Aller au contenu

Blog · page 2/7

L'actualité des CVE, analysée

Vulnérabilités critiques et ajouts au CISA KEV, expliqués : ce qui est touché, les versions correctives, et quoi vérifier en premier.

  1. Routeurs Netcore NR268 et Wavlink WL-WN530BE1-A : CVE-2026-108929 et CVE-2026-109108 (9.9)

    Deux CVE 9.9 sur des routeurs : injection d'argument DDNS sur Netcore NR268, injection de commande VPN sur Wavlink. Pas de correctif NVD : isoler et remplacer.

    CVE-2026-108929 CVE-2026-109108 · 4 min

  2. Rapyd Admin CVE-2026-109566 et Grav Login OAuth CVE-2026-109321 : des identifiants prévisibles

    Rapyd Admin (corrigé en 9.20.0) recrée un super-admin par défaut, Grav Login OAuth (corrigé en 1.4.3) dérive ses mots de passe. Deux CVE critiques à traiter.

    CVE-2026-109566 CVE-2026-109321 · 5 min

  3. PHPNuxBill CVE-2026-108107 et Wukong HRM CVE-2026-108707 : deux 9.8 sans authentification

    Injection SQL sans authentification dans PHPNuxBill, accès admin RH dans Wukong HRM : deux 9.8 sans version corrigée NVD. Exposition, détection, mesures.

    CVE-2026-108107 CVE-2026-108707 · 5 min

  4. CISA KEV : cinq vieilles CVE ajoutées d'un coup (ProFTPD, Struts, BIND, ONLYOFFICE, Strapi)

    Le 8 octobre, la CISA a ajouté au KEV cinq CVE de 2015 à 2023 : ProFTPD, Struts, BIND, ONLYOFFICE, Strapi. Une vieille CVE exploitée trahit un serveur oublié.

    CVE-2015-3306 CVE-2021-3199 CVE-2023-22894 CVE-2016-3081 +1 · 5 min

  5. Brocade Fabric OS : CVE-2026-87659 et CVE-2026-87684 (9.8), corrigées à partir de 10.0.1

    Deux CVE 9.8 dans Brocade Fabric OS : prise de contrôle admin par un switch compromis de la fabric et débordement SNMPv3. Ce que doit vérifier une équipe SAN.

    CVE-2026-87659 CVE-2026-87684 · 5 min

  6. Apache Jackrabbit CVE-2026-92414 (9.1) : réutilisation de session sur le serveur WebDAV, corrigé en 2.23.6, 2.22.5 et 2.20.18

    Apache Jackrabbit CVE-2026-92414 (9.1) : le serveur WebDAV réutilise une session authentifiée en cache sans vérifier d'identifiants. Corrigé en 2.23.6.

    CVE-2026-92414 · 4 min

  7. wolfSSL CVE-2026-89134 et wolfSSH CVE-2026-81535 : deux failles 9.1 dans les bibliothèques embarquées

    wolfSSL CVE-2026-89134 (9.1) contourne une contrainte de nom X.509 ; wolfSSH CVE-2026-81535 (9.1) accepte des canaux non autorisés. Versions et mesures.

    CVE-2026-89134 CVE-2026-81535 · 5 min

  8. Splunk Enterprise CVE-2026-76285 (9.8) : un lot de failles internes, corrigé en 10.4.3, 10.2.7, 10.0.10 et 9.4.15

    Splunk Enterprise CVE-2026-76285 (9.8) regroupe des failles internes sans détail public. Versions corrigées 10.4.3, 10.2.7, 10.0.10 et 9.4.15 : quoi faire.

    CVE-2026-76285 · 4 min

  9. Cisco NX-OS CVE-2026-76459 (9.8) et Cisco License On-Prem CVE-2026-76454 (9.1) : deux avis critiques du 7 octobre

    Cisco : CVE-2026-76459 (9.8) groupe des écritures hors limites dans NX-OS, CVE-2026-76454 (9.1) ouvre l'API de License On-Prem sans authentification.

    CVE-2026-76459 CVE-2026-76454 · 5 min

  10. Payload CMS CVE-2026-105848 et CVE-2026-105863 : proxy Stripe et jeton d'authentification, corrigés en 3.90.0

    Payload CMS : CVE-2026-105848 (9.6) sur le proxy REST Stripe du plugin et CVE-2026-105863 (9.4) sur les claims du jeton d'auth. Corrigés en 3.90.0.

    CVE-2026-105848 CVE-2026-105863 · 5 min

  11. Google Chrome 155.0.8059.39 : CVE-2026-106237 et CVE-2026-106195, critiques pour NVD, « Low » pour Chromium

    Chrome 155.0.8059.39 corrige CVE-2026-106237 (9.6, isolation de site) et CVE-2026-106195 (9.1, Chromoting Mac). NVD dit critique, Chromium dit Low.

    CVE-2026-106237 CVE-2026-106195 · 5 min

  12. Extensions Joomla, octobre 2026 : OrdaSoft CCK (corrigé en 8.3.16) et TF Content, deux failles 9.8 sans authentification

    OrdaSoft Joomla CCK (CVE-2026-102428, injection SQL) et TF Content (CVE-2026-102780) : deux failles 9.8 exploitables sans compte. Versions et correctifs.

    CVE-2026-102428 CVE-2026-102780 · 4 min

  13. Zammad CVE-2026-102489 et CVE-2026-102490 au CISA KEV : de la session volée au root

    Zammad : CVE-2026-102489 (9.8, RCE via détournement de session) et CVE-2026-102490 (élévation vers root), chaînables, au CISA KEV le 2 octobre. Que faire.

    CVE-2026-102489 CVE-2026-102490 · 4 min

  14. Citrix NetScaler CVE-2026-88779 au CISA KEV : nouveau débordement mémoire, une semaine après

    CVE-2026-88779 : débordement mémoire dans NetScaler ADC et Gateway menant à un déni de service, au CISA KEV le 4 octobre, échéance le 7. Une semaine après.

    CVE-2026-88779 · 3 min

  15. FortiMail CVE-2026-104286 au CISA KEV : écriture de fichiers arbitraires sans authentification

    CVE-2026-104286 : traversée de chemin dans FortiMail, écriture de fichiers sans authentification, exploitée. Ajoutée au CISA KEV le 1er octobre, échéance le 4.

    CVE-2026-104286 · 4 min

  16. WatchGuard Fireware OS CVE-2026-86131 : un serveur VPN distant peut prendre root sur la Firebox

    CVE-2026-86131 (9.8) : injection de code dans le client BOVPN over TLS de Fireware OS. Un serveur VPN malveillant ou compromis obtient root sur la Firebox.

    CVE-2026-86131 · 4 min

  17. Joomla : 6 CVE critiques dans 5 extensions fin septembre — Balbooa Forms, OrdaSoft, JCTables

    Balbooa Forms, OrdaSoft CCK et Book Library, JCTables, YouTube Gallery : six CVE de 9.1 à 10.0, toutes sans authentification, publiées fin septembre 2026.

    CVE-2026-102425 CVE-2026-101127 CVE-2026-102427 CVE-2026-76570 +2 · 5 min

  18. Cisco Catalyst SD-WAN Manager CVE-2026-76504 : accès admin sans authentification, au CISA KEV

    CVE-2026-76504 (9.8) : contournement d'authentification de l'API de Cisco Catalyst SD-WAN Manager, exploité, ajouté au CISA KEV le 30 septembre. Que faire.

    CVE-2026-76504 · 3 min

  19. simple-git CVE-2026-102828 : injection de commande via la config Git, corrigée en 4.0.1

    CVE-2026-102828 (9.8) dans simple-git : une config Git contrôlée par l'utilisateur peut exécuter une commande. Corrigé en 4.0.1. Comment vérifier ton code.

    CVE-2026-102828 · 4 min

  20. Apple CoreGraphics CVE-2026-86950 au CISA KEV : écriture hors limites sur iOS, iPadOS et macOS

    CVE-2026-86950 : écriture hors limites dans CoreGraphics (iOS, iPadOS, macOS) pouvant mener à l'exécution de code. Au CISA KEV depuis le 29/09, échéance 13/10.

    CVE-2026-86950 · 4 min