Le 9 novembre 2026, la CISA a ajouté quatre failles exploitées à son catalogue KEV, dont une faille d’authentification CVSS 9.8 dans GPUStack qui livre l’administration d’un cluster GPU à un attaquant non authentifié. Les équipes qui exécutent ce gestionnaire doivent passer à la version 2.3.0 puis révoquer tous les secrets exposés, car le correctif n’invalide pas les clés déjà volées.
Le 28 octobre 2026, la CISA a inscrit la CVE-2026-46300 au catalogue des vulnérabilités exploitées : une variable non initialisée dans le chemin ESP-in-TCP du noyau Linux, qui se chaîne avec les deux failles PHP2Shell pour implanter des webshells et exécuter des commandes en root. L’échéance de correction tombe le 31 octobre : patchez le noyau et cherchez les webshells sur vos serveurs PHP exposés.
Le 15 octobre 2026, Check Point confirme que CVE-2026-85102, une exécution de code pré-authentification dans le VPN de ses Security Gateway corrigée le 9 septembre, est désormais exploitée en masse contre les pare-feu Spark, et publie dans la foulée le correctif d’une zero-day du serveur de management. Appliquez les deux hotfixes, en commençant par vos serveurs de management, souvent moins surveillés que les passerelles.
Le 24 septembre 2026, la CISA a inscrit au catalogue KEV la faille de traversal de chemin CVE-2026-5430 chez WSO2 et l’autorisation défaillante CVE-2026-71362 chez Adobe Commerce et Magento, toutes deux exploitées en conditions réelles. Les agences fédérales américaines doivent corriger avant le 27 septembre, et toute organisation qui expose ces produits doit faire de même sans attendre.
Le 16 septembre 2026, CISA a inscrit au KEV une escalade de privilèges locale (CVE-2026-87886) causée par des permissions par défaut trop larges dans les plugins de sauvegarde Acronis pour cPanel & WHM, Plesk et DirectAdmin. Mettez à jour vers les builds corrigés, l’échéance fédérale du 19 septembre étant déjà dépassée.
Le 22 septembre 2026, CISA a inscrit au catalogue KEV une faille d’input validation notée CVSS 10 dans l’orchestrateur VeloCloud on-prem d’Arista, exploitable sans identifiant. Restreignez l’accès réseau à l’interface web du VCO et appliquez le correctif avant le 25 septembre.
Le 21 septembre 2026, CISA a inscrit CVE-2026-7273, un débordement de tampon sur la pile du CGI des switches Zyxel GS1900, à son catalogue KEV après une exploitation active confirmée. Restreignez l’interface de management, appliquez le correctif Zyxel avant le 24 septembre et lancez une recherche d’intrusion sur les équipements exposés.
Le 18 septembre 2026, CISA a inscrit au catalogue KEV trois vulnérabilités du noyau Linux : une course dans AF_ALG, une écriture hors limites dans ebtables SNAT et un traitement erroné des enregistrements TLS à longueur nulle. Corrigez avant le 21 septembre et vérifiez que votre distribution a rétroporté les trois commits.
Le 2 septembre 2026, la CISA a inscrit CVE-2026-49869 au catalogue KEV : une injection de commandes CVSS 10 dans l’orchestrateur open source Kestra, causée par une comparaison de chemin qui laisse passer tout endpoint se terminant par « configs ». Passez en 1.0.45 ou 1.3.21 avant l’échéance fédérale du 5 septembre, puis vérifiez que l’instance n’a pas déjà servi de point d’entrée.
La protection anti-navigateur de Ray reposait sur un en-tête User-Agent commençant par « Mozilla », que l’API fetch de Firefox et Safari permet de falsifier. Combinée à un rebinding DNS, elle devient une RCE déclenchée par une simple visite, ajoutée au catalogue KEV de la CISA le 17 août 2026 avec une échéance au 20 août.
La CISA a mis à jour son catalogue KEV pour signaler que la faille d’élévation de privilèges Windows Task Host CVE-2025-60710, corrigée en novembre 2025, est désormais exploitée par des gangs ransomware. Les organisations doivent traiter les correctifs d’élévation de privilèges avec la même urgence que les RCE : c’est le chaînon qui transforme un accès limité en contrôle total.
La CISA a ajouté CVE-2026-8037 au catalogue KEV le **7 août 2026** — l’injection de commandes sur Progress Kemp LoadMaster est exploitée activement par des gangs ransomware. Mettez à jour avant que votre load balancer ne devienne le point d’entrée de votre infrastructure.
