Le CERT-FR signale sur Stormshield Network Security une vérification de signature défaillante qui accepte firmware et mises à jour non authentifiés, plus un XSS DOM. Correctifs disponibles.
Le CERT-FR relaie l'avis F5 du 14 octobre : 11 CVE touchent toute la gamme NGINX (OSS, Plus, App Protect, Ingress, Gateway Fabric), avec exécution de code à distance possible.
CVE-2026-110447 (CVSS 9.2) est une injection de commande non authentifiée dans le serveur CODE intégré de Nextcloud, exploitée depuis septembre pour déposer des webshells. Passez en 26.4.303.
Le CERT-FR relaie un lot massif de correctifs Palo Alto. Une seule faille, CVE-2026-0322, une RCE de l'interface d'administration PAN-OS, est activement exploitée.
Le CERT-FR alerte (AVI-1311) sur sept CVE Ivanti dont la CVE-2026-104935, contournement d'authentification activement exploité. La CISA fixe l'échéance de correction au 16 octobre.
Le Patch Tuesday d'octobre 2026 corrige plus de 1 400 failles, dont la zero-day CVE-2026-96951 (Windows Shell) activement exploitée. Cinquième mois de record d'affilée.
Le CERT-FR recense 35 CVE touchant les pilotes MongoDB (C, C++, Go, PHP, Python) et libmongocrypt. Impact principal : déni de service à distance. La correction passe par vos dépendances applicatives.
Le CERT-FR publie l'AVI-1295 : CVE-2026-22056, un déni de service à distance dans NetApp StorageGRID. Gravité faible (CVSS 2.3) en configuration non standard. Correctif par mise à niveau.
Le CERT-FR publie l'avis AVI-1294 : 24 vulnérabilités dans GitLab, dont la CVE-2026-97229, une exécution de code à distance non authentifiée notée 10/10. Correctifs 19.4.2, 19.3.4 et 19.2.8.
Le CERT-FR relaie deux failles du pilote PostgreSQL JDBC (CVE-2026-107314 et 107315) : contournement d'authentification et fuite de données entre requêtes. Correctif en 42.7.14.
Le CERT-FR relaie 30 CVE Cisco corrigées le 7 octobre sur APIC, NX-OS, Meraki et UCS, dont plusieurs exécutions de code à distance sur NX-OS. Certains correctifs ne sont pas encore disponibles.
Le CERT-FR signale cinq vulnérabilités dans Nextcloud (Server, Team Folders, files_lock, Collectives) : élévation de privilèges, déni de service et atteinte à la confidentialité des données.
Le CERT-FR relaie une vague de correctifs Splunk (Enterprise, Add-on AWS, MCP Server) couvrant exécution de code à distance, SSRF, injection SQL et élévation de privilèges.
Le CERT-FR relaie une injection de commande OS (CVE-2026-106126, CVSS 9.9) dans Tenable Identity Exposure. Corrigé en 3.126.0 ; le listener IOA doit être réinstallé.
L'avis CERTFR-2026-AVI-1290 relaie quatre CVE dans Apache Struts, dont CVE-2026-104711, une injection OGNL menant à l'exécution de code. Correctifs en Struts 6.12.0 et 7.4.0.
L'ANSSI relaie dans l'avis CERTFR-2026-AVI-1285 une faille critique de NetScaler ADC et Gateway, CVE-2026-107406 (CVSS 9.5), exploitable quand l'appliance est configurée en SP ou IdP SAML.
Google corrige 24 vulnérabilités dans Android (niveau de correctif 2026-10-05), dont de l'exécution de code à distance et de l'élévation de privilèges. Le CERT-FR relaie via CERTFR-2026-AVI-1265.
Le CERT-FR relaie l'avis Atlassian : CVE-2026-21589 permet à un attaquant non authentifié de lire des fichiers sur huit produits Data Center. Correctifs disponibles.
Microsoft corrige une exécution de code à distance dans Office (CVE-2026-100208) touchant Microsoft 365 Apps et Office LTSC 2021/2024. Le CERT-FR relaie via CERTFR-2026-AVI-1266.
Le CERT-FR alerte sur CVE-2026-59265 dans OpenOffice : un classeur piégé charge un pilote Java distant et exécute du code à l'ouverture, sans avertissement de macro.
Zabbix publie 6.0.48, 7.0.29 et 7.4.13 pour corriger six vulnérabilités (CVE-2026-59782 à 59788). Le CERT-FR relaie via CERTFR-2026-AVI-1261. Aucune exploitation signalée.
Le CERT-FR publie l'avis AVI-1263 sur la CVE-2026-88779 dans Citrix NetScaler ADC et Gateway. La CISA la dit activement exploitée ; le correctif est en 14.1-73.41 et 13.1-64.28.
Le CERT-FR publie l'avis AVI-1262 sur la CVE-2026-90970, une exécution de code à distance dans le composant AI Gateway de GitLab. Correctifs disponibles pour les branches 19.3 et 19.4.
CVE-2026-96940, faille d'autorisation (CVSS 8.8) dans Exchange on-prem : un utilisateur authentifié lit les autres boîtes mail de l'organisation. Correctif dans la mise à jour V2 de septembre.
L'avis CERT-FR AVI-1247 et le bulletin Tenable tns-2026-26 corrigent 9 CVE dans Nessus — injection SQL, défaut d'intégrité et dénis de service — colmatés par la version 10.12.5.
Apache httpd 2.4.69 corrige 23 vulnérabilités, dont un dépassement de pile dans mod_vhost_alias déclenchable à distance via un en-tête Host surdimensionné. Sévérité maximale : modérée.
L'ANSSI relaie dans l'avis CERTFR-2026-AVI-1244 une série de failles corrigées dans Thunderbird. Mettez à jour vers 140.17, 153.4 ou 157 selon votre branche.
Premier point de situation du dispositif REACTIV de l'ANSSI : 99 violations signalées depuis le 1er août, 67 confirmées, et neuf instances Metabase ministérielles compromises (CVE-2026-72898).
Cisco confirme l'exploitation active de CVE-2026-76504 (CVSS 9.8), un contournement d'authentification sur Catalyst SD-WAN Manager ; l'ANSSI publie l'avis CERTFR-2026-AVI-1246.
L'ANSSI relaie deux vulnérabilités TLS dans CPython : un use-after-free critique (CVE-2026-19445) et une validation d'hôte manquante dans wrap_bio (CVE-2026-19553).
Google publie Chrome 154.0.8037.92/.93 et corrige 32 vulnérabilités, dont une critique (CVE-2026-102331) dans ANGLE. Le CERT-FR relaie via CERTFR-2026-AVI-1237.
Mozilla publie Firefox 157 et les ESR 153.4, 140.17 et 115.42, corrigeant plusieurs dizaines de CVE. Le CERT-FR relaie via CERTFR-2026-AVI-1240. Aucune exploitation signalée.
HPE corrige 18 failles dans Aruba Networking Instant On, dont CVE-2026-76721 (CVSS 9.8), un débordement de tampon non authentifié menant à l'exécution de code à distance. Correctif en 3.4.2.0.
Le CERT-FR liste cinq vulnérabilités touchant MongoDB, ses pilotes et Compass. Impacts : atteinte à l'intégrité des données et contournement de la politique de sécurité. Correctifs disponibles.
OpenSSL corrige CVE-2026-84782, une faille DTLS de sévérité haute qui peut divulguer de la mémoire tas non chiffrée ou faire planter les applications DTLS. Correctifs en 4.0.3, 3.6.5, 3.5.9, 3.4.8.
Mandiant décrit une campagne relancée contre Oracle PeopleSoft : un encodage d'un seul caractère contourne les règles WAF déployées à la place du correctif de CVE-2026-35273.
Le CERT-FR confirme l'exploitation active de CVE-2026-86950, une faille CoreGraphics d'Apple. Correctifs dans iOS/iPadOS 26.7.1 et macOS 15.8.1 / 26.7.1. Signalée par Meta.
Le CERT-FR passe en alerte : Citrix corrige huit failles NetScaler ADC/Gateway, dont CVE-2026-88771 (CVSS 9.5) exploitée en zero-day. PoC public, configuration par défaut vulnérable.
Le CERT-FR a publié le 15 juillet l'alerte ALE-006. Les boîtiers SonicWall SMA 6210, 7210 et 8200v cumulent CVE-2026-15409 (SSRF, CVSS 10.0) et CVE-2026-15410, exploitées en chaîne.
L'avis CERT-FR AVI-0905 renvoie au bulletin Tenable tns-2026-19 : 52 CVE — RCE, injections SQL et contournements — colmatés par le patch SC202607.1 publié le 20 juillet.
Le CERT-FR répercute Siemens SSA-229470 : bypass de vérification de signature firmware sur SICAM A8000 (CPCI85/SICORE) et DoS via interface de debug HTTP. CVE-2026-54798, CVE-2026-54799 et plus.
CERT-FR répercute le 9 juillet le palier Palo Alto Networks du 8 juillet : 13 vulnérabilités, dont CVE-2026-0288, un dépassement de tampon dans le User-ID TSA classé urgence maximale.
Le CERT-FR répercute le palier GitLab du 8 juillet : huit vulnérabilités corrigées, dont CVE-2026-6896, un XSS côté EE côté rendu de tableau de vulnérabilités.
Le CERT-FR répercute la livraison PHP du 2 juillet. openssl_encrypt en mode AES-WRAP-PAD écrit hors buffer et corrompt le tas. Toutes les branches supportées sont concernées.
Le CERT-FR répercute la sortie de Roundcube 1.6.17 et 1.7.2 : XSS stocké zero-click en texte brut (CVE-2026-54433) et XSS via type MIME (CVE-2026-54432). Mettez à jour.
ClamAV publie le 1er juillet les versions 1.5.3 et 1.4.5, sept CVE dans les parseurs PE, exFAT, ALZ, 7z et DMG. CERT-FR répercute dans AVI-0824. Aucun contournement selon Cisco.
Traefik 3.7.6 et 2.11.51 (30 juin) corrigent CVE-2026-54763 — spoofing d'identité ForwardAuth via headers underscore, CVSS 9.1. CERT-FR a publié l'avis AVI-0823 le 1er juillet.
Le CERT-FR relaie le lot Tomcat du 29 juin 2026 : quatre CVE dont CVE-2026-55956 (contournement des contraintes de sécurité, servlet par défaut). Correctifs en 9.0.119, 10.1.56, 11.0.23.
Le CERT-FR publie l'avis CERTFR-2026-AVI-0822 sur le bulletin Citrix CTX696604 : six CVE NetScaler ADC/Gateway, dont CVE-2026-8451, une fuite mémoire pré-auth sur le point SAML.
Le CERT-FR relaie le bulletin Stormshield 2026-012 : cinq CVE OpenSSL et PostgreSQL embarquées dans SMC, correctif en 3.9.2. RCE, confidentialité et intégrité listées.
Keycloak 26.6.4 du 26 juin patche huit CVE — dont CVE-2026-11800 (bypass JWT, 8.1) et CVE-2026-9800 (Policy Enforcer URI, 8.1). CERT-FR a publié l'avis AVI-0815 le 29 juin.
Le CERT-FR relaie le 25 juin six avis Asterisk. RCE conditionnelle via ARI WebSocket, heap-use-after-free PJSIP, bypass live_dangerously. Patchs en 20.20.1, 21.12.3, 22.10.1, 23.4.1.
Le CERT-FR répercute le palier CPython du 23 juin : un DoS tarfile, une évasion de répertoire (correctif incomplet de CVE-2025-4330) et une injection configparser.
Le CERT-FR répercute le palier GitLab du 24 juin : versions 19.1.1, 19.0.3 et 18.11.6 colmatent 13 vulnérabilités, dont trois critiques côté EE.
CERT-FR répercute le 24 juin l'avis Tenable TNS-2026-16 : RCE, SQLi et DoS sur Identity Exposure < 3.93.5. À patcher en priorité sur les déploiements AD tier-0.
ANSSI publie CERTFR-2026-AVI-0794 le 22 juin : MSA-26-0005 (SQLi auth_db) et MSA-26-0006 (RCE Google Drive) corrigés. Versions 5.2.1 / 5.1.5 / 5.0.8 / 4.5.12.
CERTFR-2026-AVI-0789 (mis à jour le 22 juin) couvre CVE-2026-6645, une élévation de privilèges locale à SYSTEM dans pc-printer-updater.exe. Correctif intégré au client Print Deploy v2699.
CERTFR-2026-AVI-0785 (19 juin) couvre CVE-2026-54762 dans le provider Kubernetes Ingress NGINX de Traefik : un Secret absent fait publier la route en clair. Correctif 3.7.5.
CERTFR-2026-AVI-0772 (18 juin) couvre CVE-2026-20181 (RCE authentifié CVSS 9.1, Critical) et CVE-2026-20190 (divulgation creds, CVSS 7.5). Branche 3.5 sans correctif intégré avant août.
ShinyHunters annonce avoir exfiltré 297 Go et 429 000 fichiers du Conseil de l'Europe via la zero-day Oracle PeopleSoft CVE-2026-35273. L'institution enquête, l'ultimatum du 16 juin est passé.
CERT-FR amplifie le 16 juin quatre vulnérabilités Spring : RCE par désérialisation de curseur GraphQL, CSWSH sur le transport WebSocket, contournement d'autorisations, et journal Artemis prédictible.
Stormshield publie SNS 5.0.6 pour intégrer le correctif OpenSSL CVE-2026-31790. RSASVE laisse fuiter de la mémoire non initialisée vers un pair malveillant. Bulletin 2026-011.
Le CERT-FR publie l'avis CERTFR-2026-AVI-0689 sur CVE-2026-20230, SSRF non authentifiée dans Unified CM. Critique côté Cisco, PoC public. Patch 14SU6 dispo, 15SU5 attendu en septembre.
GLPI publie un cycle de patch couvrant 13 vulnérabilités dont 4 hautes, à l'origine de XSS stockés, suppressions arbitraires et contournements. Avis CERT-FR du 2 juin.
Le CERT-FR publie l'avis CERTFR-2026-AVI-0670 sur CVE-2026-48019, une faille CRLF dans la validation d'email de Laravel. Patch obligatoire en 12.60.0 ou 13.10.0.
GitLab publie un cycle de patch de sécurité couvrant sept CVE, dont CVE-2026-4868 (8,2) sur l'identité des workflows Duo AI. Avis CERT-FR du 28 mai.
Veeam patche en urgence VBR 13.0.2.29 : écriture de fichier authentifiée sur l'appliance Linux (8,6) et élévation de privilèges locale sur l'agent Windows (7,3). Avis CERT-FR du 27 mai.
Le CERT-FR a relayé le 27 mai les six failles corrigées par Samba 4.22.10, 4.23.8 et 4.24.3. Deux RCE critiques, dont une non authentifiée sur SAMR.
Le CERT-FR a publié le 26 mai l'avis CERTFR-2026-AVI-0643 sur une faille critique (CVSS 9.2) dans ngx_http_rewrite_module. PoC public, exploitation observée.
Le CERT-FR relaie l'avis Roundcube du 24 mai : SQLi pré-auth dans virtuser_query, suppression de fichiers par poisoning Redis/Memcache, injection de code LDAP. Mettez à jour 1.6.16 / 1.7.1.
Le CERT-FR publie un avis cumulant plus de 30 CVE dans Db2, Db2 Big SQL, Db2 on Cloud Pak et Open SDK for Rust on AIX. Plusieurs permettent l'exécution de code à distance.
Une injection SQL non authentifiée dans l’API d’abstraction base de données de Drupal touche tous les sites sur PostgreSQL. Drupal la note 23/25. Les attaques ont démarré deux jours après le patch.
Une élévation de privilège dans le plugin LiteSpeed User-End cPanel permet à n’importe quel compte cPanel d’exécuter du code en root. Le scan massif a démarré 72 h après la divulgation.