En bref<\/h3>\n \n - PHP2Shell : des millions de tentatives d’attaque ont \u00e9t\u00e9 enregistr\u00e9es depuis le 21 octobre. La mise \u00e0 jour est urgente.<\/li>\n
- Node.js : dix failles corrig\u00e9es, dont une qui pourrait permettre de prendre la main sur un serveur. Aucune attaque signal\u00e9e pour l’instant.<\/li>\n
- GitLab et Plex : si vous les installez sur vos propres serveurs, ils doivent aussi \u00eatre mis \u00e0 jour.<\/li>\n
- Dans tous les cas, la seule vraie protection est d’installer les versions corrig\u00e9es.<\/li>\n<\/ul>\n<\/div>\n\n\n\n
PHP2Shell : les attaques ont commenc\u00e9 avant m\u00eame le correctif<\/strong><\/h2>\n\n\n\nPHP2Shell<\/a> d\u00e9signe deux failles de PHP, not\u00e9es 9,2 sur 10<\/a>. Elles permettent de prendre le contr\u00f4le d’un site avec une simple requ\u00eate, sans mot de passe. WordPress, PrestaShop, Drupal ou un site sur mesure : tout site en PHP non mis \u00e0 jour est expos\u00e9.<\/p>\n\n\n\nLes attaquants n’ont pas attendu. Le service de renseignement sur les menaces d’Amazon a rep\u00e9r\u00e9 une premi\u00e8re tentative d\u00e8s le 17 octobre<\/a>, quatre jours avant la publication des correctifs. Cloudflare, qui prot\u00e8ge une grande partie du web, a compt\u00e9 quelques milliers de tentatives avant l’annonce officielle, puis plusieurs millions dans les heures suivantes<\/a>. Les attaquants modifient m\u00eame leurs requ\u00eates pour passer \u00e0 travers les protections.<\/p>\n\n\n\nAucune victime n’a encore \u00e9t\u00e9 rendue publique. Mais \u00e0 ce volume, chaque site PHP en ligne sera test\u00e9. Tout site PHP qui n’est pas \u00e0 jour est donc en danger, quelle que soit sa taille.<\/p>\n\n\n\n![\"attaques](\"https:\/\/www.codeur.com\/blog\/wp-content\/uploads\/2026\/10\/courbe-attaques-php-1024x826.png\")
<\/figure>\n\n\n\nNode.js : dix failles corrig\u00e9es, une \u00e0 surveiller de pr\u00e8s<\/strong><\/h2>\n\n\n\nNode.js fait tourner le c\u00f4t\u00e9 serveur de nombreuses applications web, API et outils en JavaScript. Le 21 octobre, le projet a corrig\u00e9 dix failles<\/a> sur toutes ses versions maintenues.<\/p>\n\n\n\nLa plus s\u00e9rieuse (CVE-2026-111497) touche la d\u00e9compression des donn\u00e9es au format Brotli. Une application qui re\u00e7oit ou t\u00e9l\u00e9charge des donn\u00e9es compress\u00e9es pr\u00e9par\u00e9es par un attaquant pourrait, en th\u00e9orie, lui ouvrir la porte du serveur. Deux autres failles permettent de tromper la v\u00e9rification des certificats HTTPS, ce qui facilite l’interception de donn\u00e9es.<\/p>\n\n\n\n
La situation est moins tendue que pour PHP. Un code de d\u00e9monstration a bien \u00e9t\u00e9 publi\u00e9 le 22 octobre, mais il ne fonctionne que sur une version volontairement affaiblie<\/a> de Node.js. Aucune attaque r\u00e9elle n’est signal\u00e9e. C’est le moment de mettre \u00e0 jour, avant que cela change. Attention aux applications sous Node.js 20 ou plus ancien : ces versions ne sont plus corrig\u00e9es.<\/p>\n\n\n\nLes autres failles du moment<\/strong><\/h2>\n\n\n\nGitLab, si vous l’h\u00e9bergez vous-m\u00eame<\/strong><\/h3>\n\n\n\nBeaucoup d’agences et d’\u00e9quipes de d\u00e9veloppement installent GitLab sur leurs propres serveurs pour g\u00e9rer leur code. Le 21 octobre, GitLab a corrig\u00e9 une faille not\u00e9e 10\/10<\/a>, exploitable sans compte. Aucune attaque n’est confirm\u00e9e, mais l’enjeu est lourd : un GitLab compromis donne acc\u00e8s au code source, aux mots de passe et aux acc\u00e8s de production. Une autre faille GitLab, elle aussi not\u00e9e 10\/10, est d\u00e9j\u00e0 exploit\u00e9e depuis septembre<\/a>. Si vous utilisez GitLab.com, la version en ligne, il n’y a rien \u00e0 faire.<\/p>\n\n\n\nPlex Media Server, d\u00e9j\u00e0 attaqu\u00e9<\/strong><\/h3>\n\n\n\nPlex sert \u00e0 diffuser ses vid\u00e9os et sa musique depuis un serveur, souvent personnel ou de petite entreprise. Quatre failles, corrig\u00e9es depuis ao\u00fbt, sont exploit\u00e9es depuis le 17 octobre<\/a>. Les attaquants installent un logiciel qui mine de la cryptomonnaie et une porte d\u00e9rob\u00e9e pour revenir plus tard. Un serveur Plex non mis \u00e0 jour depuis l’\u00e9t\u00e9 a peut-\u00eatre d\u00e9j\u00e0 \u00e9t\u00e9 pirat\u00e9. Il faut le mettre \u00e0 jour, mais aussi faire v\u00e9rifier qu’aucun programme malveillant n’y a \u00e9t\u00e9 install\u00e9.<\/p>\n\n\n\nCe qu’une attaque peut co\u00fbter \u00e0 votre activit\u00e9<\/strong><\/h2>\n\n\n\nLes attaques sur Plex montrent ce que cherchent les pirates : s’installer discr\u00e8tement, faire travailler votre serveur pour eux et garder un acc\u00e8s pour plus tard. Pour une entreprise, cela peut vouloir dire :<\/p>\n\n\n\n
PHP2Shell : les attaques ont commenc\u00e9 avant m\u00eame le correctif<\/strong><\/h2>\n\n\n\nPHP2Shell<\/a> d\u00e9signe deux failles de PHP, not\u00e9es 9,2 sur 10<\/a>. Elles permettent de prendre le contr\u00f4le d’un site avec une simple requ\u00eate, sans mot de passe. WordPress, PrestaShop, Drupal ou un site sur mesure : tout site en PHP non mis \u00e0 jour est expos\u00e9.<\/p>\n\n\n\nLes attaquants n’ont pas attendu. Le service de renseignement sur les menaces d’Amazon a rep\u00e9r\u00e9 une premi\u00e8re tentative d\u00e8s le 17 octobre<\/a>, quatre jours avant la publication des correctifs. Cloudflare, qui prot\u00e8ge une grande partie du web, a compt\u00e9 quelques milliers de tentatives avant l’annonce officielle, puis plusieurs millions dans les heures suivantes<\/a>. Les attaquants modifient m\u00eame leurs requ\u00eates pour passer \u00e0 travers les protections.<\/p>\n\n\n\nAucune victime n’a encore \u00e9t\u00e9 rendue publique. Mais \u00e0 ce volume, chaque site PHP en ligne sera test\u00e9. Tout site PHP qui n’est pas \u00e0 jour est donc en danger, quelle que soit sa taille.<\/p>\n\n\n\n<\/figure>\n\n\n\nNode.js : dix failles corrig\u00e9es, une \u00e0 surveiller de pr\u00e8s<\/strong><\/h2>\n\n\n\nNode.js fait tourner le c\u00f4t\u00e9 serveur de nombreuses applications web, API et outils en JavaScript. Le 21 octobre, le projet a corrig\u00e9 dix failles<\/a> sur toutes ses versions maintenues.<\/p>\n\n\n\nLa plus s\u00e9rieuse (CVE-2026-111497) touche la d\u00e9compression des donn\u00e9es au format Brotli. Une application qui re\u00e7oit ou t\u00e9l\u00e9charge des donn\u00e9es compress\u00e9es pr\u00e9par\u00e9es par un attaquant pourrait, en th\u00e9orie, lui ouvrir la porte du serveur. Deux autres failles permettent de tromper la v\u00e9rification des certificats HTTPS, ce qui facilite l’interception de donn\u00e9es.<\/p>\n\n\n\n
La situation est moins tendue que pour PHP. Un code de d\u00e9monstration a bien \u00e9t\u00e9 publi\u00e9 le 22 octobre, mais il ne fonctionne que sur une version volontairement affaiblie<\/a> de Node.js. Aucune attaque r\u00e9elle n’est signal\u00e9e. C’est le moment de mettre \u00e0 jour, avant que cela change. Attention aux applications sous Node.js 20 ou plus ancien : ces versions ne sont plus corrig\u00e9es.<\/p>\n\n\n\nLes autres failles du moment<\/strong><\/h2>\n\n\n\nGitLab, si vous l’h\u00e9bergez vous-m\u00eame<\/strong><\/h3>\n\n\n\nBeaucoup d’agences et d’\u00e9quipes de d\u00e9veloppement installent GitLab sur leurs propres serveurs pour g\u00e9rer leur code. Le 21 octobre, GitLab a corrig\u00e9 une faille not\u00e9e 10\/10<\/a>, exploitable sans compte. Aucune attaque n’est confirm\u00e9e, mais l’enjeu est lourd : un GitLab compromis donne acc\u00e8s au code source, aux mots de passe et aux acc\u00e8s de production. Une autre faille GitLab, elle aussi not\u00e9e 10\/10, est d\u00e9j\u00e0 exploit\u00e9e depuis septembre<\/a>. Si vous utilisez GitLab.com, la version en ligne, il n’y a rien \u00e0 faire.<\/p>\n\n\n\nPlex Media Server, d\u00e9j\u00e0 attaqu\u00e9<\/strong><\/h3>\n\n\n\nPlex sert \u00e0 diffuser ses vid\u00e9os et sa musique depuis un serveur, souvent personnel ou de petite entreprise. Quatre failles, corrig\u00e9es depuis ao\u00fbt, sont exploit\u00e9es depuis le 17 octobre<\/a>. Les attaquants installent un logiciel qui mine de la cryptomonnaie et une porte d\u00e9rob\u00e9e pour revenir plus tard. Un serveur Plex non mis \u00e0 jour depuis l’\u00e9t\u00e9 a peut-\u00eatre d\u00e9j\u00e0 \u00e9t\u00e9 pirat\u00e9. Il faut le mettre \u00e0 jour, mais aussi faire v\u00e9rifier qu’aucun programme malveillant n’y a \u00e9t\u00e9 install\u00e9.<\/p>\n\n\n\nCe qu’une attaque peut co\u00fbter \u00e0 votre activit\u00e9<\/strong><\/h2>\n\n\n\nLes attaques sur Plex montrent ce que cherchent les pirates : s’installer discr\u00e8tement, faire travailler votre serveur pour eux et garder un acc\u00e8s pour plus tard. Pour une entreprise, cela peut vouloir dire :<\/p>\n\n\n\n
Les attaquants n’ont pas attendu. Le service de renseignement sur les menaces d’Amazon a rep\u00e9r\u00e9 une premi\u00e8re tentative d\u00e8s le 17 octobre<\/a>, quatre jours avant la publication des correctifs. Cloudflare, qui prot\u00e8ge une grande partie du web, a compt\u00e9 quelques milliers de tentatives avant l’annonce officielle, puis plusieurs millions dans les heures suivantes<\/a>. Les attaquants modifient m\u00eame leurs requ\u00eates pour passer \u00e0 travers les protections.<\/p>\n\n\n\n Aucune victime n’a encore \u00e9t\u00e9 rendue publique. Mais \u00e0 ce volume, chaque site PHP en ligne sera test\u00e9. Tout site PHP qui n’est pas \u00e0 jour est donc en danger, quelle que soit sa taille.<\/p>\n\n\n\n Node.js fait tourner le c\u00f4t\u00e9 serveur de nombreuses applications web, API et outils en JavaScript. Le 21 octobre, le projet a corrig\u00e9 dix failles<\/a> sur toutes ses versions maintenues.<\/p>\n\n\n\n La plus s\u00e9rieuse (CVE-2026-111497) touche la d\u00e9compression des donn\u00e9es au format Brotli. Une application qui re\u00e7oit ou t\u00e9l\u00e9charge des donn\u00e9es compress\u00e9es pr\u00e9par\u00e9es par un attaquant pourrait, en th\u00e9orie, lui ouvrir la porte du serveur. Deux autres failles permettent de tromper la v\u00e9rification des certificats HTTPS, ce qui facilite l’interception de donn\u00e9es.<\/p>\n\n\n\n La situation est moins tendue que pour PHP. Un code de d\u00e9monstration a bien \u00e9t\u00e9 publi\u00e9 le 22 octobre, mais il ne fonctionne que sur une version volontairement affaiblie<\/a> de Node.js. Aucune attaque r\u00e9elle n’est signal\u00e9e. C’est le moment de mettre \u00e0 jour, avant que cela change. Attention aux applications sous Node.js 20 ou plus ancien : ces versions ne sont plus corrig\u00e9es.<\/p>\n\n\n\n Beaucoup d’agences et d’\u00e9quipes de d\u00e9veloppement installent GitLab sur leurs propres serveurs pour g\u00e9rer leur code. Le 21 octobre, GitLab a corrig\u00e9 une faille not\u00e9e 10\/10<\/a>, exploitable sans compte. Aucune attaque n’est confirm\u00e9e, mais l’enjeu est lourd : un GitLab compromis donne acc\u00e8s au code source, aux mots de passe et aux acc\u00e8s de production. Une autre faille GitLab, elle aussi not\u00e9e 10\/10, est d\u00e9j\u00e0 exploit\u00e9e depuis septembre<\/a>. Si vous utilisez GitLab.com, la version en ligne, il n’y a rien \u00e0 faire.<\/p>\n\n\n\n Plex sert \u00e0 diffuser ses vid\u00e9os et sa musique depuis un serveur, souvent personnel ou de petite entreprise. Quatre failles, corrig\u00e9es depuis ao\u00fbt, sont exploit\u00e9es depuis le 17 octobre<\/a>. Les attaquants installent un logiciel qui mine de la cryptomonnaie et une porte d\u00e9rob\u00e9e pour revenir plus tard. Un serveur Plex non mis \u00e0 jour depuis l’\u00e9t\u00e9 a peut-\u00eatre d\u00e9j\u00e0 \u00e9t\u00e9 pirat\u00e9. Il faut le mettre \u00e0 jour, mais aussi faire v\u00e9rifier qu’aucun programme malveillant n’y a \u00e9t\u00e9 install\u00e9.<\/p>\n\n\n\n Les attaques sur Plex montrent ce que cherchent les pirates : s’installer discr\u00e8tement, faire travailler votre serveur pour eux et garder un acc\u00e8s pour plus tard. Pour une entreprise, cela peut vouloir dire :<\/p>\n\n\n\n<\/figure>\n\n\n\nNode.js : dix failles corrig\u00e9es, une \u00e0 surveiller de pr\u00e8s<\/strong><\/h2>\n\n\n\n
Les autres failles du moment<\/strong><\/h2>\n\n\n\n
GitLab, si vous l’h\u00e9bergez vous-m\u00eame<\/strong><\/h3>\n\n\n\n
Plex Media Server, d\u00e9j\u00e0 attaqu\u00e9<\/strong><\/h3>\n\n\n\n
Ce qu’une attaque peut co\u00fbter \u00e0 votre activit\u00e9<\/strong><\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.codeur.com\/blog\/wp-content\/uploads\/2026\/10\/failles-critiques-que-faire-1024x540.png\")
<\/figure>\n\n\n\n