Trois correctifs de sécurité méritent une action avant lundi : APT sur Debian et Ubuntu, les switchs Zyxel GS1900 et le cœur de WordPress. La faille WordPress CVE-2026-119977 figure au catalogue des vulnérabilités exploitées de la CISA depuis le 3 novembre, d’après WindowsForum.
Les trois sont déjà corrigées : APT 3.0.4 sur Debian 13, un firmware « .3 » sur les Zyxel GS1900 et WordPress 7.1.4. Reste à les installer, dans le bon ordre.
Prudence toutefois : nous n’avons pas pu lire toutes les annonces d’origine, et certaines données, comme la gravité, divergent selon les sources. Vérifiez les numéros de version sur les avis officiels avant d’appliquer.
1. WordPress : CVE-2026-119977, la plus urgente
Cette faille de type « condition de concurrence » se produit pendant une mise à jour du cœur : WordPress décompresse le paquet dans un dossier prévisible, et une requête bien placée peut y faire exécuter du code sans authentification, d’après Picus Security. Elle touche les versions 4.7 à 7.1.3, avec un score de 8,1 sur 10.
Le correctif est dans WordPress 7.1.4 (28 octobre) et dans les mises à jour de branches 7.0.8, 6.9.11, 6.8.12 et 6.7.11. Wordfence a bloqué plus de 240 000 tentatives au 5 novembre, selon WindowsForum, soit des tentatives, pas des compromissions confirmées. Picus recommande de bloquer l’accès web à /wp-content/upgrade/ avant de mettre à jour, car la mise à jour est exécutée par l’ancien code, et préfère une mise à jour manuelle depuis l’extérieur de la racine web. Faites une sauvegarde complète d’abord. Nous avions déjà publié un guide pour vérifier et nettoyer un site WordPress piraté.
2. Zyxel GS1900 : le premier correctif ne suffisait pas
Un correctif de juin visait une autre faille du même programme. La faille CVE-2026-107441, une écriture hors limites exploitable sans authentification, est corrigée par un firmware « .3 » publié le 22 octobre, d’après l’avis de Zyxel du 3 novembre. Toutes les versions « .2 » et antérieures sont vulnérables, y compris le correctif de juin.
Dix modèles sont concernés : GS1900-8 (2.90 AAHH.3), GS1900-8HP (AAHI.3), GS1900-10HP (AAZI.3), GS1900-16 (AAHJ.3), GS1900-24 (AAHL.3), GS1900-24E (AAHK.3), GS1900-24EP (ABTO.3), GS1900-24HPv2 (ABTP.3), GS1900-48 (AAHN.3) et GS1900-48HPv2 (ABTQ.3). Zyxel parle d’un attaquant sur le réseau local ; selon Binarly, relayé par Infosecurity Magazine, un accès au service de gestion suffit.
Une campagne a touché près de 1 000 switchs dans 48 pays, selon GreyNoise. Le correctif ne retire pas un accès déjà obtenu : Shattered.io conseille de changer les mots de passe, de comparer la configuration à une sauvegarde de référence et de ne pas exposer l’administration sur Internet. Ces conseils ne viennent pas de Zyxel.
3. APT : un paquet peut être remplacé après vérification
La faille CVE-2026-109518 permet à un attaquant placé sur le trajet réseau, ou à un miroir malveillant, de substituer un paquet après sa vérification et d’exécuter du code en root. Elle suppose que les tentatives de nouveau téléchargement soient activées, ce qui est le cas par défaut sur Debian 12 et plus récent et Ubuntu 22.04 et plus récent. Ubuntu la classe à 7,7, gravité haute, et ne signale pas d’exploitation.
Les versions corrigées, d’après les avis USN-8996-1 d’Ubuntu et DSALe DSA (Digital Services Act, ou règlement sur les services numériques) est la loi européenne qui oblige les plateformes en ligne à lutter contre les contenus illicites, à être transparentes sur leurs algorithmes et leur publicité, et à protéger les utilisateurs. Lire la fiche-6607-1 de Debian : Debian 13 en 3.0.4, Debian 12 en 2.6.2, Ubuntu 26.10 en 3.3.3ubuntu0.1, Ubuntu 26.04 en 3.2.1ubuntu0.1, Ubuntu 24.04 en 2.8.4ubuntu0.1 et Ubuntu 22.04 en 2.4.15ubuntu0.1. StepSecurity, qui cite Canonical, conseille de désactiver les nouvelles tentatives pendant la mise à jour :
sudo apt-get update
sudo apt-get upgrade -y -o Acquire::Retries=0Vérifiez ensuite la version avec apt-cache policy apt. Nous n’avons trouvé ni version corrigée pour Debian 11, ni précision sur les dérivés comme Mint ou Raspberry PiLe Raspberry Pi est un ordinateur monocarte britannique, né en 2012 pour rendre la programmation accessible à tous : aujourd'hui de 4 à 305 dollars selon le modèle, il sert aussi bien à apprendre le code qu'à faire tourner un serveur personnel, une borne industrielle ou, depuis peu, de petits modèles d'IA entièrement hors ligne. Lire la fiche OS.
Pour aller plus loin
Si vous gérez des serveurs Alpine, lisez aussi notre guide sur la faille OpenSSH SSHole, exploitée quelques heures après sa divulgation. Côté navigateur, la 8ᵉ faille zero-day de Chrome est corrigée dans Chrome 157. Pour les failles PHP, voir ce guide.
Reste à vérifier vos équipements exposés
Reste à inventorier ce qui n’est pas mis à jour automatiquement : switchs, boîtiers et serveurs oubliés. Nous actualiserons cet article si l’une de ces failles change de statut, notamment à la CISA.
