PayRange, faille d'autorisation dans l'API : accès à distance aux dispositifs de paiement

Le 25 août 2026, la CISA a publié un avis (ICSA-26-237-04) décrivant une vulnérabilité d'autorisation manquante dans l'API de PayRange. Suivie sous le numéro CVE-2026-18965, la faille affecte toutes les versions du produit et permet à un attaquant distant d'accéder à des données sensibles, de modifier arbitrairement les dispositifs et de provoquer des interruptions de service.

Une faille d'autorisation

La vulnérabilité est classée CWE-862, Missing Authorization. Le problème réside dans les endpoints de gestion de l'API : ils n'exigent pas une autorisation appropriée. Par conséquent, n'importe qui peut obtenir des détails détaillés sur chaque dispositif présent dans le réseau PayRange, qu'il dispose ou non d'un compte.

Selon l'avis, une exploitation réussie permet à un attaquant distant — authentifié ou non — de :

• divulguer des informations sensibles ;
• modifier arbitrairement un dispositif provoquant un déni de service ;
• altérer l'image affichée par le dispositif lui-même.

Les scores CVSS confirment la gravité. Dans la version 3.1, la vulnérabilité obtient un score de base de 8.8 (élevé) avec le vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Dans la version 4.0, le score baisse légèrement à 8.7 (élevé) avec le vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Dans les deux cas, l'attaque est possible depuis le réseau, nécessite une faible complexité et aucune interaction de l'utilisateur. Le vecteur indique des privilèges faibles (PR:L), mais l'avis précise que l'accès aux détails des dispositifs est possible même sans compte : le point critique est l'absence de contrôles d'autorisation sur les endpoints de gestion.

Produits et diffusion

Le fournisseur est PayRange, basé aux États-Unis. Le produit concerné est PayRange API, indiqué comme affecté pour toutes les versions (vers:all/*). L'état est known_affected : aucune version corrigée n'existe au moment de la publication de l'avis.

La distribution concerne les États-Unis et le Canada. Le secteur d'infrastructure de référence est Commercial Facilities, qui comprend les installations commerciales et les services au public.

Ce que peut faire un attaquant

L'impact potentiel touche la confidentialité, l'intégrité et la disponibilité. L'accès non autorisé aux endpoints de gestion expose des détails sensibles de l'ensemble du réseau de dispositifs PayRange. Un attaquant peut cartographier les dispositifs actifs, lire leurs configurations et ensuite intervenir directement.

La modification arbitraire d'un dispositif peut provoquer un déni de service : un paiement échoue, un distributeur cesse de répondre, un service en libre-service reste bloqué. L'altération de l'image affichée ouvre également la voie à des messages frauduleux ou à des contenus non autorisés affichés sur l'écran du dispositif, avec des conséquences possibles pour les utilisateurs finaux et pour la réputation du commerçant.

Au moment de la publication de l'avis, la CISA n'a signalé aucune exploitation publique connue ciblant spécifiquement CVE-2026-18965. La faille ne figure pas dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA, qui recense les vulnérabilités activement exploitées.

Aucun correctif : les contre-mesures recommandées

L'avis ne mentionne aucun correctif logiciel. Les utilisateurs de PayRange API doivent donc adopter des mesures défensives pour réduire le risque. La CISA recommande de :

• minimiser l'exposition réseau de tous les dispositifs et systèmes de contrôle, en évitant qu'ils soient accessibles depuis Internet ;
• placer les réseaux de contrôle et les dispositifs distants derrière des pare-feu, en les isolant des réseaux d'entreprise ;
• lorsque l'accès à distance est nécessaire, utiliser des méthodes plus sûres comme les VPN, mis à jour à la dernière version disponible et en étant conscient qu'un VPN n'est sûr que dans la mesure où les dispositifs auxquels il est connecté le sont ;
• effectuer une analyse d'impact et une évaluation des risques avant d'appliquer toute contre-mesure.

La CISA renvoie également aux lignes directrices pour les systèmes de contrôle industriels publiées sur cisa.gov/ics, notamment le document Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies et le technical information paper ICS-TIP-12-146-01B pour la détection et l'atténuation des intrusions ciblées. Enfin, elle recommande de se protéger contre les attaques d'ingénierie sociale en ne cliquant pas sur les liens web et en n'ouvrant pas les pièces jointes d'e-mails non sollicités.

Le signalement

La vulnérabilité a été signalée à la CISA par Tahi Wilton Geary. L'avis a été publié en révision initiale le 25 août 2026. Aucune indication n'a été fournie sur une date de découverte antérieure ni sur une éventuelle coordination avec le fournisseur pour un correctif futur.