Aller au contenu

Blog · page 3/7

L'actualité des CVE, analysée

Vulnérabilités critiques et ajouts au CISA KEV, expliqués : ce qui est touché, les versions correctives, et quoi vérifier en premier.

  1. SharePoint CVE-2026-65660 au CISA KEV : injection de code par un attaquant authentifié

    CVE-2026-65660 : injection de code dans Microsoft SharePoint par un attaquant authentifié, ajoutée au CISA KEV le 25 septembre 2026. NVD muet, que faire déjà.

    CVE-2026-65660 · 4 min

  2. Routeurs Netcore, FAST et D-Link : 4 CVE critiques avec exploit public, sans correctif

    Netcore NR289-GE (deux CVE à 10.0), FAST FAC1200R (9.9) et D-Link DI-8400 (9.1) : exploits publics, éditeurs muets pour deux d'entre eux. Isoler ou remplacer.

    CVE-2026-101072 CVE-2026-101077 CVE-2026-101038 CVE-2026-101081 · 5 min

  3. MikroTik RouterOS CVE-2026-67279 au CISA KEV : le maillon qui rend CVE-2026-86060 non authentifiée

    CVE-2026-67279 : un défaut de séquencement de RouterOS ouvre une session sans authentification et se chaîne avec CVE-2026-86060. Ajoutée au CISA KEV le 25/09.

    CVE-2026-67279 · 4 min

  4. X-SpringBoot CVE-2026-97063 et Contrast CVE-2026-100833 (corrigé en 1.23.1) : deux CVE critiques open source

    X-SpringBoot renvoie les codes de connexion dans la réponse HTTP (9.1), Contrast laisse substituer une image de conteneur confidentiel (9.6, corrigé en 1.23.1).

    CVE-2026-97063 CVE-2026-100833 · 5 min

  5. WordPress Core CVE-2026-87902 au CISA KEV : inclusion de fichier via les modèles de page

    CVE-2026-87902 : le cœur de WordPress peut inclure un fichier .php local hors du thème actif, sans authentification. Ajoutée au CISA KEV, NVD encore muet.

    CVE-2026-87902 · 4 min

  6. Citrix NetScaler CVE-2026-88771 et 88772 au CISA KEV : corrigé en 14.1-73.37 et 13.1-64.23

    NetScaler ADC et Gateway : 6 CVE publiées le 27 septembre, dont une RCE non authentifiée 9.8 et une 8.1 déjà au CISA KEV. Versions corrigées et priorités.

    CVE-2026-88771 CVE-2026-88772 CVE-2026-88773 CVE-2026-88775 +2 · 5 min

  7. WSO2 CVE-2026-5430 au CISA KEV : une CVE 10.0, deux descriptions qui ne concordent pas

    CVE-2026-5430 (10.0) sur WSO2 API Manager : la CISA décrit une traversée de chemin, NVD une confusion d'algorithme JWT. Que faire quand même.

    CVE-2026-5430 · 5 min

  8. Adobe septembre 2026 : Magento de nouveau au KEV, 10 CVE critiques sur Campaign, AEM Forms et Connect

    CVE-2026-71362 (Magento, CISA KEV) et le lot Adobe du 22 septembre : 7 CVE sur Campaign Classic 7.4.x dont deux RCE 10.0, AEM Forms JEE 10.0, deux XSS Connect.

    CVE-2026-71362 CVE-2026-75699 CVE-2026-75721 CVE-2026-75745 +7 · 5 min

  9. SolarWinds Observability Self-Hosted CVE-2026-28324 : RCE 9.8 non authentifiée sous condition

    CVE-2026-28324 (9.8) : RCE sans authentification sur SolarWinds Observability Self-Hosted, en configuration non par défaut. Vérifier la sienne.

    CVE-2026-28324 · 3 min

  10. orval : 3 injections de code 9.8 via une spécification OpenAPI — corrigé en 8.29.0

    CVE-2026-96754, 96755 et 96759 : le générateur orval transforme une spec OpenAPI piégée en code exécuté au build ou dans le navigateur. Corrigé en 8.29.0.

    CVE-2026-96754 CVE-2026-96755 CVE-2026-96759 · 4 min

  11. Arista VeloCloud Orchestrator CVE-2026-93952 : 10.0 au CISA KEV, seuls les on-prem doivent agir

    CVE-2026-93952 (10.0) sur VeloCloud Orchestrator on-prem, au CISA KEV. Deuxième CVE VCO au KEV en deux mois ; les instances hébergées sont corrigées.

    CVE-2026-93952 · 3 min

  12. F5 BIG-IP APM CVE-2026-94127 : RCE non authentifiée si APM est serveur d'autorisation OAuth

    CVE-2026-94127 (9.8, CISA KEV) : débordement de tas F5 BIG-IP APM, seulement si APM est serveur d'autorisation OAuth. Vérifier en deux minutes.

    CVE-2026-94127 · 4 min

  13. Check Point : CVE-2026-85102 (VPN) et CVE-2026-93616 (Management) au CISA KEV

    Deux RCE 9.8 non authentifiées Check Point au KEV : validation de certificat VPN sur les gateways, upload de scripts sur le Management Server.

    CVE-2026-85102 CVE-2026-93616 · 4 min

  14. Noyau Linux : 3 CVE au CISA KEV le même jour — kTLS, ebtables et AF_ALG

    CVE-2025-39682 (kTLS), CVE-2026-53266 (ebtables) et CVE-2025-39964 (AF_ALG) au CISA KEV. Pourquoi la version du noyau ne suffit pas à conclure.

    CVE-2025-39682 CVE-2026-53266 CVE-2025-39964 · 5 min

  15. Cisco ISE et Secure Email Gateway : CVE-2026-76460 et 76461 au CISA KEV

    Cisco Secure Email Gateway (injection SQL → root, sans authentification) et Cisco ISE (contournement de l'interface d'administration) au CISA KEV.

    CVE-2026-76460 CVE-2026-76461 · 4 min

  16. VoIP : Sangoma Switchvox CVE-2026-9586 au KEV, sngrep CVE-2026-90558 en RCE 9.8

    Sangoma Switchvox (injection SQL non authentifiée, CISA KEV) et sngrep ≤ 1.8.4 (RCE 9.8) : la téléphonie IP ciblée des deux côtés.

    CVE-2026-9586 CVE-2026-90558 · 6 min

  17. MISP CVE-2026-86419 : SSRF et fuite d'identifiants dans la plateforme de threat intel (≤ 2.5.45)

    MISP ≤ 2.5.45 (CVE-2026-86419, 9.1) : SSRF et identifiants de flux transmis à un hôte tiers via redirection. Analyse du correctif.

    CVE-2026-86419 · 6 min

  18. Passerelles LLM : LiteLLM CVE-2026-59822 au KEV, LightLLM CVE-2026-90919 en RCE 9.8

    LiteLLM CVE-2026-59822 au CISA KEV (corrigé en 1.84.0) et LightLLM CVE-2026-90919, RCE 9.8 via pickle : l'infrastructure IA visée.

    CVE-2026-59822 CVE-2026-90919 · 6 min

  19. CVE-2025-25249 FortiOS : au CISA KEV huit mois après sa publication — correctifs 7.6.4, 7.4.9, 7.2.12

    CVE-2025-25249 FortiOS (8.1) : publiée en janvier, au CISA KEV en septembre. Correctifs 7.6.4, 7.4.9, 7.2.12, 7.0.18 et fin de 6.4.

    CVE-2025-25249 · 5 min

  20. The Events Calendar ≤ 6.17.4 : 2 RCE non authentifiées via les commentaires

    CVE-2026-78006 et CVE-2026-78159 (CVSS 9.8) : exécution de code sans authentification sur le plugin WordPress The Events Calendar, via un commentaire en attente de modération. Mitigation immédiate.

    CVE-2026-78006 CVE-2026-78159 · 8 min