NetScaler : le CERT-FR alerte sur la CVE-2026-88779 exploitée
Le CERT-FR publie l'avis AVI-1263 sur la CVE-2026-88779 dans Citrix NetScaler ADC et Gateway. La CISA la dit activement exploitée ; le correctif est en 14.1-73.41 et 13.1-64.28.
Rédaction
GitLab : exécution de code à distance (CVE-2026-90970)
Le CERT-FR publie l'avis AVI-1262 sur la CVE-2026-90970, une exécution de code à distance dans le composant AI Gateway de GitLab. Correctifs disponibles pour les branches 19.3 et 19.4.
Fuite de données à la région Hauts-de-France via ses prestataires
La région Hauts-de-France confirme une cyberattaque chez deux prestataires, Atexo et Docaposte, avec noms, e-mails et potentiellement des RIB exposés. Plainte déposée.
KillSec démantelé : opération KillSwitch, 3 arrestations, 110 To saisis
Europol démantèle le gang de rançongiciel KillSec (opération KillSwitch) : 3 interpellations dans 10 pays, site de fuite saisi, 110 To verrouillés. L'administrateur présumé a 16 ans.
Exchange : CVE-2026-96940 ouvre les boîtes mail des collègues
CVE-2026-96940, faille d'autorisation (CVSS 8.8) dans Exchange on-prem : un utilisateur authentifié lit les autres boîtes mail de l'organisation. Correctif dans la mise à jour V2 de septembre.
NIS2 : la loi résilience arrive à l'Assemblée le 7 octobre
Le projet de loi n°1112 transposant NIS2, REC et DORA est examiné à l'Assemblée nationale à partir du 7 octobre. Environ 15 000 entités seraient concernées, sous contrôle de l'ANSSI.
Tenable Nessus : 9 CVE corrigés en 10.12.5, dont une SQLi (AVI-1247)
L'avis CERT-FR AVI-1247 et le bulletin Tenable tns-2026-26 corrigent 9 CVE dans Nessus — injection SQL, défaut d'intégrité et dénis de service — colmatés par la version 10.12.5.
Apache HTTP Server 2.4.69 corrige 23 failles (CERTFR-2026-AVI-1248)
Apache httpd 2.4.69 corrige 23 vulnérabilités, dont un dépassement de pile dans mod_vhost_alias déclenchable à distance via un en-tête Host surdimensionné. Sévérité maximale : modérée.
Fuite de données : la CNIL rappelle les conditions d'indemnisation
La CNIL détaille, le 2 octobre, les trois conditions pour obtenir réparation après une violation de données RGPD — et rappelle qu'elle ne verse pas d'indemnités, seul le juge le peut.