédiaires révoqués | Remplacer le certificat ; vérifier les logiciels qui ne contrôlent pas les révocations |
| LiteLLM | Installations de la version 1.107.0 (PyPI, DockerDocker est une plateforme de développement qui facilite la création, le déploiement et l'exécution d'applications dans des conteneurs logiciels. Lire la fiche) | Revenir à la 1.106.2 et changer tous les secrets |
| Plex Media Server | Serveurs Plex non mis à jour depuis août | Installer la version 1.43.3.10861 ou plus récente |
| BeyondTrust Remote Support | Versions 26.2.3 et antérieures | Appliquer le correctif BT26-05 |
PHP et Node.js : des failles critiques au cœur du web
L’alerte la plus large concerne PHP, le langage qui fait tourner une grande partie du web, dont WordPress. Deux failles critiques, référencées CVE-2026-109618 et CVE-2026-109619, permettent l’exécution de code à distance sans authentification. Elles obtiennent une note de 9,2 sur 10.
Les configurations utilisant mod_php sont jugées les plus exposées, car la faille peut se déclencher avant même l’exécution du code de l’application. Selon TechCrunch, l’agence américaine NSA recommande de mettre à jour immédiatement ou de mettre les systèmes hors ligne, et plusieurs sites gouvernementaux ont été coupés par précaution. Les branches PHP 8.1 et antérieures ne reçoivent plus de correctifs officiels.
Node.js, l’environnement d’exécution JavaScript côté serveur, corrige de son côté quatre failles de sévérité élevée. L’une permet une exécution de code à distance, deux autres de contourner la validation des certificats TLS. Les correctifs sont disponibles dans les dernières versions de chaque branche maintenue.
Des failles trouvées grâce à l’IA
Selon TechCrunch, les failles de PHP ont été découvertes à l’aide d’outils d’intelligence artificielle. Ce n’est pas un cas isolé : Microsoft attribue aussi à l’IA le nombre record de failles corrigées lors de son Patch Tuesday d’octobre.
Ces outils permettent de passer au crible des bases de code anciennes et volumineuses comme celle de PHP. C’est une bonne nouvelle à long terme, mais la conséquence immédiate est un afflux de correctifs à appliquer, que les équipes techniques peinent à absorber.
eMudhra : huit certificats compromis
L’incident eMudhra touche un maillon essentiel de la confiance sur Internet. Cette autorité de certification indienne délivre des certificats qui garantissent l’identité des sites web. Or, les clés privées de huit de ses certificats intermédiaires étaient si faibles qu’elles pouvaient être recalculées à partir des certificats publics, selon BleepingComputer.
Les clés n’ont pas été volées : elles avaient été générées avec trop peu d’aléa, à cause d’un script défectueux utilisé lors d’une cérémonie de création de clés en avril 2025. Un attaquant aurait pu s’en servir pour émettre de faux certificats et usurper n’importe quel site.
La réaction a été rapide. Google Chrome et Firefox ont bloqué les certificats dès le 17 octobre, Apple le 19 et Microsoft le 20. eMudhra les a révoqués et estime qu’environ 30 000 certificats clients doivent être remplacés. Aucune attaque n’a été signalée, mais certains logiciels qui ne vérifient pas les révocations pourraient rester vulnérables.
LiteLLM, Plex, BeyondTrust : des attaques déjà en cours
LiteLLM, une bibliothèque très utilisée pour connecter les applications aux modèles d’IA, a été victime d’une attaque de la chaîne d’approvisionnement. La version 1.107.0, publiée sur PyPI et dans les images Docker officielles, contenait un logiciel espion et un cheval de Troie d’accès à distance, selon Aikido. Elle est restée en ligne environ deux heures. Tous les secrets présents sur une machine qui l’a installée doivent être considérés comme volés.
Les serveurs multimédias Plex sont aussi visés. Quatre failles, regroupées sous le nom Plex2Shell, permettent de prendre le contrôle d’un serveur sans authentification. Elles sont exploitées pour installer des mineurs de cryptomonnaie et des portes dérobées. Le correctif existe depuis août, mais de nombreux serveurs personnels n’ont pas été mis à jour.
Enfin, la faille CVE-2026-102764 de BeyondTrust Remote Support, un outil d’assistance à distance utilisé par les entreprises, a été exploitée dès la fin août par un groupe d’espionnage lié à la Chine, selon Mandiant. Le correctif BT26-05 est disponible depuis le 8 octobre. La base de données cloud TiDB Cloud de PingCAP a, de son côté, annoncé une brèche de sécurité.
Les bons réflexes
Pour les particuliers, l’essentiel se joue sur les mises à jour : navigateur, serveur Plex et applications doivent être tenus à jour, ce qui protège notamment contre les certificats eMudhra révoqués. Les propriétaires de sites WordPress doivent s’assurer auprès de leur hébergeur que PHP a été mis à jour, après une semaine déjà marquée par la compromission de Rank Math PRO.
Pour les entreprises, la priorité va aux failles déjà exploitées, BeyondTrust, Plex et LiteLLM, puis aux correctifs PHP et Node.js. Le remplacement des certificats eMudhra et la rotation des secrets exposés doivent suivre rapidement.
Reste à savoir si cette accumulation est un accident de calendrier ou le signe d’une nouvelle normalité. Avec des outils d’IA capables de découvrir des failles à grande échelle, de part et d’autre, les journées de ce type pourraient devenir plus fréquentes.
