Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-40477 : SSTI critique Thymeleaf vers RCE Java
Thymeleaf 3.1.3 et antérieures souffrent d'un bypass de sandbox d'expressions (CVE-2026-40477, CVSS 9.0) menant à une SSTI puis à l'exécution de code Java arbitraire.
Dernières alertes
CVE-2026-35546 : firmware non auth Anviz CX2/CX7 (RCE 9.8)
Les terminaux de contrôle d'accès Anviz CX2 Lite et CX7 acceptent un upload firmware non authentifié (CVE-2026-35546, CVSS 9.8) menant à une RCE complète, sans patch éditeur.
Ni8mare : faille CVSS 10.0 dans n8n (CVE-2026-21858)
Une vulnérabilité maximale CVSS 10.0 dans la plateforme d'automatisation n8n permet la prise de contrôle non authentifiée. Cyera Research la baptise Ni8mare. Toutes les versions…
CVE-2026-20184 : faille critique SSO Cisco Webex corrigée
CVE-2026-20184 (CVSS 9.8) : faille critique SSO Cisco Webex permettant d'usurper n'importe quel utilisateur. Action requise pour les clients en SSO.
CVE-2026-20180 : RCE critique Cisco ISE (CVSS 9.9)
Cisco corrige CVE-2026-20180 (CVSS 9.9), une RCE authentifiée dans Identity Services Engine permettant l'accès root sur la plateforme NAC.
CVE-2026-33826 : RCE Active Directory via RPC (8.0)
Microsoft corrige CVE-2026-33826 (CVSS 8.0), une RCE Active Directory exploitable via RPC par un attaquant authentifié dans le domaine.
CVE-2026-39808 : RCE non auth FortiSandbox (CVSS 9.8)
Fortinet corrige CVE-2026-39808 (CVSS 9.8), une injection de commandes OS pré-authentification dans FortiSandbox 4.4.0 à 4.4.8.
CVE-2026-33032 : faille critique nginx-ui exploitee (MCPwn)
La faille CVE-2026-33032, codee MCPwn par Pluto Security, expose plus de 2 689 instances nginx-ui a une prise de controle totale. Le correctif 2.3.4 doit etre applique en urgence.
CVE-2026-32201 : zero-day SharePoint exploite (BlueHammer)
Microsoft a corrige en avril 2026 un zero-day SharePoint exploite dans la nature. La faille CVE-2026-32201 permet une usurpation de contenu sur les serveurs SharePoint 2016, 2019 et…
CVE-2026-33827 : RCE critique Windows TCP/IP via IPv6 (9.8)
CVE-2026-33827 : race condition critique dans Windows TCP/IP (CVSS 9.8). RCE via paquets IPv6 sur systèmes IPSec. Patch Tuesday avril 2026.
CVE-2026-27681 : injection SQL critique SAP BPC/BW (9.9)
CVE-2026-27681 : injection SQL critique dans SAP BPC et Business Warehouse (CVSS 9.9). Un utilisateur à faibles privilèges peut exécuter du SQL arbitraire.
CVE-2026-33824 : RCE critique Windows IKE Service (9.8)
CVE-2026-33824 : faille double free critique dans Windows IKE Service (CVSS 9.8) permettant une RCE sans authentification. Patch Tuesday avril 2026.
CVE-2026-22564 : accès SSH non autorisé UniFi Play (9.8)
CVE-2026-22564 permet l'activation non autorisée de SSH sur les équipements Ubiquiti UniFi Play. CVSS 9.8, cinq failles critiques dans le même bulletin.
CVE-2025-60710 : élévation de privilèges Windows (KEV)
CVE-2025-60710 : élévation de privilèges via link following dans Windows taskhost. CVSS 7.8, exploitation active, ajouté au catalogue KEV du CISA le 13 avril 2026.
CVE-2026-24061 : bypass auth root dans GNU telnetd (9.8)
CVE-2026-24061 permet un accès root immédiat sans authentification sur tout serveur GNU telnetd. CVSS 9.8, exploitation active confirmée par le CISA.