Police, Gendarmerie, Parquet, Juges d’instruction, DGSI, Douanes…
11 checklists professionnelles couvrant 2 200+ points de contrôle. Téléchargement gratuit, aucune inscription.
630 articles publiés · page 2/27
Ivanti publie en septembre 2026 cinq patches critiques pour Neurons for ITSM dont CVE-2026-12744 et CVE-2026-12745 (CVSS 9.8), deux failles de désérialisation exploitables sans authentification permettant l'exécution de code arbitraire.
CVE-2026-67279 permet un contournement d'authentification SSH non authentifié dans MikroTik RouterOS chaîné avec CVE-2026-86060 (MikroTrick) pour un contrôle total — KEV CISA 25 septembre 2026, 122 500 routeurs exposés identifiés.
Le CSPU Oracle de septembre 2026 corrige 672 CVE dont six CVSS 10.0 dans Oracle Fusion Middleware — WebLogic, Access Manager, Forms, Internet Directory, Platform Security for Java et Hyperion — toutes exploitables sans authentification.
CVE-2026-20242 (CVSS 9.8) : désérialisation Java non sécurisée dans Cisco Secure Firewall Management Center permet une RCE root sans authentification. Patch Cisco disponible, action urgente requise.
CVE-2026-19583 (CVSS 9.9) dans Rapid7 Velociraptor permet à un investigateur de contourner les permissions et d'exécuter des commandes shell sur tous les endpoints surveillés. Mise à jour vers 0.77.2 requise.
CVE-2026-82078 (CVSS 9.4) et CVE-2026-81578 (CVSS 8.8) forment une chaîne RCE pré-authentification sur PaperCut NG/MF exploitée depuis fin août 2026. Patch Emergency Release 3 disponible.
CVE-2026-85102 est une faille de validation incorrecte de certificats X.509 dans Check Point Security Gateway (VPN), CVSS 9.8, permettant l'exécution de code à distance sans authentification. Ajoutée au KEV CISA le 22 septembre 2026, exploitation active confirmée.
CVE-2026-93643 est une faille de path traversal (CWE-22) sans authentification dans Zimbra Collaboration Suite avec OnlyOffice activé, CVSS 9.8, permettant l'exécution de code arbitraire. Patch ZCS 10.1.21 disponible depuis le 24 septembre 2026.
CVE-2026-71362 est une faille d'autorisation incorrecte (CWE-863) dans Adobe Commerce et Magento Open Source, score CVSS 9.1. Ajoutée au KEV CISA le 24 septembre 2026, elle est activement exploitée depuis août 2026.
CVE-2026-61732 : injection de tokens ChatML dans Decepticon (agent IA red team), menant à une RCE dans le sandbox Kali Linux — CVSS 10.0. Patch disponible dans la version 1.1.17.
CVE-2026-69730 : use-after-free critique (CVSS 9.8) dans le DNS Windows Server, RCE sans authentification. Patch Tuesday septembre 2026. Contrôleurs de domaine en première ligne.
CVE-2026-87902 : faille path traversal critique (CVSS 9.2) dans WordPress Core exploitée activement dès 72h après le patch — ajoutée au KEV CISA le 25 septembre 2026.
CVE-2026-86708 (CVSS 10.0) dans ManageEngine Applications Manager : une clé privée de compte de service Google Cloud est codée en dur dans l'installateur Linux public. Toutes les versions jusqu'à la 182200 sont affectées. Révocation immédiate de la clé GCP requise.
CVE-2026-42016 (CVSS 8.1) et CVE-2026-42018 (CVSS 7.5) dans JFrog Artifactory permettent une escalade non authentifiée vers l'accès administrateur. Chaîne d'exploitation activement utilisée pour déployer des backdoors Rust. Deadline CISA KEV : 25 septembre 2026.
CVE-2026-67277 (CVSS 8.8) et CVE-2026-86060 (CVSS 9.2) dans MikroTik RouterOS forment la chaîne MikroTrick, exploitée sans authentification pour prendre le contrôle total des équipements. CISA KEV, exploitation active confirmée par le CERT Polska.
CVE-2026-15409 est une vulnérabilité SSRF CVSS 10.0 dans SonicWall SMA1000, chaînée avec CVE-2026-15410 et exploitée activement par le groupe ransomware INC. 885 victimes documentées, KEV CISA, aucun contournement disponible.
CVE-2026-41940 est un bypass d'authentification critique (CVSS 9.8) dans cPanel & WHM exploitant une injection CRLF. Plus de 1,5 million de serveurs sont potentiellement exposés, avec une exploitation active in-the-wild confirmée depuis février 2026.
CVE-2026-7273 est un débordement de tampon critique (CVSS 8.8) dans les switches Zyxel GS1900, ajouté au KEV CISA le 21 septembre 2026. Près de 1 000 équipements compromis dans 48 pays, échéance patch fixée au 24 septembre 2026.
Zero-day path traversal pré-authentification CVSS 9.8 dans Check Point Quantum Security Management Server, exploité depuis juillet 2026 et ajouté au CISA KEV le 22 septembre 2026. Hotfix R82.20 disponible.
Vulnérabilité d'input validation CVSS 10.0 dans Arista VeloCloud Orchestrator on-prem, activement exploitée et ajoutée au CISA KEV le 22 septembre 2026. Patch disponible pour les branches 5.2 et 6.4.
Heap-based buffer overflow CVSS 9.8 dans F5 BIG-IP APM, exploité activement et ajouté au CISA KEV le 22 septembre 2026. Patch d'urgence et iRule de contournement disponibles.
CVE-2026-83548 (SSRF pré-authentification, CVSS 10.0) et CVE-2026-83549 (injection de commandes OS) dans SonicWall SMA1000 sont activement exploitées et enchaînées pour obtenir une RCE non authentifiée. Ajoutées au catalogue CISA KEV le 2 septembre 2026 — hotfix disponible depuis le 1er septembre 2026.
CVE-2026-78509 et CVE-2026-78510 permettent une exécution de code à distance CVSS 9.8 dans Outlook et Word simplement en visualisant un email ou un document dans le volet de lecture, sans aucun clic utilisateur. Correctif disponible dans le Patch Tuesday de septembre 2026.
CVE-2026-81963 et CVE-2026-85880, deux zero-days Windows exploités avant la publication du patch, ont été ajoutés au catalogue CISA KEV avec délai de remédiation au 22 septembre 2026. Mise à jour immédiate requise.
Un projet cybersécurité ?
Expert dispo · Réponse 24h