Une extension WordPress payante très répandue a été distribuée avec une porte dérobée depuis le site de son éditeur. Côté failles, des serveurs Plex non mis à jour sont piratés et le CERT-FR signale des correctifs pour les pare-feu Stormshield.
Attaques
- Extension WordPress Rank Math PRO : une mise à jour piégée pendant onze heures. Les copies de la version 3.0.123 récupérées sur le site de l’éditeur entre le 15 octobre au soir et le 16 octobre au matin contenaient un logiciel malveillant. Tout site qui l’a activée est à considérer comme compromis, même s’il est passé depuis à la version corrigée 3.0.124 ; la version gratuite n’est pas concernée. Rank Math, 16 octobre 2026
- Recrutement : la plateforme Bullhorn coupée après une cyberattaque. Cet éditeur américain de logiciels pour agences d’intérim et cabinets de recrutement a confirmé un incident et désactivé l’accès à ses services pour le contenir. Il ne sait pas encore si des données de clients ont été volées et demande de changer certains mots de passe. BleepingComputer, 19 octobre 2026
Vulnérabilités
- Serveurs Plex : des failles corrigées en août sont maintenant exploitées. Quatre failles combinées permettent de prendre la main sur un serveur multimédia Plex accessible depuis Internet, sans mot de passe. Depuis la publication des détails le 16 octobre, des pirates s’en servent pour installer des mineurs de cryptomonnaie et un relais caché. Mettre à jour vers la version 1.43.3.10861 ou plus récente. The Hacker News, 19 octobre 2026
- Box Internet à puce Broadcom : une faille Wi-Fi sans correctif. Un chercheur montre qu’un attaquant à portée du Wi-Fi peut prendre le contrôle de certaines box via la fonction WPS, sans connaître le mot de passe ; aucune attaque réelle n’est signalée. Désactiver le WPS, conseillé dans notre bulletin du 19 octobre, reste une bonne pratique, mais rien n’indique que cela suffise contre cette faille précise. La situation des box françaises n’est pas documentée à ce stade. The Hacker News, 19 octobre 2026
- Pare-feu Stormshield : des correctifs à installer. Le CERT-FR signale plusieurs failles qui peuvent notamment permettre de contourner la politique de sécurité. Les versions 5.0.10, 5.1.4 et 4.8.20 LTSB les corrigent. CERT-FR, 19 octobre 2026
Réglementation et normes
- Démarchage téléphonique : la CNIL et la DGCCRF expliquent les nouvelles règles. Depuis le 11 août 2026, une entreprise ne peut plus démarcher un particulier par téléphone sans son accord préalable, sauf exceptions. La CNIL a mis en ligne le 19 octobre la vidéo d’un webinaire commun qui détaille comment recueillir, conserver et retirer ce consentement. CNIL, 19 octobre 2026
Pour aller plus loin : notre décryptage du jour, « Extension WordPress piégée : quand la mise à jour officielle installe le pirate ».
Veille publiée le 20 octobre 2026, préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.