Dayforce injoignable : le CERT polonais publie quand même trois failles dans sa solution de paie

Le 28 septembre 2026, le CERT national polonais a publié des avis de sécurité sur trois failles exploitables sans authentification↗ dans Dayforce Payroll, après ce qu'il décrit comme des tentatives infructueuses pour joindre l'éditeur ⁵.

La paie qui n'arrive jamais

Depuis juillet, la même gamme de produits, déployée chez Sydney Water, paie les salariés en retard ou omet les majorations et heures supplémentaires dont des centaines d'entre eux dépendent pour payer leur loyer et leur pension alimentaire ¹. Au moins la moitié des 3 000 agents de l'opérateur se sont engagés dans des interdictions de travail et des grèves tournantes, et les syndicats ont porté le différend devant la Fair Work Commission et la NSW Industrial Relations Commission↗ ¹. « Nous abordons octobre et ce n'est toujours pas réglé », a déclaré le secrétaire de l'ASU, Angus McFarland ¹. Le système a coûté 40 millions de dollars australiens et a déjà déclenché quatre actions en justice↗ ⁸.

Un péage avec la dette en prime

Thoma Bravo a sorti Dayforce↗ de la Bourse à l'occasion d'un rachat de 12,3 milliards de dollars approuvé par les actionnaires↗, qui ont encaissé 70 dollars par action↗ ²³. Derrière se cache un crédit à terme à privilège de premier rang de 5,5 milliards de dollars, noté B+↗, sur la base de 85 % de revenus récurrents et d'un taux de rétention brut supérieur à 95 % ⁴. Fitch anticipe un levier de 7,6 fois l'EBITDA cet exercice, en repli sous les 7 fois dans un délai de douze à dix-huit mois ⁴. The Inference a relié ce mouvement social à cette dette le 26 septembre ; la semaine écoulée a ajouté deux tours de levier de plus.

Trois clés, aucune réponse

Les avis de sécurité portent sur la version R2026.2.0 : une injection SQL aveugle par temporisation, exploitable depuis la fonction de récupération du mot de passe ; des failles de type cross-site scripting (XSS) touchant plusieurs points d'entrée ; et une traversée de répertoires (path traversal) permettant à un attaquant non authentifié de récupérer n'importe quel fichier local ⁵. Seule cette version est confirmée comme touchée ; d'autres pourraient présenter les mêmes failles ⁵.

Le feu vert de Washington, une semaine plus tôt

Le 21 septembre, Dayforce a annoncé l'obtention du statut « Initial Implementation » sur le FedRAMP Marketplace↗, ce qui inscrit sa plateforme de paie sur la liste des solutions que les agences fédérales américaines sont autorisées à acheter, au sein d'un cloud gouvernemental dédié ⁶⁷. L'argumentaire de notation de Fitch cite la barrière à l'entrée sans détour : les exigences d'auditabilité et le risque juridique lié aux erreurs de paie devraient contenir la disruption venue des outils d'IA ⁴. Or ce risque juridique, ce sont aujourd'hui les salariés de Sydney Water qui le portent.

L'autre version

Sydney Water a présenté ses excuses, renforcé ses équipes de paie et verse des régularisations ainsi que des avances de secours accordées sur la base de la confiance ¹. Dayforce, de son côté, met en avant ses investissements constants dans les contrôles de sécurité et son bilan auprès d'organismes publics régulés ⁶. Chez Fitch, les chiffres de rétention n'ont pas bougé ⁴.

Ce qui cédera en premier

Trois portes : ce que fera la Fair Work Commission du conflit social chez Sydney Water ¹ ; si Dayforce répond à CERT Polska et corrige la version R2026.2.0 ⁵ ; et si la baisse du levier résiste à l'attrition qu'elle pourrait provoquer ⁴. La barrière à l'entrée et la panne sont la même machine : tant qu'il est trop douloureux de quitter sa solution de paie, le crédit est servi avant les salariés.