Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-42897 : le zero-day Exchange OWA exécute du
CVE-2026-42897, zero-day XSS dans Outlook Web Access d'Exchange Server on-premises, est activement exploitée via email forgé. CVSS 8.1, CISA KEV, aucun patch permanent — seules les…
Dernières alertes
CVE-2026-3300 : Everest Forms Pro WordPress exploité en masse
La faille critique CVE-2026-3300 (CVSS 9.8) dans Everest Forms Pro permet une exécution de code PHP non authentifiée sur WordPress : plus de 29 300 tentatives d'attaque bloquées par…
CVE-2026-20245 : 0-day Cisco SD-WAN Manager, root sans patch
Cisco confirme l'exploitation active de CVE-2026-20245 dans Catalyst SD-WAN Manager : injection root sans patch disponible, signalee par Mandiant. CERT-FR AVI-0699 publie le 5 juin 2026.
CVE-2026-23813 : HPE Aruba AOS-CX bypass admin critique CVSS 9.8
HPE corrige deux vulnerabilites critiques AOS-CX : CVE-2026-23813 (CVSS 9.8) permet la prise de controle admin sans credentials, CVE-2026-23814 (CVSS 8.8) permet l'injection CLI. CERT-FR AVI-0683.
CVE-2026-28318 : SolarWinds Serv-U exploite, CISA KEV, patch
La CISA ajoute CVE-2026-28318 au catalogue KEV juin 2026 : crash DoS non authentifie dans SolarWinds Serv-U via POST malveillant. Patch en version 15.5.4 HF1. Deadline federale : 19 juin 2026.
CVE-2026-20230 : SSRF critique Cisco Unified CM WebDialer,
Cisco a corrigé le 4 juin 2026 CVE-2026-20230, une SSRF sans authentification dans WebDialer permettant une escalade root sur Unified CM. Un PoC public est désormais disponible. Les…
CERTFR-2026-AVI-0675 : vulnérabilités XSS et suppression
Le CERT-FR publie CERTFR-2026-AVI-0675 signalant quatre vulnérabilités dans GLPI (CVE-2026-40108, CVE-2026-42318, CVE-2026-42321, CVE-2026-5385) : XSS stockées et suppression arbitraire…
CVE-2026-5076 : prise de contrôle admin WordPress ARMember,
La chaîne de vulnérabilités CVE-2026-5073/5074/5076 (CVSS 9.8) dans ARMember Premium permet à un attaquant non authentifié de prendre le contrôle total de n'importe quel site WordPress via…
CVE-2026-20045 : 0-day RCE Cisco Unified CM, CISA KEV
Un 0-day critique CVE-2026-20045 (CVSS 8.2/Critical) affecte Cisco Unified CM, Unity Connection et Webex Calling : RCE non authentifié menant à un accès root, exploité activement et ajouté…
HuggingFace CVE-2026-4372 : RCE par fichier de config IA
Une faille critique (CVE-2026-4372) dans la bibliothèque HuggingFace Transformers permet l'exécution de code à distance via des modèles IA malveillants, exposant 232 millions de…
CVE-2026-8644/9319 : Triple RCE IBM WebSphere critique
IBM WebSphere Application Server est affecté par trois vulnérabilités critiques divulguées simultanément le 1er juin 2026 : usurpation d'identité (CVSS 9.1) et double RCE (CVSS 9.0),…
CVE-2026-21902 : RCE root Juniper PTX Junos, CVSS 9.8
CVE-2026-21902 est une RCE pré-authentifiée CVSS 9.8 dans Juniper Junos OS Evolved sur routeurs PTX Series : une API REST interne exposée sans authentification sur le port TCP 8160 permet…
CVE-2026-45497 : RCE Microsoft 365 Copilot CVSS 9.8
CVE-2026-45497 est une injection de commandes critique (CVSS 9.8) dans Microsoft 365 Copilot, permettant une RCE avec évasion de conteneur dans l'infrastructure cloud M365. Microsoft a…
CVE-2026-41089 : RCE Netlogon CVSS 9.8 exploitée activement
Une faille CVSS 9.8 dans Windows Netlogon permet l'exécution de code à distance sans authentification sur tous les contrôleurs de domaine. Exploitée activement depuis le 29 mai 2026.
CVE-2026-3055 : NetScaler ADC/Gateway CVSS 9.3 exploité
CVE-2026-3055 (CVSS 9.3) permet à un attaquant non authentifié de lire la mémoire du processus NetScaler ADC/Gateway et de voler des sessions actives. Exploitation massive en cours depuis…