Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-34197 : RCE Apache ActiveMQ Jolokia ajoutée au KEV
Apache ActiveMQ Classic est concernée par la CVE-2026-34197, une RCE via l'API Jolokia (CVSS 8.8) ajoutée au KEV CISA après exploitation active confirmée.
Dernières alertes
CVE-2026-40477 : SSTI critique Thymeleaf vers RCE Java
Thymeleaf 3.1.3 et antérieures souffrent d'un bypass de sandbox d'expressions (CVE-2026-40477, CVSS 9.0) menant à une SSTI puis à l'exécution de code Java arbitraire.
CVE-2026-35546 : firmware non auth Anviz CX2/CX7 (RCE 9.8)
Les terminaux de contrôle d'accès Anviz CX2 Lite et CX7 acceptent un upload firmware non authentifié (CVE-2026-35546, CVSS 9.8) menant à une RCE complète, sans patch éditeur.
CVE-2026-20180 : RCE critique Cisco ISE (CVSS 9.9)
Cisco corrige CVE-2026-20180 (CVSS 9.9), une RCE authentifiée dans Identity Services Engine permettant l'accès root sur la plateforme NAC.
CVE-2026-33826 : RCE Active Directory via RPC (8.0)
Microsoft corrige CVE-2026-33826 (CVSS 8.0), une RCE Active Directory exploitable via RPC par un attaquant authentifié dans le domaine.
CVE-2026-39808 : RCE non auth FortiSandbox (CVSS 9.8)
Fortinet corrige CVE-2026-39808 (CVSS 9.8), une injection de commandes OS pré-authentification dans FortiSandbox 4.4.0 à 4.4.8.
CVE-2026-33827 : RCE critique Windows TCP/IP via IPv6 (9.8)
CVE-2026-33827 : race condition critique dans Windows TCP/IP (CVSS 9.8). RCE via paquets IPv6 sur systèmes IPSec. Patch Tuesday avril 2026.
CVE-2026-27681 : injection SQL critique SAP BPC/BW (9.9)
CVE-2026-27681 : injection SQL critique dans SAP BPC et Business Warehouse (CVSS 9.9). Un utilisateur à faibles privilèges peut exécuter du SQL arbitraire.
CVE-2026-33824 : RCE critique Windows IKE Service (9.8)
CVE-2026-33824 : faille double free critique dans Windows IKE Service (CVSS 9.8) permettant une RCE sans authentification. Patch Tuesday avril 2026.
CVE-2026-22564 : accès SSH non autorisé UniFi Play (9.8)
CVE-2026-22564 permet l'activation non autorisée de SSH sur les équipements Ubiquiti UniFi Play. CVSS 9.8, cinq failles critiques dans le même bulletin.
CVE-2025-60710 : élévation de privilèges Windows (KEV)
CVE-2025-60710 : élévation de privilèges via link following dans Windows taskhost. CVSS 7.8, exploitation active, ajouté au catalogue KEV du CISA le 13 avril 2026.
CVE-2026-24061 : bypass auth root dans GNU telnetd (9.8)
CVE-2026-24061 permet un accès root immédiat sans authentification sur tout serveur GNU telnetd. CVSS 9.8, exploitation active confirmée par le CISA.
CVE-2026-34179 : escalade de privilèges critique dans LXD
CVE-2026-34179 permet à un utilisateur restreint d'escalader ses privilèges vers admin complet du cluster Canonical LXD via une requête API non validée. CVSS 9.1, versions 4.12 à 6.7.
CVE-2026-21902 : RCE root pré-auth sur Juniper PTX (9.8)
CVE-2026-21902 permet une prise de contrôle root sans authentification des routeurs Juniper PTX sous Junos OS Evolved via une API REST exposée sur le port 8160. CVSS 9.8.
CVE-2026-5059 : injection de commande critique aws-mcp-server
CVE-2026-5059 révèle une injection de commande critique (CVSS 9.8) dans aws-mcp-server, permettant l'exécution de code à distance sans authentification sur les serveurs utilisant le protocole MCP avec AWS.