Veille Systèmes & Réseaux Systems & Network Watch

Ivanti Connect Secure : deux nouvelles failles de la chaîne d'exploitation zero-day ajoutées au catalogue CISA KEV — Le 30 octobre 2026, la CISA a ajouté à son catalogue des vulnérabilités exploitées connues (KEV) deux failles supplémentaires d'Ivanti Connect Secure : CVE-2026-111357 (authentification manquante pour une fonction critique, permettant à un attaquant authentifié local d'élever ses privilèges) et CVE-2026-118527 (génération de nombres/identifiants prévisibles, permettant à un attaquant authentifié distant de déposer des fichiers à un emplacement disque connu). Ces deux failles peuvent être enchaînées avec CVE-2026-104935 (contournement d'authentification par usurpation, déjà exploité et corrigé par Ivanti le 13 octobre 2026) ; selon Volexity, cette chaîne a permis d'obtenir un accès root non authentifié sur des appliances ICS pourtant déjà patchées. La CISA fixe une échéance de remédiation au 2 novembre 2026 pour CVE-2026-111357 et au 13 novembre 2026 pour CVE-2026-118527 pour les agences fédérales américaines (directive BOD 26-04). Source

Ivanti Connect Secure: two more flaws from the zero-day exploit chain added to the CISA KEV catalog — On October 30, 2026, CISA added two additional Ivanti Connect Secure flaws to its Known Exploited Vulnerabilities (KEV) catalog: CVE-2026-111357 (missing authentication for a critical function, allowing a local authenticated attacker to escalate privileges) and CVE-2026-118527 (generation of predictable numbers/identifiers, allowing a remote authenticated attacker to upload files to a known disk location). Both can be chained with CVE-2026-104935 (authentication bypass by spoofing, already exploited and patched by Ivanti on October 13, 2026); according to Volexity, this chain allowed unauthenticated root access on ICS appliances that were already fully patched. CISA has set a remediation deadline of November 2, 2026 for CVE-2026-111357 and November 13, 2026 for CVE-2026-118527 for US federal agencies (BOD 26-04 directive). Source

➜ À faire : Mettre à jour en urgence les appliances Ivanti Connect Secure du parc vers la dernière version corrigée indiquée dans l'avis officiel Ivanti (référence CVE-2026-104935 sur hub.ivanti.com), vérifier qu'aucune des trois failles de la chaîne n'est exploitable sur les appliances déjà patchées, et si une mise à jour immédiate n'est pas possible, isoler l'appliance du réseau Internet et auditer les journaux d'accès à la recherche d'indices de compromission.

➜ To do: Urgently update Ivanti Connect Secure appliances in the fleet to the latest fixed version per Ivanti's official advisory (reference CVE-2026-104935 on hub.ivanti.com), verify that none of the three chained flaws remain exploitable on already-patched appliances, and if an immediate update is not possible, isolate the appliance from the internet and audit access logs for indicators of compromise.

Cisco ASA/FTD : faille SSL VPN (CVE-2026-76418) exploitée activement, ajoutée au catalogue CISA KEV — Cisco a publié le 28 octobre 2026 l'avis cisco-sa-asaftd-tunnel-dos-s6mgkb75 concernant CVE-2026-76418, une vulnérabilité de déni de service (CVSS 8.6) affectant le service VPN SSL d'accès distant (Remote Access SSL VPN) des logiciels Cisco Secure Firewall ASA et Secure FTD, lorsque l'authentification secondaire est configurée au niveau du groupe de tunnel. Le PSIRT de Cisco a confirmé une exploitation active en octobre 2026 ; la CISA a ajouté la faille à son catalogue KEV le 29 octobre 2026, avec une échéance de remédiation fixée au 1er novembre 2026 pour les agences fédérales américaines. Aucun contournement complet n'existe, seule la mise à jour corrige le problème. Source

Cisco ASA/FTD: SSL VPN flaw (CVE-2026-76418) under active exploitation, added to CISA KEV catalog — On October 28, 2026, Cisco published advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75 for CVE-2026-76418, a denial-of-service vulnerability (CVSS 8.6) affecting the Remote Access SSL VPN service of Cisco Secure Firewall ASA and Secure FTD software when secondary authentication is configured at the tunnel group scope. Cisco PSIRT confirmed active exploitation in October 2026; CISA added the flaw to its KEV catalog on October 29, 2026, with a remediation deadline of November 1, 2026 for US federal agencies. No full workaround exists — only upgrading fixes the issue. Source

➜ À faire : Recenser les boîtiers ASA/FTD du parc utilisant le VPN SSL d'accès distant avec authentification secondaire sur le groupe de tunnel, et mettre à jour en urgence vers les versions corrigées (ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27/9.24.10.1 ; FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1) avant le 1er novembre 2026 ; à défaut, désactiver temporairement l'authentification secondaire sur le groupe de tunnel concerné.

➜ To do: Inventory ASA/FTD appliances in the fleet using Remote Access SSL VPN with secondary authentication on the tunnel group, and urgently update to the fixed releases (ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27/9.24.10.1; FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1) before November 1, 2026; otherwise, temporarily disable secondary authentication on the affected tunnel group.

GitLab : faille critique RCE non authentifiée (CVE-2026-97229, CVSS 10.0) ajoutée au catalogue CISA KEV — GitLab a corrigé le 12 octobre 2026 (versions 19.4.2, 19.3.5 et 19.2.8 des éditions Community et Enterprise) la vulnérabilité CVE-2026-97229, un dépassement d'entier (integer overflow) dans le compilateur d'expressions régulières utilisé par GitLab CI/CD, noté CVSS 10.0. Signalée par le chercheur joaxcar via le programme HackerOne de GitLab, elle permettait à un attaquant non authentifié d'exécuter du code arbitraire sur le serveur via une expression régulière spécialement conçue. La CISA l'a ajoutée le 29 octobre 2026 à son catalogue des vulnérabilités exploitées connues (KEV), avec une échéance de remédiation fixée au 1er novembre 2026 pour les agences fédérales américaines et une exigence de triage forensique. Source

GitLab: critical unauthenticated RCE flaw (CVE-2026-97229, CVSS 10.0) added to CISA KEV catalog — On October 12, 2026, GitLab fixed (versions 19.4.2, 19.3.5, and 19.2.8 of the Community and Enterprise editions) CVE-2026-97229, an integer overflow in the regular-expression compiler used by GitLab CI/CD, rated CVSS 10.0. Reported by researcher joaxcar via GitLab's HackerOne bug bounty program, it allowed an unauthenticated attacker to execute arbitrary code on the server via a specially crafted regular expression. CISA added it to its Known Exploited Vulnerabilities (KEV) catalog on October 29, 2026, with a remediation deadline of November 1, 2026 for US federal agencies and a forensic triage requirement. Source

➜ À faire : Vérifier la version des instances GitLab autogérées (self-managed) du parc et mettre à jour en urgence vers 19.2.8, 19.3.5 ou 19.4.2 selon la branche utilisée (GitLab.com et GitLab Dedicated sont déjà protégés) ; en cas d'exploitation suspectée, effectuer une analyse forensique des journaux d'accès et des pipelines CI/CD avant toute remédiation.

➜ To do: Check the version of self-managed GitLab instances in the fleet and urgently update to 19.2.8, 19.3.5, or 19.4.2 depending on the branch in use (GitLab.com and GitLab Dedicated are already protected); if exploitation is suspected, perform forensic analysis of access logs and CI/CD pipelines before remediating.

Linux : la faille « Fragnesia » (CVE-2026-46300) désormais exploitée, ajoutée au catalogue CISA KEV — La CISA a ajouté le 28 octobre 2026 à son catalogue des vulnérabilités exploitées connues (KEV) la faille CVE-2026-46300 (surnommée « Fragnesia »), une erreur logique dans le traitement XFRM ESP-in-TCP du noyau Linux, divulguée publiquement le 13 mai 2026 par William Bowling (V12 Security) et accompagnée d'un code de démonstration public. Elle permet à un utilisateur local non privilégié d'écrire dans le cache de pages de fichiers en lecture seule (par exemple /usr/bin/su) pour obtenir un accès root. La CISA fixe une échéance de remédiation au 31 octobre 2026 pour les agences fédérales américaines (directive BOD 26-04). Source

Linux: the "Fragnesia" flaw (CVE-2026-46300) now exploited, added to the CISA KEV catalog — On October 28, 2026, CISA added CVE-2026-46300 (nicknamed "Fragnesia") to its Known Exploited Vulnerabilities (KEV) catalog — a logic flaw in the Linux kernel's XFRM ESP-in-TCP handling, publicly disclosed on May 13, 2026 by William Bowling (V12 Security) with a public proof-of-concept. It lets an unprivileged local user write into the page cache of read-only files (e.g. /usr/bin/su) to gain root access. CISA set a remediation deadline of October 31, 2026 for US federal agencies (BOD 26-04 directive). Source

➜ À faire : Identifier les noyaux Linux antérieurs au correctif du 13 mai 2026 dans le parc, planifier en urgence leur mise à jour (idéalement avant le 31 octobre) ; en attendant, mettre en liste noire les modules esp4, esp6 et rxrpc (après vérification de l'impact sur un éventuel usage d'IPsec ESP).

➜ To do: Identify Linux kernels in the fleet predating the May 13, 2026 fix and urgently plan their update (ideally before October 31); in the meantime, blacklist the esp4, esp6, and rxrpc modules (after checking the impact on any IPsec ESP usage).

VMware ESX : la faille de journalisation insuffisante (CVE-2026-41709) ajoutée au catalogue CISA KEV — La CISA a ajouté le 28 octobre 2026 à son catalogue KEV la vulnérabilité CVE-2026-41709, une faille de journalisation insuffisante (CWE-778) affectant VMware ESX (versions 8.0, 9.0.x et 9.1.x antérieures aux builds corrigés), ainsi que VMware Cloud Foundation, vSphere Foundation et Telco Cloud Platform. Documentée dans l'avis Broadcom VMSA-2026-0006 du 29 juillet 2026 avec un score CVSS de 2,7, elle permettait jusqu'ici à un administrateur malveillant disposant déjà de privilèges d'effectuer certaines opérations sans qu'elles soient enregistrées dans les journaux. La CISA fixe désormais une échéance de remédiation au 11 novembre 2026 pour les agences fédérales américaines, sur la base de preuves d'exploitation active. Source

VMware ESX: insufficient-logging flaw (CVE-2026-41709) added to the CISA KEV catalog — On October 28, 2026, CISA added CVE-2026-41709 to its KEV catalog — an insufficient logging flaw (CWE-778) affecting VMware ESX (versions 8.0, 9.0.x, and 9.1.x prior to the fixed builds), as well as VMware Cloud Foundation, vSphere Foundation, and Telco Cloud Platform. Documented in Broadcom advisory VMSA-2026-0006 (July 29, 2026) with a CVSS score of 2.7, it previously allowed a malicious administrator who already had privileges to perform certain operations without them being logged. CISA has now set a remediation deadline of November 11, 2026 for US federal agencies, based on evidence of active exploitation. Source

➜ À faire : Recenser les hôtes ESX du parc (8.0, 9.0.x, 9.1.x) et appliquer les builds corrigés mentionnés dans l'avis VMSA-2026-0006 (ESXi80U3j-25429389, ESXi-9.0.2.0100-25595025, ESXi-9.1.0.0-25370933) ; en attendant, renforcer la supervision des actions des comptes administrateurs via des journaux d'audit externes.

➜ To do: Inventory ESX hosts in the fleet (8.0, 9.0.x, 9.1.x) and apply the fixed builds listed in advisory VMSA-2026-0006 (ESXi80U3j-25429389, ESXi-9.0.2.0100-25595025, ESXi-9.1.0.0-25370933); in the meantime, strengthen monitoring of administrator account actions via external audit logs.

Brotli (CVE-2026-111497) : exploitation active confirmée, la CISA l'ajoute au catalogue KEV — Après sa divulgation le 26 octobre 2026 (voir notre entrée du même jour), la faille critique CVE-2026-111497 affectant le décodeur Brotli de Google (CVSS 9,2 ; intégré notamment à Node.js, .NET, Python, PHP, Envoy, Istio et ClickHouse) a été ajoutée le 27 octobre 2026 au catalogue des vulnérabilités exploitées connues (KEV) de la CISA, sur la base de preuves d'exploitation active. Des sociétés de sécurité (Previdian, ELLIO) ont observé des tentatives d'exploitation réelles depuis au moins le 27 octobre 2026, dont une adresse IP néerlandaise déjà associée aux attaques PHP2Shell. La CISA fixe une échéance de remédiation au 10 novembre 2026 pour les agences fédérales américaines. Source

Brotli (CVE-2026-111497): active exploitation confirmed, CISA adds it to the KEV catalog — Following its disclosure on October 26, 2026 (see that day's entry), the critical flaw CVE-2026-111497 affecting Google's Brotli decoder (CVSS 9.2; bundled notably in Node.js, .NET, Python, PHP, Envoy, Istio, and ClickHouse) was added on October 27, 2026 to CISA's Known Exploited Vulnerabilities (KEV) catalog, based on evidence of active exploitation. Security firms (Previdian, ELLIO) observed real exploitation attempts starting at least October 27, 2026, including from a Netherlands-based IP already linked to PHP2Shell attacks. CISA set a remediation deadline of November 10, 2026 for US federal agencies. Source

➜ À faire : Si cela n'a pas déjà été fait suite à notre alerte du 26 octobre, mettre à jour en urgence toutes les applications utilisant Brotli (Node.js 22.23.4/24.22.1/26.12.1, PHP 8.5.12/8.4.27/8.3.36/8.2.35, bibliothèques .NET et Python concernées) ; à défaut, désactiver le support Brotli ou le filtrer au niveau du reverse proxy/WAF.

➜ To do: If not already done following our October 26 alert, urgently update all applications using Brotli (Node.js 22.23.4/24.22.1/26.12.1, PHP 8.5.12/8.4.27/8.3.36/8.2.35, affected .NET and Python libraries); otherwise, disable Brotli support or filter it at the reverse proxy/WAF level.

Windows : mise à jour hors bande pour révoquer les certificats eMudhra compromis — Microsoft a publié le 26 octobre 2026 des mises à jour hors bande (KB5134133 pour Windows 11 24H2/25H2/26H2, KB5134125 pour Windows 10 21H2/22H2) retirant la confiance accordée à sept certificats liés à l'autorité de certification eMudhra (six racines eMudhra G3 et un certificat croisé AAA Certificate Services), dont des clés privées ont été générées avec une entropie insuffisante en avril 2025. Ces correctifs ciblent surtout les systèmes qui ne reçoivent pas automatiquement les mises à jour de la liste de certificats de confiance Windows (postes isolés, sans accès Internet ou avec les mises à jour automatiques de confiance désactivées) ; les serveurs Windows Server connectés reçoivent normalement cette liste automatiquement. Source

Windows: out-of-band update to revoke compromised eMudhra certificates — On October 26, 2026, Microsoft released out-of-band updates (KB5134133 for Windows 11 24H2/25H2/26H2, KB5134125 for Windows 10 21H2/22H2) removing trust from seven certificates tied to the eMudhra certificate authority (six eMudhra G3 roots plus an AAA Certificate Services cross-sign), whose private keys were generated with insufficient entropy back in April 2025. These fixes mainly target systems that don't automatically receive Windows trusted-certificate-list updates (offline machines, systems without Internet access, or with automatic trust updates disabled); connected Windows Server machines normally receive this list automatically. Source

➜ À faire : Vérifier sur les serveurs Windows Server isolés (sans accès Internet) ou ayant les mises à jour automatiques de la liste de certificats de confiance désactivées si les KB5134133/KB5134125 doivent être appliqués manuellement, recenser les certificats internes dépendant des racines eMudhra révoquées et préparer leur remplacement.

➜ To do: On isolated Windows Server machines (no Internet access) or those with automatic trusted-certificate-list updates disabled, check whether KB5134133/KB5134125 need to be applied manually, inventory internal certificates relying on the revoked eMudhra roots, and prepare to replace them.

« PHP2Shell » : deux failles RCE critiques de PHP désormais exploitées activement (CVE-2026-109618, CVE-2026-109619) — La CISA a ajouté le 26 octobre 2026 les CVE-2026-109618 et CVE-2026-109619 (PHP2Shell) à son catalogue des vulnérabilités exploitées connues (KEV), confirmant une exploitation active. Ces deux failles, corrigées en urgence par l'équipe PHP le 21 octobre 2026 (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35), permettent à un attaquant non authentifié d'exécuter du code à distance sur quasiment toute installation PHP servant des requêtes web (PHP-FPM, mod_php, FrankenPHP), avec des honeypots observant des tentatives d'exploitation contre des installations Apache/mod_php. VirusTotal estime à plus de 5,1 millions le nombre d'hôtes PHP exposés sur Internet. Source

"PHP2Shell": two critical PHP RCE flaws now actively exploited (CVE-2026-109618, CVE-2026-109619) — On October 26, 2026, CISA added CVE-2026-109618 and CVE-2026-109619 ("PHP2Shell") to its Known Exploited Vulnerabilities (KEV) catalog, confirming active exploitation. Both flaws, patched in emergency by the PHP team on October 21, 2026 (versions 8.5.12, 8.4.27, 8.3.36, and 8.2.35), allow an unauthenticated attacker to achieve remote code execution on almost any PHP installation serving web requests (PHP-FPM, mod_php, FrankenPHP), with honeypots observing exploitation attempts against Apache/mod_php installations. VirusTotal estimates more than 5.1 million PHP hosts are exposed on the Internet. Source

➜ À faire : Recenser en urgence tous les serveurs web exposés exécutant PHP (PHP-FPM, mod_php, FrankenPHP) et les mettre à jour vers les versions corrigées (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) sans attendre, en priorisant les applications accessibles depuis Internet ; surveiller les journaux pour détecter des tentatives d'exploitation.

➜ To do: Urgently inventory all exposed web servers running PHP (PHP-FPM, mod_php, FrankenPHP) and update them to the fixed versions (8.5.12, 8.4.27, 8.3.36, or 8.2.35) without delay, prioritizing Internet-facing applications; monitor logs for exploitation attempts.

Faille critique dans la bibliothèque Brotli (« Node2Shell »/« HTTP2Shell », CVE-2026-111497) : correctifs d'urgence pour Node.js, .NET et Python — Le 26 octobre 2026, une vulnérabilité critique (CVE-2026-111497) a été révélée dans le décodeur Brotli de Google (versions 1.0.3 à 1.0.9, 1.1.0 et 1.2.0), embarqué notamment dans Node.js et utilisable via des bibliothèques Python (urllib3[brotli], requests, httpx, aiohttp[speedups]), pouvant mener à une corruption mémoire et une exécution de code à distance. Microsoft a publié des correctifs d'urgence pour .NET. Des preuves de concept publiques existent ; aucune exploitation malveillante confirmée n'est signalée à ce stade. Versions corrigées : Brotli 1.0.10/1.1.1/1.2.1, Node.js 22.23.4/24.22.1/26.12.1, Python Brotli/brotlicffi 1.2.1. Source

Critical flaw in the Brotli library ("Node2Shell"/"HTTP2Shell", CVE-2026-111497): emergency patches for Node.js, .NET, and Python — On October 26, 2026, a critical vulnerability (CVE-2026-111497) was disclosed in Google's Brotli decoder (versions 1.0.3 through 1.0.9, 1.1.0, and 1.2.0), bundled notably in Node.js and reachable via Python libraries (urllib3[brotli], requests, httpx, aiohttp[speedups]), which can lead to memory corruption and remote code execution. Microsoft released emergency patches for .NET. Public proof-of-concept exploits exist; no confirmed malicious exploitation has been reported so far. Fixed versions: Brotli 1.0.10/1.1.1/1.2.1, Node.js 22.23.4/24.22.1/26.12.1, Python Brotli/brotlicffi 1.2.1. Source

➜ À faire : Recenser les applications du parc utilisant Node.js, .NET ou des bibliothèques Python avec support Brotli, les mettre à jour vers les versions corrigées, redémarrer les processus concernés et reconstruire/redéployer les images conteneurs ; si une mise à jour immédiate n'est pas possible, désactiver le support Brotli ou le bloquer au niveau du proxy/pare-feu.

➜ To do: Inventory applications in the fleet using Node.js, .NET, or Python libraries with Brotli support, update them to the fixed versions, restart the affected processes, and rebuild/redeploy container images; if an immediate update isn't possible, disable Brotli support or block it at the proxy/firewall level.

Visual Studio et PowerShell : élévation de privilèges (CERTFR-2026-AVI-1383) — Le CERT-FR a publié le 26 octobre 2026 l'avis CERTFR-2026-AVI-1383 signalant une vulnérabilité (CVE-2026-111497) affectant PowerShell (versions 7.4 antérieures à 7.4.22, 7.5 antérieures à 7.5.13 et 7.6 antérieures à 7.6.9) ainsi que Microsoft Visual Studio 2019, 2022 et 2026. Cette faille, détaillée dans le bulletin de sécurité Microsoft du 25 octobre 2026, peut permettre à un attaquant de provoquer une élévation de privilèges. Le CERT-FR ne signale pas d'exploitation active à ce stade. Source

Visual Studio and PowerShell: privilege escalation (CERTFR-2026-AVI-1383) — On October 26, 2026, CERT-FR published advisory CERTFR-2026-AVI-1383 reporting a vulnerability (CVE-2026-111497) affecting PowerShell (versions 7.4 prior to 7.4.22, 7.5 prior to 7.5.13, and 7.6 prior to 7.6.9) as well as Microsoft Visual Studio 2019, 2022, and 2026. This flaw, detailed in Microsoft's October 25, 2026 security bulletin, can allow an attacker to achieve privilege escalation. CERT-FR does not report active exploitation at this stage. Source

➜ À faire : Recenser les serveurs Windows Server et postes où PowerShell 7.4/7.5/7.6 et Visual Studio sont installés, appliquer les mises à jour vers les versions corrigées (PowerShell 7.4.22, 7.5.13, 7.6.9) via winget/gestionnaire de paquets ou Windows Update, en priorisant les serveurs d'administration où PowerShell est utilisé avec des comptes à privilèges élevés.

➜ To do: Inventory Windows Server machines and workstations running PowerShell 7.4/7.5/7.6 and Visual Studio, apply the updates to the fixed versions (PowerShell 7.4.22, 7.5.13, 7.6.9) via winget/package manager or Windows Update, prioritizing administration servers where PowerShell runs with elevated-privilege accounts.

VMware Tanzu Platform : multiples vulnérabilités (CERTFR-2026-AVI-1385) — Le CERT-FR a publié le 26 octobre 2026 l'avis CERTFR-2026-AVI-1385 regroupant de multiples vulnérabilités affectant plusieurs composants de VMware Tanzu Platform : API Gateway (antérieur à 2.4.10), Platform Services (10.x antérieur à 10.4.6 et antérieur à 11.0.0), Tanzu Hub, Tanzu GemFire, Tanzu pour Postgres, ainsi que les stemcells Ubuntu (Jammy, Resolute) et Windows (2019.x et 2022.x) utilisés par la plateforme. Ces failles, détaillées dans les bulletins éditeur Broadcom/VMware du 21 octobre 2026, peuvent provoquer un impact de sécurité non précisé par l'éditeur sur les plateformes concernées. Le CERT-FR ne signale pas d'exploitation active. Source

VMware Tanzu Platform: multiple vulnerabilities (CERTFR-2026-AVI-1385) — On October 26, 2026, CERT-FR published advisory CERTFR-2026-AVI-1385 covering multiple vulnerabilities affecting several VMware Tanzu Platform components: API Gateway (prior to 2.4.10), Platform Services (10.x prior to 10.4.6 and prior to 11.0.0), Tanzu Hub, Tanzu GemFire, Tanzu for Postgres, as well as the Ubuntu (Jammy, Resolute) and Windows (2019.x and 2022.x) stemcells used by the platform. These flaws, detailed in Broadcom/VMware vendor bulletins dated October 21, 2026, can cause a security impact not specified by the vendor on the affected platforms. CERT-FR does not report active exploitation. Source

➜ À faire : Recenser les environnements VMware Tanzu Platform du parc (API Gateway, Platform Services, stemcells associés), identifier les versions installées et planifier la mise à jour vers les versions corrigées indiquées dans les bulletins Broadcom, en traitant en priorité les stemcells Windows et Ubuntu qui embarquent les correctifs système sous-jacents.

➜ To do: Inventory VMware Tanzu Platform environments in the fleet (API Gateway, Platform Services, associated stemcells), identify installed versions, and plan the update to the fixed versions listed in the Broadcom bulletins, prioritizing the Windows and Ubuntu stemcells which carry the underlying system fixes.

Citrix XenServer : contournement de la politique de sécurité (CVE-2026-114406) — Le CERT-FR a publié le 26 octobre 2026 l'avis CERTFR-2026-AVI-1384 signalant une vulnérabilité (CVE-2026-114406) affectant Citrix XenServer 8.4 et XenServer 9 dépourvus du dernier correctif de sécurité. Détaillée dans le bulletin Citrix CTX697257 du 23 octobre 2026, cette faille peut permettre à un attaquant de contourner la politique de sécurité de l'hyperviseur. Le CERT-FR ne signale pas d'exploitation active à ce stade. Source

Citrix XenServer: security policy bypass (CVE-2026-114406) — On October 26, 2026, CERT-FR published advisory CERTFR-2026-AVI-1384 reporting a vulnerability (CVE-2026-114406) affecting Citrix XenServer 8.4 and XenServer 9 without the latest security fix. Detailed in Citrix bulletin CTX697257 dated October 23, 2026, this flaw can allow an attacker to bypass the hypervisor's security policy. CERT-FR does not report active exploitation at this stage. Source

➜ À faire : Recenser les hôtes Citrix XenServer 8.4 et 9 du parc, vérifier l'application du correctif de sécurité référencé dans le bulletin CTX697257 et le déployer, en priorisant les hôtes hébergeant des VM sensibles ou exposées.

➜ To do: Inventory Citrix XenServer 8.4 and 9 hosts in the fleet, verify the security fix referenced in bulletin CTX697257 has been applied and deploy it, prioritizing hosts running sensitive or exposed VMs.

Red Hat Enterprise Linux : 50 vulnérabilités corrigées, dont certaines exploitables à distance (CERTFR-2026-AVI-1373) — Le CERT-FR a publié le 23 octobre 2026 l'avis CERTFR-2026-AVI-1373 regroupant 50 vulnérabilités (dont CVE-2025-38147, CVE-2026-31411, CVE-2026-64113, CVE-2026-64114 et CVE-2026-99999, entre autres) affectant de nombreuses déclinaisons de Red Hat Enterprise Linux (versions 8 à 10.2, dont les variantes Extended Life Cycle, Extended Update Support, 4 years of updates, AUS, TUS, ELS et Update Services for SAP Solutions) ainsi que Red Hat CodeReady Linux Builder, sur les architectures x86_64, ARM64, IBM z Systems et Power LE. Ces failles, détaillées dans 21 bulletins Red Hat (RHSA-2026) publiés entre le 16 et le 22 octobre 2026, peuvent permettre un contournement de la politique de sécurité, un déni de service distant ou un problème de sécurité non précisé par l'éditeur. Le CERT-FR ne signale pas d'exploitation active. Source

Red Hat Enterprise Linux: 50 vulnerabilities fixed, some remotely exploitable (CERTFR-2026-AVI-1373) — On October 23, 2026, CERT-FR published advisory CERTFR-2026-AVI-1373 covering 50 vulnerabilities (including CVE-2025-38147, CVE-2026-31411, CVE-2026-64113, CVE-2026-64114 and CVE-2026-99999, among others) affecting numerous Red Hat Enterprise Linux variants (versions 8 through 10.2, including the Extended Life Cycle, Extended Update Support, 4 years of updates, AUS, TUS, ELS and Update Services for SAP Solutions variants) as well as Red Hat CodeReady Linux Builder, across x86_64, ARM64, IBM z Systems and Power LE architectures. These flaws, detailed in 21 Red Hat bulletins (RHSA-2026) published between October 16 and 22, 2026, can lead to a security policy bypass, a remote denial of service, or an unspecified security issue. CERT-FR does not report active exploitation. Source

➜ À faire : Recenser les serveurs RHEL du parc (versions 8.x à 10.2 et leurs variantes ELS/EUS/AUS/TUS), identifier les paquets concernés via le gestionnaire de paquets (dnf updateinfo / yum updateinfo), planifier l'application des correctifs RHSA correspondants en priorisant les serveurs exposés ou critiques (contrôleurs applicatifs, bases de données), puis redémarrer les services ou machines nécessitant la prise en compte du correctif.

➜ To do: Inventory RHEL servers in the fleet (versions 8.x through 10.2 and their ELS/EUS/AUS/TUS variants), identify affected packages via the package manager (dnf updateinfo / yum updateinfo), plan applying the corresponding RHSA fixes, prioritizing exposed or critical servers (application controllers, databases), then restart services or machines as needed for the fix to take effect.

Tenable Security Center et Enclave Security : exécution de code arbitraire à distance (CERTFR-2026-AVI-1370) — Le CERT-FR a publié le 23 octobre 2026 l'avis CERTFR-2026-AVI-1370 signalant deux vulnérabilités (CVE-2026-109618 et CVE-2026-109619) affectant Tenable Security Center et Tenable Enclave Security, toutes versions dépourvues du correctif SC-202610.1, détaillées dans les bulletins éditeur tns-2026-28 et tns-2026-29 (22 octobre 2026). Ces failles peuvent permettre à un attaquant de provoquer une exécution de code arbitraire à distance. Le CERT-FR ne signale pas d'exploitation active à ce stade. Source

Tenable Security Center and Enclave Security: remote arbitrary code execution (CERTFR-2026-AVI-1370) — On October 23, 2026, CERT-FR published advisory CERTFR-2026-AVI-1370 reporting two vulnerabilities (CVE-2026-109618 and CVE-2026-109619) affecting Tenable Security Center and Tenable Enclave Security, all versions without the SC-202610.1 fix, detailed in vendor bulletins tns-2026-28 and tns-2026-29 (October 22, 2026). These flaws can allow an attacker to achieve remote arbitrary code execution. CERT-FR does not report active exploitation at this stage. Source

➜ À faire : Recenser les instances Tenable Security Center et Tenable Enclave Security du parc (outils de scan et de gestion des vulnérabilités), vérifier l'application du correctif SC-202610.1 et le déployer en urgence vu la fonction centrale de ces outils dans le pilotage de la sécurité du parc.

➜ To do: Inventory Tenable Security Center and Tenable Enclave Security instances in the fleet (vulnerability scanning and management tools), verify the SC-202610.1 fix has been applied, and deploy it urgently given these tools' central role in steering the fleet's security posture.

Collabora Online / Nextcloud (CVE-2026-110447, CVSS 9.2) : injection de commande OS activement exploitée, ajoutée au catalogue CISA KEV — La CISA a ajouté le 23 octobre 2026 au catalogue des vulnérabilités exploitées connues (KEV) la faille CVE-2026-110447, une injection de commande OS dans le serveur CODE intégré (Built-in CODE Server, application richdocumentscode) de Collabora Online pour Nextcloud (CVSS 9.2), sur la base de preuves d'exploitation active. Des attaquants déposent des webshells PHP et dérobent des fichiers de configuration contenant identifiants et secrets applicatifs depuis le 10 septembre 2026, avant même la publication du correctif. Seuls les déploiements utilisant le serveur CODE intégré sont concernés ; les serveurs Collabora Online autonomes (standalone, Docker, RPM/DEB) ne sont pas affectés. Le correctif est disponible en version 26.4.303. La CISA fixe une échéance de remédiation au 26 octobre 2026 pour les agences fédérales américaines (directive BOD 26-04). Source

Collabora Online / Nextcloud (CVE-2026-110447, CVSS 9.2): actively exploited OS command injection added to CISA KEV catalog — On October 23, 2026, CISA added CVE-2026-110447, an OS command injection flaw in the Built-in CODE Server (richdocumentscode app) of Collabora Online for Nextcloud (CVSS 9.2), to its Known Exploited Vulnerabilities (KEV) catalog based on evidence of active exploitation. Attackers have been dropping PHP web shells and stealing configuration files containing credentials and application secrets since September 10, 2026, well before the fix was published. Only deployments using the Built-in CODE Server are affected; standalone Collabora Online servers (standalone, Docker, RPM/DEB) are not impacted. The fix is available in version 26.4.303. CISA set a remediation deadline of October 26, 2026 for US federal agencies (BOD 26-04 directive). Source

➜ À faire : Si l'organisation héberge Nextcloud avec l'application intégrée Collabora Online Built-in CODE Server (richdocumentscode), mettre à jour immédiatement vers la version 26.4.303 ou supérieure, ou désinstaller l'application si la mise à jour n'est pas possible ; vérifier les journaux et le système de fichiers à la recherche de webshells PHP déposés depuis le 10 septembre 2026, et révoquer ou renouveler les identifiants et secrets potentiellement exposés.

➜ To do: If the organization self-hosts Nextcloud with the Collabora Online Built-in CODE Server app (richdocumentscode), update immediately to version 26.4.303 or later, or uninstall the app if updating is not possible; check logs and the filesystem for PHP web shells dropped since September 10, 2026, and rotate any credentials and secrets that may have been exposed.

Arista VeloCloud Orchestrator (CVE-2026-114625, CVSS 9.9) : injection SQL activement exploitée, ajoutée au catalogue CISA KEV — La CISA a ajouté le 23 octobre 2026 au catalogue des vulnérabilités exploitées connues (KEV) la faille CVE-2026-114625, une injection SQL dans Arista VeloCloud Orchestrator on-premises (CVSS 9.9), sur la base de preuves d'exploitation active dans la nature. La CISA fixe une échéance de remédiation au 26 octobre 2026 pour les agences fédérales américaines (directive BOD 26-04) ; aucun contournement n'est mentionné hors application du correctif éditeur. Source

Arista VeloCloud Orchestrator (CVE-2026-114625, CVSS 9.9): actively exploited SQL injection added to CISA KEV catalog — On October 23, 2026, CISA added CVE-2026-114625, a SQL injection flaw in on-premises Arista VeloCloud Orchestrator (CVSS 9.9), to its Known Exploited Vulnerabilities (KEV) catalog based on evidence of active exploitation in the wild. CISA set a remediation deadline of October 26, 2026 for US federal agencies (BOD 26-04 directive); no workaround is mentioned other than applying the vendor fix. Source

➜ À faire : Identifier toute instance Arista VeloCloud Orchestrator on-premises du parc (orchestration SD-WAN), consulter le bulletin de sécurité Arista pour la version corrigée, mettre à jour en urgence et vérifier l'absence de compromission (comptes, configurations) sur les orchestrateurs exposés.

➜ To do: Identify any on-premises Arista VeloCloud Orchestrator instance in the fleet (SD-WAN orchestration), check Arista's security bulletin for the fixed version, update urgently, and check exposed orchestrators for signs of compromise (accounts, configuration changes).

Noyau Linux : 75 vulnérabilités corrigées sur Ubuntu, dont des risques d'exécution de code à distance (CERTFR-2026-AVI-1376) — Le CERT-FR a publié le 23 octobre 2026 l'avis CERTFR-2026-AVI-1376 signalant 75 vulnérabilités dans le noyau Linux d'Ubuntu (versions 14.04 ESM à 26.04 LTS), corrigées par les bulletins Ubuntu USN-8908-2, USN-8925-1 à USN-8933-1 (13-15 octobre 2026). Ces failles peuvent permettre une exécution de code arbitraire à distance, une élévation de privilèges ou un déni de service distant ; le CERT-FR ne signale pas d'exploitation active. Source

Linux kernel: 75 vulnerabilities fixed on Ubuntu, including remote code execution risks (CERTFR-2026-AVI-1376) — On October 23, 2026, CERT-FR published advisory CERTFR-2026-AVI-1376 reporting 75 vulnerabilities in Ubuntu's Linux kernel (versions 14.04 ESM through 26.04 LTS), fixed via Ubuntu bulletins USN-8908-2, USN-8925-1 through USN-8933-1 (October 13-15, 2026). These flaws can lead to remote arbitrary code execution, privilege escalation, or remote denial of service; CERT-FR does not report active exploitation. Source

➜ À faire : Recenser les serveurs Ubuntu du parc (14.04 ESM à 26.04 LTS), identifier la version de noyau installée et planifier l'application des correctifs USN correspondants, en priorisant les serveurs exposés sur Internet ou critiques (contrôleurs, hyperviseurs), puis redémarrer les machines après mise à jour du noyau.

➜ To do: Inventory Ubuntu servers in the fleet (14.04 ESM through 26.04 LTS), identify the installed kernel version, and plan applying the corresponding USN fixes, prioritizing internet-exposed or critical servers (controllers, hypervisors), then reboot machines after the kernel update.

PaperCut Hive/NG/MF : 4 vulnérabilités corrigées, dont un risque d'exécution de code à distance (CERTFR-2026-AVI-1377) — Le CERT-FR a publié le 23 octobre 2026 l'avis CERTFR-2026-AVI-1377 signalant 4 vulnérabilités (CVE-2026-11744, CVE-2026-14780, CVE-2026-82077 et CVE-2026-87739) affectant PaperCut Hive (versions antérieures à 2.3.0) ainsi que PaperCut NG/MF 24.x, 25.x et 26.0.x (antérieures respectivement à 24.1.11, 25.0.13 et 26.0.5), détaillées dans le bulletin éditeur du 23 octobre 2026. Ces failles peuvent permettre une exécution de code arbitraire à distance, une atteinte à la confidentialité des données ou une injection de code indirecte (XSS). Le CERT-FR ne communique pas de score CVSS consolidé ni d'exploitation active à ce stade. Source

PaperCut Hive/NG/MF: 4 vulnerabilities fixed, including a remote code execution risk (CERTFR-2026-AVI-1377) — On October 23, 2026, CERT-FR published advisory CERTFR-2026-AVI-1377 reporting 4 vulnerabilities (CVE-2026-11744, CVE-2026-14780, CVE-2026-82077 and CVE-2026-87739) affecting PaperCut Hive (versions prior to 2.3.0) and PaperCut NG/MF 24.x, 25.x and 26.0.x (prior to 24.1.11, 25.0.13 and 26.0.5 respectively), detailed in the vendor's October 23, 2026 bulletin. These flaws can lead to remote arbitrary code execution, a data confidentiality breach, or indirect code injection (XSS). CERT-FR does not give a consolidated CVSS score or report active exploitation at this stage. Source

➜ À faire : Recenser les serveurs d'impression PaperCut Hive, NG ou MF du parc, vérifier leur version et planifier la mise à jour vers Hive 2.3.0, NG/MF 24.1.11, 25.0.13 ou 26.0.5 selon la branche utilisée, en se référant au bulletin de sécurité PaperCut du 23 octobre 2026 pour le détail des correctifs.

➜ To do: Inventory PaperCut Hive, NG or MF print servers in the fleet, check their version and plan an update to Hive 2.3.0, NG/MF 24.1.11, 25.0.13 or 26.0.5 depending on the branch in use, referring to PaperCut's October 23, 2026 security bulletin for fix details.

Expiration du certificat Secure Boot « Windows Production PCA 2011 » — Le certificat racine Microsoft « Windows Production PCA 2011 », utilisé pour signer le chargeur de démarrage Windows (Boot Manager), a atteint sa date d'expiration programmée le 19 octobre 2026 ; son remplaçant est le certificat « Windows UEFI CA 2023 ». Les appareils (postes et serveurs Windows Server 2012 ESU, 2016, 2019, 2022 et 2025) qui n'ont pas encore reçu ce nouveau certificat continuent de démarrer et de recevoir les mises à jour Windows standard, mais ne reçoivent plus les nouvelles protections de démarrage anticipé (mises à jour du Boot Manager, de la base de révocation UEFI Secure Boot, correctifs de vulnérabilités de bas niveau). Microsoft rappelle aussi que les certificats associés « KEK CA 2011 » et « UEFI CA 2011 » ont expiré respectivement les 24 et 27 juin 2026, remplacés par « KEK 2K CA 2023 », « UEFI CA 2023 » et « Option ROM UEFI CA 2023 ». Source

Expiration of the "Windows Production PCA 2011" Secure Boot certificate — The Microsoft root certificate "Windows Production PCA 2011", used to sign the Windows boot loader (Boot Manager), reached its scheduled expiration date on October 19, 2026; its replacement is the "Windows UEFI CA 2023" certificate. Devices (Windows Server 2012 ESU, 2016, 2019, 2022 and 2025 included) that have not yet received the new certificate keep starting up and receiving standard Windows updates, but stop receiving new early-boot protections (Boot Manager updates, UEFI Secure Boot revocation list updates, fixes for newly found boot-level vulnerabilities). Microsoft also notes that the related "KEK CA 2011" and "UEFI CA 2011" certificates expired on June 24 and June 27, 2026 respectively, replaced by "KEK 2K CA 2023", "UEFI CA 2023" and "Option ROM UEFI CA 2023". Source

➜ À faire : Vérifier sur les postes et serveurs du parc gérés hors mise à jour automatique (WSUS, images figées, machines isolées) la présence des certificats « Windows UEFI CA 2023 » et « KEK 2K CA 2023 » dans la base Secure Boot (DB/KEK) en suivant le guide Microsoft « Windows Secure Boot Key Creation and Management Guidance », et planifier leur déploiement sur les machines qui ne les ont pas reçus automatiquement.

➜ To do: On fleet machines managed outside automatic updates (WSUS, frozen images, isolated hosts), check for the presence of the "Windows UEFI CA 2023" and "KEK 2K CA 2023" certificates in the Secure Boot database (DB/KEK) following Microsoft's "Windows Secure Boot Key Creation and Management Guidance", and plan their deployment on machines that did not receive them automatically.

Cisco : 26 vulnérabilités corrigées sur IOS XE, IOS XR, Secure FTD et autres produits (CERTFR-2026-AVI-1360) — Le CERT-FR a publié le 22 octobre 2026 l'avis CERTFR-2026-AVI-1360 regroupant 26 vulnérabilités (dont CVE-2026-109618, CVE-2026-109619, CVE-2026-20043, CVE-2026-20236, CVE-2026-20291, CVE-2026-20356, CVE-2026-76462, CVE-2026-76466, CVE-2026-76473 à CVE-2026-76479, CVE-2026-76481, CVE-2026-76490 à CVE-2026-76497, CVE-2026-76505 et CVE-2026-76524) affectant de nombreux produits Cisco : IOS XE (branches 17.12, 17.15, 17.18, 26.1 et 26.2), IOS XR (branches 7.9, 7.10, 7.11, 24.1 à 24.4), Secure FTD Software, Secure Client, Cyber Vision, Expressway Series, Unified CM et produits associés, ainsi que Snort 3. Ces failles, issues des bulletins Cisco datés du 21 et 22 octobre 2026, peuvent permettre selon les cas une exécution de code arbitraire à distance, une élévation de privilèges, un déni de service distant, une atteinte à la confidentialité ou à l'intégrité des données, ou un contournement de la politique de sécurité. Le CERT-FR ne signale pas d'exploitation active à ce stade. Source

Cisco: 26 vulnerabilities fixed across IOS XE, IOS XR, Secure FTD and other products (CERTFR-2026-AVI-1360) — On October 22, 2026, CERT-FR published advisory CERTFR-2026-AVI-1360 covering 26 vulnerabilities (including CVE-2026-109618, CVE-2026-109619, CVE-2026-20043, CVE-2026-20236, CVE-2026-20291, CVE-2026-20356, CVE-2026-76462, CVE-2026-76466, CVE-2026-76473 through CVE-2026-76479, CVE-2026-76481, CVE-2026-76490 through CVE-2026-76497, CVE-2026-76505 and CVE-2026-76524) affecting numerous Cisco products: IOS XE (branches 17.12, 17.15, 17.18, 26.1 and 26.2), IOS XR (branches 7.9, 7.10, 7.11, 24.1 through 24.4), Secure FTD Software, Secure Client, Cyber Vision, Expressway Series, Unified CM and related products, as well as Snort 3. These flaws, stemming from Cisco bulletins dated October 21 and 22, 2026, can allow, depending on the case, remote arbitrary code execution, privilege escalation, remote denial of service, a data confidentiality or integrity breach, or a security policy bypass. CERT-FR does not report active exploitation at this stage. Source

➜ À faire : Identifier les équipements Cisco du parc exécutant IOS XE, IOS XR, Secure FTD/Secure Client ou Cyber Vision, comparer leur version aux seuils indiqués par le CERT-FR (par ex. IOS XE 17.12.8, 17.15.6, 17.18.5, 26.1.2, 26.2.1 ; IOS XR via les SMU CSCwn39554 correspondants) et planifier leur mise à jour en priorité sur les équipements exposés ou en cœur de réseau, en se référant aux bulletins Cisco du 21-22 octobre 2026 pour le détail des correctifs par CVE.

➜ To do: Identify Cisco devices in the fleet running IOS XE, IOS XR, Secure FTD/Secure Client or Cyber Vision, compare their version against the thresholds given by CERT-FR (e.g. IOS XE 17.12.8, 17.15.6, 17.18.5, 26.1.2, 26.2.1; IOS XR via the corresponding CSCwn39554 SMUs) and plan their update, prioritizing devices exposed to the internet or at the network core, referring to the October 21-22, 2026 Cisco bulletins for per-CVE fix details.

SolarWinds Observability et Patch Manager : 6 vulnérabilités corrigées (CERTFR-2026-AVI-1364) — Le CERT-FR a publié le 22 octobre 2026 l'avis CERTFR-2026-AVI-1364 signalant 6 vulnérabilités (CVE-2026-28308, CVE-2026-28324, CVE-2026-28328, CVE-2026-28329, CVE-2026-28330 et CVE-2026-28331) affectant SolarWinds Observability Self-Hosted et SolarWinds Patch Manager, versions antérieures à 2026.4, détaillées dans des bulletins éditeur datés du 20 octobre 2026. Ces failles peuvent permettre une atteinte à la confidentialité ou à l'intégrité des données, une falsification de requête côté serveur (SSRF), une injection de code indirecte (XSS) ou une élévation de privilèges. Le CERT-FR ne signale pas d'exploitation active. Source

SolarWinds Observability and Patch Manager: 6 vulnerabilities fixed (CERTFR-2026-AVI-1364) — On October 22, 2026, CERT-FR published advisory CERTFR-2026-AVI-1364 reporting 6 vulnerabilities (CVE-2026-28308, CVE-2026-28324, CVE-2026-28328, CVE-2026-28329, CVE-2026-28330 and CVE-2026-28331) affecting SolarWinds Observability Self-Hosted and SolarWinds Patch Manager, versions prior to 2026.4, detailed in vendor bulletins dated October 20, 2026. These flaws can lead to a data confidentiality or integrity breach, server-side request forgery (SSRF), indirect code injection (XSS), or privilege escalation. CERT-FR does not report active exploitation. Source

➜ À faire : Recenser les instances SolarWinds Observability Self-Hosted et Patch Manager du parc (souvent utilisées pour le déploiement de correctifs sur un parc Windows), vérifier leur version et planifier la mise à jour vers la version 2026.4 ou supérieure, en priorisant les instances accessibles par des utilisateurs non administrateurs.

➜ To do: Inventory SolarWinds Observability Self-Hosted and Patch Manager instances in the fleet (often used to deploy patches across a Windows fleet), check their version and plan an update to version 2026.4 or later, prioritizing instances reachable by non-administrator users.

Splunk Enterprise et Splunk SOAR : 111 vulnérabilités corrigées (CERTFR-2026-AVI-1366) — Le CERT-FR a publié le 22 octobre 2026 l'avis CERTFR-2026-AVI-1366, basé sur les bulletins éditeur SVD-2026-1007 à SVD-2026-1012 (21 octobre 2026), signalant 111 vulnérabilités affectant Splunk Enterprise 10.0.x antérieures à 10.0.11, 10.2.x antérieures à 10.2.8, 10.4.x antérieures à 10.4.4, 9.4.x antérieures à 9.4.16, ainsi que Splunk SOAR antérieures à 8.7.0. Ces failles peuvent permettre une exécution de code arbitraire, une atteinte à la confidentialité des données, un déni de service, une injection de code indirecte (XSS), une injection de requêtes illégitimes par rebond (CSRF) ou un contournement de la politique de sécurité. Le CERT-FR ne signale pas d'exploitation active ni de score CVSS consolidé. Source

Splunk Enterprise and Splunk SOAR: 111 vulnerabilities fixed (CERTFR-2026-AVI-1366) — On October 22, 2026, CERT-FR published advisory CERTFR-2026-AVI-1366, based on vendor bulletins SVD-2026-1007 through SVD-2026-1012 (October 21, 2026), reporting 111 vulnerabilities affecting Splunk Enterprise 10.0.x prior to 10.0.11, 10.2.x prior to 10.2.8, 10.4.x prior to 10.4.4, 9.4.x prior to 9.4.16, as well as Splunk SOAR prior to 8.7.0. These flaws can lead to arbitrary code execution, a data confidentiality breach, denial of service, indirect code injection (XSS), cross-site request forgery (CSRF), or a security policy bypass. CERT-FR does not report active exploitation or a consolidated CVSS score. Source

➜ À faire : Recenser les instances Splunk Enterprise et Splunk SOAR du parc (SIEM, supervision de logs), vérifier leur version et planifier la mise à jour vers 10.0.11, 10.2.8, 10.4.4, 9.4.16 ou 8.7.0 (SOAR) selon la branche utilisée, en priorisant les instances exposées ou accessibles par des comptes à faibles privilèges.

➜ To do: Inventory Splunk Enterprise and Splunk SOAR instances in the fleet (SIEM, log monitoring), check their version and plan an update to 10.0.11, 10.2.8, 10.4.4, 9.4.16 or 8.7.0 (SOAR) depending on the branch in use, prioritizing instances that are exposed or reachable by low-privilege accounts.

Produits Stormshield : 19 vulnérabilités corrigées (CERTFR-2026-AVI-1345) — Le CERT-FR a publié le 21 octobre 2026 l'avis CERTFR-2026-AVI-1345 signalant 19 vulnérabilités (dont CVE-2026-113808, CVE-2026-113810, CVE-2026-14666, CVE-2026-15741, CVE-2026-18408, CVE-2026-34181, CVE-2026-42768, CVE-2026-45447, CVE-2026-48931, CVE-2026-56850, CVE-2026-58040, CVE-2026-58045, CVE-2026-78123, CVE-2026-78124, CVE-2026-78129, CVE-2026-78130, CVE-2026-78131, CVE-2026-78135 et CVE-2026-84732) affectant plusieurs produits Stormshield : Stormshield Management Center (SMC) 3.9.x antérieures à 3.9.3, et Stormshield Network Security (SNS) 4.3.x antérieures à 4.3.45 QS, 4.8.x antérieures à 4.8.20 LTSB, 5.0.x antérieures à 5.0.10 et 5.1.x antérieures à 5.1.4 EA. Ces failles, détaillées dans les bulletins éditeur STORM-2026-023 à STORM-2026-029 (16 et 20 octobre 2026), peuvent permettre une atteinte à la confidentialité des données, un contournement de la politique de sécurité, un déni de service distant, une exécution de code arbitraire, une injection de code indirecte (XSS) ou une injection SQL. Le CERT-FR ne communique pas de score CVSS consolidé ni d'exploitation active à ce stade. Source

Stormshield products: 19 vulnerabilities fixed (CERTFR-2026-AVI-1345) — On October 21, 2026, CERT-FR published advisory CERTFR-2026-AVI-1345 reporting 19 vulnerabilities (including CVE-2026-113808, CVE-2026-113810, CVE-2026-14666, CVE-2026-15741, CVE-2026-18408, CVE-2026-34181, CVE-2026-42768, CVE-2026-45447, CVE-2026-48931, CVE-2026-56850, CVE-2026-58040, CVE-2026-58045, CVE-2026-78123, CVE-2026-78124, CVE-2026-78129, CVE-2026-78130, CVE-2026-78131, CVE-2026-78135 and CVE-2026-84732) affecting several Stormshield products: Stormshield Management Center (SMC) 3.9.x prior to 3.9.3, and Stormshield Network Security (SNS) 4.3.x prior to 4.3.45 QS, 4.8.x prior to 4.8.20 LTSB, 5.0.x prior to 5.0.10, and 5.1.x prior to 5.1.4 EA. These flaws, detailed in vendor bulletins STORM-2026-023 through STORM-2026-029 (October 16 and 20, 2026), can lead to a data confidentiality breach, a security policy bypass, a remote denial of service, arbitrary code execution, indirect code injection (XSS), or SQL injection. CERT-FR does not give a consolidated CVSS score or report active exploitation at this stage. Source

➜ À faire : Recenser les boîtiers Stormshield Management Center et Network Security du parc, identifier leur version installée, et planifier la mise à jour vers SMC 3.9.3, SNS 4.3.45 QS, 4.8.20 LTSB, 5.0.10 ou 5.1.4 EA selon la branche utilisée, en priorisant les équipements exposés sur Internet, en se référant aux bulletins STORM-2026-023 à 029 pour le détail des correctifs.

➜ To do: Inventory Stormshield Management Center and Network Security appliances in the fleet, identify their installed version, and plan an update to SMC 3.9.3, SNS 4.3.45 QS, 4.8.20 LTSB, 5.0.10 or 5.1.4 EA depending on the branch in use, prioritizing internet-exposed equipment, referring to vendor bulletins STORM-2026-023 through 029 for the fix details.

Stormshield Network Security : multiples vulnérabilités (CERTFR-2026-AVI-1339) — Le CERT-FR a publié le 19 octobre 2026 un avis signalant de multiples vulnérabilités dans Stormshield Network Security (SNS), affectant les versions 5.0.x antérieures à 5.0.10, 5.1.x antérieures à 5.1.4 EA et les versions antérieures à 4.8.20 LTSB. Ces failles, documentées dans les bulletins éditeur STORM-2026-022, STORM-2026-030, STORM-2026-031 et STORM-2026-032 (16 octobre 2026), peuvent permettre une atteinte à l'intégrité des données, un contournement de la politique de sécurité ou une injection de code indirecte (XSS). Aucune exploitation active n'est signalée à ce stade par le CERT-FR. Source

Stormshield Network Security: multiple vulnerabilities (CERTFR-2026-AVI-1339) — On October 19, 2026, CERT-FR published an advisory reporting multiple vulnerabilities in Stormshield Network Security (SNS), affecting versions 5.0.x prior to 5.0.10, 5.1.x prior to 5.1.4 EA, and versions prior to 4.8.20 LTSB. These flaws, documented in vendor bulletins STORM-2026-022, STORM-2026-030, STORM-2026-031 and STORM-2026-032 (October 16, 2026), can lead to a data integrity breach, a security policy bypass, or indirect code injection (XSS). CERT-FR reports no active exploitation at this stage. Source

➜ À faire : Recenser les boîtiers Stormshield SNS du parc, identifier leur version installée, et planifier la mise à jour vers 5.0.10, 5.1.4 EA ou 4.8.20 LTSB selon la branche utilisée, en se référant aux bulletins éditeur STORM-2026-022/030/031/032 pour le détail des correctifs.

➜ To do: Inventory Stormshield SNS appliances in the fleet, identify their installed version, and plan an update to 5.0.10, 5.1.4 EA or 4.8.20 LTSB depending on the branch in use, referring to vendor bulletins STORM-2026-022/030/031/032 for the fix details.

Produits F5/NGINX : 11 vulnérabilités corrigées (CERTFR-2026-AVI-1341) — Le CERT-FR a publié le 19 octobre 2026 un avis regroupant 11 vulnérabilités (dont CVE-2026-101019, CVE-2026-101025, CVE-2026-104939, CVE-2026-15176, CVE-2026-91184, CVE-2026-93479, CVE-2026-94197, CVE-2026-95101, CVE-2026-96615, CVE-2026-97205 et CVE-2026-97629) touchant plusieurs produits F5/NGINX : NGINX Open Source (antérieur à 1.31.7 et à 1.30.6), NGINX Plus (antérieur à 37.1.0.1 et à 37.0.5.1), NGINX Ingress Controller, NGINX Gateway Fabric (antérieur à 2.8.0), NGINX App Protect DoS/WAF, NGINX Instance Manager (antérieur à 2.24.0) et NGINX JavaScript (antérieur à 1.0.2). Selon le CERT-FR, leur exploitation peut permettre l'exécution de code arbitraire à distance, un déni de service, une atteinte à la confidentialité des données ou un contournement de la politique de sécurité ; les bulletins éditeur associés (datés du 14 octobre 2026) ne précisent pas de score CVSS consolidé par faille. Source

F5/NGINX products: 11 vulnerabilities fixed (CERTFR-2026-AVI-1341) — On October 19, 2026, CERT-FR published an advisory covering 11 vulnerabilities (including CVE-2026-101019, CVE-2026-101025, CVE-2026-104939, CVE-2026-15176, CVE-2026-91184, CVE-2026-93479, CVE-2026-94197, CVE-2026-95101, CVE-2026-96615, CVE-2026-97205 and CVE-2026-97629) affecting several F5/NGINX products: NGINX Open Source (prior to 1.31.7 and 1.30.6), NGINX Plus (prior to 37.1.0.1 and 37.0.5.1), NGINX Ingress Controller, NGINX Gateway Fabric (prior to 2.8.0), NGINX App Protect DoS/WAF, NGINX Instance Manager (prior to 2.24.0), and NGINX JavaScript (prior to 1.0.2). Per CERT-FR, exploitation can lead to remote arbitrary code execution, denial of service, a data confidentiality breach, or a security policy bypass; the associated vendor bulletins (dated October 14, 2026) do not give a consolidated CVSS score per flaw. Source

➜ À faire : Identifier les instances NGINX/F5 du parc (Open Source, Plus, Ingress Controller, Gateway Fabric, Instance Manager, App Protect) et planifier leur mise à jour vers les versions corrigées listées par le CERT-FR, en priorisant les composants exposés sur Internet ou en frontal de services critiques.

➜ To do: Identify NGINX/F5 instances in the fleet (Open Source, Plus, Ingress Controller, Gateway Fabric, Instance Manager, App Protect) and plan their update to the fixed versions listed by CERT-FR, prioritizing components exposed to the internet or fronting critical services.

Faille critique BeyondTrust Remote Support exploitée comme zero-day (CVE-2026-102764) — Une faille de contournement d'authentification par usurpation (CWE-290, CVSS v4.0 : 9.3) dans BeyondTrust Remote Support / Privileged Remote Access a été exploitée en zero-day dès fin août 2026 par le groupe d'espionnage lié à la Chine ARMORY CASTLE (ex-UNC5221), selon Google Mandiant. Elle permet à un attaquant non authentifié de manipuler des fichiers sur l'appliance, d'y déposer un webshell et d'obtenir un contrôle complet ainsi que l'accès à tous les identifiants stockés ou relayés. BeyondTrust a corrigé les instances SaaS le 8 octobre 2026 ; les instances auto-hébergées (versions 24.3.1 à 26.2.3) doivent appliquer le correctif BT26-05-RS. Le Centre canadien pour la cybersécurité (alerte AL26-025) signale une exploitation désormais plus large depuis la divulgation publique. Source

Critical BeyondTrust Remote Support zero-day exploited (CVE-2026-102764) — An authentication bypass by spoofing flaw (CWE-290, CVSS v4.0: 9.3) in BeyondTrust Remote Support / Privileged Remote Access was exploited as a zero-day from late August 2026 by the China-linked espionage group ARMORY CASTLE (formerly UNC5221), per Google Mandiant. It lets an unauthenticated attacker perform file operations on the appliance, drop a webshell and gain full host-level control plus access to every credential it stores or brokers. BeyondTrust patched SaaS instances on October 8, 2026; self-hosted instances (versions 24.3.1 through 26.2.3) must apply fix BT26-05-RS. The Canadian Centre for Cyber Security (alert AL26-025) reports broader exploitation since the public disclosure. Source

➜ À faire : Si l'organisation exploite BeyondTrust Remote Support ou Privileged Remote Access en auto-hébergé, appliquer immédiatement le correctif BT26-05-RS (mettre d'abord à niveau les versions antérieures à 24.3.1), vérifier les journaux d'accès et comptes administrateurs depuis fin août 2026 à la recherche d'activité suspecte (webshells, exfiltration), et envisager une rotation des identifiants stockés ou relayés par l'appliance.

➜ To do: If the organization runs BeyondTrust Remote Support or Privileged Remote Access self-hosted, apply fix BT26-05-RS immediately (upgrade versions older than 24.3.1 first), review access logs and admin accounts since late August 2026 for suspicious activity (webshells, exfiltration), and consider rotating credentials stored or brokered by the appliance.

58 vulnérabilités dans le noyau Linux de Red Hat, avis parallèles pour SUSE et Ubuntu — Le CERT-FR a publié le 16 octobre 2026 l'avis CERTFR-2026-AVI-1334, relayant les bulletins Red Hat couvrant 58 CVE dans le noyau Linux de RHEL 7 à 10 (toutes architectures, x86_64/aarch64/s390x/ppc64le/ppc64), dont plusieurs permettent l'exécution de code arbitraire à distance, une élévation de privilèges ou un déni de service distant. Des avis parallèles (CERTFR-2026-AVI-1333 et CERTFR-2026-AVI-1335) couvrent le même type de failles pour les noyaux Ubuntu et SUSE. Source

58 vulnerabilities in the Red Hat Linux kernel, parallel advisories for SUSE and Ubuntu — On October 16, 2026, CERT-FR published advisory CERTFR-2026-AVI-1334, relaying Red Hat bulletins covering 58 CVEs in the RHEL 7 through 10 Linux kernel (all architectures: x86_64/aarch64/s390x/ppc64le/ppc64), several of which allow remote arbitrary code execution, privilege escalation, or remote denial of service. Parallel advisories (CERTFR-2026-AVI-1333 and CERTFR-2026-AVI-1335) cover the same type of flaws for the Ubuntu and SUSE kernels. Source

➜ À faire : Recenser les serveurs RHEL/CentOS, SUSE et Ubuntu du parc, planifier l'application des correctifs noyau via les bulletins éditeurs référencés par le CERT-FR (RHSA-2026:79786 et suivants pour Red Hat), et prévoir un redémarrage planifié des serveurs critiques après mise à jour.

➜ To do: Inventory the estate's RHEL/CentOS, SUSE and Ubuntu servers, schedule kernel patch deployment via the vendor bulletins referenced by CERT-FR (RHSA-2026:79786 and following for Red Hat), and plan a scheduled reboot of critical servers after the update.

Vulnérabilités dans IBM QRadar SIEM — Le CERT-FR a publié le 16 octobre 2026 l'avis CERTFR-2026-AVI-1336, relayant notamment des bulletins IBM corrigeant des vulnérabilités dans IBM QRadar SIEM (versions 7.5.x antérieures à 7.5.0 UP16 IF02 et 7.6.x antérieures à 7.6.0.5), pouvant entraîner selon la faille une atteinte à la confidentialité des données, un déni de service distant ou une élévation de privilèges. Le même avis couvre également AIX, Db2 et WebSphere Application Server. Source

Vulnerabilities in IBM QRadar SIEM — On October 16, 2026, CERT-FR published advisory CERTFR-2026-AVI-1336, relaying IBM bulletins fixing vulnerabilities in IBM QRadar SIEM (versions 7.5.x prior to 7.5.0 UP16 IF02 and 7.6.x prior to 7.6.0.5), which depending on the flaw can lead to a breach of data confidentiality, remote denial of service, or privilege escalation. The same advisory also covers AIX, Db2, and WebSphere Application Server. Source

➜ À faire : Vérifier la version de la plateforme QRadar SIEM utilisée pour la supervision de sécurité du parc, et appliquer la mise à niveau vers 7.5.0 UP16 IF02 ou 7.6.0.5 selon la branche installée, en se référant aux bulletins IBM listés par le CERT-FR.

➜ To do: Check the version of the QRadar SIEM platform used for the estate's security monitoring, and apply the upgrade to 7.5.0 UP16 IF02 or 7.6.0.5 depending on the installed branch, referring to the IBM bulletins listed by CERT-FR.

Faille activement exploitée dans Ivanti Connect Secure (CVE-2026-104935), échéance CISA aujourd'hui — Ivanti a corrigé le 13 octobre 2026 un contournement d'authentification par usurpation (CVSS 8.6) dans Ivanti Connect Secure (versions antérieures à 25.1.3.0 ; 22.7R2.14 et antérieures non impactées), permettant à un attaquant distant non authentifié d'exécuter des commandes arbitraires. Le groupe UTA0576, identifié par Volexity, l'exploite depuis le 3 octobre 2026 en la chaînant avec une faille d'élévation de privilèges encore non corrigée pour obtenir un accès root, sans déposer de malware. La CISA a inscrit la faille à son catalogue KEV le 13 octobre avec une échéance de remédiation fixée au 16 octobre 2026. Source

Actively exploited flaw in Ivanti Connect Secure (CVE-2026-104935), CISA deadline today — Ivanti patched an authentication bypass by spoofing (CVSS 8.6) in Ivanti Connect Secure on October 13, 2026 (versions prior to 25.1.3.0; 22.7R2.14 and earlier are not impacted), allowing an unauthenticated remote attacker to execute arbitrary commands. The UTA0576 group, identified by Volexity, has been exploiting it since October 3, 2026 by chaining it with a still-unpatched privilege escalation flaw to gain root access, without dropping any malware. CISA added the flaw to its KEV catalog on October 13 with a remediation deadline of October 16, 2026. Source

➜ À faire : Mettre à jour en urgence toutes les passerelles Ivanti Connect Secure du parc vers la version 25.1.3.0 ou ultérieure, vérifier les journaux d'accès à la recherche de traces d'exploitation (requêtes suspectes vers des scripts internes protégés) et surveiller la publication du correctif de la faille d'élévation de privilèges associée.

➜ To do: Urgently update every Ivanti Connect Secure gateway in the estate to version 25.1.3.0 or later, review access logs for signs of exploitation (suspicious requests to protected internal scripts), and watch for the fix for the associated privilege escalation flaw.

Exécution de code à distance dans l'interface de gestion de Palo Alto PAN-OS (CVE-2026-0322) — Palo Alto Networks a corrigé une vulnérabilité d'exécution de code à distance (CVSS 7.2, jusqu'à 8.6 en CVSS 4.0) dans l'interface de gestion de PAN-OS, exploitable par un attaquant authentifié disposant d'un accès réseau pour exécuter du code avec les privilèges root sur les pare-feux PA-Series et VM-Series ainsi que sur Panorama (physique et virtuel). Cloud NGFW et Prisma Access ne sont pas concernés. La CISA a ajouté la faille à son catalogue KEV le 14 octobre 2026. Source

Remote code execution in the Palo Alto PAN-OS management interface (CVE-2026-0322) — Palo Alto Networks fixed a remote code execution vulnerability (CVSS 7.2, up to 8.6 under CVSS 4.0) in the PAN-OS management interface, exploitable by an authenticated attacker with network access to run code with root privileges on PA-Series and VM-Series firewalls and on Panorama (physical and virtual). Cloud NGFW and Prisma Access are not affected. CISA added the flaw to its KEV catalog on October 14, 2026. Source

➜ À faire : Mettre à jour PAN-OS vers la version corrigée sur tous les pare-feux et instances Panorama du parc, et vérifier que l'interface de gestion n'est accessible que depuis des adresses IP internes de confiance, conformément aux recommandations de Palo Alto.

➜ To do: Update PAN-OS to the fixed release on every firewall and Panorama instance in the estate, and confirm the management interface is reachable only from trusted internal IP addresses, per Palo Alto's guidance.

Faille critique (CVSS 9.8) dans Cisco Secure Email Gateway (CVE-2026-76519) — Cisco a publié l'avis cisco-sa-esa-afw-zqYJkjxp corrigeant une vulnérabilité critique dans la fonctionnalité Advanced Malware Protection (AMP) de Cisco Secure Email Gateway. Une mauvaise gestion des pièces jointes lorsque le service de réputation de fichiers est activé permet à un attaquant distant non authentifié d'écrire des fichiers arbitraires et d'exécuter des commandes avec les privilèges root sur le système sous-jacent, simplement en envoyant un e-mail contenant une pièce jointe piégée. La CISA a ajouté la faille à son catalogue KEV le 14 octobre 2026. Source

Critical flaw (CVSS 9.8) in Cisco Secure Email Gateway (CVE-2026-76519) — Cisco published advisory cisco-sa-esa-afw-zqYJkjxp fixing a critical vulnerability in the Advanced Malware Protection (AMP) feature of Cisco Secure Email Gateway. Improper handling of email attachments when the file reputation service is enabled lets an unauthenticated remote attacker write arbitrary files and execute commands with root privileges on the underlying operating system, simply by sending an email with a crafted attachment. CISA added the flaw to its KEV catalog on October 14, 2026. Source

➜ À faire : Appliquer sans délai le correctif Cisco sur toutes les appliances Secure Email Gateway du parc, ou désactiver temporairement le service de réputation de fichiers AMP si la mise à jour ne peut pas être déployée immédiatement.

➜ To do: Apply the Cisco fix without delay on every Secure Email Gateway appliance in the estate, or temporarily disable the AMP file reputation service if the update cannot be deployed right away.

Zero-day activement exploité dans Windows Shell (CVE-2026-96951) — Le Patch Tuesday d'octobre 2026 de Microsoft (13 octobre) corrige une faille de contournement de la protection Mark of the Web (MOTW) dans Windows Shell (CVSS 8.8), activement exploitée dans la nature. Elle touche Windows Server 2012 R2, 2016, 2019, 2022 et 2025, Windows 10 et Windows 11 (toutes versions supportées), ainsi qu'Outlook.com. L'exploitation nécessite de convaincre un utilisateur d'ouvrir un fichier piégé reçu par e-mail ou messagerie instantanée. Source

Actively exploited zero-day in Windows Shell (CVE-2026-96951) — Microsoft's October 2026 Patch Tuesday (October 13) fixes a Mark of the Web (MOTW) bypass in Windows Shell (CVSS 8.8) that is being actively exploited in the wild. It affects Windows Server 2012 R2, 2016, 2019, 2022 and 2025, Windows 10 and Windows 11 (all supported versions), and Outlook.com. Exploitation requires convincing a user to open a malicious file received by email or instant messaging. Source

➜ À faire : Déployer en priorité la mise à jour cumulative d'octobre 2026 (CVE-2026-96951) sur l'ensemble des serveurs Windows Server et postes Windows du parc, et sensibiliser les utilisateurs aux pièces jointes inattendues.

➜ To do: Prioritize deploying the October 2026 cumulative update (CVE-2026-96951) across all Windows Server machines and Windows workstations in the estate, and remind users to stay cautious with unexpected attachments.

Faille critique d'exécution de code à distance dans Active Directory Domain Services (CVE-2026-70229) — Toujours dans le Patch Tuesday d'octobre 2026, Microsoft corrige une vulnérabilité d'exécution de code à distance dans Active Directory Domain Services (CVSS 8.1, autorisation incorrecte), exploitable sans authentification via l'envoi d'un paquet réseau spécialement conçu, sans interaction utilisateur. L'exploitation reste complexe (configuration réseau et conditions de timing précises) ; Microsoft ne signale pas d'exploitation active mais la juge « plus probable ». Source

Critical remote code execution flaw in Active Directory Domain Services (CVE-2026-70229) — Also part of the October 2026 Patch Tuesday, Microsoft fixes a remote code execution vulnerability in Active Directory Domain Services (CVSS 8.1, incorrect authorization), exploitable without authentication via a specially crafted network packet and no user interaction. Exploitation remains complex (specific network configuration and timing conditions); Microsoft has not observed active exploitation but rates it "exploitation more likely". Source

➜ À faire : Patcher en priorité tous les contrôleurs de domaine avec la mise à jour d'octobre 2026, et vérifier qu'aucun DC n'est directement exposé sur un réseau non maîtrisé.

➜ To do: Patch all domain controllers with the October 2026 update as a priority, and verify that no DC is directly exposed to an untrusted network.

Faille critique (CVSS 9.8) dans Cisco NX-OS (CVE-2026-76455) — Cisco a publié le 7 octobre 2026 une release de renforcement de sécurité pour NX-OS (cisco-sa-hardening-nxosw1-cWzSbtR) corrigeant six vulnérabilités, dont CVE-2026-76455 (contrôle d'accès incorrect, CVSS 9.8), découverte lors d'un audit de sécurité interne. Elle affecte les commutateurs Nexus 3000 et 9000 en mode standalone, les fabric interconnects UCS 6300, ainsi qu'APIC, Finesse, Packaged/Unified CCE et Unified CCX. Aucune exploitation active n'est signalée et aucun contournement n'existe. Source

Critical flaw (CVSS 9.8) in Cisco NX-OS (CVE-2026-76455) — On October 7, 2026, Cisco released an NX-OS security hardening update (cisco-sa-hardening-nxosw1-cWzSbtR) fixing six vulnerabilities, including CVE-2026-76455 (improper access control, CVSS 9.8), found during an internal security audit. It affects standalone Nexus 3000 and 9000 switches, UCS 6300 fabric interconnects, as well as APIC, Finesse, Packaged/Unified CCE and Unified CCX. No active exploitation has been observed and no workaround is available. Source

➜ À faire : Recenser les commutateurs Nexus 3000/9000 et fabric interconnects UCS 6300 du parc, et planifier la mise à niveau vers les versions corrigées dès que possible, aucun contournement n'étant disponible.

➜ To do: Inventory the estate's Nexus 3000/9000 switches and UCS 6300 fabric interconnects, and schedule the upgrade to the fixed releases as soon as possible, since no workaround is available.

Vulnérabilité de déni de service dans NetApp StorageGRID — Le CERT-FR a publié le 13 octobre 2026 l'avis CERTFR-2026-AVI-1295, relayant le bulletin éditeur NetApp NTAP-20260828-0021 du 12 octobre 2026, qui signale une vulnérabilité (CVE-2026-22056) dans NetApp StorageGRID affectant les versions 12.1.x antérieures à 12.1.0.1 et les versions antérieures à 12.0.0.8. Elle peut permettre à un attaquant de provoquer un déni de service à distance. Aucune exploitation active n'est signalée. Source

Denial-of-service vulnerability in NetApp StorageGRID — On October 13, 2026, CERT-FR published advisory CERTFR-2026-AVI-1295, relaying NetApp's vendor bulletin NTAP-20260828-0021 of October 12, 2026, reporting a vulnerability (CVE-2026-22056) in NetApp StorageGRID affecting versions 12.1.x prior to 12.1.0.1 and versions prior to 12.0.0.8. It can allow an attacker to trigger a remote denial of service. No active exploitation is reported. Source

➜ À faire : Recenser les grilles NetApp StorageGRID du parc, vérifier leur version et planifier la mise à jour vers 12.1.0.1 (ou 12.0.0.8 selon la branche) en se basant sur le bulletin éditeur, en priorité pour les systèmes de stockage exposés.

➜ To do: Inventory the estate's NetApp StorageGRID grids, check their version, and schedule the upgrade to 12.1.0.1 (or 12.0.0.8 depending on the branch) based on the vendor bulletin, prioritizing exposed storage systems.

GitLab corrige 24 vulnérabilités, dont des risques d'exécution de code à distance — Le CERT-FR a publié le 12 octobre 2026 l'avis CERTFR-2026-AVI-1294 signalant 24 vulnérabilités dans GitLab Community Edition (CE) et Enterprise Edition (EE), affectant les versions antérieures à 19.2.8, les 19.3.x antérieures à 19.3.4 et les 19.4.x antérieures à 19.4.2. Elles peuvent permettre l'exécution de code arbitraire à distance, une atteinte à la confidentialité et à l'intégrité des données, un contournement de la politique de sécurité, des falsifications de requête côté serveur (SSRF) et des injections de code indirectes (XSS). Aucune exploitation active n'est signalée. Source

GitLab fixes 24 vulnerabilities, including remote code execution risks — On October 12, 2026, CERT-FR published advisory CERTFR-2026-AVI-1294 reporting 24 vulnerabilities in GitLab Community Edition (CE) and Enterprise Edition (EE), affecting versions prior to 19.2.8, 19.3.x prior to 19.3.4, and 19.4.x prior to 19.4.2. They can lead to arbitrary remote code execution, data confidentiality and integrity breaches, security policy bypass, server-side request forgery (SSRF), and cross-site scripting (XSS). No active exploitation is reported. Source

➜ À faire : Recenser les instances GitLab CE/EE auto-hébergées du parc, vérifier leur version et planifier la mise à jour vers 19.4.2 (ou 19.3.4 / 19.2.8 selon la branche) dès la prochaine fenêtre de maintenance, en priorité pour les instances exposées sur Internet.

➜ To do: Inventory self-hosted GitLab CE/EE instances in the estate, check their version, and schedule the upgrade to 19.4.2 (or 19.3.4 / 19.2.8 depending on the branch) at the next maintenance window, prioritizing internet-facing instances.

Multiples vulnérabilités dans les pilotes (drivers) MongoDB — Le CERT-FR a publié le 12 octobre 2026 l'avis CERTFR-2026-AVI-1293 recensant 33 vulnérabilités affectant plusieurs pilotes MongoDB (C Driver versions antérieures à 1.30.13 et 2.5.x antérieures à 2.5.6, C++ Driver antérieur à 4.6.1, Go Driver antérieur à 2.9.2, PHP Driver antérieur à 1.21.11 et versions 2.1.x/2.5.x, Python Driver antérieur à 4.18.3) ainsi que la bibliothèque libmongocrypt (antérieure à 1.20.5). Les risques cités sont un déni de service à distance et une vulnérabilité de sécurité non précisée par l'éditeur. Aucune exploitation active n'est signalée. Source

Multiple vulnerabilities in MongoDB drivers — On October 12, 2026, CERT-FR published advisory CERTFR-2026-AVI-1293 listing 33 vulnerabilities affecting several MongoDB drivers (C Driver versions prior to 1.30.13 and 2.5.x prior to 2.5.6, C++ Driver prior to 4.6.1, Go Driver prior to 2.9.2, PHP Driver prior to 1.21.11 and the 2.1.x/2.5.x branches, Python Driver prior to 4.18.3) as well as the libmongocrypt library (prior to 1.20.5). Cited risks are remote denial of service and an unspecified security issue per the vendor. No active exploitation is reported. Source

➜ À faire : Identifier les applications du parc utilisant ces pilotes MongoDB ou libmongocrypt et planifier leur mise à jour vers les versions corrigées lors du prochain cycle de maintenance applicative.

➜ To do: Identify the estate's applications using these MongoDB drivers or libmongocrypt and schedule their upgrade to the fixed versions during the next application maintenance cycle.

Vulnérabilités dans le pilote PostgreSQL JDBC — Le CERT-FR a publié le 12 octobre 2026 l'avis CERTFR-2026-AVI-1292 signalant deux vulnérabilités (CVE-2026-107314 et CVE-2026-107315) dans le pilote PostgreSQL JDBC, affectant toutes les versions antérieures à 42.7.14. Elles peuvent entraîner une atteinte à la confidentialité des données et un contournement de la politique de sécurité. Aucune exploitation active n'est signalée. Source

Vulnerabilities in the PostgreSQL JDBC driver — On October 12, 2026, CERT-FR published advisory CERTFR-2026-AVI-1292 reporting two vulnerabilities (CVE-2026-107314 and CVE-2026-107315) in the PostgreSQL JDBC driver, affecting all versions prior to 42.7.14. They can lead to a data confidentiality breach and a security policy bypass. No active exploitation is reported. Source

➜ À faire : Recenser les applications Java du parc utilisant le pilote PostgreSQL JDBC et planifier sa mise à jour vers la version 42.7.14 ou supérieure.

➜ To do: Inventory the estate's Java applications using the PostgreSQL JDBC driver and schedule its upgrade to version 42.7.14 or later.

Multiples vulnérabilités dans le noyau Linux (Debian, Ubuntu, RHEL, SUSE) — Le CERT-FR a publié le 9 octobre 2026 quatre avis distincts (CERTFR-2026-AVI-1286 à 1289) signalant de multiples vulnérabilités dans le noyau Linux utilisé par Ubuntu (14.04 à 26.04 ESM/LTS), Debian 12 LTS, Red Hat et SUSE. Les risques cités sont déni de service, élévation de privilèges et atteinte à la confidentialité ; aucune exploitation active n'est signalée. Source

Multiple vulnerabilities in the Linux kernel (Debian, Ubuntu, RHEL, SUSE) — On October 9, 2026, CERT-FR published four separate advisories (CERTFR-2026-AVI-1286 to 1289) covering multiple Linux kernel vulnerabilities affecting Ubuntu (14.04 to 26.04 ESM/LTS), Debian 12 LTS, Red Hat and SUSE. Cited risks are denial of service, privilege escalation and confidentiality breach; no active exploitation reported. Source

➜ À faire : Planifier l'application des mises à jour noyau sur l'ensemble du parc Linux (Ubuntu/Debian/RHEL/SUSE) à la prochaine fenêtre de maintenance, avec test de redémarrage préalable sur environnement non critique.

➜ To do: Schedule kernel updates across the Linux estate (Ubuntu/Debian/RHEL/SUSE) at the next maintenance window, with a reboot test on a non-critical environment first.

Cisco corrige une faille critique (CVSS 10.0) dans License On-Prem, parmi 30 vulnérabilités — Le 7 octobre 2026, Cisco a publié un lot d'avis couvrant 30 CVE touchant License On-Prem, APIC, Meraki (MX/MS/MR/MG/MV), NX-OS, UCS, Finesse, Packaged/Unified CCE et Unified CCX. La plus critique, CVE-2026-76482 (CVSS v3.1 : 10.0), touche License On-Prem ; CVE-2026-20328 (CVSS v3.1 : 9.1) permet un accès non authentifié à l'interface de gestion web du même produit. Aucune exploitation active n'est connue. Le CERT-FR a repris l'ensemble sous CERTFR-2026-AVI-1282. Source

Cisco fixes a critical flaw (CVSS 10.0) in License On-Prem, among 30 vulnerabilities — On October 7, 2026, Cisco published a batch of advisories covering 30 CVEs affecting License On-Prem, APIC, Meraki (MX/MS/MR/MG/MV), NX-OS, UCS, Finesse, Packaged/Unified CCE and Unified CCX. The most critical, CVE-2026-76482 (CVSS v3.1: 10.0), affects License On-Prem; CVE-2026-20328 (CVSS v3.1: 9.1) allows unauthenticated access to the same product's web management interface. None are currently known to be actively exploited. CERT-FR relayed the full batch under CERTFR-2026-AVI-1282. Source

➜ À faire : Recenser les instances Cisco License On-Prem, APIC et Meraki du parc, consulter les avis Cisco pour les versions corrigées et prioriser le correctif sur License On-Prem (CVSS 10.0) ainsi que tout équipement exposé à des réseaux non approuvés.

➜ To do: Inventory Cisco License On-Prem, APIC and Meraki instances in the estate, check Cisco's advisories for fixed versions, and prioritize patching License On-Prem (CVSS 10.0) and any equipment reachable from untrusted networks.

CISA, FBI et NSA alertent sur des acteurs liés à la Chine exploitant 5 vulnérabilités historiques — Le 8 octobre 2026, CISA, le FBI, la NSA et des partenaires internationaux ont publié l'avis conjoint AA26-281A décrivant des acteurs liés au gouvernement chinois combinant scans automatisés, botnets, VPN SoftEther et techniques "living off the land" pour voler des données sensibles, notamment par pulvérisation de mots de passe contre Exchange/Office 365 et vol d'identifiants Active Directory via DCSync. Cinq CVE historiques exploitées par ces acteurs ont été ajoutées au catalogue CISA KEV le 8 octobre 2026 : CVE-2015-3306 (ProFTPD), CVE-2015-5477 (ISC BIND), CVE-2016-3081 (Apache Struts), CVE-2021-3199 (ONLYOFFICE DocumentServer), CVE-2023-22894 (Strapi). Source

CISA, FBI and NSA warn of China-linked actors exploiting 5 legacy vulnerabilities — On October 8, 2026, CISA, the FBI, NSA and international partners published joint advisory AA26-281A describing China-government-linked actors combining automated scanners, botnets, SoftEther VPNs and living-off-the-land techniques to steal sensitive data, including password spraying against Exchange/Office 365 and DCSync-based AD credential theft. Five legacy CVEs exploited by these actors were added to the CISA KEV catalog on October 8, 2026: CVE-2015-3306 (ProFTPD), CVE-2015-5477 (ISC BIND), CVE-2016-3081 (Apache Struts), CVE-2021-3199 (ONLYOFFICE DocumentServer), CVE-2023-22894 (Strapi). Source

➜ À faire : Vérifier l'absence de ces logiciels/versions vulnérables sur le parc (ProFTPD, BIND, Struts, ONLYOFFICE, Strapi), imposer le MFA sur les accès webmail/VPN, et surveiller les tentatives de password spraying sur Exchange/Office 365 ainsi que les requêtes DCSync suspectes sur les contrôleurs de domaine.

➜ To do: Verify these vulnerable software/versions are absent from the estate (ProFTPD, BIND, Struts, ONLYOFFICE, Strapi), enforce MFA on webmail/VPN access, and monitor for password-spraying attempts on Exchange/Office 365 and suspicious DCSync requests against domain controllers.

Nouvelle faille critique (CVSS 9.5) dans Citrix NetScaler ADC/Gateway — Citrix a publié le bulletin CTX697191 (8-9 octobre 2026) détaillant CVE-2026-107406, un dépassement de mémoire dans NetScaler ADC/Gateway configurés comme SP ou IdP SAML, pouvant conduire à une exécution de code arbitraire à distance ou un déni de service (CVSS 4.0 : 9.5, Critique). Le CERT-FR a repris l'information le 9 octobre 2026 (CERTFR-2026-AVI-1285). Aucune exploitation active n'est recensée pour cette CVE à ce jour. Source

New critical flaw (CVSS 9.5) in Citrix NetScaler ADC/Gateway — Citrix published bulletin CTX697191 (October 8-9, 2026) detailing CVE-2026-107406, a memory overflow in NetScaler ADC/Gateway configured as a SAML SP or IdP, which can lead to remote code execution or denial of service (CVSS 4.0: 9.5, Critical). CERT-FR relayed this October 9, 2026 (CERTFR-2026-AVI-1285). No active exploitation is recorded for this CVE to date. Source

➜ À faire : Identifier les appliances NetScaler ADC/Gateway configurées en SAML SP ou IdP, appliquer les versions corrigées (14.1-73.46 / 13.1-64.29 et variantes FIPS) dès que possible, et surveiller les journaux pour toute activité anormale.

➜ To do: Identify NetScaler ADC/Gateway appliances configured as SAML SP or IdP, apply fixed builds (14.1-73.46 / 13.1-64.29 and FIPS variants) as soon as possible, and monitor logs for abnormal activity.

Vulnérabilité critique dans Citrix NetScaler ADC et Gateway (CVE-2026-107406) — Le CERT-FR a publié le 9 octobre 2026 l'avis CERTFR-2026-AVI-1285 signalant une vulnérabilité affectant NetScaler ADC et NetScaler Gateway : versions 13.1.x antérieures à 13.1-64.29, 14.1.x antérieures à 14.1-73.46, ainsi que les éditions FIPS/NDcPP correspondantes (13.1-NDcPP antérieure à 13.1.37.283, 14.1-FIPS antérieure à 14.1-73.46 FIPS). Elle peut permettre l'exécution de code arbitraire à distance ou un déni de service. Citrix fournit les correctifs dans le bulletin CTX697191. Source

Critical vulnerability in Citrix NetScaler ADC and Gateway (CVE-2026-107406) — French CERT-FR published advisory CERTFR-2026-AVI-1285 on October 9, 2026, reporting a vulnerability affecting NetScaler ADC and NetScaler Gateway: 13.1.x versions prior to 13.1-64.29, 14.1.x versions prior to 14.1-73.46, and the corresponding FIPS/NDcPP editions (13.1-NDcPP prior to 13.1.37.283, 14.1-FIPS prior to 14.1-73.46 FIPS). It can allow remote arbitrary code execution or denial of service. Citrix provides fixes in bulletin CTX697191. Source

➜ À faire : Identifier les appliances NetScaler ADC/Gateway du parc (souvent utilisées en VPN d'accès distant ou reverse proxy applicatif), vérifier leur version et appliquer sans délai le correctif du bulletin Citrix CTX697191, ces boîtiers étant fréquemment exposés sur Internet et donc une cible privilégiée.

➜ To do: Identify the fleet's NetScaler ADC/Gateway appliances (often used as remote-access VPN or application reverse proxy), check their version and apply the fix from Citrix bulletin CTX697191 without delay, as these appliances are frequently internet-facing and therefore a prime target.

Multiples vulnérabilités dans le noyau Linux (Ubuntu, Debian, Red Hat, SUSE) — Le CERT-FR a publié le 9 octobre 2026 quatre avis (CERTFR-2026-AVI-1286 à 1289) recensant un grand nombre de vulnérabilités du noyau Linux affectant Ubuntu (14.04 ESM à 26.04 LTS), Debian LTS, Red Hat Enterprise Linux et SUSE Linux Enterprise. Les failles corrigées peuvent entraîner un déni de service, une élévation de privilèges ou une divulgation d'informations ; les correctifs sont diffusés via les notices de sécurité propres à chaque distribution (notamment les notices USN pour Ubuntu). Source

Multiple vulnerabilities in the Linux kernel (Ubuntu, Debian, Red Hat, SUSE) — French CERT-FR published four advisories on October 9, 2026 (CERTFR-2026-AVI-1286 to 1289) listing a large number of Linux kernel vulnerabilities affecting Ubuntu (14.04 ESM to 26.04 LTS), Debian LTS, Red Hat Enterprise Linux and SUSE Linux Enterprise. The fixed flaws can lead to denial of service, privilege escalation or information disclosure; patches are distributed through each distribution's own security notices (notably USN notices for Ubuntu). Source

➜ À faire : Planifier l'application des mises à jour noyau sur l'ensemble des serveurs Linux du parc (Ubuntu, Debian, RHEL, SUSE), en commençant par les hôtes exposés ou critiques pour la production, puis redémarrer les services ou machines concernés pour activer les correctifs.

➜ To do: Plan the kernel update rollout across all Linux servers in the fleet (Ubuntu, Debian, RHEL, SUSE), starting with exposed or production-critical hosts, then restart the affected services or machines to activate the fixes.

CISA ajoute 5 anciennes vulnérabilités (ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts, ISC BIND) à son catalogue KEV, exploitation active confirmée — Le 8 octobre 2026, la CISA a ajouté cinq vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV) : CVE-2015-3306 (ProFTPD, contrôle d'accès incorrect permettant la lecture/écriture arbitraire de fichiers), CVE-2021-3199 (ONLYOFFICE Docs, traversée de répertoire via l'upload d'image avec JWT activé, menant à une exécution de code à distance), CVE-2023-22894 (Strapi, stockage en clair de données sensibles pouvant être chaîné vers une exécution de code à distance), CVE-2016-3081 (Apache Struts, injection de commandes lorsque Dynamic Method Invocation est activé) et CVE-2015-5477 (ISC BIND, déni de service via des requêtes TKEY). Ces failles, bien qu'anciennes, restent activement exploitées ; l'échéance de remédiation fixée par la CISA est le 11 octobre 2026. Source

CISA adds 5 old vulnerabilities (ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts, ISC BIND) to its KEV catalog, active exploitation confirmed — On October 8, 2026, CISA added five vulnerabilities to its Known Exploited Vulnerabilities (KEV) catalog: CVE-2015-3306 (ProFTPD, improper access control allowing arbitrary file read/write), CVE-2021-3199 (ONLYOFFICE Docs, path traversal via JWT-enabled image upload leading to remote code execution), CVE-2023-22894 (Strapi, cleartext storage of sensitive data, chainable to remote code execution), CVE-2016-3081 (Apache Struts, command injection when Dynamic Method Invocation is enabled) and CVE-2015-5477 (ISC BIND, denial of service via TKEY queries). Despite their age, these flaws remain actively exploited; CISA's remediation deadline is October 11, 2026. Source

➜ À faire : Vérifier qu'aucun serveur Linux ou Windows Server du parc ne fait tourner ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts (avec Dynamic Method Invocation activé) ou ISC BIND en version vulnérable à ces CVE ; patcher ou isoler immédiatement tout système legacy identifié avant le 11 octobre 2026, ces vieilles failles restant une cible active pour les attaquants.

➜ To do: Check that no Linux or Windows Server machine in the fleet runs ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts (with Dynamic Method Invocation enabled) or ISC BIND in a version vulnerable to these CVEs; patch or isolate any legacy system found before October 11, 2026, since these old flaws remain an active target for attackers.

Cisco publie 9 avis de sécurité (30 CVE) couvrant NX-OS, Meraki, APIC, UCS et les solutions de centre de contacts — Le 7 octobre 2026, Cisco a publié neuf avis de sécurité, relayés par le CERT-FR le 8 octobre 2026 (CERTFR-2026-AVI-1282), couvrant au total 30 CVE sur un large éventail de produits : NX-OS (switchs Nexus et Fabric Interconnects UCS), la gamme Meraki (points d'accès MR, switchs MS, pare-feux/SD-WAN MX, passerelles cellulaires MG, caméras MV), Application Policy Infrastructure Controller (APIC), License On-Prem, Finesse, ainsi que Packaged/Unified CCE et Unified CCX. Les risques couverts incluent exécution de code à distance, déni de service, SSRF, injection SQL, élévation de privilèges et contournement de politique de sécurité ; aucune exploitation active n'est signalée à ce stade. Source

Cisco publishes 9 security advisories (30 CVEs) covering NX-OS, Meraki, APIC, UCS and contact center solutions — On October 7, 2026, Cisco published nine security advisories, relayed by French CERT-FR on October 8, 2026 (CERTFR-2026-AVI-1282), covering a total of 30 CVEs across a wide range of products: NX-OS (Nexus switches and UCS Fabric Interconnects), the Meraki line (MR access points, MS switches, MX firewalls/SD-WAN, MG cellular gateways, MV cameras), Application Policy Infrastructure Controller (APIC), License On-Prem, Finesse, as well as Packaged/Unified CCE and Unified CCX. Covered risks include remote code execution, denial of service, SSRF, SQL injection, privilege escalation and security policy bypass; no active exploitation is reported at this stage. Source

➜ À faire : Recenser dans l'inventaire les équipements Cisco concernés (switchs Nexus/NX-OS, points d'accès et pare-feux Meraki, contrôleurs APIC, Fabric Interconnects UCS) et planifier leur mise à jour vers les versions corrigées indiquées par Cisco, en commençant par les équipements exposés à Internet ou critiques pour la production.

➜ To do: Inventory the affected Cisco equipment (Nexus/NX-OS switches, Meraki access points and firewalls, APIC controllers, UCS Fabric Interconnects) and plan their update to the fixed versions listed by Cisco, starting with internet-facing or production-critical devices.

Splunk corrige 83 vulnérabilités dans Splunk Enterprise, le MCP Server et l'add-on AWS — Le 7 octobre 2026, Splunk a publié cinq bulletins de sécurité (SVD-2026-1001 à SVD-2026-1005), relayés par le CERT-FR le 8 octobre 2026 (CERTFR-2026-AVI-1281), corrigeant 83 CVE affectant Splunk Enterprise (versions antérieures à 9.4.15, 10.0.10, 10.2.7 et 10.4.3), le Splunk MCP Server (antérieur à 1.2.1) et le Splunk Add-on for Amazon Web Services (antérieur à 8.2.2). Les failles couvertes incluent exécution de code à distance, élévation de privilèges, injection SQL, SSRF et atteinte à la confidentialité des données ; aucune exploitation active n'est mentionnée dans l'avis. Source

Splunk fixes 83 vulnerabilities in Splunk Enterprise, the MCP Server and the AWS add-on — On October 7, 2026, Splunk published five security bulletins (SVD-2026-1001 through SVD-2026-1005), relayed by French CERT-FR on October 8, 2026 (CERTFR-2026-AVI-1281), fixing 83 CVEs affecting Splunk Enterprise (versions prior to 9.4.15, 10.0.10, 10.2.7 and 10.4.3), the Splunk MCP Server (prior to 1.2.1) and the Splunk Add-on for Amazon Web Services (prior to 8.2.2). Covered flaws include remote code execution, privilege escalation, SQL injection, SSRF and data confidentiality breaches; no active exploitation is mentioned in the advisory. Source

➜ À faire : Recenser les instances Splunk Enterprise du parc (SIEM/supervision des logs) ainsi que l'add-on AWS associé, vérifier les versions installées et planifier la mise à jour vers les versions corrigées, en priorité sur les instances accessibles depuis l'extérieur ou centralisant des journaux sensibles.

➜ To do: Inventory the fleet's Splunk Enterprise instances (SIEM/log monitoring) along with the associated AWS add-on, check installed versions, and plan the update to the fixed versions, prioritizing instances reachable from outside or centralizing sensitive logs.

Veeam Backup & Replication (CVE-2025-64392, CVE-2025-64393, CVE-2026-93026) : exécution de code à distance et XSS, correctif en version 12.3.2 P4 — Le CERT-FR a publié le 7 octobre 2026 l'avis CERTFR-2026-AVI-1278 signalant plusieurs vulnérabilités dans Veeam Backup & Replication, versions antérieures à 12.3.2 P4 (build 12.3.2.4934). Les failles corrigées permettent notamment une exécution de code arbitraire à distance, une injection XSS distante indirecte, ainsi que des atteintes à l'intégrité et à la confidentialité des données. Le détail des correctifs figure dans le bulletin Veeam KB4934 du 6 octobre 2026. Source

Veeam Backup & Replication (CVE-2025-64392, CVE-2025-64393, CVE-2026-93026): remote code execution and XSS, fix in version 12.3.2 P4 — On October 7, 2026, French CERT-FR published advisory CERTFR-2026-AVI-1278 reporting several vulnerabilities in Veeam Backup & Replication, versions prior to 12.3.2 P4 (build 12.3.2.4934). The fixed flaws notably allow remote arbitrary code execution and indirect remote XSS injection, along with impacts on data integrity and confidentiality. Fix details are in Veeam bulletin KB4934 dated October 6, 2026. Source

➜ À faire : Recenser les serveurs Veeam Backup & Replication du parc, vérifier qu'ils sont en version 12.3.2 P4 (build 12.3.2.4934) ou ultérieure, et planifier la mise à jour en priorité sur les serveurs de sauvegarde exposés ou disposant d'un accès réseau étendu.

➜ To do: Inventory Veeam Backup & Replication servers in the fleet, confirm they run version 12.3.2 P4 (build 12.3.2.4934) or later, and prioritize the update on backup servers that are exposed or have broad network access.

HPE Aruba Networking (AOS-Switch, ClearPass Policy Manager) : 37 CVE corrigées, dont exécution de code à distance et déni de service — Le CERT-FR a publié le 7 octobre 2026 l'avis CERTFR-2026-AVI-1277 recensant 37 vulnérabilités affectant AOS-Switch (AOS-S, versions antérieures à 16.11.0032) et ClearPass Policy Manager (CPPM, versions antérieures à 6.11.16 et 6.14.1). Certaines failles permettent l'exécution de code arbitraire à distance, une élévation de privilèges, un déni de service distant, une injection SQL ou du XSS. Les correctifs sont détaillés dans les bulletins HPE HPESBNW05156 et HPESBNW05158 du 6 octobre 2026. Source

HPE Aruba Networking (AOS-Switch, ClearPass Policy Manager): 37 CVEs fixed, including remote code execution and denial of service — On October 7, 2026, French CERT-FR published advisory CERTFR-2026-AVI-1277 listing 37 vulnerabilities affecting AOS-Switch (AOS-S, versions prior to 16.11.0032) and ClearPass Policy Manager (CPPM, versions prior to 6.11.16 and 6.14.1). Some flaws allow remote arbitrary code execution, privilege escalation, remote denial of service, SQL injection, or XSS. Fixes are detailed in HPE bulletins HPESBNW05156 and HPESBNW05158 dated October 6, 2026. Source

➜ À faire : Appliquer sans délai les correctifs HPE Aruba sur les commutateurs AOS-S et les serveurs ClearPass Policy Manager du parc, en priorisant les équipements exposés ou assurant l'authentification réseau (NAC).

➜ To do: Apply the HPE Aruba fixes without delay on AOS-S switches and ClearPass Policy Manager servers in the fleet, prioritizing exposed devices or those handling network authentication (NAC).

OpenSSH : multiples vulnérabilités corrigées en version 10.6 — Le CERT-FR a publié le 7 octobre 2026 l'avis CERTFR-2026-AVI-1271 signalant plusieurs vulnérabilités dans OpenSSH, affectant toutes les versions antérieures à 10.6. Certaines failles pourraient permettre à un attaquant distant d'exécuter du code arbitraire, d'élever ses privilèges ou d'accéder à des données confidentielles. Le correctif officiel est décrit dans le bulletin OpenSSH 10.6 du 6 octobre 2026. Source

OpenSSH: multiple vulnerabilities fixed in version 10.6 — On October 7, 2026, French CERT-FR published advisory CERTFR-2026-AVI-1271 reporting several vulnerabilities in OpenSSH, affecting all versions prior to 10.6. Some flaws could allow a remote attacker to execute arbitrary code, escalate privileges, or access confidential data. The official fix is described in the OpenSSH 10.6 bulletin dated October 6, 2026. Source

➜ À faire : Mettre à jour OpenSSH vers la version 10.6 ou ultérieure sur l'ensemble des serveurs Linux et Windows Server exposant un service SSH, en priorité sur les bastions et les serveurs accessibles depuis Internet.

➜ To do: Update OpenSSH to version 10.6 or later on all Linux and Windows Server machines exposing an SSH service, prioritizing bastion hosts and internet-facing servers.

Zammad (CVE-2026-102489, CVE-2026-102490) : deux failles chaînées par un agent IA autonome pour compromettre le DIVD, correctif disponible en version 7.2.0 — Zammad a publié le 5 octobre 2026 un avis de sécurité officiel au sujet de deux vulnérabilités ayant servi à compromettre le Dutch Institute for Vulnerability Disclosure (DIVD) le 21 septembre 2026 : CVE-2026-102489, un détournement de session menant à une exécution de code sous le compte système « zammad », affectant les versions 6.3.0 à 6.5.4 (Zammad précise que les versions 7.0 et ultérieures ne sont pas exploitables en pratique), et CVE-2026-102490, une élévation de privilèges locale permettant de passer du compte « zammad » à root, qui nécessite un accès préalable au serveur et reste en cours d'analyse, en lien avec une vulnérabilité confirmée dans packager.io. Chaînées par un agent IA autonome, ces deux failles ont permis de détourner une session, exécuter du code et obtenir les droits root en quelques secondes ; des chercheurs ayant analysé l'incident rapportent un score CVSS combiné de 9,4. Le correctif de CVE-2026-102489 est disponible depuis la version 7.2.0. Source

Zammad (CVE-2026-102489, CVE-2026-102490): two flaws chained by an autonomous AI agent to breach DIVD, fix available in version 7.2.0 — On October 5, 2026, Zammad published an official security advisory covering two vulnerabilities used to breach the Dutch Institute for Vulnerability Disclosure (DIVD) on September 21, 2026: CVE-2026-102489, a session-hijacking flaw leading to code execution under the system "zammad" account, affecting versions 6.3.0 through 6.5.4 (Zammad states versions 7.0 and later are not exploitable in practice), and CVE-2026-102490, a local privilege-escalation flaw allowing an attacker to move from the "zammad" account to root, which requires prior server access and remains under analysis, linked to a confirmed vulnerability in packager.io. Chained together by an autonomous AI agent, the two flaws allowed session hijacking, remote code execution and root access within seconds; researchers who analyzed the incident reported a combined CVSS score of 9.4. The fix for CVE-2026-102489 has been available since version 7.2.0. Source

➜ À faire : Recenser toute instance Zammad du parc, vérifier la version installée, et mettre à jour sans délai vers la 7.2.0 ou ultérieure si une version 6.5 ou antérieure est encore en service (ces versions ne reçoivent plus de mises à jour de sécurité) ; en attendant, restreindre l'accès au serveur Zammad aux seuls administrateurs de confiance et surveiller les journaux de sessions/authentification pour toute activité suspecte.

➜ To do: Inventory any Zammad instance in the fleet, check the installed version, and update without delay to 7.2.0 or later if a 6.5 or earlier version is still running (these no longer receive security updates); in the meantime, restrict access to the Zammad server to trusted administrators only and monitor session/authentication logs for suspicious activity.

Citrix NetScaler ADC/Gateway : une troisième faille (CVE-2026-88779) ajoutée à l'alerte, exploitée activement pour du déni de service — Le CERT-FR a mis à jour le 5 octobre 2026 son alerte CERTFR-2026-ALE-011, consacrée aux deux zero-days critiques CVE-2026-88771 et CVE-2026-88772 déjà exploités depuis fin septembre sur NetScaler ADC et Gateway, en y ajoutant CVE-2026-88779 : une vulnérabilité provoquant un déni de service distant, elle aussi activement exploitée en conditions réelles. La CISA l'a inscrite à son catalogue KEV avec une échéance de remédiation fixée au 7 octobre 2026 pour les agences fédérales américaines. Les versions concernées restent celles antérieures à 14.1-73.37 et 13.1-64.23 (ainsi que les variantes FIPS/NDcPP correspondantes). Source

Citrix NetScaler ADC/Gateway: a third flaw (CVE-2026-88779) added to the alert, actively exploited for denial of service — On October 5, 2026, French CERT-FR updated its alert CERTFR-2026-ALE-011, covering the two critical zero-days CVE-2026-88771 and CVE-2026-88772 already exploited since late September on NetScaler ADC and Gateway, adding CVE-2026-88779: a vulnerability causing remote denial of service, also actively exploited in the wild. CISA added it to its KEV catalog with a remediation deadline of October 7, 2026 for US federal agencies. Affected versions remain those prior to 14.1-73.37 and 13.1-64.23 (and the corresponding FIPS/NDcPP variants). Source

➜ À faire : Si des boîtiers Citrix NetScaler ADC/Gateway sont encore en version antérieure à 14.1-73.37 ou 13.1-64.23 dans le parc, les mettre à jour en urgence avant le 7 octobre 2026 ; sur les appliances déjà patchées contre CVE-2026-88771/88772, surveiller la disponibilité du service et les journaux pour détecter d'éventuels plantages ou redémarrages inexpliqués des processus réseau liés à CVE-2026-88779.

➜ To do: If any Citrix NetScaler ADC/Gateway appliance in the fleet is still on a version prior to 14.1-73.37 or 13.1-64.23, update it urgently before October 7, 2026; on appliances already patched against CVE-2026-88771/88772, monitor service availability and logs for unexplained crashes or restarts of network processes linked to CVE-2026-88779.

Fortra BoKS (CVE-2026-79901, CVSS 9.9) : mots de passe de comptes de service Active Directory prévisibles — Fortra a publié le 3 octobre 2026 l'avis FI-2026-012 signalant huit vulnérabilités dans Core Privileged Access Manager (BoKS), dont trois critiques. La plus sévère, CVE-2026-79901 (CVSS 9.9), touche le composant boks_keytabmd des versions de BoKS Manager boks-server antérieures à 9.0.0.6 : les mots de passe des comptes de service Active Directory gérés via BoKS keytab management sont générés à partir d'une séquence pseudo-aléatoire prévisible initialisée avec l'horodatage Unix, permettant à un attaquant authentifié sur l'AD de reconstituer un jeu limité de candidats et de les vérifier hors ligne. S'ajoutent CVE-2026-12627 (CVSS 9.8, dépassement de pile dans l'autoenregistrement, exploitable à distance sans authentification) et CVE-2026-79898 (CVSS 9.1, injection de commandes dans crlserver permettant l'exécution de code en tant que root sur le BoKS Master). Fortra ne signale aucune exploitation active à ce stade. Source

Fortra BoKS (CVE-2026-79901, CVSS 9.9): predictable Active Directory service-account passwords — On October 3, 2026, Fortra published advisory FI-2026-012 reporting eight vulnerabilities in Core Privileged Access Manager (BoKS), three of them critical. The most severe, CVE-2026-79901 (CVSS 9.9), affects the boks_keytabmd component in BoKS Manager boks-server versions prior to 9.0.0.6: Active Directory service-account passwords managed via BoKS keytab management are generated from a predictable pseudo-random sequence seeded with the current Unix timestamp, letting an AD-authenticated attacker reconstruct a limited candidate set and verify it offline. Also patched are CVE-2026-12627 (CVSS 9.8, a stack buffer overflow in autoregistration exploitable remotely without authentication) and CVE-2026-79898 (CVSS 9.1, command injection in crlserver allowing root-level code execution on the BoKS Master). Fortra reports no confirmed active exploitation to date. Source

➜ À faire : Identifier toute instance BoKS Manager (boks-server) du parc et vérifier qu'elle est en version 9.0.0.6 ou ultérieure ; sinon, planifier la mise à jour en urgence, puis faire tourner par précaution les mots de passe des comptes de service Active Directory gérés via BoKS keytab management et confirmer la distribution de la nouvelle version de clé.

➜ To do: Identify any BoKS Manager (boks-server) instance in the fleet and check it is running version 9.0.0.6 or later; if not, schedule an urgent update, then rotate Active Directory service-account passwords managed via BoKS keytab management as a precaution and confirm the new key version has been distributed.

Fortinet FortiMail (CVE-2026-104286) : zero-day critique activement exploité, CVSS 9.8 — Fortinet a publié le 1er octobre 2026 (bulletin FG-IR-26-175) un avis critique concernant FortiMail, versions 7.2.0 à 7.2.9, 7.4.0 à 7.4.8, 7.6.0 à 7.6.6 et 8.0.0 à 8.0.1 : une vulnérabilité de traversée de répertoire permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système via des requêtes HTTP/HTTPS forgées, pouvant conduire à l'exécution de code à distance. Fortinet et la CISA confirment une exploitation active depuis fin septembre 2026 ; aucun correctif définitif n'est encore disponible, seuls des contournements existent. La CISA a ajouté la faille à son catalogue KEV le 1er octobre 2026 avec une échéance de remédiation fixée au 4 octobre 2026 pour les agences fédérales américaines. Source

Fortinet FortiMail (CVE-2026-104286): critical zero-day actively exploited, CVSS 9.8 — On October 1, 2026, Fortinet published a critical advisory (bulletin FG-IR-26-175) for FortiMail, versions 7.2.0 through 7.2.9, 7.4.0 through 7.4.8, 7.6.0 through 7.6.6, and 8.0.0 through 8.0.1: a path traversal vulnerability lets an unauthenticated attacker write arbitrary files on the system via crafted HTTP/HTTPS requests, potentially leading to remote code execution. Fortinet and CISA confirm active exploitation since late September 2026; no definitive patch is available yet, only workarounds. CISA added the flaw to its KEV catalog on October 1, 2026, with a remediation deadline of October 4, 2026 for US federal agencies. Source

➜ À faire : Identifier toute passerelle FortiMail du parc, vérifier la version installée (7.2.0-7.2.9, 7.4.0-7.4.8, 7.6.0-7.6.6, 8.0.0-8.0.1), appliquer en urgence les contournements de Fortinet (désactivation de la fonctionnalité IBE, restriction de l'accès à l'interface d'administration depuis Internet) en attendant un correctif définitif, et surveiller les journaux pour toute écriture de fichier suspecte.

➜ To do: Identify any FortiMail gateway in the fleet, check the installed version (7.2.0-7.2.9, 7.4.0-7.4.8, 7.6.0-7.6.6, 8.0.0-8.0.1), urgently apply Fortinet's workarounds (disable the IBE feature, restrict access to the admin interface from the internet) pending a definitive patch, and monitor logs for suspicious file writes.

Red Hat Satellite / Foreman (CVE-2026-96659) : un utilisateur à faible privilège peut récupérer les mots de passe root, CVSS 9.1 — Red Hat a publié le 1er octobre 2026 un avis signalant une faille de contrôle d'accès dans le composant Foreman utilisé par Red Hat Satellite (6.19 pour RHEL 9) pour le provisionnement et la gestion de parcs Linux : un utilisateur disposant uniquement du rôle Viewer peut forger des requêtes vers les points de terminaison de prévisualisation de templates et récupérer des informations réservées aux administrateurs, dont les mots de passe root des hôtes provisionnés. Si les protections Safemode de Foreman sont désactivées, la faille peut en outre permettre l'exécution de commandes arbitraires sous le compte de service Foreman. Source

Red Hat Satellite / Foreman (CVE-2026-96659): a low-privilege user can retrieve root passwords, CVSS 9.1 — On October 1, 2026, Red Hat published an advisory reporting an access control flaw in the Foreman component used by Red Hat Satellite (6.19 for RHEL 9) for provisioning and managing Linux fleets: a user with only the Viewer role can craft requests to template preview endpoints and retrieve information reserved for administrators, including root passwords of provisioned hosts. If Foreman's Safemode protections are disabled, the flaw can also allow arbitrary command execution under the Foreman service account. Source

➜ À faire : Recenser les serveurs Red Hat Satellite/Foreman du parc, vérifier que les protections Safemode ne sont pas désactivées, appliquer le correctif Red Hat dès sa disponibilité, restreindre le rôle Viewer aux comptes réellement nécessaires et faire tourner par précaution les mots de passe root des hôtes provisionnés via Satellite.

➜ To do: Inventory Red Hat Satellite/Foreman servers in the fleet, verify Safemode protections are not disabled, apply the Red Hat fix once available, restrict the Viewer role to accounts that truly need it, and rotate root passwords of hosts provisioned via Satellite as a precaution.

GitLab CE/EE (CVE-2026-85706, CVE-2026-87719) : vulnérabilité activement exploitée (CERTFR-2026-AVI-1242) — Le CERT-FR a publié le 30 septembre 2026 un avis signalant de multiples vulnérabilités dans GitLab Community Edition et Enterprise Edition. GitLab confirme que CVE-2026-85706 est activement exploitée ; elle permet, avec CVE-2026-87719, une atteinte à la confidentialité des données et un contournement de la politique de sécurité. Sont concernées toutes les versions antérieures à 19.1.8, les 19.2.x antérieures à 19.2.6 et les 19.3.x antérieures à 19.3.2. Source

GitLab CE/EE (CVE-2026-85706, CVE-2026-87719): actively exploited vulnerability (CERTFR-2026-AVI-1242) — On September 30, 2026, CERT-FR published an advisory reporting multiple vulnerabilities in GitLab Community Edition and Enterprise Edition. GitLab confirms CVE-2026-85706 is actively exploited; combined with CVE-2026-87719, it allows a breach of data confidentiality and a security policy bypass. All versions before 19.1.8, 19.2.x before 19.2.6, and 19.3.x before 19.3.2 are affected. Source

➜ À faire : Identifier toutes les instances GitLab CE/EE du parc, vérifier leur version et les mettre à jour en urgence vers 19.1.8, 19.2.6, 19.3.2 ou une version ultérieure ; l'exploitation étant active, auditer également les journaux d'accès pour détecter toute activité suspecte antérieure au correctif.

➜ To do: Identify all GitLab CE/EE instances in the fleet, check their version and urgently update to 19.1.8, 19.2.6, 19.3.2 or later; since exploitation is active, also audit access logs for any suspicious activity predating the patch.

Powertools for AWS Lambda (Python) (CVE-2026-104002) : l'utilitaire de masquage de données pouvait exposer des données sensibles en clair — AWS a publié le 1er octobre 2026 le bulletin de sécurité 2026-123-AWS concernant les versions 3.6.0 à 3.34.0 de Powertools for AWS Lambda (Python). En cas d'échec d'une opération de masquage, l'utilitaire de data masking renvoyait la valeur d'origine non masquée au lieu de lever une erreur, pouvant exposer des données sensibles (PII, secrets) dans les journaux ou réponses applicatives. Le correctif, disponible en version 3.35.0, fait désormais lever une exception DataMaskingError plutôt que de retourner la valeur en clair. Source

Powertools for AWS Lambda (Python) (CVE-2026-104002): data masking utility could leak sensitive data in the clear — On October 1, 2026, AWS published security bulletin 2026-123-AWS covering Powertools for AWS Lambda (Python) versions 3.6.0 through 3.34.0. When a masking operation failed, the data masking utility returned the original, unmasked value instead of raising an error, potentially exposing sensitive data (PII, secrets) in logs or application responses. The fix, available in version 3.35.0, now raises a DataMaskingError exception instead of returning the value in the clear. Source

➜ À faire : Recenser les fonctions Lambda du parc utilisant Powertools for AWS Lambda (Python) et son utilitaire de data masking (versions 3.6.0 à 3.34.0), les mettre à jour vers la version 3.35.0 ou ultérieure, et auditer rétrospectivement les journaux pour vérifier qu'aucune donnée sensible n'a été exposée en clair lors d'un échec de masquage.

➜ To do: Inventory Lambda functions in the fleet using Powertools for AWS Lambda (Python) and its data masking utility (versions 3.6.0 to 3.34.0), update to version 3.35.0 or later, and retrospectively audit logs to confirm no sensitive data was exposed in the clear during a masking failure.

Cisco Catalyst SD-WAN Manager (CVE-2026-76504) : zero-day de contournement d'authentification activement exploité, CVSS 9.8 — Cisco a publié le 30 septembre 2026 un avis critique concernant Catalyst SD-WAN Manager (ex-vManage) : un attaquant non authentifié peut contourner la règle d'authentification protégeant un point d'accès API en encodant un caractère dans le chemin de la requête (ex. « /%6a_security_check » à la place de « /j_security_check »), obtenant ainsi un accès API avec les privilèges administrateur. Cisco confirme une exploitation active depuis septembre 2026 et ne propose aucun contournement : seule la mise à jour corrige la faille. La CISA a ajouté la vulnérabilité à son catalogue KEV avec une échéance de remédiation fixée au 3 octobre 2026 pour les agences fédérales américaines. Source

Cisco Catalyst SD-WAN Manager (CVE-2026-76504): actively exploited authentication bypass zero-day, CVSS 9.8 — On September 30, 2026, Cisco published a critical advisory for Catalyst SD-WAN Manager (formerly vManage): an unauthenticated attacker can bypass the authentication rule protecting an API endpoint by URL-encoding a character in the request path (e.g. "/%6a_security_check" instead of "/j_security_check"), gaining admin-level API access. Cisco confirms active exploitation since September 2026 and states no workaround exists — only the update fixes the flaw. CISA added the vulnerability to its KEV catalog with a remediation deadline of October 3, 2026 for US federal agencies. Source

➜ À faire : Si des instances Cisco Catalyst SD-WAN Manager sont déployées sur le parc, identifier leur version (branches antérieures à 20.9, 20.9, 20.12, 20.15, 20.18, 26.1, 26.2), les mettre à jour en urgence vers les versions corrigées (20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 ou 26.2.1), et en attendant restreindre l'accès à l'interface d'administration depuis Internet, aucun contournement n'existant.

➜ To do: If Cisco Catalyst SD-WAN Manager instances are deployed in the fleet, identify their version (branches earlier than 20.9, 20.9, 20.12, 20.15, 20.18, 26.1, 26.2), urgently update to the fixed releases (20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 or 26.2.1), and in the meantime restrict access to the admin interface from the internet, since no workaround exists.

Citrix NetScaler ADC/Gateway (CVE-2026-88771, CVE-2026-88772) : deux zero-days critiques massivement exploités — Citrix a confirmé le 27 septembre 2026 l'exploitation active de deux vulnérabilités critiques touchant NetScaler ADC et Gateway : CVE-2026-88771 (validation d'entrée incorrecte permettant l'exécution de commandes arbitraires par un attaquant non authentifié) et CVE-2026-88772 (débordement mémoire pouvant mener à l'exécution de code à distance ou au déni de service). Les versions antérieures à 14.1-73.37 et 13.1-64.23 (ainsi que les variantes FIPS correspondantes) sont concernées. La CISA a inscrit les deux failles à son catalogue KEV avec une échéance de remédiation fixée au 30 septembre 2026 pour les agences fédérales, certaines exploitations ayant débuté dès le 5 septembre, avant même la publication du correctif. Source

Citrix NetScaler ADC/Gateway (CVE-2026-88771, CVE-2026-88772): two critical zero-days under mass exploitation — On September 27, 2026, Citrix confirmed active exploitation of two critical vulnerabilities affecting NetScaler ADC and Gateway: CVE-2026-88771 (improper input validation allowing an unauthenticated attacker to execute arbitrary commands) and CVE-2026-88772 (memory overflow that can lead to remote code execution or denial of service). Versions prior to 14.1-73.37 and 13.1-64.23 (and corresponding FIPS variants) are affected. CISA added both flaws to its KEV catalog with a remediation deadline of September 30, 2026 for federal agencies, with some exploitation reportedly starting as early as September 5, before the patch was even released. Source

➜ À faire : Mettre à jour en urgence tout boîtier Citrix NetScaler ADC/Gateway du parc vers les versions corrigées (14.1-73.37 ou 13.1-64.23 et ultérieures) ; avant toute mise à jour, préserver les preuves forensiques (configuration, journaux) car l'exploitation a pu débuter avant la publication du correctif, et vérifier l'absence de compromission (comptes, tâches planifiées, fichiers inconnus) sur les appliances exposées à Internet.

➜ To do: Urgently update any Citrix NetScaler ADC/Gateway appliance in the fleet to the fixed versions (14.1-73.37 or 13.1-64.23 and later); before updating, preserve forensic evidence (configuration, logs) since exploitation may have begun before the patch was released, and check internet-facing appliances for signs of compromise (accounts, scheduled tasks, unknown files).

OpenSSL : 13 vulnérabilités corrigées, dont des risques d'intégrité et de déni de service (CERTFR-2026-AVI-1241) — Le CERT-FR a publié le 30 septembre 2026 un avis signalant 13 vulnérabilités dans OpenSSL, corrigées dans les versions 1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5 et 4.0.3. Leur exploitation peut permettre une atteinte à l'intégrité des données, une divulgation d'information, un contournement de la politique de sécurité ou un déni de service à distance. OpenSSL étant utilisé par la quasi-totalité des services Linux chiffrant leurs communications (Apache, Nginx, Postfix, etc.), l'impact potentiel est large. Source

OpenSSL: 13 vulnerabilities fixed, including data integrity and denial-of-service risks (CERTFR-2026-AVI-1241) — On September 30, 2026, CERT-FR published an advisory reporting 13 vulnerabilities in OpenSSL, fixed in versions 1.0.2zs, 1.1.1zj, 3.0.23, 3.4.8, 3.5.9, 3.6.5 and 4.0.3. Exploitation could lead to data integrity compromise, information disclosure, security policy bypass, or remote denial of service. Since OpenSSL underpins nearly all Linux services that encrypt communications (Apache, Nginx, Postfix, etc.), the potential impact is broad. Source

➜ À faire : Recenser les serveurs Linux et applications du parc utilisant OpenSSL (vérifier la version via openssl version), planifier la mise à jour vers les versions corrigées (≥ 3.0.23, 3.4.8, 3.5.9, 3.6.5 ou 4.0.3 selon la branche utilisée) et redémarrer les services dépendants après la mise à jour de la bibliothèque.

➜ To do: Inventory Linux servers and applications in the fleet that use OpenSSL (check the version with openssl version), plan an update to the fixed releases (≥ 3.0.23, 3.4.8, 3.5.9, 3.6.5 or 4.0.3 depending on the branch in use), and restart dependent services after updating the library.

Spectre v2 « BTR » (CVE-2026-64507, CVE-2026-64508) : une nouvelle attaque par canal auxiliaire fuite la mémoire noyau Linux via les moteurs JIT — Des chercheurs de VUSec (Vrije Universiteit Amsterdam) et de la Scuola Superiore Sant'Anna ont publié le 29 septembre 2026 « Branch Target Reuse » (BTR), une nouvelle variante Spectre v2 touchant les CPU Intel, AMD et Arm. La faille exploite la réutilisation d'entrées de prédiction de branchement indirect devenues obsolètes lorsqu'un moteur JIT réécrit du code à la même adresse mémoire, créant une primitive de type « speculative execute-after-free ». Les chercheurs ont démontré des exploits complets contre le noyau Linux (JIT BPF) permettant de fuiter et reconstituer le hash du mot de passe root en quelques minutes sur un système entièrement patché avec les protections par défaut activées ; Oracle GraalVM et le moteur JavaScript SpiderMonkey de Firefox sont également concernés. Source

Spectre v2 "BTR" (CVE-2026-64507, CVE-2026-64508): new side-channel attack leaks Linux kernel memory via JIT engines — Researchers from VUSec (Vrije Universiteit Amsterdam) and Scuola Superiore Sant'Anna published "Branch Target Reuse" (BTR) on September 29, 2026, a new Spectre v2 variant affecting Intel, AMD and Arm CPUs. The flaw exploits stale indirect branch prediction entries that get reused when a JIT engine rewrites code at the same memory address, creating a "speculative execute-after-free" primitive. The researchers demonstrated end-to-end exploits against the Linux kernel (BPF JIT) able to leak and recover the root password hash within minutes on a fully patched system with default protections enabled; Oracle GraalVM and Firefox's SpiderMonkey JavaScript engine are also affected. Source

➜ À faire : Vérifier que les serveurs Linux du parc (en particulier ceux avec BPF actif, ou hébergeant des moteurs JIT comme GraalVM/Java, Node.js) disposent des correctifs noyau incluant CVE-2026-64507/CVE-2026-64508 (durcissement IBPB sur les allocations JIT BPF, mainlinés et rétroportés sur les branches stables depuis juillet 2026) ; mettre à jour Firefox et GraalVM vers les versions intégrant les atténuations dès leur disponibilité.

➜ To do: Verify that fleet Linux servers (especially those with BPF enabled, or hosting JIT engines like GraalVM/Java, Node.js) carry kernel patches including CVE-2026-64507/CVE-2026-64508 (IBPB hardening on BPF JIT allocations, mainlined and backported to stable branches since July 2026); update Firefox and GraalVM to versions with the mitigations once available.

Oracle PeopleSoft (CVE-2026-35273) : ShinyHunters contourne les WAF, portails RH du FBI compromis — Le groupe d'extorsion ShinyHunters a modifié son exploit de la faille CVE-2026-35273 (Oracle PeopleSoft Environment Management Hub, exploitée en zero-day depuis mai-juin 2026 contre des établissements académiques) en encodant un caractère dans le chemin de la requête (« /%50SEMHUB/ » au lieu de « /PSEMHUB/ »), ce qui lui permet de contourner les règles de pare-feu applicatif (WAF) censées bloquer l'accès à l'endpoint vulnérable. Cette technique a servi fin septembre 2026 à compromettre plusieurs portails de recrutement du FBI (FBIJobs, BEAST, MedLink, BICS), exposant des données personnelles et médicales de candidats et d'employés actuels ou anciens ; ces portails restent hors ligne. Source

Oracle PeopleSoft (CVE-2026-35273): ShinyHunters bypasses WAFs, FBI HR portals compromised — The extortion group ShinyHunters modified its exploit for CVE-2026-35273 (Oracle PeopleSoft Environment Management Hub, exploited as a zero-day since May-June 2026 against academic institutions) by URL-encoding a character in the request path (using "/%50SEMHUB/" instead of "/PSEMHUB/"), letting it bypass web application firewall (WAF) rules meant to block access to the vulnerable endpoint. The technique was used in late September 2026 to compromise several FBI recruitment portals (FBIJobs, BEAST, MedLink, BICS), exposing personal and medical data of current, former and prospective employees; the portals remain offline. Source

➜ À faire : Appliquer sans délai le correctif d'urgence Oracle pour PeopleSoft Environment Management Hub sur tout serveur du parc ; si ce n'est pas possible immédiatement, restreindre l'accès réseau au serveur PeopleSoft aux réseaux internes de confiance et le bloquer en périphérie, car les règles WAF basées sur l'inspection du corps de requête seules sont insuffisantes face à ce contournement par encodage d'URL.

➜ To do: Apply Oracle's emergency patch for PeopleSoft Environment Management Hub to every affected server in the fleet without delay; if that isn't immediately possible, restrict network access to the PeopleSoft server to trusted internal networks and block it at the perimeter, since WAF rules relying solely on request-body inspection are insufficient against this URL-encoding bypass.

Storm-3168/JadePuffer : des identités de service Azure compromises servent à détruire des ressources cloud en 7 minutes — Microsoft détaille (25 septembre 2026, largement relayé le 28) une attaque du groupe JadePuffer (suivi comme Storm-3168), pionnier des opérations de rançongiciel pilotées par agents IA. Après avoir compromis deux principaux de service (service principals) Azure — dont les identifiants (client ID, secret, tenant ID) avaient été exposés en clair dans l'historique de modification d'un ticket GitHub public par un employé — l'attaquant a mené environ 15h30 de reconnaissance puis déclenché une séquence destructrice de 7 minutes supprimant plus de 100 comptes de stockage ainsi que des Key Vaults, Function Apps et plans App Service, avant de collecter d'autres identifiants via des appels ListKeys. Les verrous Azure Site Recovery ont limité les dégâts sur certaines ressources protégées. Source

Storm-3168/JadePuffer: compromised Azure service identities used to destroy cloud resources in 7 minutes — Microsoft details (September 25, 2026, widely reported on the 28th) an attack by the JadePuffer group (tracked as Storm-3168), a pioneer of agentic-AI-driven ransomware operations. After compromising two Azure service principals — whose credentials (client ID, secret, tenant ID) had been exposed in plaintext in the public edit history of a GitHub issue by an employee — the attacker spent roughly 15.5 hours on reconnaissance before triggering a 7-minute destructive sequence that deleted more than 100 storage accounts along with Key Vaults, Function Apps and App Service plans, then harvested further credentials via ListKeys calls. Azure Site Recovery locks limited the damage on some protected resources. Source

➜ À faire : Vérifier qu'aucun identifiant Azure (client ID/secret, tenant ID) n'a été exposé dans des dépôts de code ou tickets publics de l'organisation, y compris dans l'historique des modifications ; faire tourner immédiatement tout identifiant potentiellement exposé ; appliquer le principe de moindre privilège aux principaux de service et identités de charge de travail ; et activer Microsoft Defender for Cloud sur les ressources critiques (Storage, Key Vault, App Service, bases de données).

➜ To do: Check whether any Azure credentials (client ID/secret, tenant ID) have been exposed in the organization's code repositories or public issue trackers, including in edit history; immediately rotate any potentially exposed credential; apply least-privilege access to service principals and workload identities; and enable Microsoft Defender for Cloud on critical resources (Storage, Key Vault, App Service, databases).

MongoDB : cinq vulnérabilités corrigées dans le serveur, les pilotes et Compass — Le CERT-FR relaie (28 septembre 2026, CERTFR-2026-AVI-1234) les bulletins de sécurité MongoDB signalant cinq vulnérabilités (CVE-2026-96745 à CVE-2026-96749) affectant MongoDB Server, MongoDB-extension, mongo-c-driver, PyMongo et l'outil d'administration Compass, pouvant entraîner une atteinte à l'intégrité des données ou un contournement de la politique de sécurité. Aucune exploitation active n'est signalée à ce jour. Source

MongoDB: five vulnerabilities fixed across the server, drivers and Compass — CERT-FR relayed (September 28, 2026, CERTFR-2026-AVI-1234) MongoDB's security bulletins reporting five vulnerabilities (CVE-2026-96745 to CVE-2026-96749) affecting MongoDB Server, MongoDB-extension, mongo-c-driver, PyMongo and the Compass administration tool, which can lead to a data integrity compromise or a security policy bypass. No active exploitation has been reported so far. Source

➜ À faire : Recenser les serveurs MongoDB ainsi que les applications du parc utilisant mongo-c-driver, PyMongo ou Compass, et planifier leur mise à jour vers les versions corrigées (MongoDB Server ≥ 2.5.3/2.1.10/1.21.10 selon la branche, mongo-c-driver ≥ 1.30.12/2.5.5, PyMongo ≥ 4.18.2, Compass ≥ 1.49.12).

➜ To do: Inventory MongoDB servers as well as fleet applications using mongo-c-driver, PyMongo or Compass, and schedule their update to the patched versions (MongoDB Server ≥ 2.5.3/2.1.10/1.21.10 depending on the branch, mongo-c-driver ≥ 1.30.12/2.5.5, PyMongo ≥ 4.18.2, Compass ≥ 1.49.12).

Citrix NetScaler ADC/Gateway : deux failles zero-day critiques (CVE-2026-88771, CVE-2026-88772, CVSS 9.5) exploitées activement — Citrix a publié le 27 septembre 2026 le bulletin CTX697096 corrigeant huit vulnérabilités dans NetScaler ADC et NetScaler Gateway, dont deux zero-day activement exploitées : CVE-2026-88771 (validation d'entrée incorrecte permettant l'exécution de commandes arbitraires sans authentification, sur toute configuration par défaut) et CVE-2026-88772 (débordement mémoire pouvant mener à une exécution de code à distance ou un déni de service, lorsque DTLS est actif, ce qui est le cas par défaut sur les serveurs virtuels VPN). La CISA a ajouté les deux failles à son catalogue KEV le 27 septembre 2026 et confirme une exploitation active à l'échelle mondiale. Source

Citrix NetScaler ADC/Gateway: two critical zero-days (CVE-2026-88771, CVE-2026-88772, CVSS 9.5) actively exploited — Citrix published security bulletin CTX697096 on September 27, 2026, fixing eight vulnerabilities in NetScaler ADC and NetScaler Gateway, including two actively exploited zero-days: CVE-2026-88771 (improper input validation allowing unauthenticated attackers to run arbitrary commands, affecting every default deployment) and CVE-2026-88772 (a memory overflow that can lead to remote code execution or denial of service when DTLS is enabled, which is the default for VPN virtual servers). CISA added both flaws to its KEV catalog on September 27, 2026 and confirms active exploitation globally. Source

➜ À faire : Mettre à jour en urgence toute appliance NetScaler ADC/Gateway vers 14.1-73.37, 13.1-64.23, ou les versions FIPS/NDcPP équivalentes ; avant de patcher, rechercher des indices de compromission (IoC via NetScaler Console) et préserver les preuves forensiques, car des exploitations ont déjà été observées sur des instances non mitigées.

➜ To do: Urgently update any NetScaler ADC/Gateway appliance to 14.1-73.37, 13.1-64.23, or the equivalent FIPS/NDcPP builds; before patching, check for indicators of compromise (via NetScaler Console) and preserve forensic evidence, since exploitation has already been observed on unmitigated instances.

Zimbra Collaboration Suite : faille critique de traversée de répertoire (CVE-2026-93643, CVSS 9.8) sans authentification — Divulguée le 25 septembre 2026, cette vulnérabilité touche les versions de Zimbra Collaboration Suite (ZCS) antérieures à 10.1.21. Lorsque l'édition de documents OnlyOffice est activée, un attaquant non authentifié ayant accès à un document Briefcase public existant peut exploiter des champs de sauvegarde non signés pour effectuer des écritures par traversée de répertoire et exécuter des commandes avec les privilèges de l'utilisateur zimbra. Aucun exploit public actif n'est confirmé à ce stade, mais la sévérité critique et les antécédents d'exploitation rapide de failles Zimbra similaires imposent une remédiation rapide. Source

Zimbra Collaboration Suite: critical unauthenticated path-traversal flaw (CVE-2026-93643, CVSS 9.8) — Disclosed on September 25, 2026, this vulnerability affects Zimbra Collaboration Suite (ZCS) versions before 10.1.21. When OnlyOffice document editing is enabled, an unauthenticated attacker with access to an existing public Briefcase document can abuse unsigned save fields to perform path-traversal writes and execute commands with zimbra user privileges. No active public exploit has been confirmed yet, but the critical severity and Zimbra's track record of rapidly exploited flaws call for prompt remediation. Source

➜ À faire : Planifier la mise à jour de tout serveur Zimbra Collaboration Suite vers la version 10.1.21 ou supérieure ; en attendant, si l'édition OnlyOffice/Document Editing n'est pas indispensable, la désactiver pour supprimer le vecteur d'attaque.

➜ To do: Plan an update of any Zimbra Collaboration Suite server to version 10.1.21 or later; in the meantime, if OnlyOffice/Document Editing is not essential, disable it to remove the attack vector.

Roundcube Webmail : injection SQL pré-authentification (CVE-2026-48842) désormais exploitée activement — Le Centre canadien pour la cybersécurité a mis à jour son avis le 24 septembre 2026 pour signaler que la CVE-2026-48842, une injection SQL pré-authentification dans le plugin intégré virtuser_query de Roundcube Webmail, est exploitée dans la nature. Le correctif existe depuis mai 2026 (versions 1.6.16 et 1.7.1), mais l'exploitation n'a débuté que quatre mois plus tard. La faille permet de contourner l'authentification, d'exécuter des commandes SQL malveillantes et d'exfiltrer des données sans interaction utilisateur. Source

Roundcube Webmail: pre-auth SQL injection (CVE-2026-48842) now actively exploited — The Canadian Centre for Cyber Security updated its advisory on September 24, 2026 to flag that CVE-2026-48842, a pre-authenticated SQL injection in Roundcube Webmail's built-in virtuser_query plugin, is being exploited in the wild. A patch has existed since May 2026 (versions 1.6.16 and 1.7.1), but exploitation only began four months later. The flaw allows attackers to bypass authentication, run malicious SQL commands, and exfiltrate data without user interaction. Source

➜ À faire : Mettre à jour immédiatement tout serveur Roundcube Webmail vers la version 1.6.16 ou 1.7.1 ; si une mise à jour rapide est impossible, désactiver ou retirer le plugin virtuser_query pour supprimer le vecteur d'attaque.

➜ To do: Immediately update any Roundcube Webmail server to version 1.6.16 or 1.7.1; if a quick update isn't possible, disable or remove the virtuser_query plugin to eliminate the attack vector.

WordPress Core (CVE-2026-87902, CVSS 9.2) : passage massif à l'exploitation avec dépôt de webshells — La faille d'inclusion de fichiers locaux CVE-2026-87902 dans la résolution des modèles de page de WordPress Core, corrigée le 22 septembre 2026, fait l'objet d'une exploitation généralisée : après une phase de sondage automatisé, les attaquants incluent désormais pearcmd.php pour écrire sur le disque des fichiers PHP qui exécutent des commandes shell à distance. La CISA a ajouté cette CVE à son catalogue KEV le 25 septembre 2026, avec une échéance de remédiation au 28 septembre pour les agences fédérales américaines. Source

WordPress Core (CVE-2026-87902, CVSS 9.2): mass exploitation shifts to webshell deployment — The local file inclusion flaw CVE-2026-87902 in WordPress Core's page-template resolution, patched on September 22, 2026, is now under widespread exploitation: after an initial automated-probing phase, attackers are including pearcmd.php to write PHP files to disk that execute remote shell commands. CISA added this CVE to its KEV catalog on September 25, 2026, with a remediation deadline of September 28 for US federal agencies. Source

➜ À faire : Mettre à jour en urgence tout site WordPress hébergé sur le parc (souvent sur serveurs Linux) vers une version corrigée, rechercher la présence de fichiers pearcmd.php ou de webshells suspects dans l'arborescence, et bloquer les tentatives d'inclusion de fichiers via un WAF le temps du déploiement du correctif.

➜ To do: Urgently update any WordPress site hosted in the fleet (often on Linux servers) to a patched version, scan for pearcmd.php or suspicious webshell files in the file tree, and block file-inclusion attempts via a WAF while the patch is being rolled out.

SharePoint Server : injection de code CVE-2026-65660 (CVSS 8.8) ajoutée au catalogue CISA KEV — Le 25 septembre 2026, la CISA a ajouté au catalogue Known Exploited Vulnerabilities (KEV) la CVE-2026-65660, une injection de code affectant SharePoint Server 2016, 2019 et Subscription Edition : un défaut d'échappement dans la reconstruction des directives ToolPane permet à un attaquant authentifié disposant de faibles privilèges de déclencher une désérialisation XAML malveillante et d'exécuter du code arbitraire sur le serveur. Les correctifs sont disponibles depuis la mise à jour de sécurité du 11 août 2026. La CISA fixe une échéance de remédiation au 28 septembre 2026 pour les agences fédérales américaines. Source

SharePoint Server: code injection CVE-2026-65660 (CVSS 8.8) added to the CISA KEV catalog — On September 25, 2026, CISA added CVE-2026-65660 to its Known Exploited Vulnerabilities (KEV) catalog, a code injection flaw affecting SharePoint Server 2016, 2019 and Subscription Edition: a quoting failure when SharePoint reconstructs ToolPane directives lets a low-privileged authenticated attacker trigger malicious XAML deserialization and execute arbitrary code on the server. Patches have been available since the August 11, 2026 security update. CISA set a remediation deadline of September 28, 2026 for US federal agencies. Source

➜ À faire : Vérifier que tous les serveurs SharePoint Server (2016/2019/SE) du parc ont bien appliqué la mise à jour d'août 2026 ou une version ultérieure, et surveiller les journaux IIS/ULS pour toute activité suspecte liée à ToolPane.

➜ To do: Verify that every SharePoint Server (2016/2019/SE) instance in the fleet has the August 2026 update or later applied, and monitor IIS/ULS logs for any suspicious ToolPane-related activity.

MikroTik RouterOS : contournement SSH « MikroTrick » (CVE-2026-67279) exploité avant même la publication du correctif — CERT Polska détaille une chaîne d'attaque ciblant le service SSH de RouterOS : en enchaînant une renégociation (rekey) demandée par le client sans authentification complète, un attaquant distant non authentifié obtient l'exécution de commandes et peut lire, écraser ou reconstruire des fichiers dans l'espace géré de RouterOS. Des traces d'exploitation remontent au 2 septembre 2026, avant la publication du correctif le 3 septembre. La CISA a ajouté cette faille (CVSS 6.9) à son catalogue KEV le 25 septembre 2026, avec une échéance de remédiation au 28 septembre. Source

MikroTik RouterOS: "MikroTrick" SSH bypass (CVE-2026-67279) exploited before the patch even shipped — CERT Polska details an attack chain targeting RouterOS's SSH service: by chaining a client-requested rekey without completed authentication, an unauthenticated remote attacker gains command execution and can read, overwrite or reconstruct files in RouterOS's managed file namespace. Exploitation traces date back to September 2, 2026, before the patch shipped on September 3. CISA added this flaw (CVSS 6.9) to its KEV catalog on September 25, 2026, with a remediation deadline of September 28. Source

➜ À faire : Mettre à jour sans délai tout routeur MikroTik RouterOS vers 6.49.21, 7.23.4 ou 7.24.2 (ou version supérieure) ; si une mise à jour immédiate est impossible, désactiver ou restreindre l'accès SSH depuis Internet aux équipements RouterOS.

➜ To do: Urgently update any MikroTik RouterOS router to 6.49.21, 7.23.4 or 7.24.2 (or later); if an immediate update is not possible, disable or restrict Internet-facing SSH access to RouterOS devices.

Zabbix Agent2 : multiples vulnérabilités corrigées en version 7.0.31 — Le CERT-FR relaie (24 septembre 2026, CERTFR-2026-AVI-1226) le bulletin de sécurité Zabbix ZBX-28059, signalant plusieurs vulnérabilités non précisément détaillées par l'éditeur dans Zabbix Agent2 pour toutes les versions antérieures à 7.0.31. Aucune preuve d'exploitation active n'est mentionnée à ce jour. Source

Zabbix Agent2: multiple vulnerabilities fixed in version 7.0.31 — CERT-FR relayed (September 24, 2026, CERTFR-2026-AVI-1226) Zabbix's security bulletin ZBX-28059, reporting several vulnerabilities not precisely detailed by the vendor in Zabbix Agent2 for all versions before 7.0.31. No evidence of active exploitation is mentioned so far. Source

➜ À faire : Recenser les agents Zabbix Agent2 déployés sur le parc supervisé, planifier leur mise à jour vers la version 7.0.31 ou ultérieure, et consulter le bulletin ZBX-28059 pour le détail des correctifs.

➜ To do: Inventory Zabbix Agent2 instances deployed across the monitored fleet, schedule their update to version 7.0.31 or later, and consult bulletin ZBX-28059 for patch details.

Noyau Linux : vague coordonnée d'avis CERT-FR sur Ubuntu, Red Hat, SUSE et Debian — Le 25 septembre 2026, le CERT-FR a publié coup sur coup quatre avis (CERTFR-2026-AVI-1229 à 1232) relayant des correctifs de sécurité du noyau Linux pour Ubuntu, Red Hat, SUSE et Debian. Côté Red Hat, l'avis couvre à lui seul 67 CVE (de CVE-2023-53781 à CVE-2026-89846) pouvant entraîner exécution de code à distance, élévation de privilèges ou déni de service ; aucune exploitation active n'est signalée à ce stade. Source

Linux kernel: coordinated wave of CERT-FR advisories for Ubuntu, Red Hat, SUSE and Debian — On September 25, 2026, CERT-FR published four advisories in a row (CERTFR-2026-AVI-1229 to 1232) relaying Linux kernel security fixes for Ubuntu, Red Hat, SUSE and Debian. The Red Hat advisory alone covers 67 CVEs (from CVE-2023-53781 to CVE-2026-89846) that can lead to remote code execution, privilege escalation or denial of service; no active exploitation is reported at this stage. Source

➜ À faire : Planifier le déploiement des correctifs noyau sur les serveurs Linux du parc (Ubuntu, RHEL, SUSE, Debian selon les distributions en service), en priorisant les systèmes exposés ou hébergeant des services critiques, et se référer aux bulletins éditeurs (RHSA correspondants pour Red Hat) pour les versions cibles.

➜ To do: Schedule kernel patch deployment across Linux servers in the fleet (Ubuntu, RHEL, SUSE, Debian depending on distributions in service), prioritizing exposed systems or those hosting critical services, and refer to vendor bulletins (matching RHSAs for Red Hat) for target versions.

CISA ajoute deux failles activement exploitées au catalogue KEV : WSO2 (CVE-2026-5430) et Adobe Commerce/Magento (CVE-2026-71362) — Le 24 septembre 2026, la CISA a ajouté deux nouvelles vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV) sur la base de preuves d'exploitation active : CVE-2026-5430, une traversée de répertoires dans plusieurs produits WSO2, et CVE-2026-71362, un défaut d'autorisation incorrecte dans Adobe Commerce et Magento. La CISA rappelle que ce type de faille reste un vecteur d'attaque fréquent contre les organisations exposant ces applications sur Internet. Source

CISA adds two actively exploited flaws to the KEV catalog: WSO2 (CVE-2026-5430) and Adobe Commerce/Magento (CVE-2026-71362) — On September 24, 2026, CISA added two new vulnerabilities to its Known Exploited Vulnerabilities (KEV) catalog based on evidence of active exploitation: CVE-2026-5430, a path traversal flaw in multiple WSO2 products, and CVE-2026-71362, an incorrect authorization flaw in Adobe Commerce and Magento. CISA notes that this type of flaw remains a frequent attack vector against organizations exposing these applications to the Internet. Source

➜ À faire : Vérifier la présence de produits WSO2 ou de boutiques Adobe Commerce/Magento dans le parc (y compris chez des prestataires ou filiales), appliquer sans délai les correctifs éditeurs, et si l'un de ces produits est exposé sur Internet, consulter le catalogue CISA KEV pour prioriser la remédiation selon une approche fondée sur les risques.

➜ To do: Check whether WSO2 products or Adobe Commerce/Magento storefronts are present in the fleet (including with service providers or subsidiaries), apply vendor patches without delay, and if any of these products are Internet-facing, consult the CISA KEV catalog to prioritize remediation using a risk-based approach.

Apache Tomcat : 14 vulnérabilités corrigées, dont des contournements de politique de sécurité et des dénis de service — Le CERT-FR relaie (23 septembre 2026, CERTFR-2026-AVI-1218) la publication par la fondation Apache de correctifs pour 14 vulnérabilités affectant Tomcat 9.0.x (avant 9.0.122), 10.1.x (avant 10.1.60) et 11.0.x (avant 11.0.26). Ces failles peuvent permettre un contournement de politique de sécurité, une atteinte à l'intégrité des données ou un déni de service à distance ; aucune preuve d'exploitation active n'est mentionnée à ce jour. Source

Apache Tomcat: 14 vulnerabilities fixed, including security policy bypasses and denial-of-service flaws — CERT-FR relayed (September 23, 2026, CERTFR-2026-AVI-1218) the Apache Software Foundation's fixes for 14 vulnerabilities affecting Tomcat 9.0.x (before 9.0.122), 10.1.x (before 10.1.60) and 11.0.x (before 11.0.26). These flaws can allow a security policy bypass, a data integrity compromise, or a remote denial of service; no evidence of active exploitation is mentioned so far. Source

➜ À faire : Recenser tous les serveurs Tomcat du parc (souvent utilisés comme conteneur d'applications Java sur Windows Server et Linux), planifier la mise à jour vers 9.0.122, 10.1.60 ou 11.0.26 selon la branche utilisée, et vérifier qu'aucune configuration par défaut non sécurisée n'est exposée.

➜ To do: Inventory every Tomcat server in the fleet (often used as a Java application container on both Windows Server and Linux), schedule the update to 9.0.122, 10.1.60 or 11.0.26 depending on the branch in use, and verify that no insecure default configuration is exposed.

Check Point Security Management Server : zero-day critique CVE-2026-93616 (CVSS 9.8) exploité activement — Le CERT-FR relaie (23 septembre 2026, CERTFR-2026-AVI-1219) l'avis d'urgence de Check Point concernant une vulnérabilité pré-authentification combinant traversée de répertoires et téléversement de fichier non sécurisé dans le service web de gestion. Un attaquant sans compte ni interaction utilisateur, disposant d'un accès réseau à l'interface de management, peut déposer puis exécuter un script arbitraire (ou charger une classe Java arbitraire) sans authentification. Check Point confirme une exploitation ciblée dans la nature. Sont concernés Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server et SmartEvent. Source

Check Point Security Management Server: critical zero-day CVE-2026-93616 (CVSS 9.8) under active exploitation — CERT-FR relayed (September 23, 2026, CERTFR-2026-AVI-1219) Check Point's emergency advisory on a pre-authentication flaw combining path traversal with unsafe file upload in the management web service. An attacker with no account and no user interaction, only network access to the management interface, can plant and then execute an arbitrary script (or load an arbitrary Java class) without authenticating. Check Point confirms targeted exploitation in the wild. Affected products include Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server and SmartEvent. Source

➜ À faire : Recenser tout serveur Check Point Security/Multi-Domain Management, Log Server ou SmartEvent du parc, appliquer en urgence le correctif R82.20, s'assurer que l'interface d'administration n'est jamais exposée directement sur Internet, et rechercher dans les journaux tout dépôt de fichier ou exécution de script suspect.

➜ To do: Inventory every Check Point Security/Multi-Domain Management, Log Server or SmartEvent instance in the fleet, urgently apply patch R82.20, ensure the management interface is never exposed directly to the Internet, and review logs for any suspicious file drop or script execution.

SolarWinds Observability Self-Hosted : deux failles critiques d'exécution de code à distance, CVE-2026-28324 (CVSS 9.8) et CVE-2026-28325 (CVSS 8.8) — Le CERT-FR relaie (23 septembre 2026, CERTFR-2026-AVI-1215) la mise à jour SolarWinds du 22 septembre 2026 pour sa plateforme de supervision Observability Self-Hosted. CVE-2026-28324 est un défaut de vérification d'intégrité permettant à un attaquant non authentifié d'exécuter du code à distance sur une installation en configuration non sécurisée par défaut ; CVE-2026-28325 est une désérialisation de données non fiables exploitable dans certains modes de communication de l'application. SolarWinds ne signale aucune preuve d'exploitation active à ce jour. Source

SolarWinds Observability Self-Hosted: two critical remote code execution flaws, CVE-2026-28324 (CVSS 9.8) and CVE-2026-28325 (CVSS 8.8) — CERT-FR relayed (September 23, 2026, CERTFR-2026-AVI-1215) SolarWinds' September 22, 2026 update for its Observability Self-Hosted monitoring platform. CVE-2026-28324 is an integrity-verification flaw letting an unauthenticated attacker execute remote code against an installation left in a non-secure, non-default configuration; CVE-2026-28325 is an insecure deserialization issue exploitable under certain application communication modes. SolarWinds reports no evidence of active exploitation so far. Source

➜ À faire : Recenser tout serveur SolarWinds Observability Self-Hosted du parc, le mettre à jour vers la version 2026.2.3, vérifier qu'aucune configuration non sécurisée par défaut n'est active, et restreindre l'exposition réseau de la plateforme de supervision aux seuls postes d'administration.

➜ To do: Inventory every SolarWinds Observability Self-Hosted server in the fleet, update it to version 2026.2.3, verify that no non-secure default configuration is active, and restrict the monitoring platform's network exposure to administration workstations only.

F5 BIG-IP APM : faille critique CVE-2026-94127 (CVSS 9.8) exploitée activement, ajoutée au catalogue CISA KEV — F5 corrige (22 septembre 2026) un débordement de tampon en zone de tas dans BIG-IP Access Policy Manager (APM), exploitable sans authentification lorsqu'une politique d'accès APM et un profil OAuth sont configurés sur un même serveur virtuel : un trafic spécialement conçu envoyé à ce serveur corrompt la mémoire pendant le traitement de la requête et permet l'exécution de code arbitraire. F5 confirme une exploitation active dans la nature, avec des indicateurs de compromission (échecs répétés d'authentification OAuth, activité de commande suspecte, plantages du TMM). Le même jour, la CISA a ajouté cette faille à son catalogue KEV, aux côtés de deux failles Check Point (CVE-2026-85102, CVE-2026-93616) et d'une faille Arista VeloCloud Orchestrator (CVE-2026-93952). Source

F5 BIG-IP APM: critical flaw CVE-2026-94127 (CVSS 9.8) under active exploitation, added to the CISA KEV catalog — F5 fixed (September 22, 2026) a heap-based buffer overflow in BIG-IP Access Policy Manager (APM), exploitable without authentication when an APM access policy and an OAuth profile are both configured on the same virtual server: specially crafted traffic sent to that server corrupts memory during request handling and enables arbitrary code execution. F5 confirms active in-the-wild exploitation, with indicators of compromise including repeated OAuth authentication failures, suspicious command activity, and TMM crashes. The same day, CISA added this flaw to its KEV catalog alongside two Check Point flaws (CVE-2026-85102, CVE-2026-93616) and an Arista VeloCloud Orchestrator flaw (CVE-2026-93952). Source

➜ À faire : Identifier tout serveur virtuel BIG-IP APM combinant une politique d'accès et un profil OAuth, appliquer en urgence le hotfix correspondant (21.1.0.2.0.30.22, 17.5.1.9.0.160.12 ou 17.1.3.5.0.41.14 selon la branche), et rechercher dans les journaux les échecs d'authentification OAuth répétés et plantages TMM signalés par l'éditeur.

➜ To do: Identify any BIG-IP APM virtual server combining an access policy with an OAuth profile, urgently apply the matching hotfix (21.1.0.2.0.30.22, 17.5.1.9.0.160.12, or 17.1.3.5.0.41.14 depending on the branch), and review logs for the repeated OAuth authentication failures and TMM crashes flagged by the vendor.

SolarWinds Access Rights Manager : clé cryptographique statique menant à une exécution de code à distance non authentifiée, CVE-2026-28326 (CVSS 8.8) — Le CERT-FR relaie (22 septembre 2026, CERTFR-2026-AVI-1211) l'avis SolarWinds du 17 septembre 2026 concernant Access Rights Manager (ARM), l'outil d'audit et de gestion des droits d'accès souvent déployé en complément d'Active Directory. La faille provient d'une clé cryptographique statique codée en dur dans le produit : un attaquant disposant d'un accès réseau adjacent, sans compte ni interaction utilisateur, peut l'exploiter pour exécuter du code arbitraire sur le serveur ARM. SolarWinds indique n'avoir à ce jour aucune preuve d'exploitation active, mais recommande une mise à jour rapide compte tenu du rôle de l'outil dans la gouvernance des accès. Source

SolarWinds Access Rights Manager: hardcoded static key leads to unauthenticated remote code execution, CVE-2026-28326 (CVSS 8.8) — CERT-FR relayed (September 22, 2026, CERTFR-2026-AVI-1211) SolarWinds' September 17, 2026 advisory on Access Rights Manager (ARM), the access-rights auditing and management tool often deployed alongside Active Directory. The flaw stems from a hardcoded static cryptographic key in the product: an attacker with adjacent network access, no account and no user interaction can exploit it to execute arbitrary code on the ARM server. SolarWinds states it has no evidence of active exploitation so far, but recommends prompt patching given the tool's role in access governance. Source

➜ À faire : Recenser tout serveur SolarWinds Access Rights Manager du parc, le mettre à jour vers la version 2026.2.1, restreindre son exposition réseau aux seuls postes d'administration, et vérifier l'absence de connexions suspectes dans les journaux ARM.

➜ To do: Inventory every SolarWinds Access Rights Manager server in the fleet, update it to version 2026.2.1, restrict its network exposure to administration workstations only, and check ARM logs for any suspicious connections.

Commutateurs Zyxel GS1900 : faille CVE-2026-7273 (CVSS 8.8) désormais exploitée activement, ajoutée au catalogue CISA KEV — La CISA a confirmé le 21 septembre 2026 l'exploitation active de CVE-2026-7273, un débordement de tampon sur la pile dans le programme CGI des commutateurs Zyxel GS1900 (notamment GS1900-48HPv2, firmware jusqu'à 2.90(ABTQ.1)C0 inclus). Un attaquant non authentifié présent sur le réseau local peut envoyer une requête HTTP spécialement conçue pour exécuter des commandes système arbitraires avec les privilèges du service CGI. La vulnérabilité avait été publiée par Zyxel le 16 juin 2026 ; c'est sa mise en exploitation active confirmée qui est nouvelle. Source

Zyxel GS1900 switches: CVE-2026-7273 (CVSS 8.8) now under active exploitation, added to the CISA KEV catalog — On September 21, 2026, CISA confirmed active exploitation of CVE-2026-7273, a stack-based buffer overflow in the CGI program of Zyxel GS1900 switches (notably GS1900-48HPv2, firmware up to and including 2.90(ABTQ.1)C0). An unauthenticated attacker on the local network can send a specially crafted HTTP request to execute arbitrary OS commands with the privileges of the CGI service. The vulnerability was originally published by Zyxel on June 16, 2026; what is new is the confirmed active exploitation. Source

➜ À faire : Recenser tout commutateur Zyxel GS1900 (notamment GS1900-48HPv2) présent sur le parc, appliquer le correctif du fabricant s'il est disponible pour le modèle concerné, et à défaut restreindre l'accès à l'interface web/CGI du commutateur au seul réseau d'administration.

➜ To do: Inventory any Zyxel GS1900 switch (notably GS1900-48HPv2) present on the fleet, apply the vendor's patch if available for the affected model, and otherwise restrict access to the switch's web/CGI interface to the management network only.

SolarWinds Access Rights Manager : clé cryptographique codée en dur permettant une RCE non authentifiée (CVE-2026-28326) — SolarWinds a publié le 17 septembre 2026 un avis pour CVE-2026-28326, une vulnérabilité notée CVSS 8.8 dans Access Rights Manager (ARM), l'outil de gestion des droits d'accès Active Directory et serveurs de fichiers. La faille provient d'une clé cryptographique statique codée en dur dans le produit, identique sur tous les déploiements, permettant à un attaquant non authentifié pouvant atteindre l'interface exposée d'exécuter des commandes arbitraires sur l'hôte hébergeant ARM. Toutes les versions 2026.2 et antérieures sont concernées ; aucune exploitation active n'est signalée à ce jour. Source

SolarWinds Access Rights Manager: hard-coded cryptographic key enables unauthenticated RCE (CVE-2026-28326) — On September 17, 2026, SolarWinds published an advisory for CVE-2026-28326, a CVSS 8.8 vulnerability in Access Rights Manager (ARM), the tool used to manage Active Directory and file server access rights. The flaw stems from a static cryptographic key hard-coded into the product, identical across every deployment, letting an unauthenticated attacker who can reach the exposed interface run arbitrary commands on the host running ARM. All versions 2026.2 and earlier are affected; no active exploitation has been reported so far. Source

➜ À faire : Mettre à jour sans délai tout serveur SolarWinds Access Rights Manager du parc vers la version 2026.2.1, et s'assurer que l'interface d'administration d'ARM n'est pas exposée directement sur Internet en attendant le déploiement du correctif.

➜ To do: Update any SolarWinds Access Rights Manager server in the fleet to version 2026.2.1 without delay, and ensure ARM's administration interface is not directly exposed to the Internet while the patch is being rolled out.

Mises à jour Windows 11 de septembre : échecs d'authentification de domaine liés à Machine Identity Isolation (KB5124008/KB5124012) — Microsoft a confirmé, le 17 septembre 2026, un problème connu affectant les postes Windows 11 (24H2/25H2 avec KB5124008, 26H1 avec KB5124012) : après installation de ces mises à jour, la fonctionnalité Machine Identity Isolation peut s'exécuter en mode d'application forcée sur des environnements ne disposant pas du niveau fonctionnel de domaine Windows Server 2025, provoquant des erreurs de confiance de domaine et des échecs de connexion avec des identifiants pourtant valides. Microsoft propose de désactiver Machine Identity Isolation sur les postes non pris en charge puis de réinitialiser le canal sécurisé, en attendant une correction définitive dans une prochaine mise à jour. Source

September Windows 11 updates: domain authentication failures linked to Machine Identity Isolation (KB5124008/KB5124012) — On September 17, 2026, Microsoft confirmed a known issue affecting Windows 11 devices (24H2/25H2 with KB5124008, 26H1 with KB5124012): after installing these updates, the Machine Identity Isolation feature can start running in enforcement mode on environments that lack the Windows Server 2025 domain functional level, causing domain trust errors and login failures even with valid credentials. Microsoft's workaround is to disable Machine Identity Isolation on unsupported devices and reset the secure channel, pending a permanent fix in a future update. Source

➜ À faire : Identifier les postes Windows 11 du parc ayant reçu KB5124008/KB5124012 dans des domaines dont le niveau fonctionnel est inférieur à Windows Server 2025, désactiver Machine Identity Isolation via stratégie de groupe sur ces postes, réinitialiser le canal sécurisé, puis redémarrer.

➜ To do: Identify Windows 11 devices in the fleet that received KB5124008/KB5124012 in domains below the Windows Server 2025 functional level, disable Machine Identity Isolation via Group Policy on those devices, reset the secure channel, then reboot.

CERT-FR publie deux avis sur de multiples vulnérabilités du noyau Linux (Red Hat et Ubuntu) — Le CERT-FR a publié le 18 septembre 2026 les avis CERTFR-2026-AVI-1204 (noyau Linux Red Hat Enterprise Linux, environ 80 CVE référencés) et CERTFR-2026-AVI-1203 (noyau Linux Ubuntu, plus de 600 CVE référencés), couvrant l'exécution de code arbitraire, l'élévation de privilèges et le déni de service à distance. Ce lot inclut notamment CVE-2025-39682, une faille ajoutée le même jour au catalogue des vulnérabilités activement exploitées de la CISA, avec une échéance de remédiation fixée au 21 septembre 2026. Source

CERT-FR publishes two advisories on multiple Linux kernel vulnerabilities (Red Hat and Ubuntu) — On September 18, 2026, French CERT-FR published advisories CERTFR-2026-AVI-1204 (Red Hat Enterprise Linux kernel, roughly 80 referenced CVEs) and CERTFR-2026-AVI-1203 (Ubuntu Linux kernel, over 600 referenced CVEs), covering arbitrary code execution, privilege escalation and remote denial of service. This batch notably includes CVE-2025-39682, a flaw added the same day to CISA's actively exploited vulnerabilities catalog, with a remediation deadline set for September 21, 2026. Source

➜ À faire : Planifier sans délai la mise à jour du noyau (dnf/yum update ou apt update && apt upgrade selon la distribution) sur l'ensemble des serveurs Red Hat Enterprise Linux et Ubuntu du parc, en traitant en priorité CVE-2025-39682 du fait de son exploitation active confirmée.

➜ To do: Schedule the kernel update (dnf/yum update or apt update && apt upgrade depending on the distribution) across all Red Hat Enterprise Linux and Ubuntu servers in the fleet without delay, prioritizing CVE-2025-39682 given its confirmed active exploitation.

Microsoft corrige une faille critique CVSS 10.0 dans Azure Billing permettant une élévation de privilèges à distance — Microsoft a publié le 17 septembre 2026 un correctif pour CVE-2026-62874, une vulnérabilité de vérification insuffisante de l'authenticité des données (CWE-345) dans Azure Billing, notée CVSS 10.0, permettant à un attaquant non authentifié d'élever ses privilèges à distance sur le réseau. Le correctif a été déployé côté service par Microsoft ; aucune exploitation active n'est signalée à ce jour. Source

Microsoft fixes a critical CVSS 10.0 flaw in Azure Billing enabling remote privilege escalation — On September 17, 2026, Microsoft released a fix for CVE-2026-62874, an insufficient verification of data authenticity flaw (CWE-345) in Azure Billing, rated CVSS 10.0, allowing an unauthenticated attacker to remotely elevate privileges over the network. The fix was deployed server-side by Microsoft; no active exploitation has been reported so far. Source

➜ À faire : Aucune action de correctif requise côté client (correctif appliqué côté service Azure) ; par précaution, vérifier les rôles et permissions liés à la facturation (Cost Management/Billing) du tenant Azure et activer le MFA sur les comptes disposant d'un accès administrateur à la facturation.

➜ To do: No client-side patch action is required (fix applied server-side by Azure); as a precaution, review roles and permissions related to billing (Cost Management/Billing) on the Azure tenant and enable MFA on accounts with billing administrator access.

Cisco ASA/FTD/FMC : nouvelle campagne de durcissement, deux failles exploitées activement (CVE-2026-20329, CVE-2026-20330) — Cisco publie le 16 septembre une nouvelle campagne de durcissement pour Secure Firewall ASA, FTD et FMC, corrigeant huit vulnérabilités internes dont CVE-2026-20329 et CVE-2026-20330 (CVSS 9.9 chacune) ; Cisco confirme que deux des failles corrigées dans ce lot font l'objet d'une exploitation active. Source

Cisco ASA/FTD/FMC: new hardening release, two flaws under active exploitation (CVE-2026-20329, CVE-2026-20330) — Cisco released a new hardening bundle on September 16 for Secure Firewall ASA, FTD and FMC, fixing eight internally discovered vulnerabilities including CVE-2026-20329 and CVE-2026-20330 (CVSS 9.9 each); Cisco confirms that two of the fixed flaws in this bundle are under active exploitation. Source

➜ À faire : Mettre à jour sans délai les pare-feux ASA vers 9.16.4.103, 9.18.4.94, 9.20.4.49, 9.22.3.26, 9.23.1.47 ou 9.24.1.26, et FTD/FMC vers 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 ou 10.1.0 selon la version en place, en priorisant les équipements exposés à Internet.

➜ To do: Update ASA firewalls to 9.16.4.103, 9.18.4.94, 9.20.4.49, 9.22.3.26, 9.23.1.47 or 9.24.1.26, and FTD/FMC to 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 or 10.1.0 depending on the current version, without delay, prioritizing internet-facing appliances.

Exploits publics publiés pour quatre failles du noyau Linux permettant une élévation de privilèges locale — Des chercheurs ont publié le 18 septembre des exploits fonctionnels pour quatre vulnérabilités du noyau Linux — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) et DiagSpill (CVE-2026-74469, SCTP) — permettant à un utilisateur local d'obtenir les privilèges root ; DiagSpill est la plus critique car elle ne nécessite aucun espace de noms privilégié particulier si le module SCTP est chargé. Les correctifs existent depuis plusieurs semaines et aucune exploitation en conditions réelles n'est signalée à ce jour. Source

Public exploits released for four Linux kernel flaws enabling local privilege escalation — Researchers published working exploits on September 18 for four Linux kernel vulnerabilities — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) and DiagSpill (CVE-2026-74469, SCTP) — letting a local user gain root privileges; DiagSpill is the most critical since it requires no privileged namespace as long as the SCTP module is loaded. Fixes have been available for several weeks and no in-the-wild exploitation has been reported so far. Source

➜ À faire : Mettre à jour les noyaux Linux du parc vers les versions stables corrigées (5.10.270, 5.15.221, 6.1.188 ou équivalent selon la distribution) ou appliquer le correctif spécifique de son éditeur, en priorité sur les systèmes autorisant les espaces de noms utilisateur non privilégiés ou chargeant le module SCTP.

➜ To do: Update Linux kernels across the fleet to the fixed stable versions (5.10.270, 5.15.221, 6.1.188 or the distribution's equivalent) or apply the vendor's specific patch, prioritizing systems that allow unprivileged user namespaces or load the SCTP module.

La CISA ajoute deux failles du noyau Linux à son catalogue des vulnérabilités activement exploitées — Le 18 septembre 2026, la CISA a ajouté à son catalogue Known Exploited Vulnerabilities une vulnérabilité de condition de course du noyau Linux (CVE-2025-39964) et une vulnérabilité d'écriture hors limites (CVE-2026-53266), toutes deux exploitées activement selon la CISA. Source

CISA adds two Linux kernel flaws to its actively exploited vulnerabilities catalog — On September 18, 2026, CISA added a Linux kernel race condition vulnerability (CVE-2025-39964) and an out-of-bounds write vulnerability (CVE-2026-53266) to its Known Exploited Vulnerabilities catalog, both reported by CISA as actively exploited. Source

➜ À faire : Vérifier que les correctifs noyau correspondants sont déployés sur l'ensemble du parc Linux, en priorité sur les systèmes exposés à Internet et les serveurs critiques, conformément aux exigences de remédiation rapide de la directive BOD 26-04.

➜ To do: Verify that the corresponding kernel fixes are deployed across the Linux fleet, prioritizing internet-facing systems and critical servers, in line with the rapid-remediation requirements of BOD 26-04.

Microsoft corrige 18 vulnérabilités dans Azure et ses produits IA, dont une faille critique CVSS 10.0 dans Azure AI Foundry — Microsoft a corrigé 18 vulnérabilités touchant Azure ARC, Azure AI Foundry, Azure Logic Apps, Azure Cosmos DB, Microsoft Fabric, Dataverse et Microsoft 365 Copilot, majoritairement des élévations de privilèges, dont une faille notée CVSS 10.0 dans Azure AI Foundry corrigée le 17 septembre. Microsoft indique n'avoir constaté aucune exploitation active et précise que les correctifs sont appliqués côté serveur, sans action cliente requise. Source

Microsoft fixes 18 vulnerabilities in Azure and AI products, including a critical CVSS 10.0 flaw in Azure AI Foundry — Microsoft fixed 18 vulnerabilities affecting Azure ARC, Azure AI Foundry, Azure Logic Apps, Azure Cosmos DB, Microsoft Fabric, Dataverse and Microsoft 365 Copilot, mostly privilege-escalation flaws, including a CVSS 10.0 issue in Azure AI Foundry fixed on September 17. Microsoft states it has observed no active exploitation and that fixes were applied server-side, requiring no customer action. Source

➜ À faire : Aucune action requise côté client puisque les correctifs sont déployés côté serveur par Microsoft ; il reste recommandé de revoir par précaution les permissions d'accès et les stratégies d'authentification multifacteur sur les ressources Azure AI Foundry et Copilot du tenant.

➜ To do: No client-side action is required since the fixes were deployed server-side by Microsoft; as a precaution, it remains advisable to review access permissions and multi-factor authentication policies on the tenant's Azure AI Foundry and Copilot resources.

Windows Kerberos : contournement d'authentification par rejeu, CVE-2026-69676 (CVSS 8.8) — Corrigée lors du Patch Tuesday de septembre 2026, cette faille (CWE-294, capture-rejeu) permet à un attaquant disposant déjà de faibles privilèges d'intercepter un échange Kerberos légitime et de le rejouer, modifié, contre le serveur, qui l'accepte comme authentique et exécute du code arbitraire. Microsoft évalue l'exploitation comme « plus probable » ; aucune exploitation active n'est signalée à ce jour. Sont concernés Windows Server 2012 à 2025 ainsi que les postes Windows 10/11 joints au domaine. Source

Windows Kerberos: authentication bypass via replay, CVE-2026-69676 (CVSS 8.8) — Fixed in the September 2026 Patch Tuesday, this flaw (CWE-294, capture-replay) lets an attacker who already holds low-level credentials intercept a legitimate Kerberos exchange and replay a modified variant against the server, which accepts it as authentic and executes attacker-controlled code. Microsoft rates exploitation as "more likely"; no active exploitation has been reported so far. Affected systems include Windows Server 2012 through 2025 and domain-joined Windows 10/11 clients. Source

➜ À faire : Déployer le correctif de septembre 2026 sur tous les contrôleurs de domaine et postes joints au domaine, et vérifier la configuration Kerberos (signing/sealing) sur les environnements AD sensibles.

➜ To do: Deploy the September 2026 update on all domain controllers and domain-joined hosts, and review Kerberos signing/sealing configuration on sensitive AD environments.

Cisco ISE : faille critique CVE-2026-76460 (CVSS 10.0) déjà exploitée, ajoutée au catalogue CISA KEV — Cisco publie (16 septembre 2026) un correctif pour une faille d'authentification sur une API de Cisco Identity Services Engine (ISE) et ISE-PIC, découverte lors du traitement d'un dossier au Cisco TAC après qu'un environnement client a été compromis. Un attaquant non authentifié peut envoyer une requête spécialement conçue à un point d'accès API pour contourner entièrement l'authentification et obtenir un accès administrateur complet à l'appliance. La CISA a ajouté la faille à son catalogue KEV le jour même, avec une échéance de remédiation fixée au 19 septembre 2026. Source

Cisco ISE: critical flaw CVE-2026-76460 (CVSS 10.0) already exploited, added to the CISA KEV catalog — Cisco released (September 16, 2026) a fix for an authentication flaw in an API of Cisco Identity Services Engine (ISE) and ISE-PIC, discovered while resolving a Cisco TAC support case after a customer environment had already been compromised. An unauthenticated attacker can send a specially crafted request to an API endpoint to fully bypass authentication and gain complete administrative access to the appliance. CISA added the flaw to its KEV catalog the same day, with a remediation deadline set for September 19, 2026. Source

➜ À faire : Mettre à jour en urgence toute appliance Cisco ISE / ISE-PIC vers la version 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 ou 3.5 Patch 4 selon la branche utilisée, et vérifier les journaux d'accès API à la recherche de toute activité suspecte antérieure au correctif.

➜ To do: Urgently update any Cisco ISE / ISE-PIC appliance to version 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 or 3.5 Patch 4 depending on the branch in use, and review API access logs for any suspicious activity predating the patch.

Acronis Backup (plugin cPanel/WHM) : faille CVE-2026-87886 exploitée dans des attaques ciblées — Acronis corrige une élévation de privilèges locale (CVSS 7.8) due à des permissions de fichiers incorrectes dans son plugin de sauvegarde pour cPanel/WHM, permettant à un attaquant déjà authentifié sur le serveur d'obtenir les privilèges root sans interaction. Une exploitation limitée et ciblée a été détectée dans la nature sur des déploiements cPanel/WHM ; l'extension Plesk n'est pas concernée par une exploitation active connue. La CISA a ajouté la faille à son catalogue KEV le 16 septembre 2026, avec une échéance au 19 septembre 2026. Source

Acronis Backup (cPanel/WHM plugin): flaw CVE-2026-87886 exploited in targeted attacks — Acronis fixed a local privilege escalation (CVSS 7.8) caused by incorrect file permissions in its backup plugin for cPanel/WHM, allowing an attacker already authenticated on the server to gain root privileges with no further interaction. Limited, targeted exploitation has been observed in the wild against cPanel/WHM deployments; the Plesk extension has no known active exploitation. CISA added the flaw to its KEV catalog on September 16, 2026, with a deadline of September 19, 2026. Source

➜ À faire : Identifier tout serveur d'hébergement du parc exécutant le plugin Acronis Backup pour cPanel/WHM ou l'extension Plesk, et le mettre à jour respectivement vers la version 1.9.3 HF3 ou 1.8.11 dès que possible.

➜ To do: Identify any hosting server in the fleet running the Acronis Backup plugin for cPanel/WHM or the Plesk extension, and update it to version 1.9.3 HF3 or 1.8.11 respectively as soon as possible.

389-ds-base (serveur d'annuaire LDAP Linux) : plusieurs failles critiques corrigées — Red Hat, AlmaLinux et Oracle Linux publient (14 septembre 2026) des correctifs de sévérité critique pour 389-ds-base, le serveur d'annuaire LDAP utilisé sur RHEL, AlmaLinux et Oracle Linux : CVE-2026-18922 permet une élévation de privilèges jusqu'à Directory Manager via l'authentification SASL PLAIN, et CVE-2026-18355 est un débordement de tampon critique dans le traitement SASL. Source

389-ds-base (Linux LDAP directory server): several critical flaws fixed — Red Hat, AlmaLinux and Oracle Linux released (September 14, 2026) critical-severity fixes for 389-ds-base, the LDAP directory server used on RHEL, AlmaLinux and Oracle Linux: CVE-2026-18922 allows privilege escalation up to Directory Manager via SASL PLAIN authentication, and CVE-2026-18355 is a critical buffer overflow in SASL processing. Source

➜ À faire : Identifier les serveurs Linux exécutant 389-ds-base (annuaires LDAP utilisés en complément ou en remplacement d'Active Directory) et appliquer le correctif RHSA-2026:64804 (ou ALSA-2026:64785 / ELSA-2026-64791-0 selon la distribution) en priorité, puis vérifier les journaux d'authentification SASL pour toute activité suspecte.

➜ To do: Identify Linux servers running 389-ds-base (LDAP directories used alongside or instead of Active Directory) and apply RHSA-2026:64804 (or ALSA-2026:64785 / ELSA-2026-64791-0 depending on the distribution) as a priority, then review SASL authentication logs for any suspicious activity.

Cisco Secure Email Gateway : faille critique CVE-2026-76461 (CVSS 9.8) exploitée activement — Cisco confirme (14 septembre 2026) l'exploitation active d'une injection SQL non authentifiée dans AsyncOS pour Secure Email Gateway, permettant l'exécution de commandes arbitraires avec des privilèges root via un e-mail spécialement conçu envoyé à la passerelle. La faille a été ajoutée le même jour au catalogue CISA KEV, signe d'une exploitation en zero-day avant sa divulgation. Source

Cisco Secure Email Gateway: critical flaw CVE-2026-76461 (CVSS 9.8) under active exploitation — Cisco confirms (September 14, 2026) active exploitation of an unauthenticated SQL injection in AsyncOS for Secure Email Gateway, allowing arbitrary command execution with root privileges via a specially crafted email sent to the gateway. The flaw was added to the CISA KEV catalog the same day, indicating zero-day exploitation prior to disclosure. Source

➜ À faire : Mettre à jour immédiatement toute passerelle Cisco Secure Email Gateway (AsyncOS) vers 15.5.5-0141, 16.0.4-3021 ou, de préférence, 16.5.0-780 ; les passerelles Cisco Secure Email Cloud sont déjà protégées.

➜ To do: Immediately update any Cisco Secure Email Gateway (AsyncOS) appliance to 15.5.5-0141, 16.0.4-3021, or preferably 16.5.0-780; Cisco Secure Email Cloud gateways are already protected.

Cisco : notification anticipée du 16 septembre pour plusieurs versions de durcissement (ISE, Nexus Dashboard, ASA/FMC/FTD, ThousandEyes) — Cisco annonce la publication, ce jour, de nouvelles versions de durcissement de sécurité pour Identity Services Engine, Nexus Dashboard, les pare-feux Secure Firewall (ASA, FMC et FTD regroupés dans une même version) et ThousandEyes Virtual Appliance. Aucun détail technique ni score de sévérité n'est communiqué à ce stade, conformément au modèle de divulgation basé sur les risques de Cisco. Source

Cisco: September 16 advance notice for several hardening releases (ISE, Nexus Dashboard, ASA/FMC/FTD, ThousandEyes) — Cisco announces that new security hardening releases will be published today for Identity Services Engine, Nexus Dashboard, the Secure Firewall products (ASA, FMC and FTD bundled in a single release) and the ThousandEyes Virtual Appliance. No technical details or severity scores have been shared yet, in line with Cisco's risk-based disclosure model. Source

➜ À faire : Surveiller la publication des avis détaillés Cisco de ce jour pour ISE, Nexus Dashboard, ASA/FMC/FTD et ThousandEyes Virtual Appliance, et planifier la mise à niveau vers les versions durcies dès leur disponibilité.

➜ To do: Watch for today's detailed Cisco advisories covering ISE, Nexus Dashboard, ASA/FMC/FTD and the ThousandEyes Virtual Appliance, and schedule the upgrade to the hardened versions as soon as they are released.

VMware vCenter : la faille critique CVE-2026-59310 désormais exploitée par des rançongiciels — La CISA confirme (15 septembre 2026) que des opérateurs de rançongiciels ont rejoint l'exploitation de cette traversée de répertoire non authentifiée (CVSS 9.8) dans le service Syslog de vCenter, corrigée par Broadcom depuis le 29 juillet 2026. Plus de 361 adresses IP compromises dans 47 pays ont été recensées, avec dépôt de portes dérobées puis déploiement d'un rançongiciel dérivé de Babuk sur des hôtes ESXi gérés. Source

VMware vCenter: critical flaw CVE-2026-59310 now exploited by ransomware gangs — CISA confirms (September 15, 2026) that ransomware operators have joined the exploitation of this unauthenticated path traversal flaw (CVSS 9.8) in vCenter's Syslog service, fixed by Broadcom since July 29, 2026. Over 361 compromised IP addresses across 47 countries have been identified, with backdoors deployed followed by Babuk-derived ransomware on managed ESXi hosts. Source

➜ À faire : Vérifier sans délai que tous les serveurs vCenter du parc sont en version 9.1.0.0300, 9.0.2.0100 ou 8.0 U3k/U2f (ou ultérieure), en priorité ceux exposés ou encore en 7.x (fin de vie), et rechercher dans les journaux Syslog de vCenter tout signe de compromission antérieure.

➜ To do: Immediately verify that all vCenter servers in the fleet are running 9.1.0.0300, 9.0.2.0100, or 8.0 U3k/U2f (or later), prioritizing exposed instances or any still on the end-of-life 7.x branch, and review vCenter Syslog logs for signs of prior compromise.

Windows Server : la mise à jour de sécurité de septembre 2026 (KB5122871) casse les services Bureau à distance — Microsoft confirme que le correctif cumulatif de septembre rend les services RDS instables sur Windows Server 2019, 2022 et 2025 (et Windows 10/11) : connexions RDP qui échouent après quelques minutes, échecs de connexion, blocage sur « Veuillez patienter pendant la configuration du Bureau à distance », MMC, RDS Licensing Diagnoser et l'explorateur de fichiers qui deviennent parfois non réactifs. Le correctif hors-bande KB5129235, publié le 14 septembre 2026, résout le problème. Source

Windows Server: the September 2026 security update (KB5122871) breaks Remote Desktop Services — Microsoft confirms the September cumulative update makes RDS unstable on Windows Server 2019, 2022 and 2025 (and Windows 10/11): RDP connections failing after a few minutes, sign-in failures, servers hanging at "Please wait for the Remote Desktop Configuration", and MMC, RDS Licensing Diagnoser and File Explorer sometimes becoming unresponsive. The out-of-band update KB5129235, released September 14, 2026, resolves the issue. Source

➜ À faire : Déployer la mise à jour hors-bande KB5129235 (ou ultérieure) sur tous les serveurs Windows Server 2019/2022/2025 exécutant le rôle RDS ; si une atténuation temporaire via GPO avait été appliquée, aucune action supplémentaire n'est nécessaire avant l'installation de ce correctif.

➜ To do: Deploy the out-of-band update KB5129235 (or later) to all Windows Server 2019/2022/2025 machines running the RDS role; if a temporary GPO mitigation was applied, no further action is needed before installing this update.

Microsoft Edge : 21 vulnérabilités corrigées, dont une 0-day activement exploitée (CVE-2026-87491) — Le CERT-FR (avis CERTFR-2026-AVI-1171, 14 septembre 2026) relaie le correctif de Microsoft Edge (versions antérieures à 151.0.4129.107 et 152.0.4191.66) corrigeant 21 CVE, dont CVE-2026-87491, un défaut de type « out-of-bounds write » dans le moteur V8 de Chromium, activement exploité selon Microsoft et Google. Les navigateurs Chromium (Edge, Chrome, Brave, Opera, Vivaldi) partagent tous ce moteur. Source

Microsoft Edge: 21 vulnerabilities fixed, including an actively exploited 0-day (CVE-2026-87491) — CERT-FR (advisory CERTFR-2026-AVI-1171, September 14, 2026) relays Microsoft Edge's fix (versions prior to 151.0.4129.107 and 152.0.4191.66) addressing 21 CVEs, including CVE-2026-87491, an out-of-bounds write flaw in Chromium's V8 engine, actively exploited according to Microsoft and Google. Chromium-based browsers (Edge, Chrome, Brave, Opera, Vivaldi) all share this engine. Source

➜ À faire : Forcer la mise à jour de Microsoft Edge (et de tout autre navigateur Chromium déployé sur le parc) vers la dernière version dès que possible, et vérifier que la stratégie de groupe de mise à jour automatique des navigateurs est bien active sur l'ensemble des postes.

➜ To do: Force Microsoft Edge (and any other Chromium-based browser deployed across the fleet) to update to the latest version as soon as possible, and verify the browser auto-update group policy is active on all workstations.

Windows DNS Server : faille critique CVE-2026-69730, qualifiée de « digne héritière de SigRed » — Corrigée lors du Patch Tuesday de septembre 2026, cette exécution de code à distance non authentifiée (CVSS 9.8) dans le rôle DNS Server est classée par le Zero Day Initiative parmi les vulnérabilités « wormables » du mois. Le service tournant en SYSTEM et étant installé par défaut sur la plupart des contrôleurs de domaine, son exploitation offre un contrôle total du serveur sans interaction utilisateur. Source

Windows DNS Server: critical flaw CVE-2026-69730, dubbed "SigRed's spiritual successor" — Fixed in the September 2026 Patch Tuesday, this unauthenticated remote code execution (CVSS 9.8) in the DNS Server role is classified by the Zero Day Initiative among this month's "wormable" vulnerabilities. Since the service runs as SYSTEM and is installed by default on most domain controllers, exploitation grants full control of the server with no user interaction. Source

➜ À faire : Vérifier que la mise à jour de sécurité de septembre 2026 est bien installée sur tous les serveurs Windows exécutant le rôle DNS Server, en priorité les contrôleurs de domaine, et surveiller les journaux DNS pour toute activité anormale en attendant le déploiement complet du parc.

➜ To do: Verify the September 2026 security update is installed on all Windows servers running the DNS Server role, prioritizing domain controllers, and monitor DNS logs for abnormal activity while the fleet-wide rollout completes.

GitLab : faille critique CVE-2026-85706 (CVSS 10.0) activement exploitée, échéance CISA fixée à aujourd'hui — GitLab a publié en urgence les versions 19.3.2, 19.2.6 et 19.1.8 pour corriger une traversée de répertoire non authentifiée dans l'API des commits, permettant de lire des fichiers arbitraires sur le serveur (identifiants, secrets, clés SSH, jetons d'accès). Des sondages d'exploitation à grande échelle ont débuté dès le lendemain de la divulgation ; la CISA a inscrit la faille à son catalogue KEV avec une échéance de remédiation fixée au 14 septembre 2026 pour les agences fédérales américaines. Source

GitLab: critical flaw CVE-2026-85706 (CVSS 10.0) under active exploitation, CISA deadline set for today — GitLab urgently released versions 19.3.2, 19.2.6 and 19.1.8 to fix an unauthenticated path traversal in the commits API, allowing arbitrary files to be read from the server (credentials, secrets, SSH keys, access tokens). Large-scale exploitation probing began the day after disclosure; CISA added the flaw to its KEV catalog with a remediation deadline of September 14, 2026 for US federal agencies. Source

➜ À faire : Mettre à jour immédiatement toute instance GitLab autogérée (CE/EE) en versions 18.7 à 19.3.1 vers 19.1.8, 19.2.6 ou 19.3.2 selon la branche utilisée, et faire tourner les identifiants et secrets potentiellement exposés (clés SSH, jetons CI/CD, secrets de configuration).

➜ To do: Immediately update any self-managed GitLab instance (CE/EE) running versions 18.7 through 19.3.1 to 19.1.8, 19.2.6 or 19.3.2 depending on the branch in use, and rotate any potentially exposed credentials and secrets (SSH keys, CI/CD tokens, configuration secrets).

Active Directory Domain Services : faille critique « wormable » CVE-2026-69524 — Le Patch Tuesday de septembre 2026 corrige une exécution de code à distance non authentifiée (CVSS 9.8) dans Active Directory Domain Services, classée par le Zero Day Initiative parmi les 20 failles « wormables » du mois, capables de se propager de façon autonome sur le réseau sans interaction utilisateur. Source

Active Directory Domain Services: critical "wormable" flaw CVE-2026-69524 — The September 2026 Patch Tuesday fixes an unauthenticated remote code execution (CVSS 9.8) in Active Directory Domain Services, classified by the Zero Day Initiative among this month's 20 "wormable" flaws, capable of propagating autonomously across the network with no user interaction. Source

➜ À faire : Déployer en priorité la mise à jour de sécurité de septembre 2026 sur l'ensemble des contrôleurs de domaine et vérifier qu'aucun DC n'est resté sans correctif, ce composant étant au cœur de l'authentification du parc.

➜ To do: Deploy the September 2026 security update to all domain controllers as a priority and confirm no DC has been left unpatched, since this component is central to the fleet's authentication.

Patch Tuesday Microsoft de septembre 2026 : deux 0-day activement exploitées — Le CERT-FR (avis CERTFR-2026-AVI-1147, 9 septembre) relaie le correctif cumulatif couvrant Windows Server 2012 à 2025 ainsi que Windows 10/11. Deux failles d'élévation de privilèges y sont déjà exploitées activement : CVE-2026-81963 (Windows Update Stack) et CVE-2026-85880 (débordement de tas dans Windows ALPC). Source

September 2026 Microsoft Patch Tuesday: two actively exploited zero-days — CERT-FR (advisory CERTFR-2026-AVI-1147, September 9) relays the cumulative update covering Windows Server 2012 through 2025 as well as Windows 10/11. Two elevation-of-privilege flaws are already being actively exploited: CVE-2026-81963 (Windows Update Stack) and CVE-2026-85880 (heap overflow in Windows ALPC). Source

➜ À faire : Déployer en urgence la mise à jour cumulative de septembre (KB5122871 pour Windows Server 2025 et équivalents pour les autres versions) sur l'ensemble du parc, en priorisant les serveurs exposés et les contrôleurs de domaine.

➜ To do: Urgently deploy the September cumulative update (KB5122871 for Windows Server 2025 and equivalents for other versions) across the fleet, prioritizing exposed servers and domain controllers.

Cisco Secure FMC : faille critique CVE-2026-20079 exploitée par plusieurs groupes — Cisco Talos confirme (9 septembre) l'exploitation active par au moins trois clusters d'attaquants, dont l'APT russe Sandworm, d'un contournement d'authentification critique (CVSS 10.0) dans Cisco Secure Firewall Management Center, combiné à une seconde faille (CVE-2026-20316, CVSS 5.3) permettant une connexion avec un compte à faibles privilèges. Les attaquants obtiennent un accès root et déploient des logiciels malveillants, dont une variante de Cyclops Blink. La CISA a inscrit CVE-2026-20079 à son catalogue KEV avec une échéance de remédiation fixée au 12 septembre. Source

Cisco Secure FMC: critical flaw CVE-2026-20079 exploited by multiple groups — Cisco Talos confirms (September 9) active exploitation by at least three attacker clusters, including the Russian APT Sandworm, of a critical authentication bypass (CVSS 10.0) in Cisco Secure Firewall Management Center, combined with a second flaw (CVE-2026-20316, CVSS 5.3) allowing login with a low-privileged account. Attackers gain root access and deploy malware, including a Cyclops Blink variant. CISA added CVE-2026-20079 to its KEV catalog with a remediation deadline of September 12. Source

➜ À faire : Appliquer immédiatement le correctif Cisco pour Secure FMC, vérifier les journaux à la recherche de signes de compromission antérieure (comptes admin, sessions actives, shells web) et retirer l'interface de management de toute exposition directe à Internet.

➜ To do: Immediately apply Cisco's fix for Secure FMC, review logs for signs of prior compromise (admin accounts, active sessions, web shells), and remove the management interface from any direct internet exposure.

Patch Tuesday Microsoft — septembre 2026 — Publication ce jour de 9 vulnérabilités critiques (Azure, Office, Dynamics), plus 149 mises à jour de paquets Azure Linux et 23 correctifs Chromium republiés pour Edge. Aucune n'était exploitée avant publication. Source

Microsoft Patch Tuesday — September 2026 — Released today: 9 critical vulnerabilities (Azure, Office, Dynamics), plus 149 Azure Linux package updates and 23 republished Chromium fixes for Edge. None was exploited prior to release. Source

➜ À faire : Planifier le déploiement des correctifs de septembre sur les serveurs Windows Server et postes du parc après validation en environnement de test, en priorisant les 9 CVE critiques Azure/Office/Dynamics.

➜ To do: Schedule the September patches on the fleet's Windows Server systems and workstations after validation in a test environment, prioritizing the 9 critical Azure/Office/Dynamics CVEs.

Faille noyau Linux « Copy Fail » (CVE-2026-31431) — Élévation de privilèges locale (CVSS 7.8) affectant les principales distributions Linux depuis les noyaux 2017+, permettant l'écriture arbitraire dans le cache de page. Source

Linux kernel flaw "Copy Fail" (CVE-2026-31431) — Local privilege escalation (CVSS 7.8) affecting major Linux distributions running kernels since 2017+, allowing arbitrary writes into the page cache. Source

➜ À faire : Vérifier les versions de noyau des serveurs Linux du parc et appliquer le correctif dès sa publication par la distribution utilisée (Red Hat, Debian, Ubuntu...).

➜ To do: Check the kernel versions of the fleet's Linux servers and apply the fix as soon as it is published by the distribution in use (Red Hat, Debian, Ubuntu...).

Cisco IOS XR — durcissement sécurité septembre 2026 — Cisco publie plusieurs correctifs internes pour IOS XR (CVE notées jusqu'à CVSS 9.8), découverts en interne, non exploités à ce jour ; aucun contournement disponible. Source

Cisco IOS XR — September 2026 security hardening — Cisco released several internally discovered fixes for IOS XR (CVEs rated up to CVSS 9.8), not currently exploited; no workaround available. Source

➜ À faire : Identifier les équipements IOS XR du parc et planifier leur mise à jour vers les versions corrigées.

➜ To do: Identify IOS XR devices in the fleet and schedule their upgrade to the fixed versions.

Cisco Nexus 9000 — RCE critique Silicon One (CVE-2026-20212) — Exécution de code à distance non authentifiée avec privilèges root (CVSS 9.8) via les ports TCP 43210/43211 exposés sur les switches Nexus 9000 à ASIC Silicon One. Source

Cisco Nexus 9000 — critical Silicon One RCE (CVE-2026-20212) — Unauthenticated remote code execution with root privileges (CVSS 9.8) via exposed TCP ports 43210/43211 on Nexus 9000 switches with a Silicon One ASIC. Source

➜ À faire : Recenser les switches Nexus 9000 en production, appliquer le correctif Cisco en priorité et vérifier que les ports 43210/43211 ne sont pas exposés en dehors du VRF prévu.

➜ To do: Inventory Nexus 9000 switches in production, apply the Cisco fix as a priority, and verify that ports 43210/43211 are not exposed outside the intended VRF.

Proxmox VE 7.x — contournement d'authentification exploité — Proxmox alerte (PSA-2026-00043-1) sur une faille pré-authentification critique activement exploitée sur les versions 7.x, désormais en fin de vie. Source

Proxmox VE 7.x — authentication bypass under active exploitation — Proxmox warns (PSA-2026-00043-1) of a critical pre-authentication flaw being actively exploited on 7.x releases, now end of life. Source

➜ À faire : Si des nœuds Proxmox VE 7.x sont encore en service, migrer en urgence vers la 9.x et restreindre l'accès de l'interface d'administration au réseau interne en attendant.

➜ To do: If any Proxmox VE 7.x nodes are still in service, migrate urgently to 9.x and restrict the admin interface to the internal network in the meantime.

Fin des dépôts Proxmox VE 8.x (bookworm) — Depuis le 1er septembre 2026, les dépôts pve-no-subscription et enterprise ne servent plus de nouveaux paquets pour bookworm : plus aucun correctif de sécurité pour la 8.x. Source

End of Proxmox VE 8.x repositories (bookworm) — Since September 1, 2026, the pve-no-subscription and enterprise repositories no longer serve new packages for bookworm: no more security fixes for 8.x. Source

➜ À faire : Planifier la migration des hôtes Proxmox VE 8.x vers la 9.x pour continuer à recevoir les correctifs de sécurité.

➜ To do: Plan the migration of Proxmox VE 8.x hosts to 9.x to keep receiving security fixes.

SonicWall SMA1000 — deux failles zero-day exploitées (CVE-2026-83548, CVE-2026-83549) — SSRF pré-authentification (CVSS 10.0) chaînable avec une exécution de commande à distance ; exploitation active confirmée, ajout au catalogue CISA KEV et alerte CERT-FR CERTFR-2026-ALE-009. Source

SonicWall SMA1000 — two zero-days under active exploitation (CVE-2026-83548, CVE-2026-83549) — Pre-authentication SSRF (CVSS 10.0) chainable with remote command execution; active exploitation confirmed, added to the CISA KEV catalog and covered by CERT-FR alert CERTFR-2026-ALE-009. Source

➜ À faire : Vérifier immédiatement la présence d'appliances SonicWall SMA1000 (modèles 6210/7210/8200v) sur le parc, appliquer les hotfix 12.4.3-03526 / 12.5.0-02952 ou supérieurs, et restreindre l'exposition de l'interface Work Place à Internet.

➜ To do: Immediately check for SonicWall SMA1000 appliances (models 6210/7210/8200v) in the fleet, apply hotfix 12.4.3-03526 / 12.5.0-02952 or later, and restrict internet exposure of the Work Place interface.

Red Hat Advanced Cluster Management for Kubernetes — CVE-2026-66786 (CVSS 9.1) — Injection de configuration via Submariner en mode cert-auth pouvant mener à une exécution de code root sur le nœud gateway. Source

Red Hat Advanced Cluster Management for Kubernetes — CVE-2026-66786 (CVSS 9.1) — Configuration injection via Submariner in cert-auth mode that can lead to root code execution on the gateway node. Source

➜ À faire : Si RH ACM for Kubernetes est utilisé pour la gestion des clusters, appliquer le correctif Red Hat sans délai et vérifier les journaux Submariner pour signes de compromission.

➜ To do: If RH ACM for Kubernetes is used to manage clusters, apply the Red Hat fix without delay and check Submariner logs for signs of compromise.

Microsoft 365 — dégradation de service résolue — Le 2 septembre 2026, plusieurs services Microsoft 365 ont connu une dégradation ; le service est revenu à plus de 99 % de disponibilité. Source

Microsoft 365 — service degradation resolved — On September 2, 2026, several Microsoft 365 services experienced degradation; availability recovered to above 99%. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Correctifs noyau Ubuntu 16.04/14.04 LTS (ESM) — Canonical a publié le 4 septembre 2026 des correctifs noyau pour ces deux versions LTS étendues, couvrant plusieurs CVE dont CVE-2026-53045 et CVE-2026-52914. Source

Kernel fixes for Ubuntu 16.04/14.04 LTS (ESM) — Canonical released kernel fixes on September 4, 2026 for these two extended LTS releases, covering several CVEs including CVE-2026-53045 and CVE-2026-52914. Source

➜ À faire : Si des serveurs sous Ubuntu 16.04/14.04 avec abonnement ESM sont encore en production, appliquer apt update && apt upgrade et planifier un redémarrage.

➜ To do: If Ubuntu 16.04/14.04 servers with an ESM subscription are still in production, apply apt update && apt upgrade and schedule a reboot.

Patch Tuesday Microsoft demain, 8 septembre 2026 — Le prochain cycle mensuel de correctifs sort demain ; aucun détail sur son contenu n'est encore public. Source

Microsoft Patch Tuesday tomorrow, September 8, 2026 — The next monthly patch cycle ships tomorrow; no details on its content have been published yet. Source

➜ À faire : Réserver dès maintenant une fenêtre de test/déploiement pour les serveurs Windows Server du parc en vue des correctifs de demain.

➜ To do: Reserve a test/deployment window now for Windows Server systems in the fleet ahead of tomorrow's patches.

VMware prépare une refonte de vSphere Standard — Broadcom/VMware annonce une mise à jour de son offre d'entrée de gamme, longtemps délaissée, sous la pression de la migration massive vers des alternatives : Proxmox VE est passé à 21 % de parts de marché (contre 12 % en 2024) pendant que VMware recule de 48 % à 31 %. Source

VMware plans a vSphere Standard overhaul — Broadcom/VMware is announcing an update to its long-neglected entry-level offering, under pressure from the mass migration to alternatives: Proxmox VE has climbed to 21% market share (up from 12% in 2024) while VMware has slipped from 48% to 31%. Source

➜ À faire : Aucune action requise, à titre informatif. Utile si une renégociation de licences VMware ou une évaluation Proxmox est à l'ordre du jour.

➜ To do: No action required, for information only. Useful context if a VMware license renegotiation or a Proxmox evaluation is on the agenda.

SonicWall Network Security Manager (NSM) On-Prem : deux failles critiques (CVSS 9.1) — CVE-2026-81939 (Zip Slip) et CVE-2026-78327 (injection de commandes OS) touchent la console de gestion ; ajoutées au catalogue CISA KEV le 2 septembre avec échéance de remédiation au 5 septembre. Source

SonicWall Network Security Manager (NSM) On-Prem: two critical flaws (CVSS 9.1) — CVE-2026-81939 (Zip Slip) and CVE-2026-78327 (OS command injection) affect the management console; added to the CISA KEV catalog on September 2 with a remediation deadline of September 5. Source

➜ À faire : Si un SonicWall NSM On-Prem est déployé sur le parc, appliquer le correctif éditeur immédiatement et vérifier les journaux d'accès de la console de gestion.

➜ To do: If a SonicWall NSM On-Prem is deployed in the fleet, apply the vendor fix immediately and check the management console access logs.

JFrog Artifactory : contournement d'authentification critique exploité activement (CVSS 9.8) — CVE-2026-82329 permet à un attaquant non authentifié d'obtenir des privilèges administrateur en configuration par défaut ; exploitation active constatée dès le 1er septembre (création de jetons admin, énumération d'utilisateurs). Source

JFrog Artifactory: critical authentication bypass actively exploited (CVSS 9.8) — CVE-2026-82329 lets an unauthenticated attacker obtain administrator privileges under the default configuration; active exploitation observed as early as September 1 (minting admin tokens, enumerating users). Source

➜ À faire : Vérifier la version d'Artifactory en production, mettre à jour vers 7.111.21/7.117.28/7.125.20/7.133.29/7.146.38/7.161.20 selon la branche, et auditer les journaux pour toute création anormale de comptes ou jetons.

➜ To do: Check the Artifactory version in production, update to 7.111.21/7.117.28/7.125.20/7.133.29/7.146.38/7.161.20 depending on the branch, and audit logs for any abnormal account or token creation.

CISA KEV : Kestra et LiteLLM ajoutés au catalogue (2 septembre) — CVE-2026-49869 (Kestra OSS, injection de commandes OS, CVSS 10.0, exécution de workflows sans authentification) et CVE-2026-59822 (LiteLLM, authentification incorrecte sur l'endpoint MCP, CVSS 8.8). Source

CISA KEV: Kestra and LiteLLM added to the catalog (September 2) — CVE-2026-49869 (Kestra OSS, OS command injection, CVSS 10.0, unauthenticated workflow execution) and CVE-2026-59822 (LiteLLM, improper authentication on the MCP endpoint, CVSS 8.8). Source

➜ À faire : Si Kestra ou LiteLLM sont utilisés sur le parc (orchestration de workflows / passerelle LLM), appliquer les correctifs éditeur en urgence et vérifier l'exposition de ces services sur Internet.

➜ To do: If Kestra or LiteLLM are used in the fleet (workflow orchestration / LLM gateway), apply vendor patches urgently and check whether these services are exposed to the internet.

Correctifs noyau Linux sur Ubuntu 20.04 LTS — Ubuntu a publié le 2 septembre 2026 un correctif noyau corrigeant une vingtaine de CVE, dont CVE-2026-53224, CVE-2026-31705 et CVE-2026-52924. Source

Linux kernel fixes for Ubuntu 20.04 LTS — Ubuntu released a kernel fix on September 2, 2026 addressing about twenty CVEs, including CVE-2026-53224, CVE-2026-31705 and CVE-2026-52924. Source

➜ À faire : Appliquer les mises à jour (apt update && apt upgrade) sur les serveurs Ubuntu 20.04 du parc, puis planifier un redémarrage pour charger le nouveau noyau.

➜ To do: Apply updates (apt update && apt upgrade) on Ubuntu 20.04 servers in the fleet, then schedule a reboot to load the new kernel.

Patch Tuesday Microsoft à venir le 8 septembre 2026 — Le prochain Patch Tuesday est prévu la semaine prochaine ; aucun détail sur le contenu n'est encore publié à ce jour. Source

Microsoft Patch Tuesday coming September 8, 2026 — The next Patch Tuesday is scheduled for next week; no details on its content have been published yet. Source

➜ À faire : Prévoir une fenêtre de maintenance pour le déploiement des correctifs la semaine prochaine sur les serveurs Windows Server du parc.

➜ To do: Schedule a maintenance window for next week's patch deployment on Windows Server systems in the fleet.

Cisco IOS XR : durcissement critique (CVSS 9.8) — Cisco a publié le 2 septembre 2026 un correctif de durcissement pour IOS XR couvrant 7 CVE critiques (CVE-2026-20274 à CVE-2026-20280). Source

Cisco IOS XR: critical hardening release (CVSS 9.8) — Cisco published a hardening fix for IOS XR on September 2, 2026 covering 7 critical CVEs (CVE-2026-20274 to CVE-2026-20280). Source

➜ À faire : Identifier les routeurs IOS XR du parc et planifier la montée de version vers le correctif recommandé par Cisco.

➜ To do: Identify IOS XR routers in the fleet and schedule the upgrade to the fix recommended by Cisco.

Cisco Nexus 9000 : exécution de code root non authentifiée (CVSS 9.8) — CVE-2026-20212 : un adaptateur Silicon One lié à une IP non restreinte laisse les ports TCP 43210/43211 accessibles, permettant l'exécution de code en root à distance. Source

Cisco Nexus 9000: unauthenticated root code execution (CVSS 9.8) — CVE-2026-20212: a Silicon One adapter bound to an unrestricted IP leaves TCP ports 43210/43211 reachable, allowing remote code execution as root. Source

➜ À faire : Vérifier l'exposition des ports 43210/43211 sur les switches Nexus 9000 du parc, appliquer le correctif Cisco et restreindre l'accès réseau à ces ports en attendant.

➜ To do: Check exposure of ports 43210/43211 on Nexus 9000 switches in the fleet, apply the Cisco fix, and restrict network access to these ports in the meantime.

Cisco Secure Firewall Management Center : vulnérabilité RCE — Cisco a publié un avis de sécurité pour une vulnérabilité d'exécution de code à distance sur FMC. Source

Cisco Secure Firewall Management Center: RCE vulnerability — Cisco published a security advisory for a remote code execution vulnerability affecting FMC. Source

➜ À faire : Vérifier la version de FMC en production et appliquer le correctif dès que disponible.

➜ To do: Check the FMC version in production and apply the fix as soon as it is available.

VMSA-2026-0007 : VMware Workstation/Fusion, échappement de VM (CVSS 9.3) — CVE-2026-59346 (integer overflow VMXNET3) et CVE-2026-59347 (buffer overflow HGFS) permettent à un attaquant disposant de privilèges locaux sur une VM de s'échapper vers l'hôte. Source

VMSA-2026-0007: VMware Workstation/Fusion VM escape (CVSS 9.3) — CVE-2026-59346 (VMXNET3 integer overflow) and CVE-2026-59347 (HGFS buffer overflow) allow an attacker with local privileges on a VM to escape to the host. Source

➜ À faire : Mettre à jour VMware Workstation/Fusion vers la version 26H1u1 sur tous les postes concernés du parc.

➜ To do: Update VMware Workstation/Fusion to version 26H1u1 on all affected machines in the fleet.

Fin de vie de Proxmox VE 8 — Depuis le 1er septembre 2026, les dépôts non-abonnement et entreprise ne servent plus de nouveaux paquets pour Proxmox VE 8 (EOL au 31 août 2026). Source

Proxmox VE 8 reaches end of life — Since September 1, 2026, the no-subscription and enterprise repositories no longer serve new packages for Proxmox VE 8 (EOL as of August 31, 2026). Source

➜ À faire : Vérifier la version des hôtes Proxmox du parc et planifier la migration vers PVE 9 si encore en version 8.

➜ To do: Check the version of Proxmox hosts in the fleet and schedule migration to PVE 9 if still on version 8.

Microsoft Exchange : contournement d'authentification critique — CVE-2026-62911 : environ 22 000 serveurs Exchange restent exposés à ce jour, un exploit fonctionnel circule déjà en ligne. Source

Microsoft Exchange: critical authentication bypass — CVE-2026-62911: about 22,000 Exchange servers remain exposed as of today, and a working exploit is already circulating online. Source

➜ À faire : Vérifier que le correctif Microsoft est appliqué sur tous les serveurs Exchange on-premise du parc ; isoler ceux non patchés et surveiller les logs d'authentification.

➜ To do: Verify the Microsoft fix is applied on all on-premise Exchange servers in the fleet; isolate unpatched ones and monitor authentication logs.

SonicWall SMA1000 : SSRF exploité activement — CVE-2026-83548 et CVE-2026-83549, exploitées dans la nature ; alerte CERT-FR CERTFR-2026-ALE-009 publiée le 2 septembre 2026. Source

SonicWall SMA1000: actively exploited SSRF — CVE-2026-83548 and CVE-2026-83549, exploited in the wild; CERT-FR alert CERTFR-2026-ALE-009 published on September 2, 2026. Source

➜ À faire : Si des boîtiers SonicWall SMA1000 sont présents dans le parc, appliquer le correctif éditeur immédiatement et vérifier l'absence de compromission.

➜ To do: If SonicWall SMA1000 appliances are present in the fleet, apply the vendor fix immediately and check for signs of compromise.

Ransomware « agentique » : attaque menée par IA en 10 heures — Selon Unit 42 (Palo Alto), une entreprise a vu son cloud, son identité, sa CI/CD et ses SaaS entièrement compromis en 10 heures par des agents IA autonomes, plus de 50 techniques MITRE ATT&CK exploitées. Source

"Agentic" ransomware: AI-driven attack in 10 hours — According to Unit 42 (Palo Alto), an enterprise had its cloud, identity, CI/CD and SaaS entirely compromised in 10 hours by autonomous AI agents, exploiting over 50 MITRE ATT&CK techniques. Source

➜ À faire : Aucune action requise, à titre informatif. Bon rappel pour renforcer la supervision et la segmentation des accès identité/cloud.

➜ To do: No action required, for information only. A good reminder to strengthen monitoring and segmentation of identity/cloud access.

Panne Azure Front Door — Le 2 septembre 2026, un changement de configuration a provoqué une dégradation d'Azure Front Door impactant Outlook, Teams, Xbox Live et le Microsoft Store ; service rétabli à plus de 99 %. Source

Azure Front Door outage — On September 2, 2026, a configuration change caused an Azure Front Door degradation affecting Outlook, Teams, Xbox Live and the Microsoft Store; service was restored to over 99%. Source

➜ À faire : Aucune action requise, à titre informatif — vérifier que la supervision a bien détecté l'incident côté services dépendants d'Azure Front Door.

➜ To do: No action required, for information only — verify that monitoring correctly detected the incident on services depending on Azure Front Door.

Linux Kernel 7.2.3 publié avec 71 correctifs de sécurité — Nouvelle version stable corrigeant des failles de corruption mémoire USB, des vulnérabilités Bluetooth et des race conditions réseau. Source

Linux Kernel 7.2.3 released with 71 security fixes — New stable release fixing USB memory corruption flaws, Bluetooth vulnerabilities, and networking race conditions. Source

➜ À faire : Planifier la mise à jour du noyau sur les serveurs Linux critiques (composants USB, Bluetooth et réseau concernés) et tester en pré-production avant déploiement.

➜ To do: Plan the kernel update on critical Linux servers (USB, Bluetooth and networking components affected) and test in pre-production before rollout.

Ubuntu corrige des dizaines de CVE noyau sur 18.04 et 20.04 LTS — Correctifs publiés le 2 septembre 2026 pour de nombreuses failles du noyau Linux affectant ces deux versions LTS. Source

Ubuntu fixes dozens of kernel CVEs on 18.04 and 20.04 LTS — Fixes published on September 2, 2026 for numerous Linux kernel flaws affecting both LTS releases. Source

➜ À faire : Appliquer les mises à jour (apt update && apt upgrade) sur les serveurs Ubuntu 18.04/20.04 LTS du parc et planifier les redémarrages nécessaires.

➜ To do: Apply updates (apt update && apt upgrade) on Ubuntu 18.04/20.04 LTS servers in the fleet and schedule the required reboots.

Windows Server 2025 : hotpatch KB5120228 disponible — Publication de contenu hotpatch pour Windows Server 2025 le 1er septembre 2026. Source

Windows Server 2025: hotpatch KB5120228 available — Hotpatch content published for Windows Server 2025 on September 1, 2026. Source

➜ À faire : Vérifier le déploiement du hotpatch KB5120228 via WSUS/SCCM sur les serveurs Windows Server 2025 éligibles au hotpatching.

➜ To do: Verify the deployment of hotpatch KB5120228 via WSUS/SCCM on Windows Server 2025 servers eligible for hotpatching.

Deux zero-day SonicWall SMA1000 exploités activement, chaînables en RCE non authentifié — CVE-2026-83548 (SSRF critique, CVSS 10.0, interface Work Place) et CVE-2026-83549 (injection de commandes OS, CVSS 7.8, console AMC). Modèles 6210/7210/8200v concernés (SMA 100 et SSL-VPN des firewalls non affectés). Source

Two actively exploited SonicWall SMA1000 zero-days, chainable into unauthenticated RCE — CVE-2026-83548 (critical SSRF, CVSS 10.0, Work Place interface) and CVE-2026-83549 (OS command injection, CVSS 7.8, AMC console). SMA1000 6210/7210/8200v models affected (SMA 100 and firewall SSL-VPN not impacted). Source

➜ À faire : Recenser les appliances SonicWall SMA1000 du parc, appliquer immédiatement le correctif éditeur et vérifier les journaux d'accès de l'interface Work Place et de la console AMC pour toute activité suspecte.

➜ To do: Identify SonicWall SMA1000 appliances in the fleet, apply the vendor fix immediately, and review Work Place interface and AMC console access logs for suspicious activity.

CERT-FR (CERTFR-2026-AVI-1102) : multiples vulnérabilités dans SPIP — Failles permettant une exécution de code arbitraire à distance, versions antérieures à 4.4.22 affectées. Avis publié le 1er septembre 2026. Source

CERT-FR (CERTFR-2026-AVI-1102): multiple vulnerabilities in SPIP — Flaws allowing arbitrary remote code execution, affecting versions prior to 4.4.22. Advisory published September 1, 2026. Source

➜ À faire : Vérifier la version de SPIP utilisée sur les sites du parc et mettre à jour vers la version 4.4.22 ou supérieure.

➜ To do: Check the SPIP version used on sites in the fleet and update to version 4.4.22 or later.

Ransomware ciblant les environnements OT du secteur manufacturier + avis Siemens ICS — Nouvelle variante de ransomware exploitant des vulnérabilités connues sur des systèmes legacy ; Siemens publie un avis pour plusieurs failles dans ses produits ICS. Source

Ransomware targeting manufacturing OT environments + Siemens ICS advisory — New ransomware variant exploiting known vulnerabilities on legacy systems; Siemens publishes an advisory covering several flaws in its ICS products. Source

➜ À faire : Vérifier l'application des correctifs Siemens sur les équipements ICS/SCADA du parc, contrôler la segmentation réseau OT/IT et prioriser la mise à jour des systèmes legacy exposés.

➜ To do: Verify that Siemens fixes have been applied on ICS/SCADA equipment in the fleet, check OT/IT network segmentation, and prioritize updating exposed legacy systems.

Incident majeur Microsoft 365 / Azure le 2 septembre 2026 — Panne causée par un problème de déploiement d'une configuration d'authentification centrale, affectant Teams, Exchange Online, OneDrive, SharePoint Online, Copilot, Outlook, Xbox Live et Microsoft Store. Service rétabli à plus de 99 %, impact résiduel possible pour certains utilisateurs. Source

Major Microsoft 365 / Azure incident on September 2, 2026 — Outage caused by a deployment issue in a core authentication configuration, affecting Teams, Exchange Online, OneDrive, SharePoint Online, Copilot, Outlook, Xbox Live and Microsoft Store. Service availability recovered above 99%, with possible residual impact for some users. Source

➜ À faire : Vérifier l'état des services sur Azure Service Health / Microsoft 365 Admin Center et surveiller d'éventuels problèmes d'authentification résiduels côté utilisateurs.

➜ To do: Check service status on Azure Service Health / Microsoft 365 Admin Center and monitor for any residual authentication issues on the user side.

Incident AWS région us-west-2 le 1er septembre 2026 (~16h09 de durée) — 4e incident en 4 mois touchant cette région. Source

AWS us-west-2 region incident on September 1, 2026 (~16h09 duration) — 4th incident in 4 months affecting this region. Source

➜ À faire : Vérifier si des ressources du SI dépendent de la région us-west-2, consulter l'AWS Health Dashboard et envisager une architecture multi-AZ/multi-région pour les services critiques.

➜ To do: Check whether any IT resources depend on the us-west-2 region, review the AWS Health Dashboard, and consider a multi-AZ/multi-region architecture for critical services.

Vulnérabilités dans le noyau Linux (Debian, Ubuntu, Red Hat, SUSE) — Le CERT-FR a publié le 28 août 2026 plusieurs avis (CERTFR-2026-AVI-1090 à 1093) sur des failles du noyau Linux touchant ces quatre distributions : élévation de privilèges, atteinte à la confidentialité/intégrité, déni de service. Source

Vulnerabilities in the Linux kernel (Debian, Ubuntu, Red Hat, SUSE) — On August 28, 2026, CERT-FR published several advisories (CERTFR-2026-AVI-1090 to 1093) on Linux kernel flaws affecting these four distributions: privilege escalation, confidentiality/integrity impact, denial of service. Source

➜ À faire : Identifier les serveurs Linux du parc par distribution, vérifier la version de noyau installée et déployer les correctifs de sécurité dès disponibilité ; planifier les redémarrages nécessaires.

➜ To do: Identify Linux servers in the fleet by distribution, check the installed kernel version, and deploy the security fixes as soon as they are available; plan the required reboots.

CVE-2026-31431 « Copy Fail » — Faille locale d'élévation de privilèges dans le noyau Linux (CVSS 7.8), affectant les noyaux publiés depuis 2017, inscrite au catalogue CISA KEV (exploitation active). Source

CVE-2026-31431 "Copy Fail" — A local privilege escalation flaw in the Linux kernel (CVSS 7.8), affecting kernels released since 2017, listed in the CISA KEV catalog (active exploitation). Source

➜ À faire : Vérifier que les systèmes Linux du parc sont patchés contre CVE-2026-31431 ; si non, prioriser le déploiement du correctif fournisseur en urgence.

➜ To do: Check that Linux systems in the fleet are patched against CVE-2026-31431; if not, prioritize urgent deployment of the vendor fix.

Prochain Patch Tuesday Microsoft — Le prochain cycle de correctifs mensuels est prévu le 8 septembre 2026.

Next Microsoft Patch Tuesday — The next monthly patch cycle is scheduled for September 8, 2026.

➜ À faire : Aucune action requise, à titre informatif. À anticiper pour la semaine prochaine (prévoir une fenêtre de test/déploiement).

➜ To do: No action required, for information only. Plan ahead for next week (schedule a test/deployment window).

Avis PSIRT Cisco du 2 septembre 2026 — Cisco publie aujourd'hui de nouveaux avis de sécurité pour IOS XR Software (version de durcissement), Nexus 9000 Series (Silicon One), Secure Email, et les téléphones de bureau (séries 9800/7800/8800/8875). Source

Cisco PSIRT advisories of September 2, 2026 — Cisco is publishing new security advisories today for IOS XR Software (hardening release), Nexus 9000 Series (Silicon One), Secure Email, and desk phones (9800/7800/8800/8875 series). Source

➜ À faire : Surveiller la publication de ces avis PSIRT ce jour ; si IOS XR, Nexus 9000 Silicon One ou Secure Email sont présents sur le parc, planifier l'application des correctifs dès parution.

➜ To do: Watch for the publication of these PSIRT advisories today; if IOS XR, Nexus 9000 Silicon One, or Secure Email are present in the fleet, plan to apply the fixes as soon as they are released.

CVE-2026-20349 — Vulnérabilité dans Cisco Secure Firewall ASA/FTD permettant à un attaquant non authentifié de provoquer un redémarrage inopiné (déni de service) via le VPN SSL. Source

CVE-2026-20349 — A vulnerability in Cisco Secure Firewall ASA/FTD allows an unauthenticated attacker to cause an unexpected reload (denial of service) via SSL VPN. Source

➜ À faire : Vérifier la version logicielle des pare-feux ASA/FTD du parc, appliquer le correctif Cisco dès que possible ; en attendant, limiter l'exposition du portail VPN SSL à Internet si possible.

➜ To do: Check the software version of ASA/FTD firewalls in the fleet, apply the Cisco fix as soon as possible; in the meantime, limit the SSL VPN portal's exposure to the Internet if possible.

RCE dans Cisco Secure Firewall Management Center — Vulnérabilité permettant l'exécution de code Java arbitraire en tant que root par un attaquant non authentifié. Source

RCE in Cisco Secure Firewall Management Center — A vulnerability allows an unauthenticated attacker to execute arbitrary Java code as root. Source

➜ À faire : Identifier les instances FMC exposées, appliquer le correctif dès disponibilité, et restreindre l'accès à l'interface de gestion aux réseaux d'administration de confiance.

➜ To do: Identify exposed FMC instances, apply the fix as soon as it is available, and restrict access to the management interface to trusted administration networks.

CVE-2026-51083 — Contournement d'authentification critique dans Proxmox VE — Faille dans les versions 7.x (fin de vie) et 8.0 initiale : via le paramètre tfa-challenge de l'API de connexion, un attaquant non authentifié peut se connecter en tant que root sans mot de passe. PoC public et exploitation active constatée (avis Proxmox PSA-2026-00043-1 du 1er septembre 2026). Source

CVE-2026-51083 — Critical authentication bypass in Proxmox VE — A flaw in versions 7.x (end of life) and initial 8.0: via the tfa-challenge parameter of the login API, an unauthenticated attacker can log in as root without a password. Public PoC and active exploitation observed (Proxmox advisory PSA-2026-00043-1, September 1, 2026). Source

➜ À faire : Vérifier immédiatement la version de Proxmox VE utilisée sur le parc ; si en version 7.x ou 8.0 initiale (EOL), migrer en urgence vers une version supportée (libpve-access-control ≥ 8.0.4) et isoler l'interface web de gestion du réseau public en attendant la mise à niveau.

➜ To do: Immediately check the Proxmox VE version used in the fleet; if running 7.x or the initial 8.0 (EOL), urgently migrate to a supported version (libpve-access-control ≥ 8.0.4) and isolate the web management interface from the public network until upgraded.

VMSA-2026-0006 (Broadcom/VMware) — Vulnérabilités critiques dans vCenter Server (CVE-2026-59309, contournement d'authentification, CVSS 9.8) et ESXi (CVE-2026-47876, écriture hors limites VMXNET3, CVSS 9.3) ; correctifs disponibles depuis le 29 juillet 2026. Source

VMSA-2026-0006 (Broadcom/VMware) — Critical vulnerabilities in vCenter Server (CVE-2026-59309, authentication bypass, CVSS 9.8) and ESXi (CVE-2026-47876, VMXNET3 out-of-bounds write, CVSS 9.3); fixes available since July 29, 2026. Source

➜ À faire : Vérifier que les correctifs VMSA-2026-0006 ont bien été appliqués sur tous les hôtes ESXi et instances vCenter du parc ; si ce n'est pas encore fait, prioriser ce déploiement vu la criticité (CVSS ≥ 9).

➜ To do: Verify that the VMSA-2026-0006 fixes have been applied to all ESXi hosts and vCenter instances in the fleet; if not yet done, prioritize this deployment given the criticality (CVSS ≥ 9).

PaperCut NG/MF — RCE chaînable exploitée activement — Deux vulnérabilités, CVE-2026-81578 (absence d'authentification) et CVE-2026-82078 (réflexion non sécurisée), permettent une fois chaînées une exécution de code arbitraire à distance sans authentification. Ajoutées au catalogue CISA KEV le 31 août 2026 ; avis CERT-FR du 28 août 2026. Source

PaperCut NG/MF — chainable RCE actively exploited — Two vulnerabilities, CVE-2026-81578 (missing authentication) and CVE-2026-82078 (unsafe reflection), can be chained to achieve unauthenticated remote code execution. Added to the CISA KEV catalog on August 31, 2026; CERT-FR advisory published August 28, 2026. Source

➜ À faire : Identifier les serveurs PaperCut NG/MF du parc, appliquer immédiatement le correctif éditeur, et vérifier les journaux à la recherche de signes de compromission antérieure.

➜ To do: Identify PaperCut NG/MF servers in the fleet, apply the vendor fix immediately, and review logs for signs of prior compromise.

Ransomware — exploitation des failles SonicWall SMA1000 — La CISA confirme que des groupes de ransomware exploitent activement la vulnérabilité SSRF critique CVE-2026-15409 sur les appliances SonicWall Secure Mobile Access 1000.

Ransomware — exploitation of SonicWall SMA1000 flaws — CISA confirms that ransomware groups are actively exploiting the critical SSRF vulnerability CVE-2026-15409 on SonicWall Secure Mobile Access 1000 appliances.

➜ À faire : Vérifier la présence d'appliances SonicWall SMA1000 sur le parc, appliquer le correctif éditeur en urgence si ce n'est pas déjà fait, et auditer les accès VPN récents pour détecter une éventuelle compromission.

➜ To do: Check for SonicWall SMA1000 appliances in the fleet, urgently apply the vendor fix if not already done, and audit recent VPN access for signs of compromise.

Ransomware — exploitation de la faille SharePoint — Des groupes de ransomware exploitent activement la vulnérabilité RCE non authentifiée de Microsoft SharePoint (CVE-2026-50522 / CVE-2026-58644), corrigée le 14 juillet 2026. Source

Ransomware — exploitation of the SharePoint flaw — Ransomware groups are actively exploiting the unauthenticated RCE vulnerability in Microsoft SharePoint (CVE-2026-50522 / CVE-2026-58644), patched on July 14, 2026. Source

➜ À faire : Confirmer que tous les serveurs SharePoint on-premise du parc ont bien reçu le correctif de juillet 2026 ; à défaut, appliquer en urgence et rechercher des indicateurs de compromission (webshells).

➜ To do: Confirm that all on-premise SharePoint servers in the fleet have received the July 2026 fix; if not, apply it urgently and look for indicators of compromise (webshells).

Fin de vie des VM confidentielles Azure « cc_v5 » — Les séries DCas_cc_v5, DCads_cc_v5, ECas_cc_v5 et ECads_cc_v5 sont retirées le 1er septembre 2026. Source

End of life for Azure "cc_v5" confidential VMs — The DCas_cc_v5, DCads_cc_v5, ECas_cc_v5, and ECads_cc_v5 series are retired on September 1, 2026. Source

➜ À faire : Vérifier si des VM de ces séries sont déployées dans les abonnements Azure gérés ; si oui, migrer vers une série de VM confidentielle plus récente ou une VM standard avant l'arrêt du service.

➜ To do: Check whether VMs from these series are deployed in the managed Azure subscriptions; if so, migrate to a newer confidential VM series or a standard VM before the service is discontinued.

CVE-2026-33826 — Vulnérabilité RCE dans Active Directory (validation d'entrée incorrecte), exploitable par un attaquant authentifié depuis un réseau adjacent. Source

CVE-2026-33826 — An RCE vulnerability in Active Directory (improper input validation), exploitable by an authenticated attacker from an adjacent network. Source

➜ À faire : Vérifier l'application du correctif Microsoft correspondant sur les contrôleurs de domaine, et s'assurer que les segments réseau adjacents aux DC sont correctement cloisonnés.

➜ To do: Verify that the corresponding Microsoft fix has been applied on domain controllers, and ensure that network segments adjacent to the DCs are properly isolated.

CVE-2026-20929 — Relais Kerberos via empoisonnement DNS CNAME — Permet un relais Kerberos inter-services vers SMB, LDAP et AD CS ; le correctif Microsoft ne couvre à ce jour que le vecteur HTTP, la cause racine reste non corrigée. Source

CVE-2026-20929 — Kerberos relay via DNS CNAME poisoning — Enables cross-service Kerberos relay to SMB, LDAP, and AD CS; Microsoft's fix currently only covers the HTTP vector, and the root cause remains unpatched. Source

➜ À faire : Sur les contrôleurs de domaine et serveurs AD CS, restreindre les enregistrements DNS CNAME non maîtrisés, activer la signature LDAP et l'Extended Protection for Authentication (EPA), et surveiller les tentatives de relais Kerberos anormales.

➜ To do: On domain controllers and AD CS servers, restrict unmanaged DNS CNAME records, enable LDAP signing and Extended Protection for Authentication (EPA), and monitor for abnormal Kerberos relay attempts.

Bugs multiples après la mise à jour Windows d'août 2026 — Microsoft confirme plusieurs effets de bord post-KB5120998 : réinitialisation des paramètres souris sous Windows 11, fausses alertes « Defender désactivé », et plantages de jeux liés aux périphériques RGB. Source

Multiple bugs reported after the August 2026 Windows update — Microsoft confirms several side effects following KB5120998: mouse settings reverting on Windows 11, false "Defender turned off" alerts, and game crashes linked to RGB peripherals. Source

➜ À faire : Sur les postes Windows 11 ayant reçu la mise à jour d'août, ignorer les alertes « Defender désactivé » (faux positif connu, aucune action antivirus requise) et vérifier les remontées utilisateurs sur les paramètres souris avant d'escalader un ticket.

➜ To do: On Windows 11 machines that received the August update, disregard "Defender turned off" alerts (known false positive, no antivirus action needed) and check user reports about mouse settings before escalating a ticket.

Cisco : notification anticipée des avis de sécurité du 2 septembre 2026 — Le PSIRT Cisco annonce la publication imminente de plusieurs avis de sécurité, notamment sur IOS XR et des gammes de téléphonie de bureau. Source

Cisco: advance notification for the September 2, 2026 security advisories — Cisco PSIRT announces the upcoming publication of several security advisories, notably covering IOS XR and desk phone product lines. Source

➜ À faire : Surveiller la publication des avis le 2 septembre sur le portail Cisco Security Advisories et vérifier dès leur sortie si des équipements IOS XR ou de téléphonie du parc sont concernés.

➜ To do: Watch for the advisories on September 2 on the Cisco Security Advisories portal and check as soon as they're published whether any IOS XR or phone equipment in the fleet is affected.

Proxmox VE 8 : fin de support standard depuis le 31 août 2026 — Proxmox GmbH a officiellement arrêté les correctifs de sécurité et le support pour la branche PVE 8. Source

Proxmox VE 8: standard support ended on August 31, 2026 — Proxmox GmbH has officially stopped security patches and support for the PVE 8 branch. Source

➜ À faire : Recenser tous les hôtes Proxmox VE 8 encore en production sur le parc et planifier leur migration vers PVE 9, ces hôtes ne recevant plus aucun correctif de sécurité.

➜ To do: Identify any Proxmox VE 8 hosts still in production and plan their migration to PVE 9, since these hosts no longer receive any security patches.

VMware vCenter : faille critique CVE-2026-59310 activement exploitée — Vulnérabilité de traversée de répertoire (CVSS 9.8) dans vCenter Server, exploitée par un groupe APT lié à la Chine ; plus de 360 victimes recensées dans 47 pays, dont la France. Source

VMware vCenter: critical CVE-2026-59310 flaw actively exploited — A directory traversal vulnerability (CVSS 9.8) in vCenter Server is being exploited by a China-linked APT group; over 360 victims have been identified across 47 countries, including France. Source

➜ À faire : Vérifier le niveau de patch de tous les vCenter Server du parc par rapport à l'avis VMSA-2026-0006, appliquer le correctif Broadcom sans délai, et contrôler les journaux d'accès au service Syslog de vCenter pour toute activité suspecte.

➜ To do: Check the patch level of all vCenter Server instances against advisory VMSA-2026-0006, apply the Broadcom fix without delay, and review vCenter Syslog service access logs for suspicious activity.

Fire Ant : campagne d'espionnage chinoise étendue aux routeurs Cisco et serveurs TACACS — Le groupe APT Fire Ant, déjà connu pour cibler VMware ESXi/vCenter, compromet désormais des routeurs Cisco IOS XR, des serveurs TACACS et des hôtes Linux d'administration pour intercepter le trafic et effacer les traces (implants BridgeAgent, TacTap). Source

Fire Ant: Chinese espionage campaign expands to Cisco routers and TACACS servers — The Fire Ant APT group, previously known for targeting VMware ESXi/vCenter, now compromises Cisco IOS XR routers, TACACS servers and Linux management hosts to intercept traffic and erase traces (BridgeAgent and TacTap implants). Source

➜ À faire : Auditer les routeurs Cisco IOS XR et serveurs TACACS du parc à la recherche de tunnels GRE non expliqués par la configuration ou l'historique de commit, et surveiller les journaux d'authentification TACACS pour toute anomalie.

➜ To do: Audit Cisco IOS XR routers and TACACS servers in the fleet for GRE tunnels not explained by configuration or commit history, and monitor TACACS authentication logs for anomalies.

CERT-FR : multiples vulnérabilités dans les produits Tenable (CERTFR-2026-AVI-1097, publié le 31 août 2026). Source

CERT-FR: multiple vulnerabilities in Tenable products (CERTFR-2026-AVI-1097, published August 31, 2026). Source

➜ À faire : Si des outils Tenable (Nessus, Tenable.sc, etc.) sont déployés sur le parc, consulter l'avis CERTFR-2026-AVI-1097 et appliquer les correctifs listés dans les meilleurs délais.

➜ To do: If Tenable tools (Nessus, Tenable.sc, etc.) are deployed on the fleet, review advisory CERTFR-2026-AVI-1097 and apply the listed fixes as soon as possible.

Bulletin d'actualité CERT-FR CERTFR-2026-ACT-037 — Récapitulatif hebdomadaire des vulnérabilités significatives, publié le 31 août 2026. Source

CERT-FR news bulletin CERTFR-2026-ACT-037 — Weekly recap of significant vulnerabilities, published August 31, 2026. Source

➜ À faire : Aucune action requise, à titre informatif — consulter le bulletin pour prioriser les correctifs déjà identifiés dans les avis associés.

➜ To do: No action required, for information only — review the bulletin to prioritize fixes already identified in the related advisories.

Patch Tuesday août 2026 : élévation de privilèges Windows déjà exploitée — Microsoft a publié 751 correctifs dont 108 critiques. CVE-2026-68820 (AFD/WinSock) était exploitée avant la disponibilité du correctif, et CVE-2026-62878 (RCE DNS Server) est jugée potentiellement « wormable ». Source

August 2026 Patch Tuesday: Windows privilege escalation already exploited — Microsoft released 751 fixes, 108 rated critical. CVE-2026-68820 (AFD/WinSock) was exploited before a patch was available, and CVE-2026-62878 (DNS Server RCE) is considered potentially wormable. Source

➜ À faire : Déployer en urgence le cumulatif d'août sur tous les serveurs Windows, en priorité les serveurs DNS exposés (CVE-2026-62878) et les systèmes concernés par CVE-2026-68820.

➜ To do: Urgently deploy the August cumulative update on all Windows servers, prioritizing exposed DNS servers (CVE-2026-62878) and systems affected by CVE-2026-68820.

Noyau Linux : mises à jour stables du 27 août — Versions 5.10.267 à 7.1.11 corrigeant une fuite mémoire exploitable côté hôte Hyper-V malveillant et huit failles NFC. Source

Linux kernel: stable updates on August 27 — Versions 5.10.267 through 7.1.11 fixing a memory leak exploitable via a malicious Hyper-V host and eight NFC flaws. Source

➜ À faire : Planifier la mise à jour du noyau sur les VM Linux hébergées sur Hyper-V, en particulier si le NFC ou un hôte Hyper-V tiers est en jeu.

➜ To do: Schedule kernel updates on Linux VMs hosted on Hyper-V, especially where NFC or a third-party Hyper-V host is involved.

Cisco : failles critiques CVSS 10.0 dans Crosswork et Secure Workload — Advisories publiées le 19 août pour ces deux plateformes, avec sévérité maximale. Source

Cisco: critical CVSS 10.0 flaws in Crosswork and Secure Workload — Advisories published August 19 for these two platforms, rated maximum severity. Source

➜ À faire : Recenser les instances Cisco Crosswork et Secure Workload du parc et appliquer sans délai la mise à jour de durcissement recommandée.

➜ To do: Identify any Cisco Crosswork or Secure Workload instances in the fleet and apply the recommended hardening update without delay.

Cisco : Catalyst SD-WAN (CVSS 9.9) et IOS XE (CVSS 9.8) — Advisories du 5 août, sévérité critique, non exploitées à ce jour. Source

Cisco: Catalyst SD-WAN (CVSS 9.9) and IOS XE (CVSS 9.8) — August 5 advisories, critical severity, not exploited to date. Source

➜ À faire : Identifier les équipements IOS XE / Catalyst SD-WAN du parc et planifier leur mise à jour vers les versions corrigées.

➜ To do: Identify IOS XE / Catalyst SD-WAN devices in the fleet and schedule their upgrade to fixed versions.

VMware vCenter : exploitation active confirmée — CVE-2026-59309 (contournement d'authentification) et CVE-2026-59310 (RCE via traversée de répertoire, CVSS 9.8) sont exploitées par un groupe APT chinois déployant un ransomware dérivé de Babuk via SSH inversé. Source

VMware vCenter: active exploitation confirmed — CVE-2026-59309 (authentication bypass) and CVE-2026-59310 (directory-traversal RCE, CVSS 9.8) are being exploited by a China-nexus APT group deploying a Babuk-derived ransomware via reverse SSH. Source

➜ À faire : Patcher immédiatement tous les vCenter vers 9.1.0.0300 / 9.0.2.0100, contrôler les journaux pour des connexions SSH inversées suspectes, et isoler vCenter du réseau si le patch ne peut pas être appliqué tout de suite.

➜ To do: Patch all vCenter instances immediately to 9.1.0.0300 / 9.0.2.0100, review logs for suspicious reverse SSH connections, and isolate vCenter from the network if the patch cannot be applied right away.

VMware ESXi : faille d'évasion de VM (VM escape) — CVE-2026-47876 (CVSS 9.3), aucun contournement disponible en dehors du correctif. Source

VMware ESXi: VM escape flaw — CVE-2026-47876 (CVSS 9.3), no workaround available other than patching. Source

➜ À faire : Patcher en priorité tous les hôtes ESXi concernés.

➜ To do: Patch all affected ESXi hosts as a priority.

Proxmox VE 8 : fin de support aujourd'hui — Plus aucun correctif de sécurité à compter du 31 août 2026. Source

Proxmox VE 8: end of life today — No more security patches as of August 31, 2026. Source

➜ À faire : Planifier la migration vers Proxmox VE 9.2 pour tous les hôtes encore en version 8.

➜ To do: Plan the migration to Proxmox VE 9.2 for any hosts still running version 8.

Campagne ransomware Cl0p via PTC Windchill/FlexPLM — Plus de 40 organisations (Shell, Philips, General Electric...) listées sur le site de fuite du groupe. Source

Cl0p ransomware campaign via PTC Windchill/FlexPLM — Over 40 organizations (Shell, Philips, General Electric...) listed on the group's leak site. Source

➜ À faire : Vérifier si le parc utilise PTC Windchill/FlexPLM, appliquer les correctifs éditeur et contrôler les journaux d'accès.

➜ To do: Check whether the fleet uses PTC Windchill/FlexPLM, apply vendor patches, and review access logs.

LockBit 5.0 revendique une attaque contre un cabinet français — Le groupe cible Dupouy et Associés – Crowe Horwath, menaçant de publier des données sensibles. Source

LockBit 5.0 claims attack on a French firm — The group targets Dupouy et Associés – Crowe Horwath, threatening to leak sensitive data. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CERT-FR : alerte SonicWall SMA 1000 clôturée — CVE-2026-15409, faille SSRF non authentifiée, alerte close le 24 août. Source

CERT-FR: SonicWall SMA 1000 alert closed — CVE-2026-15409, unauthenticated SSRF flaw, alert closed August 24. Source

➜ À faire : Vérifier la présence de boîtiers SonicWall SMA 1000 sur le parc et confirmer l'application du correctif.

➜ To do: Check for any SonicWall SMA 1000 appliances in the fleet and confirm the patch has been applied.

Azure : incident réseau résolu (région West US) — Incident affectant plusieurs services, résolu le 28 août. Source

Azure: network incident resolved (West US region) — Incident affecting multiple services, resolved August 28. Source

➜ À faire : Aucune action requise, à titre informatif ; vérifier a posteriori qu'aucun service critique hébergé en West US n'a été impacté.

➜ To do: No action required, for information only; verify retroactively that no critical service hosted in West US was impacted.

AWS : nouvel incident de connectivité us-west-2 — Avertissement de service le 27 août (environ 15h), 4ᵉ incident de ce type en 4 mois sur cette région. Source

AWS: new us-west-2 connectivity incident — Service warning on August 27 (about 15 hours), the 4th such incident in 4 months in this region. Source

➜ À faire : Si des charges critiques tournent sur us-west-2, vérifier l'existence d'un plan de reprise multi-région.

➜ To do: If critical workloads run on us-west-2, verify a multi-region failover plan is in place.

CVE-2026-62818 : RCE critique dans AD Certificate Services — Faille use-after-free (CVSS 8.8), exploitable à distance sans authentification. Source

CVE-2026-62818: critical RCE in AD Certificate Services — Use-after-free flaw (CVSS 8.8), remotely exploitable without authentication. Source

➜ À faire : Appliquer le cumulatif d'août 2026 en priorité sur tous les serveurs AD CS.

➜ To do: Apply the August 2026 cumulative update as a priority on all AD CS servers.

CVE-2026-50481 : élévation de privilèges Azure AD/Entra ID — CVSS 9.9, exploitable via une donnée supposée immuable modifiée par un attaquant autorisé. Source

CVE-2026-50481: Azure AD/Entra ID privilege escalation — CVSS 9.9, exploitable via modification of assumed-immutable data by an authorized attacker. Source

➜ À faire : Vérifier l'application du correctif côté Microsoft et contrôler les journaux d'audit Entra ID pour toute activité suspecte.

➜ To do: Verify the fix has been applied on the Microsoft side and review Entra ID audit logs for suspicious activity.

Zabbix : plusieurs CVE publiées — CVE-2026-23919 (fuite d'informations via le moteur JS Duktape), CVE-2026-23921 (injection SQL, CVSS 8.7), CVE-2026-23925 (création d'hôtes non autorisée via l'API configuration.import) et CVE-2026-23924 (lecture de fichiers via le plugin Docker de l'Agent 2). Source

Zabbix: several CVEs published — CVE-2026-23919 (information disclosure via the Duktape JS engine), CVE-2026-23921 (SQL injection, CVSS 8.7), CVE-2026-23925 (unauthorized host creation via the configuration.import API), and CVE-2026-23924 (file read via the Agent 2 Docker plugin). Source

➜ À faire : Vérifier la version Zabbix Server/Proxy/Agent 2 installée, appliquer les correctifs disponibles et restreindre les droits d'import de configuration aux comptes de confiance.

➜ To do: Check the installed Zabbix Server/Proxy/Agent 2 version, apply available patches, and restrict configuration-import rights to trusted accounts.

Correctifs noyau Ubuntu LTS diffusés — Canonical a publié le 27 août des mises à jour de sécurité du noyau Linux pour plusieurs versions LTS (24.04, 22.04, 20.04, 18.04, 16.04) ; un redémarrage est nécessaire. Source

Ubuntu LTS kernel patches released — Canonical released Linux kernel security updates on August 27 for several LTS versions (24.04, 22.04, 20.04, 18.04, 16.04); a reboot is required. Source

➜ À faire : Planifier le déploiement de ces correctifs noyau sur les serveurs Ubuntu du parc pendant une fenêtre de maintenance (redémarrage requis) et vérifier la recompilation des modules tiers (DKMS) si utilisés.

➜ To do: Schedule deployment of these kernel patches on the fleet's Ubuntu servers during a maintenance window (reboot required) and check third-party module recompilation (DKMS) if used.

Windows 11 : correctif définitif contre les plantages système — Microsoft a commencé à déployer le 27 août un correctif permanent pour un bug provoquant des plantages sur certains postes Windows 11. Source

Windows 11: permanent fix for system crashes — Microsoft began rolling out a permanent fix on August 27 for a bug causing crashes on some Windows 11 devices. Source

➜ À faire : Si des postes Windows 11 du parc sont concernés par ces plantages, vérifier le déploiement du correctif via WSUS/Intune/Windows Update.

➜ To do: If any Windows 11 workstations in the fleet are affected by these crashes, verify the fix is rolled out via WSUS/Intune/Windows Update.

PaperCut NG/MF : faille critique exploitée en zero-day, correctif d'urgence publié — Toutes les versions supportées de NG et MF (Windows/Linux/macOS) sont touchées par une faille activement exploitée ; des builds correctives d'urgence (v25 et v26) ont été publiées le 28 août à 2h10 (AEST). Source

PaperCut NG/MF: critical zero-day flaw exploited, emergency patch released — All supported versions of NG and MF (Windows/Linux/macOS) are affected by an actively exploited flaw; emergency fix builds (v25 and v26) were released on August 28 at 2:10 am AEST. Source

➜ À faire : Identifier tout serveur PaperCut NG/MF sur le parc, restreindre immédiatement l'accès à son interface web aux seules IP de confiance (pare-feu), et appliquer sans délai le build correctif d'urgence dès qu'il est disponible pour la version utilisée.

➜ To do: Identify any PaperCut NG/MF server in the fleet, immediately restrict access to its web interface to trusted IPs only (firewall), and apply the emergency fix build as soon as it is available for the version in use.

ShinyHunters publie les données de ~13 millions de comptes Carhartt — Le groupe d'extorsion a diffusé des données volées au distributeur Carhartt. Source

ShinyHunters leaks data from ~13 million Carhartt accounts — The extortion group published data stolen from retailer Carhartt. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Manchester Airports Group : vol des données de 8,7 millions de clients — Coordonnées (emails, téléphones, plaques, codes postaux) volées ; aucune donnée bancaire compromise. Source

Manchester Airports Group: data of 8.7 million customers stolen — Contact details (emails, phone numbers, plates, postcodes) stolen; no payment data compromised. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Arrestations liées au groupe TeamPCP (attaques supply chain) — Deux hommes ont été inculpés en Australie pour leur rôle présumé dans le piratage de Trivy, Checkmarx KICS et LiteLLM en mars 2026. Source

Arrests linked to the TeamPCP group (supply chain attacks) — Two men were charged in Australia over their alleged role in the March 2026 compromise of Trivy, Checkmarx KICS and LiteLLM. Source

➜ À faire : Vérifier que les outils Trivy, Checkmarx KICS et LiteLLM éventuellement utilisés dans le parc sont à jour vers les versions corrigées publiées après l'incident de mars 2026.

➜ To do: Verify that any Trivy, Checkmarx KICS or LiteLLM tools used in the fleet are updated to the fixed versions released after the March 2026 incident.

Microsoft revient sur l'incident Azure du 23 juillet (région West US) — Un retour d'expérience public a été tenu le 27 août sur cette panne réseau ayant causé pertes de connectivité et latences dans la région Azure West US. Source

Microsoft revisits the July 23 Azure incident (West US region) — A public retrospective was held on August 27 on this network outage which caused connectivity loss and latency in the Azure West US region. Source

➜ À faire : Aucune action requise, à titre informatif ; si des ressources critiques du parc dépendent de la région Azure West US, vérifier que des mécanismes de reprise multi-région sont en place.

➜ To do: No action required, for information only; if critical fleet resources depend on the Azure West US region, verify that multi-region failover mechanisms are in place.

Windows Deployment Services : RCE critique (CVE-2026-62893, CVSS 9.8) — Faille corrigée lors du Patch Tuesday d'août 2026 dans le serveur TFTP de WDS, permettant une exécution de code à distance. Source

Windows Deployment Services: critical RCE (CVE-2026-62893, CVSS 9.8) — Flaw fixed in the August 2026 Patch Tuesday, affecting the WDS TFTP server and allowing remote code execution. Source

➜ À faire : Vérifier si le rôle WDS est actif sur le parc ; patcher en priorité les serveurs de déploiement exposés au réseau.

➜ To do: Check whether the WDS role is active in the fleet; patch network-exposed deployment servers as a priority.

Windows DNS Server : RCE critique (CVE-2026-62878, CVSS 9.8) — Faille corrigée lors du Patch Tuesday d'août 2026 dans le service DNS de Windows Server. Source

Windows DNS Server: critical RCE (CVE-2026-62878, CVSS 9.8) — Flaw fixed in the August 2026 Patch Tuesday, affecting the Windows Server DNS service. Source

➜ À faire : Patcher en priorité tous les contrôleurs de domaine et serveurs DNS Windows Server du parc.

➜ To do: Patch all Windows Server domain controllers and DNS servers in the fleet as a priority.

Vague de correctifs de sécurité Linux (noyau, glibc, OpenSSH, OpenSSL, Node.js) — Debian, RHEL, Fedora et Ubuntu publient cette semaine de nombreux correctifs sur des briques d'infrastructure critiques. Source

Wave of Linux security patches (kernel, glibc, OpenSSH, OpenSSL, Node.js) — Debian, RHEL, Fedora and Ubuntu ship numerous patches this week for critical infrastructure components. Source

➜ À faire : Lancer un cycle de mise à jour sur les serveurs Linux du parc et vérifier les versions de glibc/OpenSSH/OpenSSL après application.

➜ To do: Run an update cycle on Linux servers in the fleet and verify glibc/OpenSSH/OpenSSL versions after applying.

ClamAV : failles affectant Cisco Secure Endpoint — Plusieurs vulnérabilités ClamAV permettant un déni de service, avec un impact élevé sur les connecteurs Secure Endpoint Windows. Source

ClamAV: flaws affecting Cisco Secure Endpoint — Several ClamAV vulnerabilities enabling denial of service, with high impact on Windows Secure Endpoint connectors. Source

➜ À faire : Mettre à jour les connecteurs Cisco Secure Endpoint sur les postes Windows concernés.

➜ To do: Update Cisco Secure Endpoint connectors on the affected Windows workstations.

VMware ESXi : faille d'évasion de VM (CVE-2026-47876, CVSS 9.3) — Vulnérabilité corrigée par Broadcom (VMSA-2026-0006) permettant à un attaquant de s'échapper d'une VM pour exécuter du code sur l'hôte ESXi. Source

VMware ESXi: VM escape flaw (CVE-2026-47876, CVSS 9.3) — Vulnerability fixed by Broadcom (VMSA-2026-0006) allowing an attacker to break out of a VM and execute code on the ESXi host. Source

➜ À faire : Patcher les hôtes ESXi vers la version corrigée par Broadcom, en priorité les hôtes multi-tenant.

➜ To do: Patch ESXi hosts to the version fixed by Broadcom, prioritizing multi-tenant hosts.

Fin du support standard de Proxmox VE 8 en août 2026 — Proxmox recommande la migration vers la version 9.2 (Debian 13 « Trixie », noyau Linux 7.0). Source

End of standard support for Proxmox VE 8 in August 2026 — Proxmox recommends migrating to version 9.2 (Debian 13 "Trixie", Linux kernel 7.0). Source

➜ À faire : Planifier la migration des clusters encore en Proxmox VE 8 vers la version 9.x pour continuer à recevoir les correctifs de sécurité.

➜ To do: Plan the migration of clusters still on Proxmox VE 8 to version 9.x to keep receiving security patches.

Gitea : RCE critique exploitée activement (CVE-2026-60004, CVSS 9.8) — Ajoutée au catalogue CISA KEV le 25 août ; un accès en écriture sur un dépôt permet d'exécuter des commandes shell via l'API diffpatch. Source

Gitea: actively exploited critical RCE (CVE-2026-60004, CVSS 9.8) — Added to the CISA KEV catalog on August 25; write access to a repository allows shell commands to be run via the diffpatch API. Source

➜ À faire : Mettre à jour toute instance Gitea auto-hébergée vers la version 1.27.1 ou supérieure ; traiter les instances exposées avec inscription publique activée comme un incident potentiel.

➜ To do: Update any self-hosted Gitea instance to version 1.27.1 or later; treat exposed instances with public registration enabled as a potential incident.

SharePoint : chaîne d'exploitation active (CVE-2026-55040 + CVE-2026-63520) — Contournement d'authentification puis exécution de code à distance non authentifiée, exploitation confirmée par la CISA. Source

SharePoint: active exploitation chain (CVE-2026-55040 + CVE-2026-63520) — Authentication bypass followed by unauthenticated remote code execution, exploitation confirmed by CISA. Source

➜ À faire : Patcher immédiatement les serveurs SharePoint on-premise et vérifier les journaux IIS/BCS pour détecter des tentatives d'exploitation.

➜ To do: Immediately patch on-premise SharePoint servers and check IIS/BCS logs for signs of exploitation attempts.

Ubiquiti UniFi : 3 failles critiques, dont une notée CVSS 10.0 — CVE-2026-77537 (UniFi Protect), CVE-2026-77550 (injection CRLF) et CVE-2026-77554 (injection de commandes UniFi Talk), exploitables sans authentification. Source

Ubiquiti UniFi: 3 critical flaws, one rated CVSS 10.0 — CVE-2026-77537 (UniFi Protect), CVE-2026-77550 (CRLF injection) and CVE-2026-77554 (UniFi Talk command injection), exploitable without authentication. Source

➜ À faire : Mettre à jour sans délai le firmware UniFi OS/Protect/Talk sur l'ensemble des équipements Ubiquiti du parc.

➜ To do: Promptly update UniFi OS/Protect/Talk firmware on all Ubiquiti equipment in the fleet.

Correctifs .NET cassent l'impression et l'export PDF dans WPF — Les mises à jour .NET Framework du Patch Tuesday d'août 2026 provoquent des régressions sur l'impression et l'export PDF des applications WPF. Source

.NET updates break printing and PDF export in WPF — The August 2026 Patch Tuesday .NET Framework updates cause regressions in printing and PDF export for WPF applications. Source

➜ À faire : Tester les applications métier WPF (impression/export PDF) après déploiement des KB d'août sur un groupe pilote avant généralisation ; suivre le correctif de contournement Microsoft.

➜ To do: Test WPF business applications (printing/PDF export) after deploying the August KBs on a pilot group before wider rollout; follow Microsoft's workaround.

Plantages de jeux/apps après les MAJ Windows d'août — Microsoft évoque une possible cause liée aux pilotes de périphériques RGB. Source

Game/app crashes after August Windows updates — Microsoft points to a possible cause linked to RGB peripheral drivers. Source

➜ À faire : En cas de tickets de plantage post-MAJ, vérifier en premier les pilotes des périphériques RGB (clavier/souris) comme piste de dépannage.

➜ To do: For post-update crash tickets, check RGB peripheral drivers (keyboard/mouse) first as a troubleshooting lead.

Ubuntu déploie des correctifs noyau critiques sur toutes les LTS — Correctifs pour une faille d'injection WiFi mesh et un problème d'isolation de cache sur AMD Zen 2, sur 22.04/24.04/26.04 LTS. Source

Ubuntu rolls out critical kernel fixes across all LTS releases — Fixes for a WiFi mesh injection flaw and an AMD Zen 2 cache isolation issue, across 22.04/24.04/26.04 LTS. Source

➜ À faire : Planifier la mise à jour noyau + redémarrage sur les serveurs Ubuntu du parc ; recompiler les modules tiers si nécessaire.

➜ To do: Schedule kernel update + reboot on Ubuntu servers in the fleet; recompile third-party modules if needed.

Windows Server 2022 : fin du support courant le 13 octobre 2026 — Dernière mise à jour « mainstream » prévue en octobre 2026. Source

Windows Server 2022: mainstream support ends October 13, 2026 — Last mainstream update planned for October 2026. Source

➜ À faire : Aucune action requise, à titre informatif (anticiper les plans de migration si des serveurs 2022 sont encore en usage).

➜ To do: No action required, for information only (plan migration ahead if Server 2022 systems are still in use).

Cisco corrige des failles critiques CVSS 10.0 sur Crosswork et Secure Workload — Publications de durcissement du 19 août 2026, non exploitées connues à ce jour. Source

Cisco fixes critical CVSS 10.0 flaws in Crosswork and Secure Workload — Hardening releases published August 19, 2026, no known exploitation to date. Source

➜ À faire : Identifier les équipements Crosswork / Secure Workload sur le parc et appliquer les mises à jour de durcissement Cisco.

➜ To do: Identify Crosswork / Secure Workload equipment in the fleet and apply Cisco's hardening updates.

Failles critiques sur IOS XE (CVSS 9.8) et Catalyst SD-WAN (CVSS 9.9) — Découvertes en interne par Cisco, non exploitées à ce jour, publications du 5 août 2026. Source

Critical flaws in IOS XE (CVSS 9.8) and Catalyst SD-WAN (CVSS 9.9) — Discovered internally by Cisco, no known exploitation to date, published August 5, 2026. Source

➜ À faire : Vérifier la version d'IOS XE et de Catalyst SD-WAN sur routeurs/switches du parc et planifier la montée de version vers les correctifs disponibles.

➜ To do: Check the IOS XE and Catalyst SD-WAN version on the fleet's routers/switches and schedule the upgrade to the available fixes.

VMware vCenter activement exploité, ransomware Babuk déployé — CVE-2026-59310 (traversée de répertoire, CVSS 9.8) combinée à CVE-2026-59309 (contournement d'authentification) exploitées par un acteur lié à la Chine ; environ 361 IP compromises dans 47 pays, dépôt de tâches cron et binaires reverse_ssh, puis ransomware Babuk pour brouiller les traces. Source

VMware vCenter actively exploited, Babuk ransomware deployed — CVE-2026-59310 (directory traversal, CVSS 9.8) combined with CVE-2026-59309 (authentication bypass) exploited by a China-linked actor; around 361 IPs compromised across 47 countries, cron job and reverse_ssh binaries dropped, then Babuk ransomware deployed as a smokescreen. Source

➜ À faire : Vérifier immédiatement la version de vCenter Server (correctif Broadcom disponible depuis le 29 juillet 2026), l'appliquer en urgence, et contrôler les logs pour tâches cron suspectes ou connexions reverse_ssh.

➜ To do: Immediately check the vCenter Server version (Broadcom fix available since July 29, 2026), apply it urgently, and check logs for suspicious cron jobs or reverse_ssh connections.

Microsoft retire la licence « incluse » d'Azure VMware Solution (AVS) — Arrêt des ventes le 31 octobre 2026, migration vers une licence VCF exigée avant août 2027. Source

Microsoft retires the "license-included" Azure VMware Solution offer — Sales end October 31, 2026, migration to a VCF license required before August 2027. Source

➜ À faire : Si le parc utilise AVS en licence incluse, planifier dès maintenant la migration vers une licence VCF ou une alternative.

➜ To do: If the fleet uses AVS in license-included mode, start planning the migration to a VCF license or an alternative now.

Proxmox VE en forte progression (+340% d'évaluations) — Conséquence directe de la hausse des tarifs Broadcom/VMware (+800 à 1500%) ; Proxmox atteindrait 21% de part de marché hyperviseur en 2026. Source

Proxmox VE surges (+340% in evaluations) — A direct consequence of Broadcom/VMware pricing increases (+800 to 1500%); Proxmox is reported to reach 21% of the hypervisor market in 2026. Source

➜ À faire : Aucune action requise, à titre informatif (utile pour les arbitrages de stratégie de virtualisation).

➜ To do: No action required, for information only (useful for virtualization strategy decisions).

Zimbra Collaboration Suite : RCE activement exploitée, patch sous 3 jours imposé par la CISA — CVE-2026-73570 (injection de commande non authentifiée via le composant SNMP) corrigée en version 10.1.20 depuis le 20 juillet, mais plus de 270 instances déjà compromises détectées. Source

Zimbra Collaboration Suite: actively exploited RCE, CISA orders patch within 3 days — CVE-2026-73570 (unauthenticated command injection via the SNMP component) fixed in version 10.1.20 since July 20, but over 270 instances already found compromised. Source

➜ À faire : Vérifier immédiatement la version de Zimbra sur le parc, mettre à jour vers 10.1.20 ou supérieur, et désactiver les notifications SNMP si elles ne sont pas utilisées.

➜ To do: Immediately check the Zimbra version in the fleet, update to 10.1.20 or later, and disable SNMP notifications if unused.

Microsoft IKE Extensions : faille critique exploitée par un acteur chinois assisté par IA — CVE-2026-33824 (double free, CVSS 9.8), exploitation liée à une campagne de piratage autonome utilisant DeepSeek. Source

Microsoft IKE Extensions: critical flaw exploited by an AI-assisted Chinese actor — CVE-2026-33824 (double free, CVSS 9.8), exploitation linked to an autonomous hacking campaign using DeepSeek. Source

➜ À faire : Confirmer le déploiement du correctif Patch Tuesday d'août 2026 sur tous les serveurs exposant un service IKE/VPN.

➜ To do: Confirm the August 2026 Patch Tuesday fix is deployed on all servers exposing an IKE/VPN service.

Windows AFD (Winsock) : élévation de privilèges activement exploitée — CVE-2026-68820, seule faille du Patch Tuesday d'août confirmée exploitée dans la nature. Source

Windows AFD (Winsock): actively exploited privilege escalation — CVE-2026-68820, the only flaw from August's Patch Tuesday confirmed exploited in the wild. Source

➜ À faire : Vérifier que KB5120242 (ou équivalent selon la version d'OS) est bien déployé sur tous les postes et serveurs Windows du parc.

➜ To do: Verify that KB5120242 (or the equivalent for the OS version) is deployed on all Windows workstations and servers in the fleet.

Oracle WebLogic ajouté au catalogue CISA KEV — CVE-2026-21962, largement exploitée contre les serveurs WebLogic et Oracle HTTP Server. Source

Oracle WebLogic added to the CISA KEV catalog — CVE-2026-21962, widely exploited against WebLogic servers and Oracle HTTP Server. Source

➜ À faire : Identifier les serveurs WebLogic/Oracle HTTP Server sur le parc et appliquer le correctif Oracle en urgence si exposés.

➜ To do: Identify WebLogic/Oracle HTTP Server instances in the fleet and apply the Oracle fix urgently if exposed.

ANSSI : notifications Apple à des cibles de logiciels espions + campagne npm — Le CERT-FR relaie des notifications Apple du 13 août à des utilisateurs ciblés par des spywares, ainsi qu'une campagne de compromission de paquets npm visant à voler des identifiants développeurs. Source

ANSSI: Apple notifications to spyware targets + npm campaign — CERT-FR relays Apple notifications from August 13 sent to users targeted by spyware, along with an npm package compromise campaign aiming to steal developer credentials. Source

➜ À faire : Sensibiliser les développeurs à vérifier l'origine des paquets npm avant installation ; si un utilisateur reçoit une notification Apple de ce type, l'inviter à contacter le CERT-FR.

➜ To do: Raise developer awareness to verify the origin of npm packages before installing them; if a user receives such an Apple notification, direct them to contact CERT-FR.

Incidents opérationnels sur Azure et AWS les 24-25 août 2026 — Latences accrues et signalements multiples sur plusieurs services des deux plateformes. Source

Operational incidents on Azure and AWS, August 24-25, 2026 — Increased latency and multiple reports across several services on both platforms. Source

➜ À faire : Vérifier l'Azure Service Health et l'AWS Health Dashboard pour les ressources critiques de l'entreprise et consulter les post-mortems une fois publiés.

➜ To do: Check Azure Service Health and the AWS Health Dashboard for the company's critical resources and review post-mortems once published.

Microsoft Entra ID : faille RCE de sévérité maximale (CVSS 10.0) — CVE-2026-69836, désérialisation de données non fiables permettant une exécution de code à distance sans authentification ni interaction utilisateur ; corrigée côté service par Microsoft, statut d'exploitation encore débattu. Source

Microsoft Entra ID: maximum-severity RCE flaw (CVSS 10.0) — CVE-2026-69836, deserialization of untrusted data allowing remote code execution without authentication or user interaction; fixed server-side by Microsoft, exploitation status still debated. Source

➜ À faire : Aucune action technique requise côté client (correctif appliqué directement par Microsoft sur le service), mais suivre les communications officielles pour confirmation finale du statut d'exploitation.

➜ To do: No technical action required client-side (fix applied directly by Microsoft on the service), but monitor official communications for final confirmation of exploitation status.

AD CS (Certificate Services) : RCE critique — CVE-2026-62818 (use-after-free, CVSS 8.8), exploitable par un attaquant peu privilégié sans interaction utilisateur. Source

AD CS (Certificate Services): critical RCE — CVE-2026-62818 (use-after-free, CVSS 8.8), exploitable by a low-privileged attacker without user interaction. Source

➜ À faire : Vérifier le déploiement du correctif Patch Tuesday d'août sur tous les serveurs AD CS et auditer les modèles de certificats exposés.

➜ To do: Verify the August Patch Tuesday fix is deployed on all AD CS servers and audit exposed certificate templates.

Azure AD : élévation de privilèges critique — CVE-2026-50481 (CVSS 9.9), exploitable à distance sans privilège ni interaction utilisateur. Source

Azure AD: critical privilege escalation — CVE-2026-50481 (CVSS 9.9), remotely exploitable without privilege or user interaction. Source

➜ À faire : Vérifier les journaux Entra ID/Azure AD pour toute activité suspecte d'élévation de privilèges récente ; confirmer l'application du correctif côté service.

➜ To do: Review Entra ID/Azure AD logs for any recent suspicious privilege escalation activity; confirm the service-side fix has been applied.

Nagios XI : injection de commande authentifiée (CVSS 7.2) — CVE-2026-2041, via la fonction zabbixagent_configwizard_func, permet à un compte authentifié d'exécuter du code avec les privilèges du service. Source

Nagios XI: authenticated command injection (CVSS 7.2) — CVE-2026-2041, via the zabbixagent_configwizard_func function, allows an authenticated account to execute code with the service's privileges. Source

➜ À faire : Mettre à jour Nagios XI vers la version 2026 R1.0.1 ou supérieure et restreindre les comptes ayant accès à l'assistant de configuration.

➜ To do: Update Nagios XI to version 2026 R1.0.1 or later and restrict accounts with access to the configuration wizard.

Nagios XI : injection SQL sur le tableau de bord — Paramètres du dashboard insuffisamment filtrés dans la version 2026R1.0.1, exploitable par tout utilisateur authentifié. Source

Nagios XI: SQL injection in the dashboard — Dashboard parameters insufficiently filtered in version 2026R1.0.1, exploitable by any authenticated user. Source

➜ À faire : Vérifier la version Nagios XI installée, restreindre l'accès au dashboard aux comptes de confiance en attendant un correctif dédié.

➜ To do: Check the installed Nagios XI version and restrict dashboard access to trusted accounts pending a dedicated fix.

CVE-2026-68820 – faille WinSock (AFD) exploitée, échéance de correction aujourd'hui — Microsoft a corrigé cette faille d'élévation de privilèges (use-after-free) dans le pilote Ancillary Function Driver for WinSock, activement exploitée. La CISA a fixé au 25 août 2026 la date limite de correction pour les administrations. Source

CVE-2026-68820 – exploited WinSock (AFD) flaw, remediation deadline today — Microsoft fixed this privilege escalation flaw (use-after-free) in the Ancillary Function Driver for WinSock, actively exploited. CISA set August 25, 2026 as the remediation deadline for agencies. Source

➜ À faire : Vérifier que le correctif Patch Tuesday d'août est bien déployé sur tous les serveurs Windows (Server 2019/2022/2025) ; prioriser les serveurs exposés ou multi-utilisateurs.

➜ To do: Verify that the August Patch Tuesday fix is deployed on all Windows servers (Server 2019/2022/2025); prioritize exposed or multi-user servers.

Faille noyau Linux « Copy Fail » (CVE-2026-31431, CVSS 7.8) — Vulnérabilité d'élévation de privilèges locale affectant toutes les distributions majeures (noyaux depuis 2017), permettant l'écriture arbitraire dans le cache de pages. Source

Linux kernel "Copy Fail" flaw (CVE-2026-31431, CVSS 7.8) — Local privilege escalation vulnerability affecting all major distributions (kernels since 2017), allowing arbitrary writes into the page cache. Source

➜ À faire : Appliquer les mises à jour noyau dès publication par la distribution utilisée (Ubuntu, Debian, RHEL, SUSE) et planifier le redémarrage des serveurs concernés.

➜ To do: Apply kernel updates as soon as published by the distribution in use (Ubuntu, Debian, RHEL, SUSE) and schedule reboots for affected servers.

Bulletin CERT-FR CERTFR-2026-ACT-036 (24 août) — Vulnérabilités signalées dans le noyau Red Hat Linux et Microsoft Edge. Source

CERT-FR bulletin CERTFR-2026-ACT-036 (August 24) — Vulnerabilities reported in the Red Hat Linux kernel and Microsoft Edge. Source

➜ À faire : Consulter le bulletin CERT-FR et appliquer les correctifs RHEL/Edge concernés sur le parc.

➜ To do: Review the CERT-FR bulletin and apply the relevant RHEL/Edge fixes across the fleet.

Cisco IOS XE – vulnérabilités chaînées sur les switches Catalyst 9000 — Des failles combinées dans le traitement de trames Ethernet peuvent bloquer un port et provoquer un déni de service. Source

Cisco IOS XE – chained vulnerabilities on Catalyst 9000 switches — Combined flaws in Ethernet frame handling can block a port and cause a denial of service. Source

➜ À faire : Identifier les switches Catalyst 9000 du parc, appliquer l'avis de sécurité Cisco correspondant et vérifier la version d'IOS XE installée.

➜ To do: Identify Catalyst 9000 switches in the fleet, apply the corresponding Cisco security advisory, and check the installed IOS XE version.

Cisco IOS XE – contournement du Secure Boot — Faille dans le bootloader des séries Catalyst et Rugged permettant l'exécution de code au démarrage avec un accès physique ou local. Source

Cisco IOS XE – Secure Boot bypass — Flaw in the bootloader of Catalyst and Rugged series allowing code execution at boot time with physical or local access. Source

➜ À faire : Restreindre l'accès physique aux équipements réseau critiques et planifier la mise à jour IOS XE dès que le correctif est disponible.

➜ To do: Restrict physical access to critical network equipment and schedule the IOS XE update as soon as a fix is available.

Operation Zero Disco – exploitation active de CVE-2025-20352 (SNMP Cisco) — Des attaquants déploient des rootkits sur des équipements Cisco via une faille SNMP. Source

Operation Zero Disco – active exploitation of CVE-2025-20352 (Cisco SNMP) — Attackers are deploying rootkits on Cisco equipment via an SNMP flaw. Source

➜ À faire : Vérifier que SNMP n'est pas exposé inutilement (communautés par défaut, ACL), désactiver SNMPv1/v2 si possible, et contrôler les équipements Cisco du parc avec la CVE-2025-20352.

➜ To do: Verify SNMP is not needlessly exposed (default communities, ACLs), disable SNMPv1/v2 where possible, and check Cisco equipment in the fleet against CVE-2025-20352.

VMware vCenter CVE-2026-59310 (CVSS 9.8) exploitée — ransomware Babuk sur ESXi — Un acteur lié à la Chine exploite cette faille de traversée de répertoire pour obtenir un accès root sur vCenter, créer des comptes admin et déployer un ransomware dérivé de Babuk sur les hôtes ESXi (361 IP touchées dans 47 pays). Correctif Broadcom disponible depuis le 29 juillet 2026. Source

VMware vCenter CVE-2026-59310 (CVSS 9.8) exploited — Babuk ransomware on ESXi — A China-linked actor is exploiting this directory traversal flaw to gain root access on vCenter, create admin accounts, and deploy Babuk-derived ransomware on ESXi hosts (361 IPs affected across 47 countries). Broadcom fix available since July 29, 2026. Source

➜ À faire : Vérifier en urgence que les instances vCenter du parc sont patchées (version corrigée depuis le 29/07/2026), s'assurer qu'aucun vCenter n'est exposé directement sur Internet, et auditer les comptes admin créés récemment sur vCenter/ESXi.

➜ To do: Urgently verify that vCenter instances in the fleet are patched (fixed version since 07/29/2026), ensure no vCenter is directly exposed to the Internet, and audit recently created admin accounts on vCenter/ESXi.

Broadcom/VMware – fin de l'offre Azure VMware Solution « license-included » — Microsoft arrête la commercialisation de cette offre le 31 octobre 2026 ; bascule vers une licence VCF requise avant le 30 août 2027. Source

Broadcom/VMware – end of the "license-included" Azure VMware Solution offer — Microsoft is discontinuing sales of this offer on October 31, 2026; a switch to a VCF license is required before August 30, 2027. Source

➜ À faire : Si l'entreprise utilise AVS en mode license-included, planifier la migration vers VCF ou une alternative avant l'échéance.

➜ To do: If the organization uses AVS in license-included mode, plan the migration to VCF or an alternative before the deadline.

Proxmox VE 8 – fin de vie le 31 août 2026 — Plus aucun correctif de sécurité après cette date. Source

Proxmox VE 8 – end of life on August 31, 2026 — No more security fixes after this date. Source

➜ À faire : Planifier la mise à niveau vers Proxmox VE 9 sur les clusters encore en version 8 avant fin août.

➜ To do: Schedule the upgrade to Proxmox VE 9 on clusters still on version 8 before end of August.

CVE-2026-9198 – Langflow (CVSS 9.8), exploitée — Injection de code permettant une exécution de code à distance non authentifiée sur les déploiements Langflow par défaut ; ajoutée au catalogue KEV de la CISA. Source

CVE-2026-9198 – Langflow (CVSS 9.8), exploited — Code injection enabling unauthenticated remote code execution on default Langflow deployments; added to the CISA KEV catalog. Source

➜ À faire : Vérifier si Langflow est utilisé dans le SI ; si oui, isoler l'instance et appliquer le correctif immédiatement.

➜ To do: Check whether Langflow is used in the information system; if so, isolate the instance and apply the fix immediately.

CVE-2026-34486 – Apache Tomcat (CVSS 7.5), exploitée par un acteur lié à la Chine — Contournement de chiffrement (EncryptInterceptor) utilisé pour livrer le malware SNOWLIGHT sur des infrastructures gouvernementales et commerciales dans plus de 100 pays. Source

CVE-2026-34486 – Apache Tomcat (CVSS 7.5), exploited by a China-linked actor — Encryption bypass (EncryptInterceptor) used to deliver the SNOWLIGHT malware against government and commercial infrastructure in over 100 countries. Source

➜ À faire : Recenser les serveurs Tomcat en cluster utilisant EncryptInterceptor et appliquer le correctif ; vérifier les journaux pour toute activité suspecte.

➜ To do: Identify clustered Tomcat servers using EncryptInterceptor and apply the fix; check logs for any suspicious activity.

TrueConf Server – CVE-2026-72529 et CVE-2026-72530 ajoutées au catalogue KEV — Authentification manquante sur fonction critique et injection de code. Source

TrueConf Server – CVE-2026-72529 and CVE-2026-72530 added to the KEV catalog — Missing authentication for a critical function and code injection. Source

➜ À faire : Si TrueConf Server est déployé, appliquer les correctifs disponibles et vérifier l'exposition du service sur Internet.

➜ To do: If TrueConf Server is deployed, apply the available fixes and check the service's exposure to the Internet.

Bilan CISA KEV du 24 août 2026 — 8 vulnérabilités activement exploitées recensées ce jour (Windows/SharePoint, VMware, Apple macOS, Zimbra, TrueConf, mlflow) et 23 nouveaux CVE critiques (CVSS ≥ 9.0). Source

CISA KEV summary for August 24, 2026 — 8 actively exploited vulnerabilities recorded that day (Windows/SharePoint, VMware, Apple macOS, Zimbra, TrueConf, mlflow) and 23 new critical CVEs (CVSS ≥ 9.0). Source

➜ À faire : Passer en revue le catalogue KEV du jour et croiser avec l'inventaire du parc (SharePoint, VMware, macOS, Zimbra notamment) pour prioriser les correctifs.

➜ To do: Review the day's KEV catalog and cross-check against the fleet inventory (SharePoint, VMware, macOS, Zimbra in particular) to prioritize fixes.

Azure – Trusted Launch activé par défaut sur les nouvelles VM Gen2 — Secure Boot et vTPM sont désormais activés par défaut, renforçant la sécurité de base sans configuration manuelle. Source

Azure – Trusted Launch enabled by default on new Gen2 VMs — Secure Boot and vTPM are now enabled by default, raising the baseline security without manual configuration. Source

➜ À faire : Vérifier que les VM Gen2 existantes bénéficient bien de Trusted Launch (ou l'activer manuellement) ; aucune action nécessaire pour les nouvelles VM.

➜ To do: Verify that existing Gen2 VMs benefit from Trusted Launch (or enable it manually); no action needed for new VMs.

Microsoft Fabric – Item Recovery activé par défaut depuis le 23 août 2026 — Fenêtre de récupération de 3 jours par défaut pour les types d'éléments pris en charge. Source

Microsoft Fabric – Item Recovery enabled by default since August 23, 2026 — 3-day recovery window by default for supported item types. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CVE-2026-69836 – Microsoft Entra ID, RCE CVSS 10.0 — Faille de désérialisation exploitable sans authentification ; corrigée côté serveur par Microsoft (aucune action client requise). Le statut « exploité activement » a été démenti par Microsoft après vérification. Source

CVE-2026-69836 – Microsoft Entra ID, RCE CVSS 10.0 — Deserialization flaw exploitable without authentication; fixed server-side by Microsoft (no customer action required). The "actively exploited" status was later retracted by Microsoft after verification. Source

➜ À faire : Aucune action requise, correctif déjà appliqué côté Microsoft ; rester attentif à toute mise à jour de statut.

➜ To do: No action required, fix already applied by Microsoft; stay alert for any status update.

CVE-2026-62818 – Active Directory Certificate Services, RCE (CVSS 8.8) — Faille use-after-free permettant l'exécution de code à distance sans interaction utilisateur sur un service AD CS exposé. Source

CVE-2026-62818 – Active Directory Certificate Services, RCE (CVSS 8.8) — Use-after-free flaw allowing remote code execution without user interaction on an exposed AD CS service. Source

➜ À faire : Vérifier la présence et le patch des serveurs AD CS sur le parc ; appliquer le correctif Patch Tuesday d'août sans délai.

➜ To do: Check for AD CS servers in the fleet and their patch level; apply the August Patch Tuesday fix without delay.

CVE-2026-59115 – Microsoft Entra Provisioning Service (SyncFabric), CVSS 9.9 — Faille de traversée de chemin permettant une élévation de privilèges sans interaction utilisateur. Source

CVE-2026-59115 – Microsoft Entra Provisioning Service (SyncFabric), CVSS 9.9 — Path traversal flaw allowing privilege escalation without user interaction. Source

➜ À faire : Aucune action cliente requise (service géré par Microsoft) ; surveiller les communications officielles pour confirmation.

➜ To do: No customer action required (Microsoft-managed service); monitor official communications for confirmation.

CVE-2026-50481 – Azure Active Directory, élévation de privilèges (CVSS 9.9) — Modification de données supposées immuables (MAID) pouvant permettre une élévation de privilèges réseau. Source

CVE-2026-50481 – Azure Active Directory, elevation of privilege (CVSS 9.9) — Modification of assumed-immutable data (MAID) potentially allowing network privilege escalation. Source

➜ À faire : Vérifier la configuration des stratégies de conditional access et des rôles Entra ID à privilèges élevés sur le tenant.

➜ To do: Review conditional access policy configuration and high-privilege Entra ID roles on the tenant.

LibreNMS – multiples vulnérabilités (CERT-FR, 24 août 2026) — Failles permettant une atteinte à la confidentialité des données et un contournement de politique de sécurité. Source

LibreNMS – multiple vulnerabilities (CERT-FR, August 24, 2026) — Flaws allowing a breach of data confidentiality and a security policy bypass. Source

➜ À faire : Si LibreNMS est utilisé pour la supervision réseau, consulter l'avis CERT-FR et appliquer la mise à jour corrective dès sa disponibilité.

➜ To do: If LibreNMS is used for network monitoring, review the CERT-FR advisory and apply the fix as soon as it is available.

Windows 11 : plantages de jeux liés aux pilotes RGB après la MAJ d'août — Microsoft confirme que les plantages et échecs de lancement de jeux constatés depuis les mises à jour du 11/08 (KB5121003 et suivantes) sont liés à des pilotes de périphériques RGB (fichier inpoutx64.sys). Affecte Windows 11 24H2/25H2. Source

Windows 11: game crashes linked to RGB drivers after August update — Microsoft confirms that game crashes and launch failures reported since the 08/11 updates (KB5121003 and later) are linked to RGB lighting device drivers (inpoutx64.sys file). Affects Windows 11 24H2/25H2. Source

➜ À faire : Aucune action requise, à titre informatif ; utile pour le support niveau 1 si des tickets de plantage remontent sur des postes équipés de périphériques RGB.

➜ To do: No action required, for information only; useful for level-1 support if crash tickets come in from machines with RGB peripherals.

Noyau Linux : lancement coordonné 7.1.10 et fin de vie approchant pour les branches 5.x — Sept versions du noyau publiées (jusqu'à 7.1.10), plus de 680 correctifs de sécurité (réseau, GPU) ; les branches LTS 5.10 et 5.15 entrent dans leurs 4 derniers mois de support avant leur fin de vie en décembre 2026. Source

Linux kernel: coordinated 7.1.10 release, 5.x branches approaching end of life — Seven kernel versions released (up to 7.1.10), over 680 security patches (networking, GPU); the 5.10 and 5.15 LTS branches enter their final four months of support before reaching end of life in December 2026. Source

➜ À faire : Mettre à jour les serveurs Linux vers les derniers correctifs noyau disponibles ; recenser les systèmes encore en 5.10/5.15 et planifier leur migration avant décembre 2026.

➜ To do: Update Linux servers to the latest available kernel patches; identify systems still on 5.10/5.15 and plan their migration before December 2026.

Windows Server 2022 : fin du support mainstream le 13 octobre 2026 — Après cette date, seules les mises à jour de sécurité (support étendu, jusqu'en octobre 2031) seront fournies ; plus de correctifs non-sécurité ni de nouvelles fonctionnalités. Source

Windows Server 2022: end of mainstream support on October 13, 2026 — After this date, only security updates (extended support, through October 2031) will be provided; no more non-security fixes or new features. Source

➜ À faire : Recenser les serveurs encore en Windows Server 2022 sur le parc et anticiper une éventuelle migration vers une version plus récente si le support étendu ne convient pas à moyen terme.

➜ To do: Identify servers still on Windows Server 2022 in the fleet and anticipate a possible migration to a newer version if extended support isn't suitable in the medium term.

Proxmox VE 8 atteint sa fin de vie le 31 août 2026 — Plus aucune mise à jour de sécurité ne sera fournie après cette date ; la version actuelle est Proxmox VE 9.2 (basée sur Debian 13 « Trixie »). Source

Proxmox VE 8 reaches end of life on August 31, 2026 — No more security updates will be provided after this date; the current version is Proxmox VE 9.2 (based on Debian 13 "Trixie"). Source

➜ À faire : Identifier les nœuds Proxmox encore en version 8 sur le parc et planifier la mise à niveau vers Proxmox VE 9 avant le 31/08/2026.

➜ To do: Identify Proxmox nodes still on version 8 in the fleet and schedule the upgrade to Proxmox VE 9 before 08/31/2026.

CISA ordonne le correctif urgent de deux failles TrueConf Server activement exploitées (CVE-2026-72529, CVE-2026-72530) — Contournement d'authentification sur le port TCP 4307 et évasion de bac à sable par injection de code, exploitées depuis juillet par le groupe Head Mare (malware PhantomCore). Correctifs disponibles depuis juin (versions 5.3.9, 5.4.9, 5.5.5). Source

CISA orders urgent patching of two actively exploited TrueConf Server flaws (CVE-2026-72529, CVE-2026-72530) — Authentication bypass on TCP port 4307 and sandbox escape via code injection, exploited since July by the Head Mare group (PhantomCore malware). Fixes available since June (versions 5.3.9, 5.4.9, 5.5.5). Source

➜ À faire : Vérifier si TrueConf Server est déployé sur le parc (visioconférence auto-hébergée) ; si oui, mettre à jour immédiatement vers une version corrigée ou couper l'exposition du port 4307 à Internet.

➜ To do: Check whether TrueConf Server is deployed in the fleet (self-hosted video conferencing); if so, update immediately to a fixed version or block port 4307 exposure to the Internet.

Faille critique MLflow activement exploitée (CVE-2026-64849, SSRF par DNS rebinding) — Permet à un attaquant non authentifié d'accéder aux services internes ou aux métadonnées cloud d'instances MLflow non corrigées, avec vol d'identifiants cloud à la clé. Exploitation massive dans les heures suivant la divulgation. Corrigé en version 3.15.0. Source

Critical MLflow vulnerability actively exploited (CVE-2026-64849, DNS-rebinding SSRF) — Allows an unauthenticated attacker to reach internal services or cloud metadata on unpatched MLflow instances, leading to cloud credential theft. Mass exploitation within hours of disclosure. Fixed in version 3.15.0. Source

➜ À faire : Si des environnements MLflow sont hébergés (data science/IA), mettre à jour vers la version 3.15.0+ en urgence et vérifier qu'aucune instance n'est exposée directement sur Internet.

➜ To do: If MLflow environments are hosted (data science/AI), urgently update to version 3.15.0+ and verify no instance is directly exposed to the Internet.

Oracle PeopleSoft PeopleTools exploité avec du ransomware (CVE-2026-35273, CVSS 9.8) — Faille d'authentification manquante activement exploitée dans le cadre de campagnes de ransomware. Source

Oracle PeopleSoft PeopleTools exploited with ransomware (CVE-2026-35273, CVSS 9.8) — Missing authentication flaw actively exploited as part of ransomware campaigns. Source

➜ À faire : Si PeopleSoft est utilisé (RH/finance), appliquer en urgence le correctif Oracle et contrôler les journaux d'accès pour toute activité suspecte.

➜ To do: If PeopleSoft is used (HR/finance), urgently apply the Oracle fix and check access logs for any suspicious activity.

Palo Alto PAN-OS : contournement d'authentification exploité avec du ransomware (CVE-2026-0257, CVSS 9.1) — Faille activement exploitée sur les pare-feux PAN-OS. Source

Palo Alto PAN-OS: authentication bypass exploited with ransomware (CVE-2026-0257, CVSS 9.1) — Flaw actively exploited on PAN-OS firewalls. Source

➜ À faire : Vérifier la version de PAN-OS sur les pare-feux du parc, appliquer le correctif en urgence, et s'assurer que l'interface d'administration n'est jamais exposée sur Internet.

➜ To do: Check the PAN-OS version on firewalls in the fleet, urgently apply the fix, and ensure the admin interface is never exposed to the Internet.

Microsoft SharePoint Server : contournement de sécurité exploité (CVE-2026-55040, CVSS 9.1) — Faille activement exploitée dans le cadre d'attaques en cours. Source

Microsoft SharePoint Server: security bypass exploited (CVE-2026-55040, CVSS 9.1) — Flaw actively exploited as part of ongoing attacks. Source

➜ À faire : Vérifier que les serveurs SharePoint on-premise du parc sont à jour avec les derniers correctifs Microsoft ; surveiller les journaux pour toute activité anormale.

➜ To do: Verify that on-premise SharePoint servers in the fleet are up to date with the latest Microsoft fixes; monitor logs for any abnormal activity.

AWS : 4e incident de connectivité en 4 mois sur la région US-WEST-2 — Panne régionale d'environ 80 minutes affectant la connectivité Internet en Oregon. Source

AWS: 4th connectivity incident in 4 months in the US-WEST-2 region — Regional outage lasting around 80 minutes affecting Internet connectivity in Oregon. Source

➜ À faire : Vérifier la résilience multi-région des services critiques hébergés sur AWS US-WEST-2 et s'assurer qu'un plan de bascule existe en cas de panne régionale.

➜ To do: Verify the multi-region resilience of critical services hosted on AWS US-WEST-2 and ensure a failover plan exists in case of a regional outage.

Azure : panne intermittente sur la région West US — Incident de connectivité affectant certains services Azure dans cette région. Source

Azure: intermittent outage in the West US region — Connectivity incident affecting some Azure services in this region. Source

➜ À faire : Vérifier si des ressources critiques du parc sont hébergées en région West US et consulter Azure Status en cas d'impact constaté.

➜ To do: Check whether critical resources in the fleet are hosted in the West US region and consult Azure Status if an impact is observed.

Faille WinSock Windows activement exploitée (CVE-2026-68820) — Vulnérabilité d'élévation de privilèges dans le pilote AFD.sys (CVSS 7.0), exploitée depuis fin juillet, liée au groupe Lazarus, inscrite au catalogue KEV de la CISA. Source

Windows WinSock flaw actively exploited (CVE-2026-68820) — Privilege escalation vulnerability in the AFD.sys driver (CVSS 7.0), exploited since late July, linked to the Lazarus group, added to CISA's KEV catalog. Source

➜ À faire : Vérifier que le correctif Patch Tuesday d'août (KB du 11/08) est déployé sur tous les postes et serveurs Windows du parc ; prioriser les machines exposées ou accessibles à des utilisateurs non-admin.

➜ To do: Verify the August Patch Tuesday fix (KB from 08/11) is deployed on all Windows workstations and servers in the fleet; prioritize machines exposed to or accessible by non-admin users.

Vulnérabilité Linux « Copy Fail » (élévation de privilèges locale) — Faille affectant le noyau Linux (versions depuis 2017) permettant à un attaquant local d'écrire dans le cache de page et d'obtenir les droits root. Source

Linux "Copy Fail" vulnerability (local privilege escalation) — Flaw affecting the Linux kernel (versions since 2017) allowing a local attacker to write into the page cache and gain root privileges. Source

➜ À faire : Identifier les serveurs Linux du parc (RHEL, Ubuntu, Debian, SUSE) non encore patchés et planifier l'application des derniers correctifs noyau, avec redémarrage requis.

➜ To do: Identify Linux servers in the fleet (RHEL, Ubuntu, Debian, SUSE) not yet patched and schedule the latest kernel fixes, which require a reboot.

Mise à jour cumulative Windows Server 2022 (KB5120242) — Nouveau build 20348.5499, correctifs de sécurité et non-sécurité inclus. Source

Windows Server 2022 cumulative update (KB5120242) — New build 20348.5499, including security and non-security fixes. Source

➜ À faire : Aucune action requise, à titre informatif, si les correctifs d'août ont déjà été déployés (cf. item CVE-2026-68820 ci-dessus).

➜ To do: No action required, for information only, if August's fixes have already been deployed (see the CVE-2026-68820 item above).

Failles critiques Cisco Crosswork et Secure Workload (CVSS jusqu'à 10.0) — Plusieurs vulnérabilités critiques corrigées le 19/08 dans ces plateformes de gestion réseau et sécurité. Source

Critical Cisco Crosswork and Secure Workload flaws (up to CVSS 10.0) — Several critical vulnerabilities patched on 08/19 in these network and security management platforms. Source

➜ À faire : Si Cisco Crosswork ou Secure Workload sont utilisés dans le parc, appliquer les correctifs de sécurité en urgence (priorité maximale, CVSS 10.0).

➜ To do: If Cisco Crosswork or Secure Workload are used in the fleet, apply the security fixes urgently (top priority, CVSS 10.0).

Faille XXE dans Cisco BroadWorks (CVE-2026-20320, CVSS 7.5) — Un attaquant non authentifié peut lire des fichiers de configuration sensibles à distance via le parseur XML OCI. Source

XXE flaw in Cisco BroadWorks (CVE-2026-20320, CVSS 7.5) — An unauthenticated attacker can remotely read sensitive configuration files via the OCI XML parser. Source

➜ À faire : Vérifier si BroadWorks est déployé sur l'infrastructure de téléphonie/UC et appliquer le correctif Cisco correspondant.

➜ To do: Check whether BroadWorks is deployed on the telephony/UC infrastructure and apply the corresponding Cisco fix.

Cisco IOS XE Software Security Hardening Release (août 2026) — Recommandations de durcissement publiées par Cisco pour IOS XE. Source

Cisco IOS XE Software Security Hardening Release (August 2026) — Hardening recommendations published by Cisco for IOS XE. Source

➜ À faire : Comparer la configuration des switchs/routeurs IOS XE du parc aux recommandations de durcissement Cisco et ajuster si nécessaire.

➜ To do: Compare the configuration of IOS XE switches/routers in the fleet against Cisco's hardening recommendations and adjust as needed.

VMware vCenter activement exploité pour déployer un ransomware (CVE-2026-59310, CVSS 9.8) — Faille de traversée de répertoire dans le serveur Syslog de vCenter, exploitée par un acteur suspecté d'origine chinoise pour déployer un ransomware dérivé de Babuk. Correctif Broadcom disponible depuis le 29/07. Source

VMware vCenter actively exploited to deploy ransomware (CVE-2026-59310, CVSS 9.8) — Directory traversal flaw in vCenter's Syslog server, exploited by a suspected China-nexus actor to deploy Babuk-derived ransomware. Broadcom fix available since 07/29. Source

➜ À faire : Vérifier en urgence que tous les vCenter du parc sont patchés (correctif du 29/07) ; à défaut, isoler l'accès réseau au service Syslog de vCenter et rechercher des signes de compromission (tâches cron suspectes, reverse_ssh).

➜ To do: Urgently verify that all vCenter instances in the fleet are patched (07/29 fix); otherwise, isolate network access to vCenter's Syslog service and look for signs of compromise (suspicious cron jobs, reverse_ssh).

VMware Explore 2026 (31 août au 3 septembre, Las Vegas) — Conférence Broadcom/VMware centrée sur VMware Cloud Foundation et l'IA privée. Source

VMware Explore 2026 (August 31 – September 3, Las Vegas) — Broadcom/VMware conference focused on VMware Cloud Foundation and private AI. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

SonicWall SMA 1000 exploité en chaîne par le ransomware INC (CVE-2026-15409 CVSS 10.0 + CVE-2026-15410 CVSS 7.2) — Contournement d'authentification pré-auth combiné à une traversée de chemin permettant une prise de contrôle root complète des passerelles VPN ; vol des secrets MFA (TOTP). 885 victimes revendiquées. Source

SonicWall SMA 1000 chain-exploited by INC ransomware (CVE-2026-15409 CVSS 10.0 + CVE-2026-15410 CVSS 7.2) — Pre-auth bypass combined with a path traversal flaw allowing full root takeover of VPN gateways; theft of MFA secrets (TOTP). 885 victims claimed. Source

➜ À faire : Vérifier immédiatement si des appliances SonicWall SMA 1000 sont présentes sur le parc, appliquer les correctifs, et si compromission suspectée, régénérer les secrets MFA/TOTP et forcer la rotation des identifiants VPN.

➜ To do: Immediately check whether SonicWall SMA 1000 appliances are present in the fleet, apply the fixes, and if compromise is suspected, regenerate MFA/TOTP secrets and force a rotation of VPN credentials.

CERT-FR AVI-1057 : vulnérabilités dans Ceph — Failles permettant élévation de privilèges, atteinte à la confidentialité des données et contournement de politique de sécurité. Source

CERT-FR AVI-1057: vulnerabilities in Ceph — Flaws allowing privilege escalation, breach of data confidentiality and security policy bypass. Source

➜ À faire : Si Ceph est utilisé pour le stockage (cluster de stockage objet/bloc), consulter l'avis CERT-FR et appliquer les correctifs sur les versions concernées.

➜ To do: If Ceph is used for storage (object/block storage cluster), review the CERT-FR advisory and apply fixes to the affected versions.

CERT-FR AVI-1056 : vulnérabilités dans Splunk — Certaines failles permettent l'exécution de code arbitraire à distance et l'élévation de privilèges. Source

CERT-FR AVI-1056: vulnerabilities in Splunk — Some flaws allow remote arbitrary code execution and privilege escalation. Source

➜ À faire : Vérifier la version de Splunk en production (SIEM/logs) et appliquer les correctifs recommandés par l'éditeur en priorité sur les instances exposées.

➜ To do: Check the version of Splunk in production (SIEM/logs) and apply the vendor's recommended fixes as a priority on exposed instances.

Mise à jour du provider AWS (20/08) : 9 nouveaux services — Ajout de Resilience Hub V2, Lambda MicroVMs, Agent Registry, contrôles de chiffrement VPC, et plus de 200 nouvelles ressources API. Source

AWS provider update (08/20): 9 new services — Addition of Resilience Hub V2, Lambda MicroVMs, Agent Registry, VPC encryption controls, and over 200 new API resources. Source

➜ À faire : Aucune action requise, à titre informatif ; à surveiller si des outils d'infrastructure-as-code (Terraform, StackQL) sont utilisés sur le parc AWS.

➜ To do: No action required, for information only; worth monitoring if infrastructure-as-code tools (Terraform, StackQL) are used on the AWS fleet.

AD Certificate Services : faille RCE critique (CVE-2026-62818, CVSS 8.8) — Use-after-free permettant à un attaquant distant faiblement privilégié d'exécuter du code sans interaction utilisateur sur AD CS, rôle gérant les certificats d'authentification du domaine. Source

AD Certificate Services: critical RCE flaw (CVE-2026-62818, CVSS 8.8) — Use-after-free allowing a low-privileged remote attacker to execute code with no user interaction on AD CS, the role managing domain authentication certificates. Source

➜ À faire : Appliquer en priorité le correctif Patch Tuesday d'août sur tous les serveurs AD CS du domaine ; vérifier l'exposition réseau des serveurs de certificats.

➜ To do: Apply the August Patch Tuesday fix as a priority on all domain AD CS servers; check the network exposure of certificate servers.

Azure Active Directory : élévation de privilèges critique (CVE-2026-50481, CVSS 9.9) — Modification de données supposées immuables (MAID) permettant à un attaquant autorisé d'élever ses privilèges sur le réseau. Source

Azure Active Directory: critical elevation of privilege (CVE-2026-50481, CVSS 9.9) — Modification of Assumed-Immutable Data (MAID) allowing an authorized attacker to elevate privileges over the network. Source

➜ À faire : Vérifier les journaux Azure AD/Entra ID pour toute activité anormale de modification de rôles ou permissions, et s'assurer que les correctifs Microsoft associés sont appliqués côté tenant.

➜ To do: Check Azure AD/Entra ID logs for any abnormal role or permission modification activity, and ensure the associated Microsoft fixes are applied on the tenant side.

AD Domain Services : bug d'injection de commande — Faille nécessitant une interaction utilisateur, corrigée dans le Patch Tuesday d'août. Source

AD Domain Services: command injection bug — Flaw requiring user interaction, fixed in August's Patch Tuesday. Source

➜ À faire : Sensibiliser les administrateurs AD à ne pas exécuter de scripts/commandes non vérifiés et vérifier le déploiement du correctif d'août sur les contrôleurs de domaine.

➜ To do: Raise AD administrators' awareness about not running unverified scripts/commands, and verify the deployment of August's fix on domain controllers.

Fin de support Windows 11 24H2 Home/Pro le 13 octobre 2026 — Microsoft a émis un rappel à 60 jours : passé cette date, plus de mises à jour de sécurité mensuelles pour ces éditions. Migration conseillée vers 25H2 (même socle, mise à jour légère). Source

Windows 11 24H2 Home/Pro end of support on October 13, 2026 — Microsoft issued a 60-day reminder: after that date, no more monthly security updates for these editions. Migration to 25H2 recommended (same codebase, lightweight update). Source

➜ À faire : Recenser les postes encore en 24H2 Home/Pro sur le parc et planifier la mise à niveau vers 25H2 avant le 13/10/2026.

➜ To do: Identify machines still on 24H2 Home/Pro across the fleet and schedule the upgrade to 25H2 before 10/13/2026.

Ubuntu : nouveaux correctifs noyau avec changement d'ABI — lots de correctifs pour les images Azure Confidential VM (20.04) et AWS (24.04), avec changement d'ABI noyau. Source

Ubuntu: new kernel patches with ABI change — patch batches for Azure Confidential VM (20.04) and AWS (24.04) images, with a kernel ABI change. Source

➜ À faire : Sur les VM Ubuntu concernées, planifier le redémarrage post-patch et prévoir la recompilation des modules tiers (DKMS, pilotes) impactés par le changement d'ABI.

➜ To do: On the affected Ubuntu VMs, schedule the post-patch reboot and plan to rebuild third-party modules (DKMS, drivers) impacted by the ABI change.

Nouvelles advisories Cisco PSIRT du 19 août — BroadWorks, Crosswork, switches Industrial Ethernet 1000, RoomOS, Secure Workload, Unified Intelligence Center ; deux « hardening releases » notées CVSS 10.0 et une faille XXE à fort impact sur BroadWorks. Source

New Cisco PSIRT advisories from August 19 — BroadWorks, Crosswork, Industrial Ethernet 1000 switches, RoomOS, Secure Workload, Unified Intelligence Center; two "hardening releases" rated CVSS 10.0 and a high-impact XXE flaw in BroadWorks. Source

➜ À faire : Identifier les équipements BroadWorks/Crosswork/Industrial Ethernet 1000/RoomOS présents sur le parc, consulter les bulletins du 19/08 sur le portail Cisco PSIRT et prioriser les correctifs des advisories CVSS 10.0.

➜ To do: Identify BroadWorks/Crosswork/Industrial Ethernet 1000/RoomOS devices present in the fleet, review the August 19 bulletins on the Cisco PSIRT portal and prioritize fixes for the CVSS 10.0 advisories.

CVE-2026-59310 — VMware vCenter, faille activement exploitée — traversée de répertoire dans Broadcom VMware vCenter Server, ajoutée au catalogue CISA KEV le 18 août. Source

CVE-2026-59310 — VMware vCenter, actively exploited flaw — directory traversal in Broadcom VMware vCenter Server, added to the CISA KEV catalog on August 18. Source

➜ À faire : Vérifier la version de vCenter Server en production, appliquer le correctif Broadcom dès sa disponibilité et surveiller les journaux d'accès pour toute tentative de traversée de répertoire.

➜ To do: Check the vCenter Server version in production, apply the Broadcom fix as soon as available and monitor access logs for any directory traversal attempt.

CVE-2026-33824 — Windows IKE Service Extensions, RCE non authentifiée activement exploitée — double-free exploitable via UDP 500/4500 sur Windows 10/11/Server, ajoutée au KEV le 18 août, échéance de remédiation CISA au 21 août. Source

CVE-2026-33824 — Windows IKE Service Extensions, unauthenticated RCE actively exploited — double-free exploitable via UDP 500/4500 on Windows 10/11/Server, added to KEV on August 18, CISA remediation deadline August 21. Source

➜ À faire : Appliquer en urgence le correctif Microsoft sur tous les serveurs/postes exposant IKE/IPsec. À défaut, bloquer UDP 500/4500 en entrée ou restreindre aux pairs connus. Traiter avant le 21/08.

➜ To do: Urgently apply the Microsoft fix on all servers/machines exposing IKE/IPsec. If not possible, block inbound UDP 500/4500 or restrict to known peers. Address before 08/21.

CVE-2026-55040 — Microsoft SharePoint, authentification faible — ajoutée au catalogue CISA KEV le 18 août. Source

CVE-2026-55040 — Microsoft SharePoint, weak authentication — added to the CISA KEV catalog on August 18. Source

➜ À faire : Vérifier la version des instances SharePoint Server on-premise du parc, appliquer le correctif correspondant et contrôler les journaux d'authentification.

➜ To do: Check the version of the fleet's on-premise SharePoint Server instances, apply the corresponding fix and review authentication logs.

Avis CERT-FR du 19 août — vulnérabilités multiples sur Mozilla (Firefox/Thunderbird), Moxa, Oracle WebLogic, Oracle Systems et Oracle PeopleSoft. Source

CERT-FR advisory from August 19 — multiple vulnerabilities affecting Mozilla (Firefox/Thunderbird), Moxa, Oracle WebLogic, Oracle Systems and Oracle PeopleSoft. Source

➜ À faire : Vérifier les versions de Firefox/Thunderbird, des équipements Moxa et des instances Oracle WebLogic/PeopleSoft/Systems présentes sur le parc, et appliquer les correctifs listés.

➜ To do: Check the versions of Firefox/Thunderbird, Moxa devices and Oracle WebLogic/PeopleSoft/Systems instances present in the fleet, and apply the listed fixes.

Campagne d'extorsion « Ransom Busters » — de faux cabinets de récupération contactent des victimes de ransomware avant divulgation publique et réclament 20 000 à 60 000 $ pour « supprimer » les données volées. Source

"Ransom Busters" extortion campaign — fake data-recovery firms contact ransomware victims before public disclosure and demand $20,000 to $60,000 to "delete" the stolen data. Source

➜ À faire : Aucune action technique requise ; sensibiliser direction et RSSI à ne jamais répondre à ce type de sollicitation non sollicitée hors canaux officiels de réponse à incident.

➜ To do: No technical action required; raise awareness among management and the CISO to never respond to this kind of unsolicited outreach outside official incident-response channels.

Suppression de WMIC dans Windows 11 24H2/25H2 — Microsoft retire par défaut l'outil en ligne de commande WMIC (déjà absent des nouvelles installations, non réinstallable en Feature on Demand) des builds 24H2/25H2 et des versions bêta. Source

WMIC removed from Windows 11 24H2/25H2 — Microsoft has removed the WMIC command-line tool by default (already absent from new installs, no longer available as a Feature on Demand) from the 24H2/25H2 builds and beta versions. Source

➜ À faire : Vérifier si des scripts d'administration, d'inventaire ou de supervision du parc utilisent encore WMIC, et les migrer vers PowerShell/CIM avant que les postes ne passent en 24H2/25H2.

➜ To do: Check whether any fleet administration, inventory or monitoring scripts still use WMIC, and migrate them to PowerShell/CIM before machines upgrade to 24H2/25H2.

Faille noyau Linux « Copy Fail » activement exploitée (CVE-2026-31431, CVSS 7.8) — élévation de privilèges locale permettant d'écrire dans le cache de pages d'un fichier lisible ; exploit public disponible. Source

"Copy Fail" Linux kernel flaw actively exploited (CVE-2026-31431, CVSS 7.8) — local privilege escalation allowing an attacker to write into the page cache of any readable file; a public exploit is available. Source

➜ À faire : Appliquer en urgence les correctifs noyau (Ubuntu, Debian, RHEL) sur tous les serveurs Linux du parc et planifier les redémarrages nécessaires.

➜ To do: Urgently apply kernel patches (Ubuntu, Debian, RHEL) on all fleet Linux servers and schedule the necessary reboots.

Windows Server 2022 : cumulatif KB5120242 disponible — correctifs de sécurité publiés le 11 août. Source

Windows Server 2022: KB5120242 cumulative update available — security fixes released on August 11. Source

➜ À faire : Vérifier via WSUS/SCCM que KB5120242 a bien été déployé sur l'ensemble des serveurs Windows Server 2022 du parc.

➜ To do: Verify via WSUS/SCCM that KB5120242 has been deployed across all fleet Windows Server 2022 machines.

Cisco publie ce jour de nouvelles alertes de sécurité (19 août) — BroadWorks, Crosswork Industrial Ethernet 1000, Packaged/Unified Contact Center Enterprise, RoomOS, Secure Workload, Unified Intelligence Center. Source

Cisco publishes new security advisories today (August 19) — BroadWorks, Crosswork Industrial Ethernet 1000, Packaged/Unified Contact Center Enterprise, RoomOS, Secure Workload, Unified Intelligence Center. Source

➜ À faire : Consulter les avis PSIRT dès leur publication, identifier les équipements du parc concernés (switches IE1000, plateformes BroadWorks/Contact Center) et planifier les correctifs.

➜ To do: Review the PSIRT advisories as soon as published, identify affected fleet devices (IE1000 switches, BroadWorks/Contact Center platforms) and schedule the fixes.

Cisco IOS XE — Security Hardening Release (CVSS jusqu'à 9.8) — correction de plusieurs vulnérabilités internes non exploitées à ce jour. Source

Cisco IOS XE — Security Hardening Release (CVSS up to 9.8) — fixes for several internally discovered vulnerabilities, not exploited to date. Source

➜ À faire : Mettre à jour les switches/routeurs IOS XE du parc vers la version corrigée lors de la prochaine fenêtre de maintenance.

➜ To do: Update the fleet's IOS XE switches/routers to the fixed version during the next maintenance window.

Cisco Catalyst SD-WAN — Security Hardening Release (CVSS 9.9) — correctifs pour plusieurs vulnérabilités critiques internes. Source

Cisco Catalyst SD-WAN — Security Hardening Release (CVSS 9.9) — fixes for several critical internally discovered vulnerabilities. Source

➜ À faire : Si le parc utilise Catalyst SD-WAN/IMC, appliquer les correctifs listés dans l'avis dès que possible.

➜ To do: If the fleet uses Catalyst SD-WAN/IMC, apply the fixes listed in the advisory as soon as possible.

VMware ESXi/vCenter : 3 failles critiques exploitées (VMSA-2026-0006) — CVE-2026-59309 (contournement d'authentification, CVSS 9.8), CVE-2026-59310 (traversée de répertoire, CVSS 9.8, exploitation active constatée), CVE-2026-47876 (débordement mémoire, CVSS 9.8) ; affecte ESXi, vCenter, Workstation, Fusion, Cloud Foundation. Source

VMware ESXi/vCenter: 3 critical flaws under active exploitation (VMSA-2026-0006) — CVE-2026-59309 (authentication bypass, CVSS 9.8), CVE-2026-59310 (directory traversal, CVSS 9.8, active exploitation observed), CVE-2026-47876 (out-of-bounds write, CVSS 9.8); affects ESXi, vCenter, Workstation, Fusion, Cloud Foundation. Source

➜ À faire : Vérifier la version d'ESXi/vCenter/Workstation/Fusion du parc et appliquer immédiatement les correctifs Broadcom VMSA-2026-0006 ; auditer les connexions SSH inversées suspectes sur les vCenter exposés à Internet.

➜ To do: Check the fleet's ESXi/vCenter/Workstation/Fusion version and immediately apply the Broadcom VMSA-2026-0006 fixes; audit internet-exposed vCenter servers for suspicious reverse SSH connections.

CISA ajoute 4 failles à son catalogue KEV (19 août) — macOS, Microsoft SharePoint, VMware vCenter (CVE-2026-59310), Microsoft IKE. Source

CISA adds 4 flaws to its KEV catalog (August 19) — macOS, Microsoft SharePoint, VMware vCenter (CVE-2026-59310), Microsoft IKE. Source

➜ À faire : Vérifier si ces produits sont présents sur le parc et prioriser leur correction (délai KEV habituel de 21 jours pour les organismes concernés).

➜ To do: Check whether these products are present in the fleet and prioritize remediation (the usual 21-day KEV deadline applies to covered organizations).

GitLab : patch d'urgence pour faille critique GraphQL (CVE-2026-19478, CVSS 9.4) — permet à un attaquant non authentifié de modifier/supprimer des projets publics et des données utilisateur. Source

GitLab: emergency patch for critical GraphQL flaw (CVE-2026-19478, CVSS 9.4) — allows an unauthenticated attacker to modify/delete public projects and user data. Source

➜ À faire : Si une instance GitLab self-managed est utilisée, mettre à jour immédiatement vers 19.2.4 / 19.1.6 / 19.0.8 / 18.11.11.

➜ To do: If a self-managed GitLab instance is used, upgrade immediately to 19.2.4 / 19.1.6 / 19.0.8 / 18.11.11.

Web shell lié à Clop ciblant les serveurs PTC Windchill/FlexPLM — implant sur mesure exploitant CVE-2026-12569 (RCE, CVSS 9.8) pour déchiffrer des identifiants et exfiltrer des fichiers ; 43 organisations touchées (Shell, GE, Philips…). Source

Clop-linked web shell targeting PTC Windchill/FlexPLM servers — a custom implant exploiting CVE-2026-12569 (RCE, CVSS 9.8) to decrypt credentials and exfiltrate files; 43 organizations affected (Shell, GE, Philips…). Source

➜ À faire : Vérifier la présence de serveurs PTC Windchill/FlexPLM exposés sur le parc, appliquer le correctif éditeur pour CVE-2026-12569 et auditer les logs pour détecter ce web shell.

➜ To do: Check for exposed PTC Windchill/FlexPLM servers in the fleet, apply the vendor fix for CVE-2026-12569 and audit logs to detect this web shell.

CERT-FR AVI-1035 — vulnérabilités multiples dans les produits Microsoft (PowerShell 7.4/7.5/7.6, Malware Protection Engine) permettant exécution de code à distance et élévation de privilèges. Source

CERT-FR AVI-1035 — multiple vulnerabilities in Microsoft products (PowerShell 7.4/7.5/7.6, Malware Protection Engine) allowing remote code execution and privilege escalation. Source

➜ À faire : Vérifier la version de PowerShell installée sur le parc (< 7.4.19.0 / 7.5.10.0 / 7.6.5.0) et mettre à jour vers les versions corrigées.

➜ To do: Check the PowerShell version installed on the fleet (< 7.4.19.0 / 7.5.10.0 / 7.6.5.0) and update to the fixed versions.

Azure : vente de données d'employés issues de tenants Fortune 500 via identifiants compromis — un acteur malveillant revendique 3,6 millions d'enregistrements (McDonald's, Vodafone, TCS, Kyndryl, IHG…), obtenus par password spraying et MFA fatigue. Source

Azure: employee data from Fortune 500 tenants sold after credential compromise — a threat actor claims 3.6 million records (McDonald's, Vodafone, TCS, Kyndryl, IHG…), obtained via password spraying and MFA fatigue. Source

➜ À faire : Vérifier la robustesse du MFA sur les comptes Azure/Entra ID du parc (résistance au MFA fatigue, ex. number matching) et surveiller les tentatives de password spraying dans les logs Entra.

➜ To do: Verify the robustness of MFA on the fleet's Azure/Entra ID accounts (resistance to MFA fatigue, e.g. number matching) and monitor Entra logs for password spraying attempts.

AWS us-west-2 : 4e incident de fiabilité en 4 mois (15 août). Source

AWS us-west-2: 4th reliability incident in 4 months (August 15). Source

➜ À faire : Vérifier la répartition multi-AZ/multi-région des charges critiques hébergées sur us-west-2 et envisager un plan de bascule si dépendance forte à cette région.

➜ To do: Check the multi-AZ/multi-region distribution of critical workloads hosted on us-west-2 and consider a failover plan if heavily dependent on this region.

« Certighost » — CVE-2026-62818, RCE critique dans AD Certificate Services (CVSS 8.8) — use-after-free exploitable à distance sans interaction utilisateur par un attaquant peu privilégié. Source

"Certighost" — CVE-2026-62818, critical RCE in AD Certificate Services (CVSS 8.8) — use-after-free remotely exploitable with no user interaction by a low-privileged attacker. Source

➜ À faire : Vérifier que le correctif Patch Tuesday d'août est appliqué sur tous les serveurs AD CS du parc ; à défaut, restreindre l'accès réseau au service en attendant.

➜ To do: Verify the August Patch Tuesday fix is applied on all fleet AD CS servers; if not, restrict network access to the service in the meantime.

Nagios XI — injection de commandes authentifiée (CVE-2026-2041, RCE). Source

Nagios XI — authenticated command injection (CVE-2026-2041, RCE). Source

➜ À faire : Mettre à jour Nagios XI vers la version 2026 R1.0.1 ou supérieure sur les serveurs de supervision du parc.

➜ To do: Update Nagios XI to version 2026 R1.0.1 or later on the fleet's monitoring servers.

Zabbix — plusieurs vulnérabilités de sévérité élevée (CVE-2026-23928, -23926, -23921, -23920, -23919) sur les versions 5.1 à 8.7. Source

Zabbix — several high-severity vulnerabilities (CVE-2026-23928, -23926, -23921, -23920, -23919) affecting versions 5.1 to 8.7. Source

➜ À faire : Vérifier la version Zabbix installée et appliquer les correctifs disponibles si le parc utilise une version comprise entre 5.1 et 8.7.

➜ To do: Check the Zabbix version installed and apply the available fixes if the fleet uses a version between 5.1 and 8.7.

Patch Tuesday Microsoft d'août corrige ~400 failles, dont une déjà exploitée — Publié le 11 août : CVE-2026-68820 (pilote Winsock AFD, exploitée activement), CVE-2026-62878 (Windows DNS Server RCE, CVSS 9.8) et CVE-2026-62819 (RRAS RCE, CVSS 8.1). Source

Microsoft's August Patch Tuesday fixes ~400 flaws, including one already exploited — Released August 11: CVE-2026-68820 (Winsock AFD driver, actively exploited), CVE-2026-62878 (Windows DNS Server RCE, CVSS 9.8) and CVE-2026-62819 (RRAS RCE, CVSS 8.1). Source

➜ À faire : Déployer sans délai KB5120242 (Server 2022) et les correctifs équivalents sur tous les Windows Server exposant les rôles DNS ou RRAS ; prioriser les machines avec Winsock/AFD exposé.

➜ To do: Deploy KB5120242 (Server 2022) and the equivalent fixes without delay on all Windows Server machines exposing the DNS or RRAS roles; prioritize machines with exposed Winsock/AFD.

Zero-day « ShieldBreak » dans Microsoft Defender — CVE-2026-69414, divulguée publiquement, correctif en préparation chez Microsoft. Source

"ShieldBreak" zero-day in Microsoft Defender — CVE-2026-69414, publicly disclosed, Microsoft is preparing a fix. Source

➜ À faire : Surveiller la sortie du correctif Defender et l'appliquer dès disponibilité ; vérifier d'ici là que les définitions Defender sont à jour.

➜ To do: Monitor for the Defender patch release and apply it as soon as available; in the meantime, verify Defender definitions are up to date.

Debian 13 corrige 68 failles noyau Linux — dont CVE-2026-64530 (use-after-free traffic-control, RCE potentielle) et CVE-2026-64531 « OVSwrap » (élévation de privilèges locale via Open vSwitch). Source

Debian 13 fixes 68 Linux kernel flaws — including CVE-2026-64530 (traffic-control use-after-free, potential RCE) and CVE-2026-64531 "OVSwrap" (local privilege escalation via Open vSwitch). Source

➜ À faire : Planifier la mise à jour noyau sur les serveurs Debian 13 du parc, en priorité ceux utilisant Open vSwitch.

➜ To do: Schedule the kernel update on the fleet's Debian 13 servers, prioritizing those using Open vSwitch.

CERT-FR : vulnérabilités noyaux SUSE, Red Hat et Ubuntu — RCE, déni de service ou élévation de privilèges selon la distribution (avis du 14 août). Source

CERT-FR: SUSE, Red Hat and Ubuntu kernel vulnerabilities — RCE, denial of service or privilege escalation depending on the distribution (advisory dated August 14). Source

➜ À faire : Identifier les serveurs SUSE/RHEL/Ubuntu du parc concernés et planifier l'application des correctifs noyau détaillés dans les avis CERT-FR.

➜ To do: Identify the fleet's affected SUSE/RHEL/Ubuntu servers and schedule the kernel fixes detailed in the CERT-FR advisories.

Cisco Secure Firewall ASA/FTD : faille activement exploitée — CVE-2026-20349 (Heap Inspection), ajoutée au catalogue CISA KEV le 11 août. Source

Cisco Secure Firewall ASA/FTD: actively exploited flaw — CVE-2026-20349 (Heap Inspection), added to the CISA KEV catalog on August 11. Source

➜ À faire : Vérifier en urgence la version logicielle de tous les firewalls ASA/FTD du parc et appliquer le correctif Cisco sans délai ; isoler tout équipement non patchable exposé à Internet.

➜ To do: Urgently check the software version of every ASA/FTD firewall in the fleet and apply Cisco's fix without delay; isolate any non-patchable device exposed to the internet.

Cisco IOS XE : durcissement de sécurité — 7 CVE critiques (CVE-2026-20267 à -20273, CVSS jusqu'à 9.8) corrigées le 5 août sur les branches 17.9 à 26.1. Source

Cisco IOS XE: security hardening release — 7 critical CVEs (CVE-2026-20267 to -20273, CVSS up to 9.8) fixed on August 5 across the 17.9 to 26.1 branches. Source

➜ À faire : Vérifier la version IOS XE des équipements et planifier la mise à niveau vers 17.9.10 / 17.12.8 / 17.15.6 / 17.18.4(a) / 26.1.2 selon la branche utilisée.

➜ To do: Check the IOS XE version of devices and schedule an upgrade to 17.9.10 / 17.12.8 / 17.15.6 / 17.18.4(a) / 26.1.2 depending on the branch in use.

Cisco Catalyst SD-WAN : durcissement critique — 5 CVE critiques (CVSS jusqu'à 9.9) corrigées le 5 août. Source

Cisco Catalyst SD-WAN: critical hardening release — 5 critical CVEs (CVSS up to 9.9) fixed on August 5. Source

➜ À faire : Si le parc utilise Catalyst SD-WAN, appliquer les correctifs en priorité vu la sévérité (CVSS 9.9).

➜ To do: If the fleet uses Catalyst SD-WAN, apply the fixes as a priority given the severity (CVSS 9.9).

Vulnérabilités ClamAV dans les produits Cisco — impact élevé sur Cisco Secure Endpoint Connector pour Windows (déni de service). Source

ClamAV vulnerabilities in Cisco products — high impact on Cisco Secure Endpoint Connector for Windows (denial of service). Source

➜ À faire : Mettre à jour Cisco Secure Endpoint Connector sur les postes Windows concernés.

➜ To do: Update Cisco Secure Endpoint Connector on affected Windows machines.

Fin de support Proxmox VE 8 le 31 août 2026 — plus aucun correctif de sécurité après cette date. Source

Proxmox VE 8 end of life on August 31, 2026 — no more security fixes after that date. Source

➜ À faire : Planifier la mise à niveau des hôtes Proxmox VE 8 vers la version 9 avant le 31 août.

➜ To do: Plan the upgrade of Proxmox VE 8 hosts to version 9 before August 31.

Proxmox VE ajoute le support officiel arm64 — support des plateformes NVIDIA Grace et Vera. Source

Proxmox VE adds official arm64 support — support for the NVIDIA Grace and Vera platforms. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Migrations croissantes vers Proxmox face aux tarifs Broadcom/VMware — les évaluations Proxmox ont augmenté de 340 % sur un an. Source

Growing migrations to Proxmox amid Broadcom/VMware pricing — Proxmox evaluations grew 340% year-over-year. Source

➜ À faire : Aucune action requise, à titre informatif ; utile pour anticiper un arbitrage budgétaire licence VMware.

➜ To do: No action required, for information only; useful to anticipate a VMware licensing budget decision.

CERT-FR : failles critiques Stormshield, Sophos, PostgreSQL et Tenable Security Center — RCE, déni de service, élévation de privilèges ou fuite de données selon le produit (avis du 14 août). Source

CERT-FR: critical flaws in Stormshield, Sophos, PostgreSQL and Tenable Security Center — RCE, denial of service, privilege escalation or data leak depending on the product (advisory dated August 14). Source

➜ À faire : Vérifier la présence de ces produits sur le parc (pare-feu Stormshield, antivirus Sophos, bases PostgreSQL, Tenable SC) et appliquer les correctifs listés dans les avis CERT-FR correspondants.

➜ To do: Check whether these products are present in the fleet (Stormshield firewalls, Sophos antivirus, PostgreSQL databases, Tenable SC) and apply the fixes listed in the corresponding CERT-FR advisories.

TeamCity : RCE activement exploitée — CVE-2026-63077 permet de contourner l'authentification via le protocole agent ; échéance de correctif fédéral US dépassée le 8 août. Source

TeamCity: actively exploited RCE — CVE-2026-63077 allows authentication bypass via the agent polling protocol; the US federal patch deadline passed on August 8. Source

➜ À faire : Si TeamCity est utilisé en interne, appliquer le correctif immédiatement et vérifier les journaux d'accès pour toute activité suspecte.

➜ To do: If TeamCity is used internally, apply the fix immediately and check access logs for suspicious activity.

Progress Kemp LoadMaster : injection de commandes exploitée — CVE-2026-8037, ajoutée au CISA KEV le 7 août. Source

Progress Kemp LoadMaster: exploited command injection — CVE-2026-8037, added to the CISA KEV catalog on August 7. Source

➜ À faire : Vérifier si des répartiteurs de charge Kemp LoadMaster sont déployés sur le parc et appliquer le correctif sans délai.

➜ To do: Check whether Kemp LoadMaster load balancers are deployed in the fleet and apply the fix without delay.

Ray-Project Ray : faille d'injection de code ajoutée au KEV CISA — CVE-2025-62593, exploitation confirmée (17 août). Source

Ray-Project Ray: code injection flaw added to CISA KEV — CVE-2025-62593, confirmed exploitation (August 17). Source

➜ À faire : Vérifier si des environnements Ray (infrastructure IA/ML) sont présents sur le parc et les patcher le cas échéant ; sinon aucune action.

➜ To do: Check whether any Ray environments (AI/ML infrastructure) are present in the fleet and patch them if so; otherwise no action needed.

Ransomware : Clop revendique GE et Philips, vague d'attaques en France — Santé publique France (11 août) et France Casse (15 août) concernés par des revendications de fuite de données. Source

Ransomware: Clop claims GE and Philips, wave of attacks in France — Santé publique France (August 11) and France Casse (August 15) hit by data leak claims. Source

➜ À faire : Aucune action technique directe requise ; rester vigilant sur le phishing et rappeler la règle de sauvegarde 3-2-1 hors ligne.

➜ To do: No direct technical action required; stay alert on phishing and remind teams of the offline 3-2-1 backup rule.

Panne mondiale de GitHub confirmée par Microsoft — erreurs sur le site, l'API, Actions et Pull Requests. Source

Worldwide GitHub outage confirmed by Microsoft — errors across the site, API, Actions and Pull Requests. Source

➜ À faire : Vérifier l'impact sur les pipelines CI/CD dépendant de GitHub et prévoir un plan de repli si des déploiements sont bloqués.

➜ To do: Check the impact on CI/CD pipelines depending on GitHub and prepare a fallback plan if deployments are blocked.

Azure renforce la supervision de son trafic datacenter — amélioration annoncée suite à la panne Azure Front Door, déploiement prévu en août 2026. Source

Azure strengthens datacenter traffic monitoring — improvement announced following the Azure Front Door outage, rollout planned for August 2026. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

AD CS : faille critique CVE-2026-62818 (CVSS 8.8) — use-after-free permettant l'exécution de code à distance sur les services de certificats Active Directory, corrigée le 11 août. Source

AD CS: critical flaw CVE-2026-62818 (CVSS 8.8) — use-after-free allowing remote code execution on Active Directory Certificate Services, fixed on August 11. Source

➜ À faire : Patcher en priorité tous les serveurs AD CS (autorités de certification) du domaine ; ils constituent une racine de confiance critique pour l'authentification.

➜ To do: Patch all domain AD CS servers (certificate authorities) as a priority; they are a critical trust root for authentication.

Azure AD : élévation de privilèges critique — CVE-2026-50481 (CVSS 9.9), modification de données supposées immuables. Source

Azure AD: critical privilege escalation — CVE-2026-50481 (CVSS 9.9), modification of assumed-immutable data. Source

➜ À faire : Vérifier l'application du correctif côté Microsoft (déploiement cloud) et surveiller les alertes d'élévation de privilèges anormales dans Azure AD / Entra ID.

➜ To do: Verify the fix has been applied on Microsoft's side (cloud rollout) and monitor for abnormal privilege escalation alerts in Azure AD / Entra ID.

Faille « Certighost » dans les certificats Active Directory — vulnérabilité affectant AD CS, à surveiller de près. Source

"Certighost" flaw in Active Directory certificates — vulnerability affecting AD CS, to be watched closely. Source

➜ À faire : Appliquer les recommandations de durcissement AD CS (désactivation des templates vulnérables, vecteurs ESC) en attendant un correctif définitif.

➜ To do: Apply AD CS hardening recommendations (disabling vulnerable templates, ESC vectors) pending a definitive fix.

Bilan Patch Tuesday d'août 2026 — 394 à 421 correctifs selon les sources, dont 62 vulnérabilités critiques et 3 zero-days, incluant CVE-2026-68820 (élévation de privilèges WinSock AFD) activement exploitée par le groupe Lazarus. CISA a intégré cette CVE à son catalogue KEV avec échéance au 25 août. Source

August 2026 Patch Tuesday recap — 394 to 421 fixes depending on the source, including 62 critical vulnerabilities and 3 zero-days, among them CVE-2026-68820 (WinSock AFD elevation of privilege) actively exploited by the Lazarus group. CISA added this CVE to its KEV catalog with a deadline of August 25. Source

➜ À faire : Déployer KB5121003 en priorité sur tous les serveurs Windows Server et postes exposés, en particulier Exchange Server, et vérifier l'application du correctif CVE-2026-68820 avant le 25 août.

➜ To do: Deploy KB5121003 with priority on all Windows Server machines and exposed endpoints, especially Exchange Server, and verify the CVE-2026-68820 fix is applied before August 25.

CVE-2026-62878 — RCE critique Windows DNS Server (CVSS 9.8) — Faille corrigée dans le cadre du Patch Tuesday, non exploitée à ce jour mais ne nécessitant aucune interaction utilisateur. Source

CVE-2026-62878 — critical Windows DNS Server RCE (CVSS 9.8) — A flaw fixed as part of Patch Tuesday, not exploited to date but requiring no user interaction. Source

➜ À faire : Identifier les serveurs DNS Windows du parc et planifier leur correctif en priorité haute, même en l'absence d'exploitation connue.

➜ To do: Identify the fleet's Windows DNS servers and schedule patching with high priority, even absent known exploitation.

Correctifs noyau Linux (SUSE, Ubuntu) — SUSE a publié un correctif couvrant 77 vulnérabilités du noyau (réseau, stockage, virtualisation) ; Ubuntu a publié l'avis USN-8631-2 pour Ubuntu 22.04 LTS. Source

Linux kernel updates (SUSE, Ubuntu) — SUSE released a fix covering 77 kernel vulnerabilities (networking, storage, virtualization); Ubuntu published advisory USN-8631-2 for Ubuntu 22.04 LTS. Source

➜ À faire : Planifier la mise à jour du noyau sur les serveurs SUSE/Ubuntu du parc lors de la prochaine fenêtre de maintenance.

➜ To do: Schedule the kernel update on the fleet's SUSE/Ubuntu servers during the next maintenance window.

Zapscape (CVE-2026-64561) — évasion KVM et root local — Livepatches KernelCare disponibles pour corriger cette faille d'évasion d'invité KVM. Source

Zapscape (CVE-2026-64561) — KVM guest escape and local root — KernelCare livepatches are available to fix this KVM guest escape flaw. Source

➜ À faire : Sur les hôtes KVM/CloudLinux du parc, appliquer le livepatch ou planifier un redémarrage noyau dès que possible.

➜ To do: On the fleet's KVM/CloudLinux hosts, apply the livepatch or schedule a kernel reboot as soon as possible.

Cisco Catalyst SD-WAN — durcissement de sécurité (CVSS 9.9) — Publication du 5 août 2026 corrigeant des vulnérabilités découvertes en interne, non exploitées à ce jour. Source

Cisco Catalyst SD-WAN — security hardening release (CVSS 9.9) — Published August 5, 2026, fixing internally discovered vulnerabilities, not exploited to date. Source

➜ À faire : Vérifier la version logicielle des routeurs/contrôleurs SD-WAN Cisco du parc et planifier la mise à jour vers la version durcie.

➜ To do: Check the software version of the fleet's Cisco SD-WAN routers/controllers and schedule an update to the hardened release.

Cisco IOS XE — durcissement de sécurité (CVSS 9.8) — Publication du 5 août 2026, vulnérabilités internes non exploitées connues. Source

Cisco IOS XE — security hardening release (CVSS 9.8) — Published August 5, 2026, internal vulnerabilities with no known exploitation. Source

➜ À faire : Identifier les switchs/routeurs sous IOS XE et planifier la mise à jour vers la release durcie recommandée.

➜ To do: Identify the switches/routers running IOS XE and schedule an update to the recommended hardened release.

Vulnérabilités ClamAV affectant des produits Cisco — Failles pouvant provoquer un déni de service sur les fonctions d'analyse antivirus intégrées. Source

ClamAV vulnerabilities affecting Cisco products — Flaws that can cause denial of service on the built-in antivirus scanning functions. Source

➜ À faire : Vérifier si des équipements Cisco du parc embarquent ClamAV et appliquer le correctif fourni par Cisco.

➜ To do: Check whether the fleet's Cisco devices embed ClamAV and apply Cisco's fix.

VMSA-2026-0006 — 3 failles critiques VMware vCenter/ESXi — CVE-2026-59309 (contournement d'authentification vCenter), CVE-2026-47876 (évasion de VM via l'adaptateur VMXNET3, CVSS 9.3) et CVE-2026-59310 (RCE vCenter). Des scans actifs contre vCenter sont observés depuis le 11 août, bien qu'aucune exploitation confirmée à ce stade. Source

VMSA-2026-0006 — 3 critical VMware vCenter/ESXi flaws — CVE-2026-59309 (vCenter authentication bypass), CVE-2026-47876 (VM escape via the VMXNET3 adapter, CVSS 9.3) and CVE-2026-59310 (vCenter RCE). Active scanning against vCenter has been observed since August 11, though no confirmed exploitation so far. Source

➜ À faire : Patcher en urgence tous les vCenter Server et hôtes ESXi du parc vers les versions corrigées de VMSA-2026-0006, et vérifier les journaux d'accès vCenter pour repérer des tentatives suspectes.

➜ To do: Urgently patch all vCenter Server instances and ESXi hosts in the fleet to the VMSA-2026-0006 fixed versions, and check vCenter access logs for suspicious attempts.

Proxmox VE 9.2-1-arm64 — Première version Proxmox VE supportant officiellement l'architecture ARM64 (NVIDIA Grace/Vera). Source

Proxmox VE 9.2-1-arm64 — First Proxmox VE release with official support for the ARM64 architecture (NVIDIA Grace/Vera). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CVE-2026-68820 exploitée par Lazarus (Operation Dream Job) — Zero-day WinSock AFD activement exploité, ajouté au catalogue CISA KEV, échéance de correction au 25 août 2026. Source

CVE-2026-68820 exploited by Lazarus (Operation Dream Job) — Actively exploited WinSock AFD zero-day, added to the CISA KEV catalog, fix deadline August 25, 2026. Source

➜ À faire : Prioriser le déploiement du correctif Patch Tuesday d'août sur l'ensemble du parc Windows avant le 25 août.

➜ To do: Prioritize deploying August's Patch Tuesday fix across the entire Windows fleet before August 25.

Faille SharePoint RCE exploitée par des groupes ransomware — CISA confirme l'exploitation active par des rançongiciels d'une vulnérabilité RCE SharePoint connue depuis début juillet. Source

SharePoint RCE flaw exploited by ransomware groups — CISA confirms active exploitation by ransomware gangs of a SharePoint RCE vulnerability known since early July. Source

➜ À faire : Vérifier que tous les serveurs SharePoint on-premise du parc ont bien reçu le correctif correspondant ; isoler tout serveur non patché.

➜ To do: Verify that all on-premise SharePoint servers in the fleet have received the corresponding fix; isolate any unpatched server.

ShieldBreak — PoC de contournement Microsoft Defender — Un exploit public revendique un contournement du patch avec accès SYSTEM sur Microsoft Defender. Source

ShieldBreak — Microsoft Defender bypass PoC — A public exploit claims a patch bypass granting SYSTEM access on Microsoft Defender. Source

➜ À faire : Surveiller les alertes EDR/Defender pour des comportements anormaux et s'assurer que les dernières définitions et builds Defender sont à jour sur le parc.

➜ To do: Monitor EDR/Defender alerts for abnormal behavior and ensure the latest definitions and Defender builds are up to date across the fleet.

Alertes CERT-FR (11-12 août) — Vulnérabilités multiples dans OpenSSH, SAP, Docker, SPIP, Microsoft Office et Microsoft Edge, certaines permettant RCE, injection SQL ou SSRF. Source

CERT-FR alerts (August 11-12) — Multiple vulnerabilities in OpenSSH, SAP, Docker, SPIP, Microsoft Office and Microsoft Edge, some allowing RCE, SQL injection or SSRF. Source

➜ À faire : Croiser cette liste avec l'inventaire logiciel du parc (OpenSSH, Docker, SPIP le cas échéant) et appliquer les correctifs correspondants.

➜ To do: Cross-check this list against the fleet's software inventory (OpenSSH, Docker, SPIP where applicable) and apply the corresponding fixes.

Ransomware Clop — attaque contre FIS Global — Exfiltration revendiquée de 874 Go de données sensibles. Source

Clop ransomware — attack on FIS Global — A claimed exfiltration of 874 GB of sensitive data. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

AWS — 4^e incident réseau en 4 mois sur US-WEST-2 — Nouveau problème de connectivité sur la région US-WEST-2, lié au chemin réseau vers la zone de Seattle. Source

AWS — 4th network incident in 4 months on US-WEST-2 — A new connectivity issue in the US-WEST-2 region, linked to the network path toward the Seattle area. Source

➜ À faire : Si des ressources critiques sont hébergées en us-west-2, vérifier la configuration de bascule multi-AZ/multi-région et surveiller le tableau de bord AWS Health.

➜ To do: If critical resources are hosted in us-west-2, verify the multi-AZ/multi-region failover configuration and monitor the AWS Health dashboard.

CVE-2026-62818 — RCE critique AD Certificate Services (CVSS 8.8) — Use-after-free permettant l'exécution de code à distance sur les autorités de certification AD CS. Source

CVE-2026-62818 — critical AD Certificate Services RCE (CVSS 8.8) — A use-after-free allowing remote code execution on AD CS certificate authorities. Source

➜ À faire : Patcher en priorité tous les serveurs AD CS du parc via le Patch Tuesday d'août ; vérifier les journaux d'émission de certificats pour toute anomalie.

➜ To do: Patch all fleet AD CS servers with priority via August's Patch Tuesday; check certificate issuance logs for any anomaly.

CVE-2026-50481 — Élévation de privilèges Azure Active Directory (CVSS 9.9) — Modification de données supposées immuables permettant une élévation de privilèges à distance. Source

CVE-2026-50481 — Azure Active Directory elevation of privilege (CVSS 9.9) — Modification of assumed-immutable data allowing remote privilege elevation. Source

➜ À faire : Vérifier l'application des correctifs côté tenant Azure AD/Entra ID et contrôler les journaux d'activité pour des modifications de rôles suspectes.

➜ To do: Verify patch application on the Azure AD/Entra ID tenant side and review activity logs for suspicious role changes.

Compléments Patch Tuesday d'août : SSTP et QUIC — CVE-2026-62889 (Windows SSTP, RCE critique CVSS 8.1, double free, non authentifié) et CVE-2026-62815 (Microsoft QUIC, RCE non authentifié) viennent compléter le lot de correctifs du 11 août. Source

August Patch Tuesday follow-up: SSTP and QUIC — CVE-2026-62889 (Windows SSTP, critical RCE CVSS 8.1, double free, unauthenticated) and CVE-2026-62815 (Microsoft QUIC, unauthenticated RCE) round out the August 11 patch batch. Source

➜ À faire : Vérifier l'exposition des serveurs RAS/VPN utilisant SSTP et des services utilisant QUIC (HTTP/3) sur le parc, et appliquer le Patch Tuesday d'août sans délai si ce n'est pas déjà fait.

➜ To do: Check exposure of RAS/VPN servers using SSTP and of services using QUIC (HTTP/3) in the fleet, and apply August's Patch Tuesday without delay if not already done.

Cisco ASA/FTD : déni de service activement exploité (CVE-2026-20349) — Faille d'inspection du tas dans Secure Firewall ASA et Threat Defense, ajoutée au catalogue CISA KEV le 11 août. Source

Cisco ASA/FTD: actively exploited denial of service (CVE-2026-20349) — A heap inspection flaw in Secure Firewall ASA and Threat Defense, added to the CISA KEV catalog on August 11. Source

➜ À faire : Recenser les pare-feux Cisco ASA/FTD du parc, vérifier la version installée, appliquer le correctif Cisco en priorité sur les équipements exposés à Internet.

➜ To do: Inventory the fleet's Cisco ASA/FTD firewalls, check the installed version, and apply Cisco's patch with priority on internet-facing devices.

VMware VMSA-2026-0006 : failles critiques vCenter/ESXi — CVE-2026-59309 et CVE-2026-59310 (contournement d'authentification et RCE sur vCenter, CVSS 9.8, aucun contournement possible) ainsi que CVE-2026-47876 (évasion de VM via l'adaptateur VMXNET3, CVSS 9.3). Source

VMware VMSA-2026-0006: critical vCenter/ESXi flaws — CVE-2026-59309 and CVE-2026-59310 (authentication bypass and RCE on vCenter, CVSS 9.8, no workaround available) plus CVE-2026-47876 (VM escape via the VMXNET3 adapter, CVSS 9.3). Source

➜ À faire : Mettre à jour vCenter (9.1.0.0300 / 9.0.2.0100 / 8.0 U3k) et ESXi (9.1.0.0200 / 9.0.2.0100 / 8.0 U3k) en priorité sur les environnements accessibles depuis des réseaux non approuvés.

➜ To do: Update vCenter (9.1.0.0300 / 9.0.2.0100 / 8.0 U3k) and ESXi (9.1.0.0200 / 9.0.2.0100 / 8.0 U3k) with priority on environments reachable from untrusted networks.

Proxmox VE 8 : fin de vie le 31 août 2026 — La version 8 arrive en fin de support ; sortie parallèle de Proxmox VE pour Arm64. Source

Proxmox VE 8: end of life on August 31, 2026 — Version 8 reaches end of support; parallel release of Proxmox VE for Arm64. Source

➜ À faire : Planifier la migration des hôtes encore en Proxmox VE 8 vers la version 9 avant le 31 août.

➜ To do: Plan the migration of hosts still on Proxmox VE 8 to version 9 before August 31.

ShieldBreak : nouveau zero-day Microsoft Defender, sans correctif — Contournement de la faille RoguePlanet permettant une élévation vers SYSTEM sur Windows 10, Windows 11 25H2 et Windows Server 2025. Source

ShieldBreak: new unpatched Microsoft Defender zero-day — A bypass of the RoguePlanet flaw allowing elevation to SYSTEM on Windows 10, Windows 11 25H2 and Windows Server 2025. Source

➜ À faire : Surveiller la publication du correctif Microsoft, renforcer la supervision EDR/Defender sur les serveurs Windows Server 2025 et limiter les comptes à privilèges locaux faibles en attendant.

➜ To do: Monitor for Microsoft's upcoming patch, strengthen EDR/Defender monitoring on Windows Server 2025 machines, and limit low-privilege local accounts in the meantime.

Metabase : injection SQL critique activement exploitée (CVE-2026-72898, CVSS 10.0) — Faille non authentifiée via l'endpoint /reset_password donnant un accès administrateur complet ; 5 entreprises déjà compromises, ajoutée au CISA KEV le 11 août. Source

Metabase: actively exploited critical SQL injection (CVE-2026-72898, CVSS 10.0) — An unauthenticated flaw via the /reset_password endpoint granting full admin access; 5 companies already compromised, added to the CISA KEV on August 11. Source

➜ À faire : Si Metabase est utilisé, vérifier la version, appliquer le correctif immédiatement, changer les identifiants des bases connectées et isoler l'instance d'Internet si elle y est exposée.

➜ To do: If Metabase is in use, check the version, apply the patch immediately, rotate credentials for connected databases, and take the instance offline if internet-exposed.

Sandworm : ingénierie sociale ciblant les administrateurs systèmes/IT — Le groupe UAC-0145 (lié à Sandworm) usurpe des recruteurs, mène de faux entretiens Zoom via Telegram et pousse un client WireGuard trojanisé (SopraVPN) exécutant des payloads PowerShell. Source

Sandworm: social engineering targeting system/IT administrators — The UAC-0145 group (linked to Sandworm) impersonates recruiters, runs fake Zoom interviews via Telegram, and pushes a trojanized WireGuard client (SopraVPN) running PowerShell payloads. Source

➜ À faire : Sensibiliser les équipes IT/admin systèmes à ce type de campagne, ne jamais installer de VPN ou logiciel fourni dans le cadre d'un « test technique » externe, et vérifier l'identité des recruteurs avant tout entretien technique.

➜ To do: Raise awareness among IT/sysadmin teams about this type of campaign, never install a VPN or software provided as part of an external "technical test", and verify recruiters' identity before any technical interview.

CERT-FR : avis Microsoft Office et Edge (12 août) — CERTFR-2026-AVI-1000 (Office, RCE critique) et CERTFR-2026-AVI-0999 (Edge, RCE). Source

CERT-FR: Microsoft Office and Edge advisories (August 12) — CERTFR-2026-AVI-1000 (Office, critical RCE) and CERTFR-2026-AVI-0999 (Edge, RCE). Source

➜ À faire : Vérifier le déploiement des correctifs Office/Edge du Patch Tuesday d'août sur le parc bureautique.

➜ To do: Verify deployment of August's Patch Tuesday Office/Edge fixes across the office fleet.

AWS : 4^e incident de connectivité en 4 mois sur US-West-2 — Nouvelle perturbation liée au chemin réseau entre US-WEST-2 et la zone de Seattle. Source

AWS: 4th connectivity incident in 4 months on US-West-2 — A new disruption linked to the network path between US-WEST-2 and the Seattle area. Source

➜ À faire : Aucune action requise côté parc local, à titre informatif ; si des charges critiques dépendent d'US-West-2, vérifier l'existence d'un plan de bascule multi-AZ/multi-région.

➜ To do: No action required on the local fleet, for information only; if critical workloads depend on US-West-2, verify a multi-AZ/multi-region failover plan exists.

Patch Tuesday Microsoft d'août 2026 : 421 CVE corrigées, dont une faille WinSock exploitée — Microsoft a publié KB5121003 (KB5120242 pour Windows Server 2022, KB5120228 pour 2025) corrigeant 421 vulnérabilités dont 62 critiques. CVE-2026-68820 (pilote WinSock, élévation vers SYSTEM) est activement exploitée, et CVE-2026-62878 (Windows DNS Server, RCE critique, potentiellement « wormable ») est jugée à très haut risque. Source

Microsoft's August 2026 Patch Tuesday: 421 CVEs fixed, including an exploited WinSock flaw — Microsoft released KB5121003 (KB5120242 for Windows Server 2022, KB5120228 for 2025) fixing 421 vulnerabilities, 62 of them critical. CVE-2026-68820 (WinSock driver, elevation to SYSTEM) is actively exploited, and CVE-2026-62878 (Windows DNS Server, critical RCE, potentially "wormable") is rated very high risk. Source

➜ À faire : Déployer en priorité les correctifs d'août sur tous les serveurs Windows, en particulier les serveurs DNS et Exchange ; vérifier l'installation de KB5121003/KB5120242/KB5120228 selon la version.

➜ To do: Prioritize deploying August's patches on all Windows servers, especially DNS and Exchange servers; verify installation of KB5121003/KB5120242/KB5120228 depending on version.

Nouveaux noyaux Linux stables et faille locale critique — Sortie des noyaux 6.18.44, 6.12.103 et 6.6.151. Par ailleurs, CVE-2026-31431 (« Copy Fail », CVSS 7.8) permet à un attaquant local non privilégié d'écrire dans le cache de page d'un fichier, avec risque d'élévation vers root ; elle concerne tous les noyaux Linux publiés depuis 2017. Source

New stable Linux kernels and a critical local flaw — Kernels 6.18.44, 6.12.103 and 6.6.151 were released. Separately, CVE-2026-31431 ("Copy Fail", CVSS 7.8) lets an unprivileged local attacker write into a file's page cache, with a risk of escalation to root; it affects every Linux kernel released since 2017. Source

➜ À faire : Planifier la mise à jour du noyau via le gestionnaire de paquets de la distribution sur les serveurs Linux du parc, après vérification de compatibilité des pilotes.

➜ To do: Schedule the kernel update via the distribution's package manager on the fleet's Linux servers, after checking driver compatibility.

Cisco Catalyst SD-WAN : 3 failles critiques CVSS 9.9 — CVE-2026-20303, CVE-2026-20304 et CVE-2026-20310 (validation d'entrée, contrôle d'accès, résolution de lien), découvertes en interne, non exploitées à ce jour. Correctifs : versions 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 ou 26.1.2. Source

Cisco Catalyst SD-WAN: 3 critical flaws, CVSS 9.9 — CVE-2026-20303, CVE-2026-20304 and CVE-2026-20310 (input validation, access control, link resolution), found internally, not exploited to date. Fixes: versions 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 or 26.1.2. Source

➜ À faire : Identifier les contrôleurs SD-WAN du parc et planifier la montée vers la version corrigée correspondante ; aucun contournement n'existe.

➜ To do: Identify the fleet's SD-WAN controllers and schedule an upgrade to the corresponding fixed version; no workaround exists.

Cisco IOS XE : durcissement sécurité, faille critique CVSS 9.8 — CVE-2026-20272 corrigée dans les versions 17.9.10, 17.12.8, 17.15.6 ou 17.18.4/17.18.4a. Source

Cisco IOS XE: security hardening release, critical flaw CVSS 9.8 — CVE-2026-20272 fixed in versions 17.9.10, 17.12.8, 17.15.6 or 17.18.4/17.18.4a. Source

➜ À faire : Vérifier la version IOS XE des équipements du parc et planifier la mise à jour vers la version corrigée.

➜ To do: Check the IOS XE version of the fleet's devices and schedule an update to the fixed version.

TeamCity : RCE non authentifiée activement exploitée, dans le catalogue CISA KEV — CVE-2026-63077 (CVSS 9.8) permet à un attaquant non authentifié d'exécuter des commandes sur les serveurs TeamCity On-Premises exposés en HTTP/HTTPS. Versions affectées : antérieures à 2025.11.7 et 2026.1.3. Source

TeamCity: actively exploited unauthenticated RCE, added to the CISA KEV catalog — CVE-2026-63077 (CVSS 9.8) lets an unauthenticated attacker execute commands on TeamCity On-Premises servers exposed over HTTP/HTTPS. Affected versions: earlier than 2025.11.7 and 2026.1.3. Source

➜ À faire : Vérifier si un serveur TeamCity est présent sur le parc ou exposé sur Internet ; le mettre à jour immédiatement vers 2025.11.7/2026.1.3 ou une version supérieure ; en cas d'exposition prolongée, examiner les journaux pour signe de compromission et envisager la rotation des secrets/identifiants stockés.

➜ To do: Check whether a TeamCity server is present in the fleet or exposed to the internet; update it immediately to 2025.11.7/2026.1.3 or later; if it was exposed for a while, review logs for signs of compromise and consider rotating stored secrets/credentials.

Alertes CERT-FR du 11 août : Postfix, OpenSSH, Docker, SAP, SPIP, CPython — Le CERT-FR a publié plusieurs avis concernant des vulnérabilités (déni de service, contournement de sécurité, exécution de code selon les produits) affectant Postfix, OpenSSH, Docker, les produits SAP, SPIP et CPython. Source

CERT-FR alerts of August 11: Postfix, OpenSSH, Docker, SAP, SPIP, CPython — CERT-FR published several advisories covering vulnerabilities (denial of service, security bypass, code execution depending on the product) affecting Postfix, OpenSSH, Docker, SAP products, SPIP and CPython. Source

➜ À faire : Vérifier les versions de Postfix, OpenSSH, Docker et CPython installées sur le parc et appliquer les correctifs éditeurs dès disponibilité ; si SAP ou SPIP sont utilisés, consulter l'avis CERT-FR correspondant pour évaluer l'exposition.

➜ To do: Check the versions of Postfix, OpenSSH, Docker and CPython installed in the fleet and apply vendor patches as soon as available; if SAP or SPIP are used, review the corresponding CERT-FR advisory to assess exposure.

Azure AD et AD Certificate Services : deux failles critiques dans le Patch Tuesday d'août — CVE-2026-50481 (Azure AD, élévation de privilèges, CVSS 9.9) et CVE-2026-62818 (AD Certificate Services, RCE par use-after-free, CVSS 8.8) ont été corrigées. Source

Azure AD and AD Certificate Services: two critical flaws in August's Patch Tuesday — CVE-2026-50481 (Azure AD, elevation of privilege, CVSS 9.9) and CVE-2026-62818 (AD Certificate Services, use-after-free RCE, CVSS 8.8) were fixed. Source

➜ À faire : Appliquer le Patch Tuesday d'août sur les contrôleurs de domaine et les serveurs AD CS ; vérifier la configuration Azure AD Connect/Entra Connect si utilisée.

➜ To do: Apply August's Patch Tuesday on domain controllers and AD CS servers; check the Azure AD Connect/Entra Connect configuration if in use.

Poursuite de la migration hors VMware/Broadcom — Le passage aux licences par abonnement chez Broadcom continue de pousser des organisations vers Proxmox VE, XCP-ng ou Hyper-V (évaluations Proxmox VE en hausse de 340 % sur un an selon Gartner). Source

Continued migration away from VMware/Broadcom — The shift to Broadcom's subscription licensing keeps pushing organizations toward Proxmox VE, XCP-ng or Hyper-V (Proxmox VE evaluations up 340% year-over-year according to Gartner). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Patch Tuesday Microsoft d'août 2026 — Microsoft publie ce jour son lot mensuel de correctifs, avec un volume attendu très élevé après le record de 621 CVE en juillet. Source

Microsoft's August 2026 Patch Tuesday — Microsoft releases its monthly patch batch today, with a very high volume expected after July's record of 621 CVEs. Source

➜ À faire : Planifier le déploiement des correctifs sur l'ensemble du parc Windows Server et Windows 10/11 dès leur publication, en testant d'abord sur un groupe pilote avant diffusion généralisée.

➜ To do: Schedule patch deployment across the Windows Server and Windows 10/11 fleet as soon as released, testing first on a pilot group before wider rollout.

Faille noyau Linux « Copy Fail » (CVE-2026-31431) — Vulnérabilité locale (CVSS 7.8) affectant toutes les distributions Linux depuis 2017, permettant une écriture arbitraire dans le cache de pages et une élévation de privilèges vers root. Source

Linux kernel "Copy Fail" flaw (CVE-2026-31431) — Local vulnerability (CVSS 7.8) affecting all Linux distributions since 2017, enabling arbitrary writes into the page cache of readable files and privilege escalation to root. Source

➜ À faire : Identifier les serveurs Linux du parc et les versions de noyau concernées, puis appliquer le correctif de la distribution dès sa disponibilité ; prioriser les serveurs multi-utilisateurs.

➜ To do: Identify the fleet's Linux servers and affected kernel versions, then apply the distribution's patch as soon as available; prioritize multi-user servers.

Debian 13 : 68 vulnérabilités noyau corrigées — Mise à jour de sécurité majeure du noyau Linux 6.12 LTS sous Debian 13. Source

Debian 13: 68 kernel vulnerabilities patched — Major security update for the Linux 6.12 LTS kernel under Debian 13. Source

➜ À faire : Sur les serveurs Debian 13, exécuter la mise à jour du système (apt update && apt upgrade) puis planifier un redémarrage pour charger le nouveau noyau.

➜ To do: On Debian 13 servers, run the system update (apt update && apt upgrade) then schedule a reboot to load the new kernel.

Vulnérabilités critiques Catalyst SD-WAN et IOS XE (CVSS 9.9 / 9.8) — Cisco a publié le 5 août des correctifs de durcissement pour plusieurs failles critiques sur SD-WAN IMC et IOS XE ; non exploitées à ce jour mais sans contournement possible. Source

Critical Catalyst SD-WAN and IOS XE vulnerabilities (CVSS 9.9 / 9.8) — On August 5, Cisco released hardening fixes for several critical flaws in SD-WAN IMC and IOS XE; not exploited to date but with no available workaround. Source

➜ À faire : Recenser les équipements Cisco IOS XE et Catalyst SD-WAN du parc, vérifier les versions concernées et planifier la mise à jour vers les versions corrigées en priorité sur les équipements exposés.

➜ To do: Inventory the fleet's Cisco IOS XE and Catalyst SD-WAN devices, check affected versions, and schedule updates to fixed versions, prioritizing exposed devices.

Zero-day activement exploité sur Cisco Secure FMC (CVE-2026-20316) — Un identifiant statique permet à un attaquant distant de se connecter avec un compte à faibles privilèges et d'accéder à des données sensibles. Source

Actively exploited zero-day on Cisco Secure FMC (CVE-2026-20316) — A static credential lets a remote attacker log in with a low-privilege account and access sensitive data. Source

➜ À faire : Vérifier si un Firewall Management Center Cisco est déployé, appliquer le correctif dès disponibilité et changer les identifiants par défaut/statiques.

➜ To do: Check whether a Cisco Firewall Management Center is deployed, apply the patch as soon as available, and rotate default/static credentials.

Vulnérabilités ClamAV affectant des produits Cisco — Plusieurs failles peuvent provoquer un déni de service sur les fonctions d'analyse antivirus intégrées à certains produits Cisco. Source

ClamAV vulnerabilities affecting Cisco products — Several flaws can trigger a denial of service on the antivirus scanning functions embedded in certain Cisco products. Source

➜ À faire : Vérifier si des appliances Cisco intégrant ClamAV sont utilisées et appliquer les correctifs correspondants.

➜ To do: Check whether Cisco appliances embedding ClamAV are in use and apply the corresponding patches.

TeamCity : faille critique activement exploitée (CVE-2026-63077) — Vulnérabilité de désérialisation permettant une exécution de code à distance sans authentification via le protocole de polling des agents ; échéance de correction fixée au 8 août pour les agences fédérales US par la CISA. Source

TeamCity: critical actively exploited flaw (CVE-2026-63077) — A deserialization vulnerability enabling unauthenticated remote code execution via the agent polling protocol; CISA set an August 8 remediation deadline for US federal agencies. Source

➜ À faire : Vérifier si un serveur TeamCity est utilisé en CI/CD, appliquer immédiatement le correctif JetBrains et l'isoler d'Internet si non patché.

➜ To do: Check whether a TeamCity server is used for CI/CD, apply the JetBrains patch immediately, and isolate it from the internet if not yet patched.

N-able N-central : contournement d'authentification exploité (CVE-2026-18577) — Des clients ont été compromis via cette faille avant la publication d'un correctif d'urgence le 2 août. Source

N-able N-central: exploited authentication bypass (CVE-2026-18577) — Customers were compromised via this flaw before an emergency patch was released on August 2. Source

➜ À faire : Si N-central est utilisé pour la supervision/RMM, appliquer le hotfix immédiatement et vérifier les journaux d'accès admin.

➜ To do: If N-central is used for monitoring/RMM, apply the hotfix immediately and review admin access logs.

Apache Tomcat : contournement de chiffrement exploité par une campagne IA (CVE-2026-34486, CVSS 7.5) — Faille permettant de contourner l'EncryptInterceptor, exploitée par une campagne de piratage automatisée. Source

Apache Tomcat: encryption bypass exploited by an AI-driven campaign (CVE-2026-34486, CVSS 7.5) — A flaw allowing the EncryptInterceptor to be bypassed, exploited by an automated hacking campaign. Source

➜ À faire : Vérifier la version de Tomcat sur les serveurs applicatifs, appliquer le correctif et contrôler la configuration de l'EncryptInterceptor si utilisé pour du clustering.

➜ To do: Check the Tomcat version on application servers, apply the patch, and review the EncryptInterceptor configuration if used for clustering.

Langflow : RCE critique massivement exploitée (CVE-2026-9198, CVSS 9.8) — Plus de 650 tentatives d'exploitation recensées depuis juillet, exécution de code à distance sans authentification sur les déploiements par défaut. Source

Langflow: critical RCE under mass exploitation (CVE-2026-9198, CVSS 9.8) — Over 650 exploitation attempts recorded since July, unauthenticated remote code execution on default deployments. Source

➜ À faire : Vérifier si Langflow est déployé dans l'environnement, le mettre à jour immédiatement ou le retirer d'Internet si exposé publiquement.

➜ To do: Check whether Langflow is deployed in the environment, update it immediately, or take it off the internet if publicly exposed.

Panne Azure liée à un changement de configuration — Une modification de l'infrastructure Azure a provoqué une panne affectant Office 365, Xbox Live, Copilot et de nombreux services tiers ; Microsoft a déployé un correctif et prévoit un renforcement du monitoring du trafic datacenter d'ici septembre 2026. Source

Azure outage caused by a configuration change — An Azure infrastructure change caused an outage affecting Office 365, Xbox Live, Copilot and many third-party services; Microsoft deployed a fix and plans stronger datacenter traffic monitoring by September 2026. Source

➜ À faire : Aucune action requise côté parc local, à titre informatif ; vérifier que les services critiques dépendant d'Azure disposent d'un plan de continuité.

➜ To do: No action required on the local fleet, for information only; verify that critical services depending on Azure have a continuity plan.

Panne majeure AWS la semaine précédente — Une panne à grande échelle chez AWS a affecté de nombreux services en ligne (réseaux sociaux, jeux, streaming, plateformes financières). Source

Major AWS outage the previous week — A large-scale AWS outage affected many online services (social media, gaming, streaming, financial platforms). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Élévation de privilèges critique dans Active Directory (CVE-2026-50481, CVSS 9.9) — Faille exploitable à distance permettant une élévation de privilèges. Source

Critical elevation of privilege in Active Directory (CVE-2026-50481, CVSS 9.9) — A remotely exploitable flaw allowing privilege escalation. Source

➜ À faire : Appliquer le correctif Microsoft du Patch Tuesday d'août sur l'ensemble des contrôleurs de domaine dès que possible.

➜ To do: Apply the Microsoft patch from August's Patch Tuesday on all domain controllers as soon as possible.

ADFS : faille activement exploitée (CVE-2026-56155) — Un attaquant local authentifié à faibles privilèges peut obtenir un accès administrateur sur les serveurs Windows Server 2012 à 2025 exécutant ADFS. Source

ADFS: actively exploited flaw (CVE-2026-56155) — A low-privileged authenticated local attacker can gain administrator access on Windows Server 2012 through 2025 servers running ADFS. Source

➜ À faire : Vérifier si ADFS est déployé sur le parc, appliquer le correctif en priorité et auditer les comptes à faibles privilèges ayant un accès local aux serveurs ADFS.

➜ To do: Check whether ADFS is deployed in the fleet, apply the patch with priority, and audit low-privilege accounts with local access to ADFS servers.

Faille « Certighost » dans AD Certificate Services activement exploitée — Permet de transformer un compte de domaine standard en compromission complète du domaine. Source

"Certighost" flaw in AD Certificate Services actively exploited — Allows a standard domain account to be turned into full domain compromise. Source

➜ À faire : Vérifier la configuration des modèles de certificats AD CS (durcissement contre les attaques ESC), auditer les permissions des templates et appliquer les recommandations de durcissement Microsoft.

➜ To do: Review the AD CS certificate template configuration (hardening against ESC attacks), audit template permissions, and apply Microsoft's hardening recommendations.

Patch Tuesday août 2026 imminent — Microsoft publie le 11 août son lot mensuel de correctifs, avec des failles d'élévation de privilèges sur Windows 10/11/Server et une vulnérabilité SharePoint 2016/2019 à haut risque. Source

August 2026 Patch Tuesday imminent — Microsoft releases its monthly patch batch on August 11, including privilege-escalation flaws on Windows 10/11/Server and a high-risk SharePoint 2016/2019 vulnerability. Source

➜ À faire : Planifier le déploiement des correctifs dès leur publication sur les serveurs Windows Server et postes Windows ; prioriser les correctifs SharePoint et les failles d'élévation de privilèges.

➜ To do: Schedule patch deployment as soon as they're released on Windows Server and Windows workstations; prioritize SharePoint fixes and privilege-escalation flaws.

CVE-2026-31431 « Copy Fail » (Linux) — Faille locale d'élévation de privilèges (CVSS 7.8) affectant toutes les distributions Linux majeures depuis 2017. Source

CVE-2026-31431 "Copy Fail" (Linux) — Local privilege escalation flaw (CVSS 7.8) affecting all major Linux distributions since 2017. Source

➜ À faire : Vérifier la version du noyau sur les serveurs Linux du parc et appliquer le correctif dès qu'il est disponible pour la distribution utilisée.

➜ To do: Check the kernel version on the fleet's Linux servers and apply the patch as soon as it's available for the distribution in use.

46 CVE noyau Linux corrigées (2-8 août) — Toutes déjà corrigées en version stable, aucun 0-day ni exploit public. Versions minimales sûres : 5.10.264, 5.15.215, 6.1.182, 6.6.150, 6.12.102, 6.18.43. Source

46 Linux kernel CVEs fixed (Aug 2-8) — All already fixed in a stable release, no 0-day and no public exploit code. Minimum safe versions: 5.10.264, 5.15.215, 6.1.182, 6.6.150, 6.12.102, 6.18.43. Source

➜ À faire : Mettre à jour les noyaux Linux vers la version stable minimale correspondant à la branche utilisée.

➜ To do: Update Linux kernels to the minimum stable version matching the branch in use.

5 failles critiques SD-WAN (CVSS 9.9) et 7 failles critiques IOS XE (CVSS 9.8) — Durcissement de sécurité annoncé par Cisco le 5 août. Source

5 critical SD-WAN flaws (CVSS 9.9) and 7 critical IOS XE flaws (CVSS 9.8) — Security hardening release announced by Cisco on August 5. Source

➜ À faire : Identifier les équipements Catalyst SD-WAN et IOS XE du parc, appliquer les correctifs en priorité sur ceux exposés à Internet.

➜ To do: Identify Catalyst SD-WAN and IOS XE devices in the fleet, apply the patches with priority on internet-exposed ones.

Zero-day Cisco FMC activement exploité — Des identifiants statiques exposent des données sensibles sur Firepower Management Center. Source

Cisco FMC zero-day actively exploited — Static credentials expose sensitive data on Firepower Management Center. Source

➜ À faire : Vérifier la présence d'équipements FMC, appliquer le correctif Cisco dès sa disponibilité et changer les identifiants statiques/par défaut.

➜ To do: Check for FMC instances in the fleet, apply the Cisco patch as soon as it's available, and rotate static/default credentials.

Vulnérabilités ClamAV affectant les produits Cisco — Risque de déni de service sur Cisco Secure Endpoint Connector. Source

ClamAV vulnerabilities affecting Cisco products — Denial-of-service risk on Cisco Secure Endpoint Connector. Source

➜ À faire : Mettre à jour ClamAV/Secure Endpoint Connector vers la version corrigée.

➜ To do: Update ClamAV/Secure Endpoint Connector to the patched version.

Proxmox VE disponible pour Arm64 — Première version de Proxmox VE pour une architecture autre que x86-64 (NVIDIA Grace/Vera). Source

Proxmox VE available for Arm64 — First Proxmox VE release for an architecture other than x86-64 (NVIDIA Grace/Vera). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Catalogic DPX 4.16 ajoute le support Proxmox — Sauvegarde agentless pour Proxmox aux côtés de VMware et Hyper-V. Source

Catalogic DPX 4.16 adds Proxmox support — Agentless backup for Proxmox alongside VMware and Hyper-V. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CISA ajoute 3 CVE activement exploitées au catalogue KEV (5 août) — Langflow CVE-2026-9198 (RCE non authentifié, CVSS 9.8, 650 tentatives recensées), Apache Tomcat CVE-2026-34486 (CVSS 7.5, contournement d'EncryptInterceptor), N-able N-central CVE-2026-18556/18577 (CVSS 8.2, contournement d'authentification). Source

CISA adds 3 actively exploited CVEs to the KEV catalog (Aug 5) — Langflow CVE-2026-9198 (unauthenticated RCE, CVSS 9.8, 650 attempts recorded), Apache Tomcat CVE-2026-34486 (CVSS 7.5, EncryptInterceptor bypass), N-able N-central CVE-2026-18556/18577 (CVSS 8.2, authentication bypass). Source

➜ À faire : Vérifier la présence de Langflow, Apache Tomcat (clustering) et N-able N-central sur le parc ; appliquer les correctifs immédiatement, ces failles sont exploitées activement.

➜ To do: Check for Langflow, Apache Tomcat (clustering) and N-able N-central in the fleet; apply patches immediately, these flaws are actively exploited.

CVE-2026-50522 (Microsoft) activement exploitée — Permet le vol de clés machine et un accès persistant même après application du correctif. Source

CVE-2026-50522 (Microsoft) actively exploited — Allows theft of machine keys and persistent access even after the patch is applied. Source

➜ À faire : Appliquer le correctif Microsoft dès sa disponibilité et envisager une rotation des clés machine sur les systèmes concernés.

➜ To do: Apply the Microsoft patch as soon as it's available and consider rotating machine keys on affected systems.

Ransomware Qilin cible le secteur pharmaceutique (Inotiv) — Vol revendiqué de plus de 162 000 fichiers ; les attaques ransomware ont bondi de +55 % en Europe depuis le début de l'année. Source

Qilin ransomware targets pharmaceutical sector (Inotiv) — Theft of over 162,000 files claimed; ransomware attacks have jumped +55% across Europe since the start of the year. Source

➜ À faire : Sensibiliser les utilisateurs au phishing, vérifier l'état des sauvegardes hors-ligne et l'application des correctifs sur les systèmes exposés — ce groupe reste très actif.

➜ To do: Raise user awareness on phishing, verify offline backup status and patching on exposed systems — this group remains highly active.

Panne Azure de plus de 10 heures — VM et services d'identité impactés. Source

Azure outage lasting over 10 hours — VMs and identity services impacted. Source

➜ À faire : Vérifier l'impact sur les VM et Entra ID utilisés, consulter le post-incident Microsoft pour d'éventuelles actions de remédiation.

➜ To do: Check the impact on VMs and Entra ID in use, review Microsoft's post-incident report for any remediation actions.

Microsoft bascule une partie du trafic GitHub vers AWS — La capacité Azure ne suffit plus face à la hausse du développement assisté par IA. Source

Microsoft shifts part of GitHub's traffic to AWS — Azure capacity no longer keeps up with the rise in AI-assisted development. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CVE-2026-50481 — Azure AD, élévation de privilèges critique (CVSS 9.9) — Corrigée côté serveur par Microsoft le 6 août, aucune action client requise. Source

CVE-2026-50481 — Azure AD, critical elevation of privilege (CVSS 9.9) — Fixed server-side by Microsoft on August 6, no customer action required. Source

➜ À faire : Aucune action requise, à titre informatif (correctif déjà appliqué automatiquement par Microsoft).

➜ To do: No action required, for information only (fix already applied automatically by Microsoft).

PoC publié pour « Certighost » (CVE-2026-54121, AD CS) — Élévation de privilèges critique permettant à un utilisateur AD peu privilégié d'usurper un contrôleur de domaine. Source

PoC published for "Certighost" (CVE-2026-54121, AD CS) — Critical privilege escalation letting a low-privileged AD user impersonate a domain controller. Source

➜ À faire : Vérifier la configuration AD CS (modèles de certificats), appliquer les correctifs Microsoft disponibles et restreindre les droits d'inscription de certificats.

➜ To do: Review the AD CS configuration (certificate templates), apply available Microsoft patches, and restrict certificate enrollment rights.

CVE-2026-56155 — AD FS, faille activement exploitée — Corrigée le 14 juillet, permettait à un attaquant local peu privilégié d'obtenir les droits admin. Source

CVE-2026-56155 — AD FS, actively exploited flaw — Patched July 14, allowed a low-privileged local attacker to gain admin rights. Source

➜ À faire : Vérifier que le correctif du 14 juillet est bien appliqué sur les serveurs AD FS du parc.

➜ To do: Verify that the July 14 fix is properly applied on the fleet's AD FS servers.

Faille Spectre v2 "Interrupt Injection" sur CPU AMD (CVE-2026-68480) — Patch noyau Linux publié le 6 août pour les branches 6.18.43, 6.6.149, 6.1.181 ; les LTS 5.10.263 et 5.15.214 corrigent aussi une faille associée dans la protection Safe-RET (Zen 1 à Zen 4). Source

Spectre v2 "Interrupt Injection" flaw on AMD CPUs (CVE-2026-68480) — Linux kernel patch released August 6 for branches 6.18.43, 6.6.149, 6.1.181; LTS 5.10.263 and 5.15.214 also fix a related flaw in the Safe-RET protection (Zen 1 through Zen 4). Source

➜ À faire : Planifier la mise à jour du noyau sur les serveurs Linux équipés de CPU AMD Zen 1-4, en priorité les hôtes multi-utilisateurs ou d'hébergement partagé.

➜ To do: Schedule the kernel update on Linux servers running AMD Zen 1-4 CPUs, prioritizing multi-user or shared-hosting hosts.

Faille locale "Copy Fail" dans le noyau Linux (CVE-2026-31431, CVSS 7.8) — Élévation de privilèges locale affectant toutes les distributions majeures depuis les noyaux publiés après 2017. Source

Local "Copy Fail" flaw in the Linux kernel (CVE-2026-31431, CVSS 7.8) — Local privilege escalation affecting all major distributions running kernels released after 2017. Source

➜ À faire : Vérifier la version de noyau sur le parc Linux et appliquer le correctif dès sa disponibilité via le gestionnaire de paquets.

➜ To do: Check the kernel version across the Linux fleet and apply the patch as soon as it's available via the distribution's package manager.

Patch Tuesday Microsoft du 11 août à anticiper — Juillet a battu un record avec plus de 600 CVE corrigées ; prochaine échéance le 11 août. Source

Microsoft Patch Tuesday on August 11 to prepare for — July set a record with over 600 CVEs fixed; the next release is due August 11. Source

➜ À faire : Réserver une fenêtre de maintenance pour tester et déployer les correctifs Windows dès leur publication le 11 août, en priorité sur les serveurs exposés.

➜ To do: Reserve a maintenance window to test and deploy the Windows patches as soon as they're released on August 11, prioritizing exposed servers.

Correctif Windows hors cycle du 6 août (CVE-2026-65400) — Faille liée au partage d'écran corrigée. Source

Out-of-band Windows fix on August 6 (CVE-2026-65400) — Screen-sharing related flaw patched. Source

➜ À faire : Vérifier que WSUS/SCCM/Intune a bien distribué ce correctif et la mise à jour Defender associée (KB4052623).

➜ To do: Verify that WSUS/SCCM/Intune has properly distributed this fix and the associated Defender update (KB4052623).

Cisco Secure FMC : contournement d'authentification critique (CVE-2026-20079, CVSS 10.0) — Faille zero-click permettant à un attaquant non authentifié d'obtenir un accès root sur le Firewall Management Center dès son démarrage, avec impact possible sur les FTD gérés. Source

Cisco Secure FMC: critical authentication bypass (CVE-2026-20079, CVSS 10.0) — A zero-click flaw letting an unauthenticated attacker gain root access to the Firewall Management Center right at boot, with possible impact on managed FTDs. Source

➜ À faire : Identifier tous les FMC du parc, appliquer immédiatement le correctif Cisco (aucun contournement disponible) et vérifier les journaux d'accès pour toute activité suspecte post-démarrage.

➜ To do: Identify all FMC instances in the fleet, apply the Cisco patch immediately (no workaround available), and check access logs for suspicious post-boot activity.

Cisco Secure FMC : identifiants statiques exploités activement (CVE-2026-20316, CVSS 5.3) — Exploitation active confirmée par Cisco PSIRT, permettant à un attaquant distant de se connecter avec un compte à faibles privilèges. Source

Cisco Secure FMC: static credentials actively exploited (CVE-2026-20316, CVSS 5.3) — Active exploitation confirmed by Cisco PSIRT, letting a remote attacker log in with a low-privilege account. Source

➜ À faire : Appliquer le correctif Cisco sur les FMC concernés et changer les identifiants statiques exposés.

➜ To do: Apply the Cisco patch on the affected FMC instances and rotate the exposed static credentials.

Cisco IOS XE / Catalyst SD-WAN : durcissement de sécurité (5 août) — Correctifs de durcissement pour des failles découvertes en interne, non exploitées à ce jour. Source

Cisco IOS XE / Catalyst SD-WAN: security hardening (August 5) — Hardening fixes for internally discovered flaws, not exploited to date. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

VMware ESX/vCenter : failles critiques (VMSA-2026-0006.1) — Cinq vulnérabilités corrigées dont trois critiques (CVE-2026-59309, CVE-2026-59310, CVE-2026-47876) permettant contournement d'authentification ou exécution de code à distance sur vCenter, sans contournement possible. Source

VMware ESX/vCenter: critical flaws (VMSA-2026-0006.1) — Five vulnerabilities fixed, three of them critical (CVE-2026-59309, CVE-2026-59310, CVE-2026-47876) allowing authentication bypass or remote code execution on vCenter, with no workaround available. Source

➜ À faire : Appliquer en urgence les patchs vSphere/ESXi/vCenter de la matrice Broadcom, en priorité sur les vCenter exposés au réseau.

➜ To do: Urgently apply the vSphere/ESXi/vCenter patches from Broadcom's response matrix, prioritizing network-exposed vCenter instances.

VMware VeloCloud Orchestrator : faille exploitée activement (CVE-2026-16812) — VMware confirme une exploitation active donnant accès à des fonctions internes des instances on-premises. Source

VMware VeloCloud Orchestrator: actively exploited flaw (CVE-2026-16812) — VMware confirms active exploitation giving access to internal-only functions of on-premises instances. Source

➜ À faire : Vérifier la version de VeloCloud Orchestrator on-prem et appliquer le correctif VMware sans délai.

➜ To do: Check the on-prem VeloCloud Orchestrator version and apply the VMware patch without delay.

Proxmox VE 9.2 : support ARM64 officiel (5 août) — Première extension de Proxmox au-delà de l'architecture x86 (cible NVIDIA Grace Hopper/Vera Rubin). Source

Proxmox VE 9.2: official ARM64 support (August 5) — Proxmox's first expansion beyond the x86 architecture (targeting NVIDIA Grace Hopper/Vera Rubin). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

N-able N-central : accès "god mode" non authentifié (CVE-2026-18556 / CVE-2026-18577) — Exploitation active confirmée ; le premier correctif s'est révélé incomplet, un second est disponible. CISA a imposé un délai de 3 jours aux agences fédérales US. Source

N-able N-central: unauthenticated "god mode" access (CVE-2026-18556 / CVE-2026-18577) — Active exploitation confirmed; the first patch proved incomplete, a second one is now available. CISA gave US federal agencies a 3-day remediation deadline. Source

➜ À faire : Mettre à jour immédiatement N-central vers la version 2026.3.1.7, vérifier les comptes/agents pour toute activité anormale et changer les identifiants si le serveur a été exposé.

➜ To do: Immediately update N-central to version 2026.3.1.7, check accounts/agents for abnormal activity, and rotate credentials if the server was exposed.

SharePoint : deux failles critiques exploitées (CVE-2026-50522, CVE-2026-58644, CVSS 9.8) — Alerte CERT-FR CERTFR-2026-ALE-008 : exécution de code arbitraire à distance sans authentification sur SharePoint Server 2016/2019/Subscription Edition. Source

SharePoint: two critical flaws under exploitation (CVE-2026-50522, CVE-2026-58644, CVSS 9.8) — CERT-FR alert CERTFR-2026-ALE-008: unauthenticated remote code execution on SharePoint Server 2016/2019/Subscription Edition. Source

➜ À faire : Vérifier que les serveurs SharePoint on-premises sont patchés ; en cas de compromission suspectée, faire tourner les clés machine ASP.NET et les secrets associés, comme recommandé par le CERT-FR.

➜ To do: Verify that on-premises SharePoint servers are patched; if compromise is suspected, rotate the ASP.NET machine keys and related secrets, as recommended by CERT-FR.

Check Point : exécution de code à distance et contournement de politiques (CERTFR-2026-AVI-0965) — Avis CERT-FR du 4 août. Source

Check Point: remote code execution and security-policy bypass (CERTFR-2026-AVI-0965) — CERT-FR advisory from August 4. Source

➜ À faire : Identifier les produits Check Point déployés (firewalls, gateways VPN) et appliquer le correctif éditeur dès sa disponibilité.

➜ To do: Identify deployed Check Point products (firewalls, VPN gateways) and apply the vendor patch as soon as it's available.

Ransomware : activité soutenue (LockBit 5.0, Qilin, DragonForce) — Plusieurs entreprises industrielles et de services touchées début août (France, Allemagne, Inde, USA). Source

Ransomware: sustained activity (LockBit 5.0, Qilin, DragonForce) — Several industrial and service companies hit in early August (France, Germany, India, USA). Source

➜ À faire : Vérifier les sauvegardes hors ligne/immuables et la segmentation réseau ; rappeler aux utilisateurs les bons réflexes anti-phishing, vecteur d'entrée principal de ces groupes.

➜ To do: Verify offline/immutable backups and network segmentation; remind users of good anti-phishing practices, the main entry vector for these groups.

Microsoft Azure : incidents de disponibilité signalés — Plusieurs rapports d'utilisateurs de dégradations de service Azure début août ; un correctif a été déployé côté Microsoft. Source

Microsoft Azure: availability incidents reported — Several user reports of Azure service degradation in early August; a fix has been deployed by Microsoft. Source

➜ À faire : Vérifier le statut des services Azure utilisés via Azure Service Health et confirmer qu'aucune alerte de supervision interne n'est restée sans suite pendant l'incident.

➜ To do: Check the status of the Azure services in use via Azure Service Health and confirm no internal monitoring alert went unaddressed during the incident.

AD FS : élévation de privilèges exploitée activement (CVE-2026-56155, CVSS 7.8) — Faille corrigée le 14 juillet permettant à un attaquant local à faibles privilèges d'obtenir des droits administrateur ; exploitation confirmée. Source

AD FS: privilege escalation under active exploitation (CVE-2026-56155, CVSS 7.8) — Flaw patched on July 14 letting a low-privileged local attacker gain administrator rights; exploitation confirmed. Source

➜ À faire : Vérifier que le correctif du Patch Tuesday de juillet est appliqué sur tous les serveurs AD FS du parc ; à défaut, prioriser ce déploiement.

➜ To do: Verify that the July Patch Tuesday fix is applied on all AD FS servers in the fleet; if not, prioritize this deployment.

"Certighost" : usurpation de contrôleur de domaine par un compte AD peu privilégié — Technique d'exploitation publiée visant AD Certificate Services. Source

"Certighost": domain controller impersonation by a low-privileged AD account — Published exploitation technique targeting AD Certificate Services. Source

➜ À faire : Auditer le durcissement de l'AD CS et les modèles de certificats vulnérables (type PetitPotam/ESC) sur l'infrastructure PKI interne.

➜ To do: Audit AD CS hardening and vulnerable certificate templates (PetitPotam/ESC-type) on the internal PKI infrastructure.

LibreNMS : multiples vulnérabilités critiques (CERTFR-2026-AVI-0966, 4 août) — RCE, SSRF et injection de code indirecte (XSS). Source

LibreNMS: multiple critical vulnerabilities (CERTFR-2026-AVI-0966, August 4) — RCE, SSRF and indirect code injection (XSS). Source

➜ À faire : Vérifier la version de LibreNMS en production et appliquer les correctifs des avis GHSA associés sans délai.

➜ To do: Check the LibreNMS version in production and apply the patches from the related GHSA advisories without delay.

Nagios XI : injection de commande RCE (CVE-2026-2041) — Faille dans le module zabbixagent_configwizard_func permettant à un attaquant authentifié d'exécuter du code arbitraire. Source

Nagios XI: command injection RCE (CVE-2026-2041) — Flaw in the zabbixagent_configwizard_func module letting an authenticated attacker execute arbitrary code. Source

➜ À faire : Mettre à jour Nagios XI vers la version 2026 R1.0.1 ou supérieure.

➜ To do: Update Nagios XI to version 2026 R1.0.1 or later.

Zabbix : plusieurs failles HIGH/MEDIUM corrigées (CVE-2026-23928 et consorts) — Multiples CVE affectant diverses versions de Zabbix. Source

Zabbix: several HIGH/MEDIUM flaws fixed (CVE-2026-23928 and related) — Multiple CVEs affecting various Zabbix versions. Source

➜ À faire : Comparer la version Zabbix en production à la liste des versions affectées et planifier la montée de version si nécessaire.

➜ To do: Compare the production Zabbix version against the list of affected versions and plan an upgrade if needed.

Noyaux Linux LTS 6.18.42 / 6.12.101 / 6.6.148 — Publiés le 3 août, ces correctifs LTS renforcent la sécurité (validation ACL ksmbd, dépassement de tampon dm-verity, sécurité mémoire BPF). Source

Linux LTS kernels 6.18.42 / 6.12.101 / 6.6.148 — Released August 3, these LTS patches strengthen security (ksmbd ACL validation, dm-verity buffer overflow, BPF memory safety). Source

➜ À faire : Planifier la mise à jour des serveurs Linux exposant du SMB (ksmbd) ou utilisant dm-verity vers ces versions LTS patchées lors de la prochaine fenêtre de maintenance.

➜ To do: Schedule the update of Linux servers exposing SMB (ksmbd) or using dm-verity to these patched LTS versions during the next maintenance window.

Patch Tuesday Windows du 11 août — Microsoft doit publier son correctif mensuel (plus de 400 failles attendues sur Windows 10/11/Server). Source

Windows Patch Tuesday — August 11 — Microsoft is due to release its monthly patch (over 400 flaws expected across Windows 10/11/Server). Source

➜ À faire : Réserver une fenêtre de test et de déploiement le 11/08 pour le Patch Tuesday sur le parc Windows Server et postes clients.

➜ To do: Reserve a test and deployment window on 8/11 for Patch Tuesday across the Windows Server fleet and client workstations.

Fin du support courant de Windows Server 2022 — Bascule en support étendu le 13 octobre 2026 (sécurité maintenue jusqu'en 2031). Source

Windows Server 2022 — mainstream support ending — Moves to extended support on October 13, 2026 (security updates maintained until 2031). Source

➜ À faire : Vérifier l'inventaire des serveurs 2022 du parc et anticiper la couverture contractuelle du support étendu si nécessaire.

➜ To do: Check the fleet's inventory of 2022 servers and anticipate extended support contract coverage if needed.

Notification préalable Cisco du 5 août — Cisco a annoncé la publication imminente de plusieurs avis de sécurité. Source

Cisco advance notice — August 5 — Cisco announced the imminent release of several security advisories. Source

➜ À faire : Surveiller la publication des avis associés dans les prochains jours et évaluer leur impact sur le parc Cisco.

➜ To do: Watch for the associated advisories over the coming days and assess their impact on the Cisco fleet.

Cisco IOS XE — durcissement sécurité août 2026 — Failles internes corrigées (CVSS jusqu'à 9.8), non exploitées à ce jour. Source

Cisco IOS XE — August 2026 security hardening — Internal flaws fixed (CVSS up to 9.8), not exploited to date. Source

➜ À faire : Planifier la mise à jour IOS XE des équipements du parc dès la prochaine fenêtre de maintenance, même en l'absence d'exploitation active.

➜ To do: Plan the IOS XE update for fleet devices at the next maintenance window, even though there's no active exploitation.

Cisco Catalyst SD-WAN — durcissement sécurité août 2026 — Failles internes corrigées (CVSS jusqu'à 9.9), non exploitées à ce jour. Source

Cisco Catalyst SD-WAN — August 2026 security hardening — Internal flaws fixed (CVSS up to 9.9), not exploited to date. Source

➜ À faire : Si du SD-WAN Cisco est déployé sur le parc, planifier la montée de version vers les releases corrigées.

➜ To do: If Cisco SD-WAN is deployed in the fleet, plan the upgrade to the patched releases.

Catalogic DPX 4.16 supporte Proxmox VE — Nouvelle version avec sauvegarde agentless pour Proxmox, en plus de VMware/Hyper-V. Source

Catalogic DPX 4.16 adds Proxmox VE support — New release with agentless backup for Proxmox, alongside VMware/Hyper-V. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Migration accélérée vers Proxmox VE — La hausse des tarifs VMware/Broadcom continue de pousser les entreprises vers Proxmox et d'autres alternatives. Source

Accelerated migration to Proxmox VE — Rising VMware/Broadcom pricing continues to push companies toward Proxmox and other alternatives. Source

➜ À faire : Aucune action requise, à titre informatif — à considérer si une évaluation d'alternative à VMware est prévue sur le parc.

➜ To do: No action required, for information only — worth considering if a VMware alternative evaluation is planned for the fleet.

CERT-FR — avis du 4 août — Vulnérabilités RCE/SSRF/XSS sur LibreNMS, RCE et contournement de sécurité sur Check Point, RCE/SQLi sur Tenable. Source

CERT-FR — August 4 advisory — RCE/SSRF/XSS vulnerabilities in LibreNMS, RCE and security bypass in Check Point, RCE/SQLi in Tenable. Source

➜ À faire : Vérifier si LibreNMS, Check Point ou Tenable sont utilisés sur le parc et appliquer les correctifs listés dans les avis correspondants.

➜ To do: Check whether LibreNMS, Check Point, or Tenable are used in the fleet and apply the patches listed in the corresponding advisories.

CERT-FR — avis du 3 août — Faille d'exécution de code arbitraire à distance dans Microsoft Office. Source

CERT-FR — August 3 advisory — Arbitrary remote code execution flaw in Microsoft Office. Source

➜ À faire : Vérifier le déploiement des dernières mises à jour Office via WSUS/Intune sur le parc et forcer l'installation si absente.

➜ To do: Check that the latest Office updates have been deployed via WSUS/Intune across the fleet, and force installation if missing.

Le phishing boosté à l'IA rend les listes de blocage obsolètes — 89% des domaines de phishing restent actifs moins de 2 jours, rendant le filtrage par réputation moins efficace. Source

AI-boosted phishing makes blocklists obsolete — 89% of phishing domains stay active for less than 2 days, making reputation-based filtering less effective. Source

➜ À faire : Aucune action requise, à titre informatif — envisager de renforcer la sensibilisation utilisateurs plutôt que de compter uniquement sur les blocklists.

➜ To do: No action required, for information only — consider strengthening user awareness training rather than relying solely on blocklists.

Perturbations Azure signalées — 15 signalements utilisateurs d'incidents sur Azure dans les dernières 24h (statut officiel affiché « opérationnel » au 5 août). Source

Azure disruptions reported — 15 user-submitted incident reports on Azure in the last 24h (official status showing "operational" as of August 5). Source

➜ À faire : Consulter Azure Service Health pour le tenant de l'entreprise et surveiller les services critiques hébergés dessus en cas de ralentissement constaté.

➜ To do: Check Azure Service Health for the company tenant and monitor critical services hosted there if slowdowns are observed.

GitHub dépasse la capacité Azure, Microsoft loue de l'AWS — La croissance du trafic (dev assisté par IA) pousse Microsoft à louer de la capacité AWS en complément le temps de la migration Azure. Source

GitHub outgrows Azure capacity, Microsoft rents AWS — Traffic growth (AI-assisted development) is pushing Microsoft to rent extra AWS capacity while the Azure migration continues. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Certighost (CVE-2026-54121) — Un exploit PoC public permet à un utilisateur peu privilégié d'usurper un contrôleur de domaine via AD CS (CVSS 8.8). Source

Certighost (CVE-2026-54121) — A public PoC exploit lets a low-privileged user impersonate a domain controller via AD CS (CVSS 8.8). Source

➜ À faire : Vérifier si une Enterprise CA (AD CS) est déployée sur le parc ; si oui, installer en urgence le correctif Microsoft du 14 juillet sur les serveurs AD CS concernés et auditer les modèles de certificats vulnérables.

➜ To do: Check whether an Enterprise CA (AD CS) is deployed in the fleet; if so, urgently install Microsoft's July 14 patch on the affected AD CS servers and audit vulnerable certificate templates.

Patch Tuesday Microsoft — aperçu août 2026 — Le prochain Patch Tuesday (12 août) doit corriger au moins 6 CVE critiques, dont une élévation de privilèges noyau Windows et une chaîne RCE SharePoint. Source

Microsoft Patch Tuesday — August 2026 preview — The upcoming Patch Tuesday (August 12) is expected to fix at least 6 critical CVEs, including a Windows kernel privilege escalation and a SharePoint RCE chain. Source

➜ À faire : Planifier la fenêtre de maintenance du 12/08 sur les serveurs Windows et SharePoint on-premise ; prévoir un redémarrage complet (patch noyau).

➜ To do: Schedule the 8/12 maintenance window for Windows and on-prem SharePoint servers; plan for a full reboot (kernel patch).

Debian 13 : 68 vulnérabilités noyau corrigées — Mise à jour majeure du noyau Linux 6.12 LTS, incluant CVE-2026-64530 (use-after-free, traffic control) et CVE-2026-64531 « OVSwrap » (root local via Open vSwitch). Source

Debian 13: 68 kernel vulnerabilities patched — Major Linux 6.12 LTS kernel update, including CVE-2026-64530 (use-after-free, traffic control) and CVE-2026-64531 "OVSwrap" (local root via Open vSwitch). Source

➜ À faire : Identifier les serveurs Debian 13 du parc, exécuter la mise à jour du noyau, redémarrer les hôtes concernés.

➜ To do: Identify Debian 13 servers in the fleet, run the kernel update, and reboot the affected hosts.

AlmaLinux — patch urgent « GhostLock » — Correctif d'urgence pour CVE-2026-43499, faille locale d'élévation de privilèges.

AlmaLinux — urgent "GhostLock" patch — Emergency fix for CVE-2026-43499, a local privilege escalation flaw.

➜ À faire : Vérifier la version noyau des serveurs AlmaLinux du parc et appliquer le correctif dès disponibilité.

➜ To do: Check the kernel version on AlmaLinux servers in the fleet and apply the patch as soon as it's available.

Cisco ISE — RCE non authentifiée — Advisory Cisco pour des vulnérabilités d'exécution de code à distance sans authentification sur Identity Services Engine. Source

Cisco ISE — unauthenticated RCE — Cisco advisory covering unauthenticated remote code execution vulnerabilities in Identity Services Engine. Source

➜ À faire : Vérifier la version ISE en production, appliquer le correctif, contrôler que l'interface d'admin n'est pas exposée sur Internet.

➜ To do: Check the ISE version in production, apply the patch, and confirm the admin interface isn't exposed to the Internet.

Cisco ASA/FTD — RCE via WebVPN — Vulnérabilité RCE dans le serveur web VPN des Secure Firewall ASA et Firepower Threat Defense. Source

Cisco ASA/FTD — RCE via WebVPN — RCE vulnerability in the WebVPN web server of Secure Firewall ASA and Firepower Threat Defense. Source

➜ À faire : Vérifier si le WebVPN est activé sur les ASA/FTD du parc ; appliquer le correctif ou désactiver le service si inutilisé.

➜ To do: Check whether WebVPN is enabled on the ASA/FTD devices in the fleet; apply the patch or disable the service if unused.

Cisco IMC/SSM — failles CVSS 9.8 — Deux failles critiques permettant un contournement d'authentification et un accès root.

Cisco IMC/SSM — CVSS 9.8 flaws — Two critical flaws allowing authentication bypass and root access.

➜ À faire : Recenser les équipements IMC/SSM du parc et planifier leur mise à jour.

➜ To do: Inventory the IMC/SSM equipment in the fleet and schedule their update.

Broadcom/VMware — VMSA-2026-0006 : bypass auth + RCE vCenter — Trois failles critiques dont un contournement d'authentification vCenter (CVE-2026-59309) et une exécution de code à distance (CVE-2026-59310). Source

Broadcom/VMware — VMSA-2026-0006: auth bypass + vCenter RCE — Three critical flaws including a vCenter authentication bypass (CVE-2026-59309) and a remote code execution flaw (CVE-2026-59310). Source

➜ À faire : Patcher vCenter en priorité (interruption temporaire du vSphere Client à prévoir) ; vérifier que vCenter n'est pas exposé sur des réseaux non fiables.

➜ To do: Patch vCenter as a priority (expect a temporary vSphere Client outage); verify vCenter isn't exposed on untrusted networks.

VMware ESXi — évasion VM via VMXNET3 (CVSS 9.3) — CVE-2026-47876 permet à un attaquant avec droits admin dans une VM d'exécuter du code sur l'hôte ESXi. Source

VMware ESXi — VM escape via VMXNET3 (CVSS 9.3) — CVE-2026-47876 lets an attacker with admin rights inside a VM execute code on the ESXi host. Source

➜ À faire : Mettre à jour ESXi vers la version corrigée, en priorité sur les hôtes hébergeant des VM multi-tenant ou exposées.

➜ To do: Update ESXi to the patched version, prioritizing hosts running multi-tenant or exposed VMs.

VMware Avi Load Balancer — bypass auth critique — CVE-2026-47865 permet à un attaquant réseau de compromettre le control plane Avi. Pas de nouveauté notable côté Proxmox ou Hyper-V ce jour-là. Source

VMware Avi Load Balancer — critical auth bypass — CVE-2026-47865 lets a network attacker compromise the Avi control plane. Nothing notable on Proxmox or Hyper-V that day. Source

➜ À faire : Vérifier si Avi Load Balancer est déployé sur le parc et appliquer le correctif Broadcom.

➜ To do: Check whether Avi Load Balancer is deployed in the fleet and apply the Broadcom patch.

Debian 13 « Trixie » : correctif noyau majeur (68 vulnérabilités) — Mise à jour du noyau Linux 6.12 LTS vers la version 6.12.100-1. Inclut CVE-2026-64530 (use-after-free dans le traffic-control, DoS distant avec potentiel RCE) et CVE-2026-64531 « OVSwrap » (élévation de privilèges locale vers root via Open vSwitch). Source

Debian 13 "Trixie": major kernel fix (68 vulnerabilities) — Linux 6.12 LTS kernel update to version 6.12.100-1. Includes CVE-2026-64530 (use-after-free in traffic-control, remote DoS with potential RCE) and CVE-2026-64531 "OVSwrap" (local privilege escalation to root via Open vSwitch). Source

➜ À faire : Mettre à jour vers le noyau 6.12.100-1 sur tous les serveurs Debian 13 du parc, en priorité ceux utilisant Open vSwitch ou exposés en frontal réseau.

➜ To do: Update to kernel 6.12.100-1 on all Debian 13 servers in the fleet, prioritizing those using Open vSwitch or exposed on the network edge.

Windows Server — Rien de notable dans les dernières 24h. Prochain Patch Tuesday Microsoft prévu le 11 août 2026.

Windows Server — Nothing notable in the last 24h. Next Microsoft Patch Tuesday scheduled for August 11, 2026.

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Cisco : notification anticipée pour les avis de sécurité du 5 août 2026 — Cisco publiera le 5 août des avis concernant Catalyst SD-WAN IMC, IOS, IOS XE, RoomOS et Terminal Services Agent. Source

Cisco: advance notice for the August 5, 2026 security advisories — Cisco will publish advisories on August 5 covering Catalyst SD-WAN IMC, IOS, IOS XE, RoomOS and Terminal Services Agent. Source

➜ À faire : Surveiller la publication des avis le 5/08 et planifier l'application des correctifs sur les équipements Catalyst SD-WAN, IOS/IOS XE présents sur le parc.

➜ To do: Watch for the advisories on 8/5 and plan patching for the Catalyst SD-WAN, IOS/IOS XE devices in the fleet.

Cisco Secure FMC : identifiants statiques exploités activement (CVE-2026-20316) — Vulnérabilité zero-day activement exploitée, hotfix disponible ; ajoutée au catalogue CISA KEV. Source

Cisco Secure FMC: static credentials actively exploited (CVE-2026-20316) — Actively exploited zero-day vulnerability, hotfix available; added to the CISA KEV catalog. Source

➜ À faire : Vérifier si un Cisco Secure FMC est présent sur le parc, appliquer le hotfix immédiatement et changer les identifiants statiques concernés.

➜ To do: Check whether a Cisco Secure FMC is present in the fleet, apply the hotfix immediately, and change the affected static credentials.

Cisco ISE / ISE-PIC : deux failles corrigées (CVE-2026-20181, CVSS 9.1 ; CVE-2026-20190, CVSS 7.5) — Injection de commande et divulgation d'information, correctifs disponibles. Source

Cisco ISE / ISE-PIC: two flaws fixed (CVE-2026-20181, CVSS 9.1; CVE-2026-20190, CVSS 7.5) — Command injection and information disclosure, patches available. Source

➜ À faire : Vérifier la version d'ISE/ISE-PIC déployée et appliquer le correctif en priorité sur CVE-2026-20181 (CVSS 9.1).

➜ To do: Check the deployed ISE/ISE-PIC version and prioritize patching CVE-2026-20181 (CVSS 9.1).

Faille noyau Linux « Copy Fail » (CVE-2026-31431, CVSS 7,8) — Bug logique dans le template cryptographique du noyau permettant à un utilisateur local non privilégié d'obtenir un accès root. Affecte toutes les distributions majeures. Source

Linux kernel flaw "Copy Fail" (CVE-2026-31431, CVSS 7.8) — A logic bug in the kernel's cryptographic template lets an unprivileged local user gain root access. Affects all major distributions. Source

➜ À faire : Vérifier la version de noyau sur les serveurs Linux du parc, appliquer le correctif correspondant, et restreindre les accès shell locaux non nécessaires en attendant.

➜ To do: Check the kernel version on Linux servers in the fleet, apply the relevant patch, and restrict unnecessary local shell access in the meantime.

Faille KVM « Januscape » (CVE-2026-53359) — Use-after-free dans l'hyperviseur KVM déclenchable depuis une VM invitée, pouvant corrompre l'état de l'hôte. Source

KVM flaw "Januscape" (CVE-2026-53359) — A use-after-free in the KVM hypervisor, triggerable from a guest VM, which can corrupt host state. Source

➜ À faire : Sur les hyperviseurs Linux/KVM (Proxmox inclus), vérifier la version du noyau hôte et planifier la mise à jour ; isoler les VM non fiables des hôtes critiques en attendant.

➜ To do: On Linux/KVM hypervisors (including Proxmox), check the host kernel version and plan the update; isolate untrusted VMs from critical hosts in the meantime.

Cisco Secure FMC — bypass d'authentification critique (CVE-2026-20079, CVSS 10.0), activement exploitée — Accès non authentifié via identifiants statiques. Source

Cisco Secure FMC — critical authentication bypass (CVE-2026-20079, CVSS 10.0), actively exploited — Unauthenticated access via static credentials. Source

➜ À faire : Si un FMC est présent sur le parc, appliquer immédiatement le correctif Cisco et vérifier les journaux d'accès pour toute connexion suspecte.

➜ To do: If an FMC is present in the fleet, apply the Cisco patch immediately and check access logs for suspicious connections.

Broadcom corrige 3 failles critiques VMware ESXi/vCenter — VM escape VMXNET3 (CVE-2026-47876, CVSS 9.3), bypass d'authentification vCenter (CVE-2026-59309, CVSS 9.8) et RCE vCenter (CVE-2026-59310, CVSS 9.8). Source

Broadcom fixes 3 critical VMware ESXi/vCenter flaws — VM escape via VMXNET3 (CVE-2026-47876, CVSS 9.3), vCenter authentication bypass (CVE-2026-59309, CVSS 9.8) and vCenter RCE (CVE-2026-59310, CVSS 9.8). Source

➜ À faire : Identifier tous les hôtes ESXi et instances vCenter du parc, vérifier leur version, et appliquer les correctifs Broadcom en priorité sur les vCenter exposés.

➜ To do: Identify all ESXi hosts and vCenter instances in the fleet, check their version, and apply the Broadcom patches as a priority on exposed vCenter instances.

Proxmox VE 8.x — fin de support fin août 2026 — La branche 8.4 arrive en fin de vie, la version stable actuelle est la 9.2. Source

Proxmox VE 8.x — end of support late August 2026 — The 8.4 branch is reaching end of life; the current stable release is 9.2. Source

➜ À faire : Si des hôtes Proxmox VE 8 sont encore en production, planifier la migration vers la 9.x avant fin août 2026.

➜ To do: If Proxmox VE 8 hosts are still in production, plan the migration to 9.x before the end of August 2026.