Vulnérabilités activement exploitées : le catalogue KEV de la CISA en français

CVE-2026-118527 — Ivanti Connect Secure : génération de nombres ou d'identifiants prévisibles

• Produit : Ivanti Connect Secure
• Ajoutée au catalogue : 30 octobre 2026
• Échéance CISA : 13 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-340
• Technologie : Ivanti

Ivanti Connect Secure contient une vulnérabilité de génération de nombres ou d'identifiants prévisibles qui permet à un attaquant authentifié à distance de téléverser des fichiers avec un contenu contrôlé par l'attaquant vers un emplacement connu sur le disque. Cette vulnérabilité peut être chaînée avec CVE-2026-104935 et CVE-2026-111357.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · hub.ivanti.com

CVE-2026-111357 — Ivanti Connect Secure : absence d'authentification pour une fonction critique

• Produit : Ivanti Connect Secure
• Ajoutée au catalogue : 30 octobre 2026
• Échéance CISA : 2 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306, CWE-862, CWE-345
• Gravité : CVSS 7,0 (élevée)
• Probabilité d’exploitation (EPSS) : 1 %
• Technologie : Ivanti

Ivanti Connect Secure contient une vulnérabilité d'absence d'authentification pour une fonction critique qui pourrait permettre à un attaquant authentifié localement d'élever ses privilèges. Cette vulnérabilité peut être chaînée avec CVE-2026-104935 et CVE-2026-118527.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · hub.ivanti.com

CVE-2026-97229 — GitLab, Community Edition et Enterprise Edition : vulnérabilité de débordement ou de retour au zéro d'entier Critique

• Produit : GitLab Community Edition and Enterprise Edition
• Ajoutée au catalogue : 29 octobre 2026
• Échéance CISA : 1 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-190
• Gravité : CVSS 10,0 (critique)
• Probabilité d’exploitation (EPSS) : 28 %
• Technologie : GitLab

GitLab Community Edition et Enterprise Edition contiennent une vulnérabilité de débordement ou de retour au zéro d'entier qui pourrait permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement conçue dans une configuration CI/CD, en raison d'une validation insuffisante de l'expression régulière.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · docs.gitlab.com

Fiche détaillée : versions, références, chronologie →

Sur IP73 : CVE-2026-97229 : GitLab vulnérable à l’exécution de code sans authentification

CVE-2026-76418 — Cisco, Secure Firewall ASA Software et Cisco Secure FTD Software : vulnérabilité de déréférencement de pointeur NULL sans vérification de la valeur de retour

• Produit : Cisco Secure Firewall ASA Software and Cisco Secure FTD Software
• Ajoutée au catalogue : 29 octobre 2026
• Échéance CISA : 1 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-690
• Gravité : CVSS 8,6 (élevée)
• Probabilité d’exploitation (EPSS) : 1 %

Cisco Secure Firewall ASA Software et Cisco Secure FTD Software contiennent une vulnérabilité de déréférencement de pointeur NULL sans vérification de la valeur de retour qui pourrait permettre à un attaquant distant non authentifié de provoquer un redémarrage inattendu de l'appareil, entraînant une condition de déni de service (DoS).

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · sec.cloudapps.cisco.com

CVE-2026-46300 — Linux Kernel : absence d'initialisation d'une variable Critique

• Produit : Linux Kernel
• Ajoutée au catalogue : 28 octobre 2026
• Échéance CISA : 31 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-456
• Gravité : CVSS 7,8 (élevée)
• Probabilité d’exploitation (EPSS) : 16 %
• Technologie : Noyau Linux

Le noyau Linux contient une vulnérabilité d'absence d'initialisation d'une variable qui pourrait permettre une modification non intentionnelle de données soutenues par le cache de pages via un échec de préservation du marqueur de fragment partagé lors de la coalescence des tampons de socket, provoquant le déchiffrement des fragments partagés en place lors du traitement des entrées ESP. Cette vulnérabilité peut être chaînée avec CVE-2026-109618 et CVE-2026-109619 pour implanter des webshells PHP et exécuter des commandes en tant que root.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · git.kernel.org · git.kernel.org · git.kernel.org

Fiche détaillée : versions, références, chronologie →

Sur IP73 : CISA ajoute deux vulnérabilités exploitées au catalogue KEV

CVE-2026-41709 — Broadcom, VMware ESX : vulnérabilité de journalisation insuffisante Critique

• Produit : Broadcom VMware ESX
• Ajoutée au catalogue : 28 octobre 2026
• Échéance CISA : 11 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-778
• Gravité : CVSS 2,7 (faible)
• Probabilité d’exploitation (EPSS) : 1 %

Broadcom VMWare ESX contient une vulnérabilité de journalisation insuffisante qui pourrait permettre à un acteur malveillant disposant d'un accès administrateur d'effectuer certaines opérations sans qu'elles soient enregistrées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.broadcom.com

Fiche détaillée : versions, références, chronologie →

Sur IP73 : CISA ajoute deux vulnérabilités exploitées au catalogue KEV

CVE-2026-48356 — Adobe Commerce et Magento : téléversement de fichier sans restriction avec type dangereux

• Produit : Adobe Commerce and Magento
• Ajoutée au catalogue : 27 octobre 2026
• Échéance CISA : 10 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-434
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 45 %

Adobe Commerce et Magento contiennent une vulnérabilité de téléversement de fichier sans restriction avec type dangereux qui pourrait entraîner une exécution de code arbitraire dans le contexte de l'utilisateur actuel, potentiellement en obtenant un accès ou un contrôle élevé sur le compte ou la session de la victime.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · adobe.com

CVE-2026-111497 — Google Brotli : vulnérabilité de valeur de retour non vérifiée Critique

• Produit : Google Brotli
• Ajoutée au catalogue : 27 octobre 2026
• Échéance CISA : 10 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-252, CWE-787
• Gravité : CVSS 9,2 (critique)
• Probabilité d’exploitation (EPSS) : 83 %

Google Brotli contient une vulnérabilité de valeur de retour non vérifiée qui permet à un attaquant distant non authentifié de corrompre la mémoire d'état du décodeur adjacente, de divulguer des contenus mémoire sensibles, de provoquer un déni de service ou potentiellement d'exécuter du code arbitraire en utilisant un flux Brotli compressé et fabriqué.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

Sur IP73 : Vulnérabilités Node.js affectant Cisco et exploitées activement

CVE-2026-109619 — PHP : vulnérabilité d'état de requête interne obsolète Critique

• Produit : PHP Group PHP
• Ajoutée au catalogue : 26 octobre 2026
• Échéance CISA : 29 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-416, CWE-755, CWE-824, CWE-1325, CWE-1419
• Gravité : CVSS 9,2 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : PHP

PHP contient une vulnérabilité d'état de requête interne obsolète qui permet une exécution de code à distance non authentifiée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

Sur IP73 : CVE-2026-109618 et CVE-2026-109619 : RCE activement exploitée dans PHP

CVE-2026-109618 — PHP : vulnérabilité de corruption de mémoire Critique

• Produit : PHP Group PHP
• Ajoutée au catalogue : 26 octobre 2026
• Échéance CISA : 29 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-416, CWE-755, CWE-824, CWE-1325, CWE-1419
• Gravité : CVSS 9,2 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : PHP

Php contient une vulnérabilité de corruption de mémoire qui permet une exécution de code à distance non authentifiée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

Sur IP73 : CVE-2026-109618 et CVE-2026-109619 : RCE activement exploitée dans PHP

CVE-2026-114625 — Arista VeloCloud Orchestrator : vulnérabilité d'injection SQL

• Produit : Arista VeloCloud Orchestrator
• Ajoutée au catalogue : 23 octobre 2026
• Échéance CISA : 26 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-89
• Gravité : CVSS 9,4 (critique)
• Probabilité d’exploitation (EPSS) : 1 %

Arista VeloCloud Orchestrator sur site contient une vulnérabilité d'injection SQL qui pourrait permettre à un attaquant distant d'accéder à des fonctionnalités internes privilégiées et d'affecter l'hôte VCO. Une exploitation réussie pourrait compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données gérées par l'orchestrateur.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · arista.com

CVE-2026-110447 — Collabora Online – Built-in CODE Server : injection de commandes système Critique

• Produit : Collabora Collabora Online – Built-in CODE Server
• Ajoutée au catalogue : 23 octobre 2026
• Échéance CISA : 26 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,2 (critique)
• Probabilité d’exploitation (EPSS) : 73 %

Collabora Collabora Online – Built-in CODE Server, lorsqu'il est utilisé au sein de la plateforme NextCloud, contient une vulnérabilité d'injection de commandes système qui permet une exécution de code à distance lorsque le serveur CODE n'est pas en cours d'exécution.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · help.nextcloud.com · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-96656 — Plex Media Server : contrôle externe du nom ou du chemin de fichier

• Produit : Plex Media Server
• Ajoutée au catalogue : 20 octobre 2026
• Échéance CISA : 23 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-73
• Gravité : CVSS 8,6 (élevée)
• Probabilité d’exploitation (EPSS) : 2 %

Plex Media Server contient une vulnérabilité de contrôle externe du nom ou du chemin de fichier qui peut permettre à un utilisateur administrateur d'écrire des fichiers arbitraires qui peuvent être exécutés au chargement. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96654 et CVE-2026-96655.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2026-96655 — Plex Media Server : vulnérabilité de falsification de requêtes côté serveur (SSRF)

• Produit : Plex Media Server
• Ajoutée au catalogue : 20 octobre 2026
• Échéance CISA : 3 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-918
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 2 %

Plex Media Server contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui pourrait permettre à un utilisateur authentifié de demander des adresses internes ou externes arbitraires via le paramètre de chemin '/video/:/transcode/universal'. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96654 et CVE-2026-96656.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2026-96654 — Plex Media Server : vulnérabilité de neutralisation incorrecte des schémas URI encodés dans une page web

• Produit : Plex Media Server
• Ajoutée au catalogue : 20 octobre 2026
• Échéance CISA : 23 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-84
• Gravité : CVSS 6,9 (moyenne)
• Probabilité d’exploitation (EPSS) : 2 %

Plex Media Server contient une vulnérabilité de neutralisation incorrecte des schémas URI encodés dans une page web qui pourrait permettre à un attaquant d'appeler les fonctions d'autres plugins et de fournir ses propres paramètres. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96655 et CVE-2026-96656.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2026-96652 — Plex Media Server : vulnérabilité de falsification de requêtes côté serveur (SSRF)

• Produit : Plex Media Server
• Ajoutée au catalogue : 20 octobre 2026
• Échéance CISA : 3 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-918
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 12 %

Plex Media Server contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui pourrait permettre à un attaquant utilisant n'importe quelle valeur X-Plex-Token d'inclure une URL complète dans le paramètre 'protocol' et de forcer le serveur Plex à effectuer une requête POST vers la destination choisie par l'attaquant. Cette vulnérabilité peut être enchaînée avec CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · forums.plex.tv

CVE-2026-110936 — Siemens Software Center : vulnérabilité d'élément de chemin de recherche incontrôlé

• Produit : Siemens Software Center
• Ajoutée au catalogue : 20 octobre 2026
• Échéance CISA : 3 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-427
• Gravité : CVSS 8,4 (élevée)
• Probabilité d’exploitation (EPSS) : 1 %

Siemens Software Center contient une vulnérabilité d'élément de chemin de recherche incontrôlé qui pourrait permettre à un attaquant local authentifié de placer une DLL spécialement conçue dans un répertoire que l'application recherche, entraînant une exécution de code arbitraire avec les privilèges de l'application affectée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · productcert.siemens.com

CVE-2026-106931 — EG Secure Solutions SiteGuard Server Edition : injection de commandes système

• Produit : EG Secure Solutions SiteGuard Server Edition
• Ajoutée au catalogue : 20 octobre 2026
• Échéance CISA : 23 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 8,5 (élevée)
• Probabilité d’exploitation (EPSS) : 3 %

EG Secure Solutions SiteGuard Server Edition contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant d'exécuter des commandes système arbitraires avec des privilèges root ou SYSTEM sur le système exécutant le produit affecté.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · eg-secure.co.jp

CVE-2026-102764 — BeyondTrust Remote Support : contournement de l'authentification par usurpation Critique

• Produit : BeyondTrust Remote Support
• Ajoutée au catalogue : 16 octobre 2026
• Échéance CISA : 19 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-290
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 19 %

BeyondTrust Remote Support contient une vulnérabilité de contournement de l'authentification par usurpation qui pourrait permettre à un attaquant à distance d'effectuer des opérations sur les fichiers de l'appliance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · beyondtrust.com

Fiche détaillée : versions, références, chronologie →

Sur IP73 : RCE non authentifié dans BeyondTrust Remote Support via faille d’origine

CVE-2025-61624 — Fortinet, plusieurs produits : vulnérabilité de traversée de répertoires

• Produit : Fortinet Multiple Products
• Ajoutée au catalogue : 16 octobre 2026
• Échéance CISA : 19 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 6,5 (moyenne)
• Probabilité d’exploitation (EPSS) : 1 %

FortiOS, FortiPAM, FortiProxy et FortiSwitchManager contiennent une vulnérabilité de traversée de répertoires qui pourrait permettre à un attaquant authentifié disposant d'un profil administrateur et d'au moins des permissions de lecture-écriture d'écrire ou de supprimer des fichiers arbitraires via des commandes CLI spécifiques.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · fortiguard.fortinet.com

CVE-2026-21589 — Atlassian, plusieurs produits : fichiers ou répertoires accessibles aux tiers Critique

• Produit : Atlassian Multiple Products
• Ajoutée au catalogue : 15 octobre 2026
• Échéance CISA : 18 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-552
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Plusieurs produits Atlassian (Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible et Fisheye) contiennent une vulnérabilité de fichiers ou de répertoires accessibles aux tiers qui pourrait permettre à un attaquant non authentifié d'accéder à des fichiers spécifiques dans le répertoire racine de l'application web dans les versions affectées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · confluence.atlassian.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-76519 — Cisco Secure Email Gateway : vulnérabilité de traversée de répertoires relative Critique

• Produit : Cisco Secure Email Gateway
• Ajoutée au catalogue : 14 octobre 2026
• Échéance CISA : 17 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-23
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 2 %

Cisco Secure Email Gateway contient une vulnérabilité de traversée de répertoires relative qui pourrait permettre à un attaquant distant non authentifié d'écrire des fichiers arbitraires sur le système d'exploitation sous-jacent.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · sec.cloudapps.cisco.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-105134 — Ahsay, AhsayCBS : vulnérabilité d'injection de commandes Critique

• Produit : Ahsay AhsayCBS
• Ajoutée au catalogue : 14 octobre 2026
• Échéance CISA : 17 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77, CWE-78
• Gravité : CVSS 10,0 (critique)
• Probabilité d’exploitation (EPSS) : 82 %

Ahsay AhsayCBS contient une vulnérabilité d'injection de commandes qui pourrait permettre à un attaquant distant d'exécuter des commandes système d'exploitation via la manipulation du paramètre 'random' dans le point de terminaison /rps/api/json/UpdateReceivers.do du composant Replication Receiver. Cette vulnérabilité peut être chaînée avec CVE-2026-105133.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · ahsay.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-105133 — Ahsay, AhsayCBS : vulnérabilité d'authentification incorrecte

• Produit : Ahsay AhsayCBS
• Ajoutée au catalogue : 14 octobre 2026
• Échéance CISA : 17 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287
• Gravité : CVSS 6,9 (moyenne)
• Probabilité d’exploitation (EPSS) : 79 %

Ahsay AhsayCBS contient une vulnérabilité d'authentification incorrecte qui pourrait permettre à un attaquant distant de contourner l'authentification via la manipulation du paramètre aléatoire dans la fonction checkSysPwd du composant API. Cette vulnérabilité peut être chaînée avec CVE-2026-105134.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · ahsay.com

CVE-2026-0322 — Palo Alto Networks PAN-OS : vulnérabilité d'injection de code

• Produit : Palo Alto Networks PAN-OS
• Ajoutée au catalogue : 14 octobre 2026
• Échéance CISA : 17 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 8,6 (élevée)
• Probabilité d’exploitation (EPSS) : 2 %
• Technologie : PAN-OS

Palo Alto Networks PAN-OS contient une vulnérabilité d'injection de code qui pourrait permettre à un attaquant authentifié ayant un accès réseau d'exécuter du code arbitraire avec des privilèges root sur le pare-feu.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · security.paloaltonetworks.com

CVE-2026-96951 — Microsoft Windows : vulnérabilité d'injection de commandes

• Produit : Microsoft Windows
• Ajoutée au catalogue : 13 octobre 2026
• Échéance CISA : 16 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 10 %
• Technologie : Windows

Le shell de microsoft windows contient une vulnérabilité d'injection de commandes qui permet à un attaquant non autorisé de contourner une fonctionnalité de sécurité sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-104935 — Ivanti Connect Secure : contournement de l'authentification par usurpation

• Produit : Ivanti Connect Secure
• Ajoutée au catalogue : 13 octobre 2026
• Échéance CISA : 16 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-290
• Gravité : CVSS 8,6 (élevée)
• Probabilité d’exploitation (EPSS) : 89 %
• Technologie : Ivanti

Ivanti Connect Secure contient une vulnérabilité de contournement de l'authentification par usurpation qui permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

CVE-2023-22894 — Strapi : stockage en clair d'informations sensibles

• Produit : Strapi Strapi
• Ajoutée au catalogue : 8 octobre 2026
• Échéance CISA : 11 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-312
• Gravité : CVSS 4,9 (moyenne)
• Probabilité d’exploitation (EPSS) : 4 %

Strapi contient une vulnérabilité de stockage en clair d'informations sensibles qui pourrait permettre à des attaquants ayant accès au panneau d'administration de découvrir des détails d'utilisateur sensibles via le filtre de requête. le(s) produit(s) impacté(s) pourrait être en fin de vie (eol) et/ou en fin de service (eos). il est conseillé aux utilisateurs de cesser d'utiliser et/ou de migrer vers une version prise en charge. cette vulnérabilité peut être chaînée avec CVE-2023-22621 pour obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

CVE-2021-3199 — ONLYOFFICE Docs : vulnérabilité de traversée de répertoires Critique

• Produit : ONLYOFFICE Docs
• Ajoutée au catalogue : 8 octobre 2026
• Échéance CISA : 11 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 30 %

ONLYOFFICE Docs contient une vulnérabilité de traversée de répertoires qui peut se produire lorsque JWT est utilisé, via une séquence /.. dans un paramètre de téléversement d'image et pourrait permettre une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2016-3081 — Apache Struts : vulnérabilité d'injection de commandes

• Produit : Apache Struts
• Ajoutée au catalogue : 8 octobre 2026
• Échéance CISA : 11 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : 97 %
• Technologie : Apache Struts

Apache Struts contient une vulnérabilité d'injection de commandes qui pourrait permettre à des attaquants distants d'exécuter du code arbitraire via la méthode :prefix lorsque l'invocation de méthode dynamique est activée.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA