The Events Calendar ≤ 6.17.4 : 2 RCE non authentifiées via les commentaires
CVE-2026-78006 et CVE-2026-78159 (CVSS 9.8) : exécution de code sans authentification sur le plugin WordPress The Events Calendar, via un commentaire en attente de modération. Mitigation immédiate.
Routeurs : 11 CVE critiques en septembre — D-Link, Totolink, Netis, WAVLINK
Onze CVE CVSS 9.1 à 9.9 sur D-Link DIR-823G / DIR-878 / DWR-M921, Totolink A3002MU, Netis NX10 et WAVLINK WN535M. Exploits publics, et un serveur web abandonné en 2005 au cœur de plusieurs d'entre elles.
JFrog Artifactory : 4 CVE au CISA KEV en 16 jours — correctifs 7.133.11 et 7.146.8
CVE-2026-66384, 82329, 42016 et 42018 : quatre vulnérabilités JFrog Artifactory ajoutées au CISA KEV entre le 27 août et le 11 septembre 2026. Trois sur quatre touchent l'authentification.
CVE-2026-85706 GitLab : correctifs 19.1.8, 19.2.6, 19.3.2 — lecture de fichiers non authentifiée
Correctifs GitLab CE/EE 19.1.8, 19.2.6 et 19.3.2 pour CVE-2026-85706 (CVSS 10.0, CISA KEV) : traversée de chemin dans l'API commits permettant la lecture de fichiers arbitraires sans authentification.
RMM au CISA KEV : N-able N-central 2026.3.1.14 et ConnectWise ScreenConnect 26.6.5.9742
CVE-2026-86218 (9.8) sur N-able N-central et CVE-2026-84869 (9.9) sur ConnectWise ScreenConnect : deux outils de télégestion ajoutés au CISA KEV en quatre jours. Correctifs et détection.
Citrix NetScaler et Cisco FMC : 2 contournements d'authentification au CISA KEV
CVE-2026-19490 (NetScaler ADC / Gateway) et CVE-2026-20079 (Cisco Secure FMC) : deux contournements d'authentification par chemin alternatif ajoutés au CISA KEV le 9 septembre 2026, échéance à trois jours.
Chrome 153.0.8010.36 : 4 CVE dont 2 exploitées — V8, WebView et Extensions
Correctif Chrome 153.0.8010.36 pour CVE-2026-87534 et 87544, plus deux CVE V8 au CISA KEV (CVE-2026-87491, CVE-2026-85046). Pourquoi les scores NVD induisent ici en erreur.
Samsung SMR septembre 2026 : CVE-2026-21095 et 21096, RCE 9.8 via décodeurs d'images
CVE-2026-21095 et CVE-2026-21096 (CVSS 9.8) : deux débordements de tas dans les décodeurs DNG et JPEG de libimagecodec.quram.so, corrigés par le SMR Sep-2026 Release 1. Android 14 à 17.
MikroTik RouterOS : correctifs 6.49.21, 7.23.4 et 7.24.2 — 2 CVE au CISA KEV
Correctifs RouterOS 6.49.21, 7.23.4 et 7.24.2 pour CVE-2026-67277 (fuite de mémoire noyau via btest) et CVE-2026-86060 (escalade de privilèges), toutes deux ajoutées au CISA KEV le 10 septembre 2026.
Windows : CVE-2026-85880 et CVE-2026-81963 au CISA KEV — élévation vers SYSTEM
Patch Tuesday de septembre 2026 : deux élévations de privilèges Windows ajoutées au CISA KEV le jour même — débordement de tas dans ALPC et suivi de lien dans le Windows Update Stack.
Commvault : 3 CVE 9.8 — correctifs 11.36.123, 11.40.72, 11.44.20, 11.46.20
Correctifs Commvault 11.36.123, 11.40.72, 11.44.20 et 11.46.20 pour CVE-2026-77089, 77092 et 77098 : contournement d'authentification, désérialisation et injection SQL sur la plateforme de sauvegarde.
CVE-2026-75650 Adobe Commerce / Magento 2.4.4-2.4.9 : RCE 10.0 au CISA KEV
CVE-2026-75650 (CVSS 10.0) : injection dans le moteur de templates d'Adobe Commerce et Magento Open Source 2.4.4 à 2.4.9 — exécution de code sans authentification ni interaction. Ajoutée au CISA KEV.
PaperCut CVE-2026-81578 + 82078 : correctifs 24.1.9, 25.0.12, 26.0.4 — chaîne vers RCE
Correctifs PaperCut NG/MF 24.1.9, 25.0.12 et 26.0.4 pour CVE-2026-81578 (9.8) et CVE-2026-82078 (9.1), deux CVE au CISA KEV que l'agence désigne explicitement comme chaînables.
Routeurs SOHO : 6 CVE critiques à exploit public (TRENDnet, ipTIME, Comfast, UTT)
TRENDnet TEW-821DAP / 823DRU / 755AP, EFM ipTIME T16000M, Comfast CF-N1-S et UTT HiPER 1250GW : six CVE CVSS 9.9-10.0, tous les exploits sont publics. Audit et mitigation.
OpenShift multi-cluster : 3 CVE 9.9 sur Submariner, Lighthouse et ACM
CVE-2026-66785, CVE-2026-66788 et CVE-2026-70496 : un cluster spoke compromis peut détourner le trafic et injecter des ressources chez ses pairs. Le modèle de confiance hub-spoke en question.
Firefox 154 / ESR 140.14 : 4 use-after-free CVSS 9.8 — Thunderbird aussi
Correctifs Firefox 154, ESR 153.1, ESR 140.14, ESR 115.39 et Thunderbird 154 / 153.1 / 140.14 pour CVE-2026-74936, 74940, 74943 et 74944 : quatre use-after-free critiques.
Oracle août 2026 : 17 CVE critiques sur Hyperion et Reports Developer
17 CVE CRITICAL (CVSS 9.8 à 10.0) sur Oracle Hyperion 11.2.25 et Reports Developer 12.2.1.19 / 14.1.2 — prise de contrôle non authentifiée via HTTP, TCP, IIOP, UDP et CORBA.
Check Point SmartConsole CVE-2026-16232 : token admin obtenu sans authentification
Un attaquant non authentifié peut obtenir un token de session SmartConsole et s'authentifier avec les privilèges administrateur complets sur Quantum et Multi-Domain Security Management. Exploitation confirmée par Check Point.
Cisco FMC & Unified CM au KEV : quand Cisco note ses failles plus haut que le CVSS
CVE-2026-20316 (mot de passe codé en dur dans Secure Firewall Management Center) et CVE-2026-20230 (SSRF Unified CM vers root) sont au CISA KEV. Deux cas où le score CVSS sous-évalue le risque réel.
Fortinet au KEV : 2 RCE FortiSandbox et un bypass du correctif anti-persistance FortiOS
CVE-2026-39808 et CVE-2026-25089 (FortiSandbox, injection de commandes non authentifiée) et CVE-2025-68686 (FortiOS, contournement du correctif de persistance par symlink). Trois CVE au CISA KEV.
Arista VeloCloud Orchestrator CVE-2026-16812 : RCE 10.0 exploitée sur le SD-WAN
VeloCloud Orchestrator on-prem (ex-VMware SD-WAN) expose une fonctionnalité interne à distance : injection de commandes OS, CVSS 10.0, exploitation active confirmée par l'éditeur. Versions et mitigation.
Langflow CVE-2026-0770 : RCE root non authentifiée sur l'outillage LLM (CVSS 9.8)
Langflow expose le paramètre exec_globals de son endpoint validate : exécution de code en root sans authentification. Avec CVE-2026-55255 (exécution de flows d'autres utilisateurs), deux CVE au CISA KEV.
SharePoint : 4 CVE ajoutées au KEV en 3 semaines — chaîne RCE non authentifiée
Microsoft SharePoint cumule 4 CVE au catalogue CISA KEV en juillet 2026 : deux désérialisations CVSS 9.8, un bypass d'authentification et une RCE authentifiée. Analyse de la chaîne, détection et patch.
WordPress Core CVE-2026-60137 + 63030 : SQLi chaînée vers RCE non authentifiée
Deux CVE du cœur de WordPress (6.9.x < 6.9.5, 7.0.x < 7.0.2) se chaînent en RCE non authentifiée sur installation par défaut : confusion de routes REST API + SQL injection author__not_in. Au CISA KEV.
Joomla : 4 extensions ajoutées au KEV en 4 jours — upload non authentifié vers RCE
iCagenda, Balbooa Forms, Joomlack Page Builder, JoomShaper SP Page Builder : quatre extensions Joomla au CISA KEV début juillet 2026, toutes en upload de fichier arbitraire menant au RCE. Audit et mitigation.
SimpleHelp CVE-2026-48558 : signature OIDC non vérifiée, RMM compromis (CVSS 10.0)
SimpleHelp ≤ 5.5.15 accepte les tokens OIDC sans vérifier leur signature cryptographique. Un token forgé donne une session technicien complète, MFA contourné. CVSS 10.0, au CISA KEV.
Ubiquiti UniFi OS : 3 CVE au KEV le même jour, une chaîne vers la prise de contrôle
CVE-2026-34908, 34909 et 34910 : contrôle d'accès défaillant, path traversal et injection de commandes sur UniFi OS. Trois CVE ajoutées au CISA KEV le même jour, exploitables en chaîne.
WordPress Mai 2026 : 4 plugins critiques en auth bypass / RCE (CVSS 9.8)
Burst Analytics, Career Section, InfusedWoo Pro, Form Notify — 4 plugins WordPress avec auth bypass / RCE / privilege escalation publiés en mai 2026. Versions et mitigation.
SAP S/4HANA CVE-2026-34260 : SQL injection authentifiée dans Enterprise Search ABAP
SAP S/4HANA Enterprise Search ABAP : SQL injection (CVSS 9.6) via user input concaténé sans validation. Compromission de données critiques, audit recommandé.
Microsoft Patch Tuesday Mai 2026 — Wave 2 : Hyper-V LPE, Entra ID spoofing, Authenticator
Suite du Patch Tuesday mai 2026 : 3 nouvelles CVE CRITICAL — Hyper-V use-after-free LPE (9.3), Entra ID spoofing (9.3), Microsoft Authenticator info disclosure (9.6). Patch immédiat.
ArchiveBox CVE-2026-42601 : RCE via /add/ — aucun patch disponible (CVSS 9.8)
ArchiveBox ≤ 0.8.6rc0 : l'endpoint /add/ injecte une config JSON non validée dans les variables d'environnement des plugins. RCE non auth, aucun correctif officiel. Mitigation.
Angular Expressions CVE-2026-44643 : sandbox escape → RCE (CVSS 10.0)
angular-expressions < 1.5.2 : un attaquant peut écrire une expression avec filtres qui échappe la sandbox et exécute du code arbitraire. CVSS 10.0, scope changed. Patch et mitigation.
Adobe Connect : 2 CVE critiques (deserialization + auth bypass) — CVE-2026-34659 & 34660
Adobe Connect ≤ 2025.9.15 : deserialization untrusted data (CVSS 9.6) + incorrect authorization (CVSS 9.3) → RCE et injection de scripts. Patch et hardening.
PHP 8.x : 3 CVE CRITICAL d'un coup (PDO Firebird SQLi + 2 SOAP UAF)
PHP 8.2.31 / 8.3.31 / 8.4.21 / 8.5.6 corrigent 3 CVE CRITICAL (CVSS 9.8) : SQL injection PDO Firebird via NUL byte + 2 use-after-free SOAP exploitables en RCE.
OpenClaw : 3 CVE critiques d'auth bypass dans la sandbox navigateur
OpenClaw < 2026.4.15 cumule 3 CVE CRITICAL (CVSS 9.6-9.8) : noVNC exposé, webhook Feishu sans validation, CDP relay sur 0.0.0.0. Patch et hardening pour la sandbox de testing.
Microsoft Patch Tuesday Mai 2026 : 4 CVE CRITICAL (Netlogon, DNS, Dynamics, Azure)
Patch Tuesday mai 2026 — 4 CVE CRITICAL : Windows Netlogon RCE (9.8), Windows DNS RCE (9.8), Dynamics 365 code injection (9.9), Azure Logic Apps EoP (9.9). Patcher en priorité.
Gotenberg CVE-2026-40281 : prise de contrôle d'API PDF via injection ExifTool (CVSS 10.0)
Gotenberg ≤ 8.30.1 : un newline dans la valeur d'une metadata PDF injecte des pseudo-tags ExifTool — overwrite/symlink arbitraire dans le conteneur. CVSS 10.0, patch 8.31.0.
GitHub Enterprise Server CVE-2026-8034 : SSRF via notebook viewer (URL parser confusion)
GitHub Enterprise Server < 3.21 contient une SSRF (CVSS 9.8) dans le notebook viewer — URL parser confusion entre validation et requête HTTP. Patch et mitigation.
Chrome CVE-2026-7910 : use-after-free dans Views (site isolation bypass)
Chrome < 148.0.7778.96 contient un use-after-free dans Views (CVSS 9.6) permettant le bypass de site isolation depuis un renderer compromis. Patch urgent navigateurs.
CVE-2026-34084 PhpSpreadsheet : correctifs 5.6.0, 3.10.4, 2.4.4, 1.30.3
Correctifs PhpSpreadsheet 5.6.0, 3.10.4, 2.4.4, 2.1.15 et 1.30.3 pour CVE-2026-34084 (CVSS 9.8) : RCE via phar:// dans IOFactory::load(). Détection et mitigation.
CVE-2026-0300 Palo Alto PAN-OS 10.2 : RCE root, CISA KEV, contournement
CVE-2026-0300 (CVSS 9.8) : buffer overflow de l'Authentication Portal PAN-OS 10.2 → RCE root non authentifiée. Au CISA KEV. Patch, contournement, détection.
CVE-2026-42238 Nginx UI : correctif 2.3.8 — RCE root non authentifiée
Correctif Nginx UI 2.3.8 pour CVE-2026-42238 (CVSS 9.8) : /api/restore non authentifié 10 min après démarrage → RCE root via app.ini. Détection et mitigation.
n8n CVE-2026-42233 : SQL injection Oracle dans le node Database via webhook
n8n (avant 1.123.32 / 2.17.4 / 2.18.1) contient une SQL injection critique (CVSS 9.8) sur l'opération select du node Oracle Database. Exfiltration via webhook.
LiteLLM CVE-2026-42208 : SQL Injection sur l'AI Gateway, déjà dans le KEV
L'AI Gateway LiteLLM (v1.81.16 → 1.83.7) contient une SQL injection critique (CVSS 9.8) sur les routes LLM. Vol de credentials, ajoutée au CISA KEV — patch urgent.
CoreDNS CVE-2026-35579 : bypass d'authentification TSIG sur gRPC, QUIC, DoH et DoH3
CoreDNS < 1.14.3 ne valide pas le HMAC TSIG sur les transports gRPC/QUIC/DoH. AXFR, DDNS et plugins TSIG-gated contournables sans clé. Patch et workaround.
WattBox 800/820 CVE-2026-41446 : backdoor diagnostique en plaintext sur l'étiquette
Snap One WattBox 800 et 820 (firmware < 2.10.0.0) embarquent des endpoints de diagnostic dont l'authentification repose sur MAC + service tag — imprimés sur l'étiquette. RCE root.
CVE-2026-35051 / 39858 Traefik : correctif 2.11.43, 3.6.14, 3.7.0-rc.2
Correctif Traefik 2.11.43, 3.6.14, 3.7.0-rc.2 pour CVE-2026-35051 et CVE-2026-39858 (CVSS 10.0) — bypass ForwardAuth non authentifié. IOC et mitigation.
Totolink A8000RU : 22 CVE critiques d'injection de commandes en cascade
Le routeur Totolink A8000RU concentre 22 CVE CRITICAL (CVSS 9.8) d'injection de commandes via /cgi-bin/cstecgi.cgi. Tous les exploits sont publics — analyse, IOC, mitigation.
Tenda AC18 CVE-2026-31255 : RCE non authentifiée via SetSambaCfg
Le routeur Tenda AC18 v15.03.05.05 contient une injection de commande critique (CVSS 9.8) sur /goform/SetSambaCfg. Analyse, exploitation et mitigation.
ProjeQtor CVE-2026-41462 : SQL Injection non authentifiée sur la page de login
ProjeQtor 7.0 à 12.4.3 contient une SQL injection critique (CVSS 9.8) sur l'endpoint d'authentification. Création de comptes admin, lecture de données, RCE possible.
D-Link DI-8100 CVE-2026-7248 : Buffer Overflow critique sur tgfile.htm
Le routeur D-Link DI-8100 firmware 16.07.26A1 contient un buffer overflow non authentifié (CVSS 9.8) sur tgfile.htm. PoC public, analyse et mitigation.
Comment suivre les vulnérabilités CVE de son parc informatique
Guide complet pour surveiller et gérer les CVE affectant votre parc informatique : méthodes, outils et bonnes pratiques pour les équipes IT et RSSI.
Guide du patch management : comment traiter les CVE rapidement et efficacement
Découvrez comment mettre en place un processus de patch management CVE robuste : SLA par sévérité, étapes clés, outils et erreurs à éviter pour protéger votre SI.
Les meilleurs outils CVE en 2026 : comparatif complet
Comparatif des meilleurs outils de gestion et surveillance CVE en 2026 : solutions open source, plateformes SaaS, scanners. Quel outil choisir selon votre contexte ?
Comment réaliser un audit de sécurité CVE de son système d'information
Guide complet pour réaliser un audit de sécurité CVE : inventaire des actifs, scan de vulnérabilités, scoring CVSS, plan de remédiation et bonnes pratiques RSSI.
VMware vCenter & ESXi : 8 CVE critiques exploitées par les ransomwares
Liste à jour des CVE VMware critiques (CVE-2021-21985, CVE-2024-37085…) exploitées par ESXiArgs et autres ransomwares. Patchs et durcissement urgents en 2026.
Spring4Shell CVE-2022-22965 : RCE critique dans Spring Framework
Spring4Shell est une vulnérabilité d'exécution de code à distance dans Spring Framework. Analyse de CVE-2022-22965, conditions d'exploitation et protection des applications Java.
ProxyLogon CVE-2021-26855 : la faille critique Microsoft Exchange
ProxyLogon est l'une des vulnérabilités Exchange les plus exploitées de l'histoire. Analyse de CVE-2021-26855, de la chaîne d'exploitation complète et des mesures de remédiation.
PHP : CVE critiques et sécurisation de vos applications web
PHP, langage de 80% du web, concentre des vulnérabilités critiques dans le moteur et ses extensions. Analyse des CVE majeures et bonnes pratiques de sécurisation.
CVE-2024-3400 Palo Alto PAN-OS : RCE 10/10 activement exploitée
Analyse complète de CVE-2024-3400 (CVSS 10.0) et des autres failles critiques PAN-OS. Patchs, IOC et bonnes pratiques pour sécuriser vos firewalls Palo Alto NGFW en 2026.
Nginx : CVE critiques et sécurisation de votre serveur web
Nginx, deuxième serveur web mondial, n'est pas exempt de vulnérabilités critiques. Analyse des CVE majeures de Nginx et ngx_http_mp4_module, et guide de configuration sécurisée.
MOVEit CVE-2023-34362 : l'injection SQL qui a compromis des milliers d'entreprises
CVE-2023-34362 est une injection SQL critique dans MOVEit Transfer exploitée par le gang Cl0p. Analyse de l'attaque, des victimes et des mesures de sécurisation.
Jenkins : CVE critiques et sécurisation de votre pipeline CI/CD
Jenkins, l'outil CI/CD le plus utilisé, concentre des vulnérabilités critiques permettant l'exécution de code et l'accès aux secrets. Analyse des CVE majeures et bonnes pratiques.
Ivanti Connect Secure : les CVE critiques 2024 exploitées massivement
Ivanti Connect Secure a concentré les pires vulnérabilités de 2024. Analyse des CVE-2024-21887, CVE-2023-46805, CVE-2024-21893 et mesures de sécurisation.
Heartbleed CVE-2014-0160 : la faille OpenSSL qui a ébranlé internet
Heartbleed est la vulnérabilité OpenSSL la plus célèbre de l'histoire. Analyse de CVE-2014-0160, son impact sur la sécurité HTTPS mondiale et pourquoi elle est toujours d'actualité.
GitLab : CVE critiques et sécurisation de votre instance self-hosted
GitLab self-hosted concentre des vulnérabilités critiques incluant des RCE et des prises de contrôle de comptes. Analyse des CVE majeures et bonnes pratiques de sécurisation.
ProxyShell CVE-2021-34473 : la chaîne RCE Exchange de l'été 2021
ProxyShell est une chaîne de trois CVE dans Microsoft Exchange permettant une RCE non authentifiée. Analyse de CVE-2021-34473, CVE-2021-34523, CVE-2021-31207 et protection.
EternalBlue et MS17-010 : la faille derrière WannaCry
MS17-010, la vulnérabilité SMB exploitée par EternalBlue, est à l'origine de WannaCry et NotPetya. Analyse technique, impact mondial et mesures de protection.
Docker et Kubernetes : CVE critiques et sécurité des conteneurs
Docker et Kubernetes concentrent des vulnérabilités permettant l'évasion de conteneurs et la compromission du cluster. Analyse des CVE majeures et hardening de votre infrastructure conteneurisée.
Comprendre le score CVSS : comment évaluer la gravité d'une CVE
Le score CVSS (Common Vulnerability Scoring System) est la référence mondiale pour mesurer la sévérité d'une vulnérabilité. Apprenez à le décrypter en 5 minutes.
Citrix Bleed CVE-2023-4966 : vol de session sur NetScaler ADC et Gateway
Citrix Bleed permet de voler des tokens de session valides sur Citrix NetScaler, contournant l'authentification et même le MFA. Analyse de CVE-2023-4966 et protection.
Atlassian Confluence : les CVE critiques et la sécurisation de votre wiki
Confluence concentre des vulnérabilités RCE critiques régulièrement exploitées. Analyse des CVE majeures d'Atlassian Confluence et mesures de protection pour votre instance.
Apache HTTP Server : CVE critiques et sécurisation de votre serveur web
Apache HTTP Server concentre des vulnérabilités critiques régulièrement exploitées. Analyse des CVE majeures incluant Log4Shell, CVE-2021-41773, CVE-2021-42013 et meilleures pratiques.
Top 10 CVE critiques de 2024 : les vulnérabilités qui ont marqué l'année
Retour sur les 10 CVE les plus critiques de 2024 : RCE, élévations de privilèges, zero-days. Ce que les équipes sécurité doivent retenir.
Log4Shell (CVE-2021-44228) : anatomie de la faille qui a ébranlé internet
CVE-2021-44228, score CVSS 10.0. Log4Shell reste l'une des vulnérabilités les plus exploitées de l'histoire. Analyse complète, impact et leçons à retenir.
CVE WordPress : comment surveiller et sécuriser votre site
WordPress concentre des milliers de CVE chaque année. Guide complet pour identifier les vulnérabilités qui vous concernent et mettre en place une veille efficace.
FortiOS et Fortinet : vulnérabilités majeures et bonnes pratiques de sécurité
Les appliances Fortinet sont omniprésentes dans les entreprises françaises. Tour d'horizon des CVE critiques FortiOS et des mesures pour sécuriser votre infrastructure.