Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-20242 : Cisco FMC Java deserialization RCE root CVSS 9.8
CVE-2026-20242 (CVSS 9.8) : désérialisation Java non sécurisée dans Cisco Secure Firewall Management Center (FMC), permettant RCE avec élévation root. Parmi 18 failles FMC corrigées le 16 septembre 2026.
Dernières alertes
CVE-2026-76460 : Cisco ISE bypass API CVSS 10.0 KEV CISA
CVE-2026-76460 (CVSS 10.0) : bypass d'authentification sur l'API REST de Cisco ISE, découvert lors d'un incident réel. KEV CISA inscrit le 16 sept. 2026, deadline fédérale 19 septembre 2026.
CVE-2026-79696 : Google ADK Python RCE CVSS 10.0
CVE-2026-79696 (CVSS 10.0) : injection de code non authentifiée dans Google Agent Development Kit Python 2.0–2.6 via replay de session forgée. Mise à jour vers google-adk 2.7.0 impérative.
CVE-2026-69676 : Windows Kerberos RCE CVSS 8.8 Patch Tuesday
CVE-2026-69676 (CVSS 8.8) : execution de code a distance dans Windows Kerberos via une attaque par capture et rejeu d'echanges d'authentification. Corrige dans le Patch Tuesday de septembre 2026. Microsoft evalue l'exploitation comme probable.
CVE-2026-57124 : RCE sans auth CVSS 9.8 dans PraisonAI MCP
Cinq vulnerabilites critiques CVSS 9.8 (CVE-2026-57124 a CVE-2026-57148) affectent PraisonAI et praisonaiagents : RCE sans authentification via l'API MCP exposee sur 0.0.0.0. Mise a jour vers la version 4.6.59 obligatoire.
CVE-2026-76461 : Cisco Email Gateway SQLi vers RCE root
CVE-2026-76461 (CVSS 9.8) : injection SQL dans Cisco AsyncOS permet une execution de commandes root sans authentification. Activement exploite, ajoute au catalogue KEV CISA le 14 septembre 2026. Patchez immediatement.
CVE-2026-19583 : Velociraptor CVSS 9.9 bypass permissions
CVE-2026-19583 (CVSS 9.9) : Rapid7 Velociraptor — un utilisateur avec droits limités peut contourner les vérifications de permission EXECVE via les monitoring artifacts et exécuter des commandes arbitraires sur tous les endpoints supervisés.
CVE-2026-72898 : Metabase SQLi non-authentifié exploité, CERT-FR
CVE-2026-72898 : injection SQL non authentifiée dans Metabase permettant un accès administrateur complet. Le CERT-FR (CERTFR-2026-ALE-010) confirme de nombreuses compromissions actives en France. Mise à jour urgente requise.
CVE-2026-57967 Apache ActiveMQ Artemis auth bypass CVSS 9.8
CVE-2026-57967 (CVSS 9.8) : Apache ActiveMQ Artemis expose un mécanisme de détournement de session non authentifié via le protocole CORE. Les versions 2.50.0 à 2.56.0 sont vulnérables, la mise à jour 2.57.0 est disponible.
CVE-2026-69579 : Windows MSMQ RCE sans authentification CVSS 9.8
CVE-2026-69579 est une vulnérabilité RCE critique CVSS 9.8 de type use-after-free dans Windows Message Queuing (MSMQ). Un attaquant non authentifié peut exécuter du code arbitraire sur tout système Windows exposant le service MSMQ via un paquet réseau forgé. Patch disponible depuis le Patch Tuesday de septembre 2026.
CVE-2026-85102 : Check Point VPN RCE sans authentification CVSS 9.8
CVE-2026-85102 et CVE-2026-85103 sont deux vulnérabilités critiques CVSS 9.8 dans Check Point Quantum Security Gateway permettant une RCE sans authentification via des failles de validation de certificat VPN. Le NCSC néerlandais alerte sur une exploitation imminente.
CVE-2026-85706 : GitLab path traversal CVSS 10.0 exploité
CVE-2026-85706 est une vulnérabilité de traversée de chemin CVSS 10.0 dans l'API commits de GitLab CE/EE, permettant à un attaquant non authentifié de lire n'importe quel fichier serveur via une seule requête HTTP. Exploitation active confirmée, ajouté au catalogue KEV CISA.
CVE-2026-83711 : Azure AD B2C auth bypass CVSS 10.0, corrigé côté serveur
CVE-2026-83711 est un contournement d'autorisation CVSS 10.0 (maximum) dans Azure Active Directory B2C divulgué le 3 septembre 2026. Microsoft a corrigé la faille côté serveur sans action requise côté client, mais les administrateurs B2C doivent vérifier leurs configurations.
CVE-2026-67277 : MikroTik RouterOS exploité, KEV CISA sept. 2026
CVE-2026-67277 affecte le service bandwidth-test de MikroTik RouterOS (CVSS 8.8), permettant un accès non authentifié et une divulgation de mémoire noyau. Ajouté au KEV CISA le 10 septembre 2026 avec exploitation active confirmée.
CVE-2026-72982 : Windows Netlogon RCE sans auth CVSS 9.8
CVE-2026-72982 est une vulnérabilité critique CVSS 9.8 dans Windows Netlogon permettant l'exécution de code à distance sans authentification sur tous les contrôleurs de domaine. Exploitation active confirmée depuis le 11 septembre 2026.
Cette CVE vous expose ? Évaluons ensemble votre risque
Nos experts évaluent votre exposition et priorisent les correctifs — réponse sous 4h en situation d'urgence. Analyse d'impact, plan de remédiation, accompagnement RSSI.