Alertes CVE & Vulnérabilités
CVE critiques · Exploitations actives · 0-day · Correctifs urgents · Alertes CERT-FR
CVE-2026-87491 : Chrome V8 zero-day exploité, 7e 0-day 2026
CVE-2026-87491 : out-of-bounds write dans Chrome V8, 7e zero-day Chrome de 2026 exploité in-the-wild. Mise à jour vers Chrome 153.0.8010.36 obligatoire. CISA KEV, délai au 23 septembre 2026.
Dernières alertes
CVE-2025-25249 : Fortinet FortiOS buffer overflow KEV CISA
CVE-2025-25249 : heap overflow CVSS 9.8 dans Fortinet FortiOS exploitée pour déployer le RAT PivotC2. Plus de 3 000 appareils ciblés, 178 infections confirmées. CISA KEV, patch urgent requis.
CVE-2026-20079 : Cisco FMC CVSS 10 exploité Sandworm Qilin
CVE-2026-20079 : contournement d'authentification CVSS 10.0 dans Cisco Secure FMC exploité par Sandworm (GRU), Qilin ransomware et un cluster de vol de credentials. CISA KEV délai dépassé.
CVE-2026-67401 : cPanel EmailTrack injection SQL, RCE root CVSS 9.9
CVE-2026-67401 (CVSS 9.9) dans cPanel & WHM : injection SQL dans EmailTrack permet à tout compte mail ordinaire d'obtenir l'exécution de code root sur le serveur. Risque de compromission en cascade de tous les sites hébergés.
CVE-2026-69525 : Remote Desktop Services RCE CVSS 9.8, use-after-free
CVE-2026-69525 (CVSS 9.8) : use-after-free dans Remote Desktop Services Windows permet l'exécution de code SYSTEM sans authentification. Microsoft classe l'exploitation comme probable. Parmi les 20 bugs wormable du Patch Tuesday septembre 2026.
CVE-2026-55007 : Exchange Server RCE via email Visio sans auth
CVE-2026-55007 (CVSS 8.1) : double free dans Exchange Server 2019 permet l'exécution de code à distance via un simple email Visio, sans authentification. Classée priorité absolue par Zero Day Initiative sur le Patch Tuesday septembre 2026.
CVE-2026-81963 : Windows Update Stack 0-day EoP SYSTEM, KEV CISA
CVE-2026-81963 est une élévation de privilèges zero-day (CVSS 7.8) dans Windows Update Stack exploitée in-the-wild, ajoutée au CISA KEV le 8 septembre 2026. Utilisée en chaîne avec des RCE pour atteindre SYSTEM.
CVE-2026-78509 : Outlook RCE CVSS 9.8 via volet de lecture
CVE-2026-78509 est un heap overflow critique (CVSS 9.8) dans Microsoft Outlook déclenché par la simple prévisualisation d'un e-mail malveillant. Aucune interaction utilisateur requise — patch Patch Tuesday septembre 2026 immédiat.
CVE-2026-69730 : Windows DNS Server RCE non-auth CVSS 9.8
CVE-2026-69730 est un use-after-free critique (CVSS 9.8) dans Windows DNS Server permettant une RCE non authentifiée depuis le réseau. Tous les contrôleurs de domaine Active Directory sont exposés — patch Patch Tuesday septembre 2026 obligatoire.
CVE-2026-75650 StyleSmuggler : Adobe Commerce RCE CVSS 10
CVE-2026-75650 (StyleSmuggler) est un zero-day RCE non authentifié CVSS 10.0 dans Adobe Commerce et Magento. Exploité depuis le 4 septembre 2026, il déploie un backdoor Rust. Patch Adobe APSB26-146 disponible depuis le 7 septembre.
CVE-2026-70352 : Azure AI Language sans auth, CVSS 10.0
CVE-2026-70352 affecte Azure AI Language Authoring avec un score CVSS de 10.0. L'absence d'authentification sur une fonction critique permet à un attaquant réseau non authentifié de manipuler les modèles de langage déployés en production.
CVE-2026-85880 : Windows ALPC zero-day exploité, escalade SYSTEM
CVE-2026-85880 est un zero-day activement exploité dans Windows ALPC permettant une élévation de privilèges jusqu'à SYSTEM. Patché dans le Patch Tuesday de septembre 2026, cette faille touche toutes les versions de Windows sous support actif.
CVE-2026-69836 : Microsoft Entra ID zero-day RCE patchée
CVE-2026-69836 : zero-day RCE dans Microsoft Entra ID découvert en interne par Microsoft et corrigé côté serveur le 8 septembre 2026. Aucune action client requise, mais audit des logs recommandé.
CVE-2026-86509 : D-Link DIR-895L stack overflow CVSS 9.6
CVE-2026-86509 (CVSS 9.6) : stack buffer overflow dans le D-Link DIR-895L via udhcpcd/serverpacket.c. PoC public disponible le jour de la divulgation. Équipement EOL sans patch prévu.
CVE-2026-76969 : SAP CAP credentials disclosure CVSS 9.4
CVE-2026-76969 (CVSS 9.4) : la bibliothèque SAP @sap/cds-mtxs expose des credentials de manière non authentifiée dans les apps CAP multitenant. Patch via SAP Security Note 3576073.
Cette CVE vous expose ? Évaluons ensemble votre risque
Nos experts évaluent votre exposition et priorisent les correctifs — réponse sous 4h en situation d'urgence. Analyse d'impact, plan de remédiation, accompagnement RSSI.