Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-86708 : ManageEngine clé GCP exposée CVSS 10.0
CVE-2026-86708 (CVSS 10.0) dans ManageEngine Applications Manager : une clé privée de compte de service Google Cloud est codée en dur dans l'installateur Linux public. Toutes les versions jusqu'à la 182200 sont affectées. Révocation immédiate de la clé GCP requise.
Dernières alertes
CVE-2026-42016 : JFrog Artifactory chaîne exploit KEV CISA
CVE-2026-42016 (CVSS 8.1) et CVE-2026-42018 (CVSS 7.5) dans JFrog Artifactory permettent une escalade non authentifiée vers l'accès administrateur. Chaîne d'exploitation activement utilisée pour déployer des backdoors Rust. Deadline CISA KEV : 25 septembre 2026.
CVE-2026-67277 : MikroTrick RouterOS exploité, KEV CISA
CVE-2026-67277 (CVSS 8.8) et CVE-2026-86060 (CVSS 9.2) dans MikroTik RouterOS forment la chaîne MikroTrick, exploitée sans authentification pour prendre le contrôle total des équipements. CISA KEV, exploitation active confirmée par le CERT Polska.
CVE-2026-15409 : SonicWall SMA1000 SSRF CVSS 10 ransomware
CVE-2026-15409 est une vulnérabilité SSRF CVSS 10.0 dans SonicWall SMA1000, chaînée avec CVE-2026-15410 et exploitée activement par le groupe ransomware INC. 885 victimes documentées, KEV CISA, aucun contournement disponible.
CVE-2026-41940 : cPanel WHM bypass auth CVSS 9.8 exploité
CVE-2026-41940 est un bypass d'authentification critique (CVSS 9.8) dans cPanel & WHM exploitant une injection CRLF. Plus de 1,5 million de serveurs sont potentiellement exposés, avec une exploitation active in-the-wild confirmée depuis février 2026.
CVE-2026-7273 : Zyxel GS1900 switches exploités, KEV CISA
CVE-2026-7273 est un débordement de tampon critique (CVSS 8.8) dans les switches Zyxel GS1900, ajouté au KEV CISA le 21 septembre 2026. Près de 1 000 équipements compromis dans 48 pays, échéance patch fixée au 24 septembre 2026.
CVE-2026-93616 : Check Point Management zero-day CVSS 9.8
Zero-day path traversal pré-authentification CVSS 9.8 dans Check Point Quantum Security Management Server, exploité depuis juillet 2026 et ajouté au CISA KEV le 22 septembre 2026. Hotfix R82.20 disponible.
CVE-2026-93952 : Arista VeloCloud Orchestrator CVSS 10.0 KEV
Vulnérabilité d'input validation CVSS 10.0 dans Arista VeloCloud Orchestrator on-prem, activement exploitée et ajoutée au CISA KEV le 22 septembre 2026. Patch disponible pour les branches 5.2 et 6.4.
CVE-2026-94127 : F5 BIG-IP APM heap overflow exploité CVSS 9.8
Heap-based buffer overflow CVSS 9.8 dans F5 BIG-IP APM, exploité activement et ajouté au CISA KEV le 22 septembre 2026. Patch d'urgence et iRule de contournement disponibles.
CVE-2026-83548 & CVE-2026-83549 : SonicWall SMA1000 KEV CISA
CVE-2026-83548 (SSRF pré-authentification, CVSS 10.0) et CVE-2026-83549 (injection de commandes OS) dans SonicWall SMA1000 sont activement exploitées et enchaînées pour obtenir une RCE non authentifiée. Ajoutées au catalogue CISA KEV le 2 septembre 2026 — hotfix disponible depuis le 1er septembre 2026.
CVE-2026-78509 & CVE-2026-78510 : Outlook Word RCE CVSS 9.8
CVE-2026-78509 et CVE-2026-78510 permettent une exécution de code à distance CVSS 9.8 dans Outlook et Word simplement en visualisant un email ou un document dans le volet de lecture, sans aucun clic utilisateur. Correctif disponible dans le Patch Tuesday de septembre 2026.
CVE-2026-81963 & CVE-2026-85880 : zero-days Windows KEV CISA
CVE-2026-81963 et CVE-2026-85880, deux zero-days Windows exploités avant la publication du patch, ont été ajoutés au catalogue CISA KEV avec délai de remédiation au 22 septembre 2026. Mise à jour immédiate requise.
CVE-2026-83057 : Oracle OID LDAP CVSS 9.9 prise de contrôle
CVE-2026-83057 et CVE-2026-83058 : vulnérabilités CVSS 9.9 dans Oracle Internet Directory (OID) permettant la prise de contrôle complète de l'annuaire LDAP. CPU Oracle septembre 2026 disponible.
CVE-2026-86218 : N-able N-central RCE pré-auth CVSS 10.0
CVE-2026-86218 : injection de code statique CVSS 10.0 dans N-able N-central permettant un RCE sans authentification. Ajouté au KEV CISA le 8 septembre 2026 — mettre à jour vers N-central Hotfix 4.
CVE-2026-70756 : Oracle WebLogic RCE sans auth CVSS 9.8
CVE-2026-70756 : exécution de code à distance sans authentification CVSS 9.8 dans Oracle WebLogic Server via T3/IIOP. Exploitation active confirmée — appliquer le CPU Oracle septembre 2026 en urgence.
Cette CVE vous expose ? Évaluons ensemble votre risque
Nos experts évaluent votre exposition et priorisent les correctifs — réponse sous 4h en situation d'urgence. Analyse d'impact, plan de remédiation, accompagnement RSSI.