ClamAV 1.5.3 et 1.4.5 corrigent sept CVE, CERT-FR publie AVI-0824
ClamAV publie le 1er juillet les versions 1.5.3 et 1.4.5, sept CVE dans les parseurs PE, exFAT, ALZ, 7z et DMG. CERT-FR répercute dans AVI-0824. Aucun contournement selon Cisco.
Rédaction
Google et le FBI démantèlent NetNut : 2 millions d'appareils domestiques loués comme proxy
Google Threat Intelligence Group et le FBI perturbent NetNut le 2 juillet 2026. Réseau de proxy résidentiel bâti sur 2 M d'appareils infectés, utilisé par 316 clusters malveillants en une semaine.
Traefik 3.7.6 corrige trois CVE, dont un bypass ForwardAuth CVSS 9.1
Traefik 3.7.6 et 2.11.51 (30 juin) corrigent CVE-2026-54763 — spoofing d'identité ForwardAuth via headers underscore, CVSS 9.1. CERT-FR a publié l'avis AVI-0823 le 1er juillet.
Apache Tomcat : CERT-FR AVI-0817 relaie quatre CVE, dont un contournement de contraintes de sécurité
Le CERT-FR relaie le lot Tomcat du 29 juin 2026 : quatre CVE dont CVE-2026-55956 (contournement des contraintes de sécurité, servlet par défaut). Correctifs en 9.0.119, 10.1.56, 11.0.23.
CERTFR-2026-AVI-0822 : six CVE Citrix NetScaler, fuite mémoire SAML
Le CERT-FR publie l'avis CERTFR-2026-AVI-0822 sur le bulletin Citrix CTX696604 : six CVE NetScaler ADC/Gateway, dont CVE-2026-8451, une fuite mémoire pré-auth sur le point SAML.
Pulsy Grand Est : 180 750 identités patients extraites via des comptes de soignants compromis
Pulsy confirme 180 750 identités patients extraites après compromission de comptes de professionnels de santé. Un acteur revendique 5,86 millions d'enregistrements. CNIL et CERT Santé notifiés.
Stormshield SMC 3.9.2 corrige un lot OpenSSL/PostgreSQL (CERTFR-2026-AVI-0816)
Le CERT-FR relaie le bulletin Stormshield 2026-012 : cinq CVE OpenSSL et PostgreSQL embarquées dans SMC, correctif en 3.9.2. RCE, confidentialité et intégrité listées.
Apple publie iOS et macOS Tahoe 26.5.2 hors cycle face aux exploits accélérés par IA
Apple a poussé le 29 juin iOS 26.5.2, iPadOS 26.5.2 et macOS Tahoe 26.5.2 hors cycle. Correctifs noyau, WebKit, IOGPUFamily, libxslt. Aucune faille déclarée exploitée à la publication.
Keycloak 26.6.4 corrige huit CVE, CERT-FR publie l'avis AVI-0815
Keycloak 26.6.4 du 26 juin patche huit CVE — dont CVE-2026-11800 (bypass JWT, 8.1) et CVE-2026-9800 (Policy Enforcer URI, 8.1). CERT-FR a publié l'avis AVI-0815 le 29 juin.