Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-41096 : RCE Windows DNS Client (CVSS 9.8)
CVE-2026-41096 : heap overflow dans le DNS Client Windows permettant l'exécution de code à distance non-authentifiée via réponse DNS malformée. Tout poste Windows en réseau est exposé.
Dernières alertes
CVE-2026-41089 : RCE Netlogon domain controller (9.8)
Patch Tuesday du 12 mai 2026 : Microsoft corrige CVE-2026-41089, un buffer overflow Netlogon CVSS 9.8 permettant la prise de contrôle non authentifiée des contrôleurs de domaine Windows Server.
CVE-2026-43899 et 43900 : RCE DeepChat via agent IA piégé
Chaîne RCE critique sur DeepChat (CVE-2026-43899 CVSS 9.6 et CVE-2026-43900 CVSS 9.3) : exécution de code via agent IA piégé et artefact SVG malveillant.
CVE-2026-45321 Mini Shai-Hulud : 170+ paquets npm compromis
CVE-2026-45321 (CVSS 9.6) : compromission massive de 170+ paquets npm (TanStack, Mistral AI, UiPath) par le ver Mini Shai-Hulud, vol massif de credentials développeurs.
CVE-2026-43284 Dirty Frag : LPE root noyau Linux (PoC
Chaîne d'élévation de privilèges locale Dirty Frag (CVE-2026-43284 et CVE-2026-43500) dans le noyau Linux : PoC public, exploitation active confirmée par Microsoft.
CVE-2026-42302 : RCE non-auth FastGPT agent-sandbox (9.8)
CVE-2026-42302 (CVSS 9.8) expose le composant agent-sandbox de FastGPT à une RCE non authentifiée via code-server lancé avec --auth none. Versions 4.14.10 à 4.14.12 vulnérables, patch…
CVE-2026-27960 : OpenCTI takeover non-auth via API GraphQL
CVE-2026-27960 (CVSS 9.8) permet à un attaquant non authentifié de prendre le contrôle administratif d'OpenCTI via l'API GraphQL. Versions 6.6.0 à 6.9.12 vulnérables.
CVE-2026-42605 : RCE AzuraCast path traversal upload (8.8)
CVE-2026-42605 (CVSS 8.8) : un compte DJ AzuraCast suffit pour exploiter un path traversal dans l'endpoint d'upload Flow.js et déposer un webshell PHP. Patch 0.23.6 urgent.
CVE-2026-42208 : LiteLLM, le proxy IA piraté par SQLi
CVE-2026-42208 : la faille SQL injection critique du proxy LLM LiteLLM (CVSS 9.8) est exploitée et ajoutée au catalogue KEV de CISA. Mise à jour vers 1.48.3 et rotation des clés indispensables.
CVE-2026-7896 : RCE critique Chrome Blink integer overflow
Chrome 148 corrige CVE-2026-7896, integer overflow critique CVSS 9.6 dans Blink permettant RCE drive-by. PoC public depuis le 7 mai 2026, patch immédiat impératif.
CVE-2026-42354 : prise de compte Sentry via SAML SSO (9.1)
Sentry self-hosted multi-org affecté par CVE-2026-42354 (CVSS 9.1) : prise de contrôle de compte via SAML SSO forgé. Patcher vers 26.4.1 sans délai.
CVE-2026-42569 : bypass auth phpVMS import legacy (CVSS 9.4)
phpVMS jusqu'à 7.0.5 affecté par CVE-2026-42569 : bypass d'authentification sur endpoints d'import legacy, CVSS 9.4. Mise à jour 7.0.6 obligatoire.
CVE-2026-42354 : Sentry SAML SSO, prise de compte via IdP
Faille critique CVSS 9.1 dans Sentry permettant la prise de contrôle de comptes via SAML SSO. Versions 21.12.0 à 26.4.0 affectées, patch en 26.4.1.
CVE-2026-37709 : RCE critique Snipe-IT via upload (9.8)
CVE-2026-37709 : RCE CVSS 9.8 dans Snipe-IT via upload de fichiers aux permissions insécurisées. Mise à jour requise pour les versions 8.4.0 et antérieures.
CVE-2026-42454 : RCE critique Termix via containerId (9.9)
CVE-2026-42454 : RCE CVSS 9.9 dans Termix via injection de commande OS sur le paramètre containerId non assaini. Correctif 2.1.0 publié le 8 mai 2026.