Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-39987 : RCE pré-auth Marimo exploitée en 10h
Faille RCE pré-authentifiée CVSS 9.3 dans le notebook Python Marimo, exploitée moins de 10h après publication pour déployer le malware NKAbuse.
Dernières alertes
CVE-2026-40372 : EoP signature ASP.NET Core (CVSS 9.1)
Microsoft publie un correctif out-of-band pour CVE-2026-40372, une faille de vérification de signature dans ASP.NET Core DataProtection permettant l'élévation SYSTEM.
CVE-2026-33519 : Esri Portal ArcGIS auth bypass (9.8)
Faille d'autorisation critique CVSS 9.8 dans Esri Portal for ArcGIS : les credentials développeur mal vérifiés permettent l'escalade administrateur.
CVE-2026-33825 : zero-day Defender BlueHammer au KEV
Microsoft Defender est visé par un zero-day activement exploité surnommé « BlueHammer » permettant une élévation de privilèges jusqu'à SYSTEM.
CVE-2026-21571 : injection commande Atlassian Bamboo (9.4)
Atlassian patche une faille critique d'injection de commande dans Bamboo Data Center et Server qui autorise l'exécution arbitraire de commandes OS.
CVE-2026-40575 : bypass auth OAuth2 Proxy (CVSS 9.1)
Une faille critique dans OAuth2 Proxy permet à un attaquant non authentifié de contourner l'authentification via le header X-Forwarded-Uri.
CVE-2026-32201 : zero-day SharePoint exploité en nature
Microsoft a corrigé CVE-2026-32201, zero-day de spoofing dans SharePoint Server exploité avant le Patch Tuesday d''avril 2026 et ajouté au catalogue KEV CISA.
CVE-2023-27351 : PaperCut NG bypass auth ajouté au KEV
CVE-2023-27351 : bypass d''authentification PaperCut NG/MF ajouté au KEV CISA le 20 avril 2026 suite à une reprise d''exploitation active contre les serveurs non patchés.
CVE-2025-32975 : Quest KACE SMA bypass auth (CVSS 10)
Quest KACE Systems Management Appliance est affectée par CVE-2025-32975, un bypass d''authentification SSO CVSS 10.0 activement exploité et ajouté au KEV CISA le 20 avril 2026.
CVE-2026-5760 : RCE via GGUF malveillant dans SGLang (9.8)
SGLang CVE-2026-5760 (CVSS 9.8) : un modele GGUF piege declenche une SSTI Jinja2 puis une execution de code a distance sur le serveur d'inference.
CVE-2026-32604 : RCE critique Spinnaker Gitrepo (9.9)
CVE-2026-32604 (CVSS 9.9) : Spinnaker expose les pods clouddriver a une execution de commandes via les artefacts gitrepo mal assainis.
Cisco SD-WAN Manager : 3 failles ajoutees au KEV CISA
CISA ajoute CVE-2026-20122, CVE-2026-20128 et CVE-2026-20133 au catalogue KEV le 20 avril 2026 : exploitations actives sur Cisco Catalyst SD-WAN Manager.
CVE-2026-40478 : bypass sandbox Thymeleaf vers SSTI (9.1)
Un caractère de tabulation suffit à contourner le sandbox d'expressions de Thymeleaf. CVE-2026-40478 (CVSS 9.1) ouvre la porte à une SSTI non authentifiée.
CVE-2026-40493 : heap overflow critique librairie SAIL
Un simple fichier PSD forgé déclenche un heap buffer overflow déterministe dans la librairie SAIL. CVE-2026-40493 obtient un CVSS de 9.8.
CVE-2026-3584 : RCE critique Kali Forms WordPress (9.8)
CVE-2026-3584 permet à un attaquant non authentifié d'exécuter du code sur tout site WordPress utilisant Kali Forms. Exploitation de masse en cours.