Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-39808 : RCE non auth FortiSandbox (CVSS 9.8)
Fortinet corrige CVE-2026-39808 (CVSS 9.8), une injection de commandes OS pré-authentification dans FortiSandbox 4.4.0 à 4.4.8.
Dernières alertes
CVE-2026-33827 : RCE critique Windows TCP/IP via IPv6 (9.8)
CVE-2026-33827 : race condition critique dans Windows TCP/IP (CVSS 9.8). RCE via paquets IPv6 sur systèmes IPSec. Patch Tuesday avril 2026.
CVE-2026-27681 : injection SQL critique SAP BPC/BW (9.9)
CVE-2026-27681 : injection SQL critique dans SAP BPC et Business Warehouse (CVSS 9.9). Un utilisateur à faibles privilèges peut exécuter du SQL arbitraire.
CVE-2026-33824 : RCE critique Windows IKE Service (9.8)
CVE-2026-33824 : faille double free critique dans Windows IKE Service (CVSS 9.8) permettant une RCE sans authentification. Patch Tuesday avril 2026.
CVE-2026-22564 : accès SSH non autorisé UniFi Play (9.8)
CVE-2026-22564 permet l'activation non autorisée de SSH sur les équipements Ubiquiti UniFi Play. CVSS 9.8, cinq failles critiques dans le même bulletin.
CVE-2025-60710 : élévation de privilèges Windows (KEV)
CVE-2025-60710 : élévation de privilèges via link following dans Windows taskhost. CVSS 7.8, exploitation active, ajouté au catalogue KEV du CISA le 13 avril 2026.
CVE-2026-24061 : bypass auth root dans GNU telnetd (9.8)
CVE-2026-24061 permet un accès root immédiat sans authentification sur tout serveur GNU telnetd. CVSS 9.8, exploitation active confirmée par le CISA.
CVE-2026-34179 : escalade de privilèges critique dans LXD
CVE-2026-34179 permet à un utilisateur restreint d'escalader ses privilèges vers admin complet du cluster Canonical LXD via une requête API non validée. CVSS 9.1, versions 4.12 à 6.7.
CVE-2026-21902 : RCE root pré-auth sur Juniper PTX (9.8)
CVE-2026-21902 permet une prise de contrôle root sans authentification des routeurs Juniper PTX sous Junos OS Evolved via une API REST exposée sur le port 8160. CVSS 9.8.
CVE-2026-5059 : injection de commande critique aws-mcp
CVE-2026-5059 révèle une injection de commande critique (CVSS 9.8) dans aws-mcp-server, permettant l'exécution de code à distance sans authentification sur les serveurs utilisant le protocole MCP avec AWS.
CVE-2026-22719 : injection de commande VMware Aria (KEV)
CVE-2026-22719 : injection de commande non authentifiée dans VMware Aria Operations, ajoutée au catalogue KEV de la CISA. Correctif et script de mitigation disponibles.
CVE-2026-3055 : Citrix NetScaler SAML fuite mémoire (9.3)
CVE-2026-3055 : faille critique CVSS 9.3 dans Citrix NetScaler ADC et Gateway. Fuite mémoire via SAML exploitée activement, ajoutée au catalogue KEV de la CISA.
CVE-2026-34621 : zero-day critique Adobe Acrobat Reader
CVE-2026-34621 : Adobe corrige un zero-day Prototype Pollution dans Acrobat Reader, exploité via des PDF malveillants depuis décembre 2025. Mise à jour critique requise.
CVE-2026-3502 : zero-day TrueConf exploité par la Chine
CVE-2026-3502 : zero-day TrueConf exploité dans l'opération TrueChaos par un acteur chinois. Le mécanisme de mise à jour distribue du malware Havoc C2 aux clients connectés.
CVE-2026-40175 : Axios Prototype Pollution RCE [Critique]
CVE-2026-40175 : score CVSS maximal 10.0, Axios permet une escalade de Prototype Pollution vers RCE et compromission cloud AWS. Mise à jour vers 1.15.0 requise.