Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
N-able N-central : 33 zero-days Able2Shell, 3 chaînes RCE
Un chercheur publie 33 zero-days sur GitHub (Able2Shell) ciblant N-able N-central, formant 3 chaînes RCE et une escalade root. N-able ferme son infrastructure hébergée le 9 novembre 2026 — MSP on-premises : arrêt immédiat.
Dernières alertes
CVE-2026-98432 : Linux kernel MPTCP RCE racine CVSS 9.8
CVE-2026-98432, use-after-free dans la pile TCP du noyau Linux (CVSS 9.8), permet une exécution de code root à distance sur les serveurs Linux avec listener MPTCP. Scan actif détecté sur internet depuis le 8 novembre 2026.
CVE-2026-116779 : FreeSWITCH RCE CVSS 9.8 — CISA KEV
CVE-2026-116779, injection de commande pré-authentification dans FreeSWITCH SIP (CVSS 9.8), est activement exploitée in-the-wild et figure dans le catalogue CISA KEV avec une deadline fédérale au 12 novembre 2026.
CVE-2026-20253 : Splunk Enterprise RCE pré-auth CVSS 9.8 — CISA KEV
CVE-2026-20253 (CVSS 9.8) : Splunk Enterprise expose un sidecar PostgreSQL sans authentification permettant une RCE en 5 requêtes HTTP. CISA KEV — première vulnérabilité Splunk jamais cataloguée. Exploitation active confirmée.
CVE-2026-118423 : WP Libre Form upload RCE, CVSS 10 — PoC public
CVE-2026-118423 (CVSS 10.0) : WP Libre Form ≤ 1.5.0.1 permet à tout visiteur anonyme d'uploader un fichier PHP et d'exécuter du code arbitraire. PoC public, aucun patch disponible, désinstallation immédiate requise.
CVE-2026-73098 : Apache Juneau quatre failles CVSS 10
Quatre vulnérabilités CVSS 10.0 dans Apache Juneau (CVE-2026-73098, CVE-2026-96677) exposent les applications Java à des attaques RCE sans authentification et à des injections XSS critiques. Mise à jour vers 9.2.1 impérative.
PHP2Shell : CVE-2026-109618 et CVE-2026-109619 RCE CVSS 9.2
PHP2Shell regroupe deux RCE critiques (CVE-2026-109618 et CVE-2026-109619, CVSS 9.2) affectant toutes les installations PHP servant des requêtes web. Patches disponibles depuis le 21 octobre 2026, ajoutées au catalogue CISA KEV.
CVE-2026-100109 : Security for WooCommerce PoC admin CVSS 9.8
CVE-2026-100109 affecte le plugin Security For WooCommerce (versions 1.0.10 à 1.0.16) : un attaquant non authentifié peut créer un compte administrateur WordPress via l'endpoint AJAX usfw_create_temporary_user. PoC public, CVSS 9.8, aucun patch disponible.
CVE-2026-119075 : escalade admin WooCommerce CVSS 9.8
CVE-2026-119075 permet à un attaquant non authentifié d'obtenir des droits administrateur WordPress via le plugin Registration Form for WooCommerce (CVSS 9.8). Aucun patch disponible — désactivation immédiate requise.
CVE-2026-58115 : Node-RED Siemens IoT2050 RCE CVSS 10
CVE-2026-58115 (CVSS 10.0) : faille RCE sans authentification dans Node-RED sur Siemens SIMATIC IoT2050. Activement exploité depuis fin octobre 2026 — des bots Linux sont déployés sur les équipements industriels compromis.
CVE-2026-111497 : Node.js Brotli RCE — deadline CISA 10 nov
CVE-2026-111497 (CVSS 9.2) : faille RCE dans le décodeur Brotli de Node.js, ajoutée au catalogue KEV de la CISA. Deadline fédérale le 10 novembre 2026. Affecte aussi Bun, Envoy, Istio, .NET, Python et Mitel OpenScape.
CVE-2026-102895 : GPUStack bypass CVSS 9.8, serveurs IA piratés
Une faille critique dans GPUStack (CVSS 9.8) permet à des attaquants non authentifiés de prendre le contrôle total de serveurs d'inférence IA. Exploitation active confirmée en novembre 2026.
CVE-2026-18450 : Supermicro BMC IPMI bypass CVSS 9.8
CVE-2026-18450 : les BMC Supermicro acceptent des commandes IPMI sans authentification sur sessions RMCP+ actives. CVSS 9.8, 392 boards affectés, patch urgent.
CVE-2026-17408 : IBM API Connect RCE sans auth CVSS 9.8
CVE-2026-17408 : injection de commandes OS sans authentification dans IBM API Connect, CVSS 9.8. Toutes les versions 10.0.8.x et 12.1.1.x sont affectées.
CVE-2026-19868 : SonicWall SSL-VPN bypass SAML et MFA
CVE-2026-19868 : SonicWall SSL-VPN avec SAML permet à un attaquant de contourner le MFA via une méthode d'authentification alternative. Exploitation active, CISA KEV.
Cette CVE vous expose ? Évaluons ensemble votre risque
Nos experts évaluent votre exposition et priorisent les correctifs — réponse sous 4h en situation d'urgence. Analyse d'impact, plan de remédiation, accompagnement RSSI.