Le 2 novembre 2026, Barracuda corrige CVE-2026-116606 et CVE-2026-111560, deux failles que watchTowr a enchaînées pour obtenir un accès root à la passerelle de sécurité e-mail ESG sans le moindre login. Appliquez sans délai le correctif BNSF-40425 ou BNSF-40430 et restreignez l’interface d’administration à un réseau de confiance.
Le 3 novembre 2026, VulnCheck révèle dix vulnérabilités dans Control Web Panel (CWP) qui, enchaînées, mènent d’une requête non authentifiée à un shell root, alors que 118 000 instances sont repérées en ligne. Les hébergeurs doivent passer en version 1.29 et retirer les ports 2083, 2031 et 2087 de l’Internet public.
Le 2 novembre 2026, cinq vulnérabilités notées CVSS 10.0 sont publiées pour les routeurs WAVLINK WN551X3-A et WN536AX6-A, avec des exploits déjà publics et aucun correctif annoncé. Les détenteurs de ces boîtiers doivent les isoler du réseau et surveiller les canaux VPN et DNS.
Le 14 octobre 2026, la CVE-2026-110447 documente une injection de commandes non authentifiée dans proxy.php de l’application Collabora Online Built-in CODE Server de Nextcloud, exploitée depuis septembre pour déposer des web shells PHP. Mettez à jour vers la version 26.4.303 et chassez les fichiers shx*.php, car le correctif ne supprime pas les coquilles déjà posées.
Le 2 septembre 2026, la CISA a inscrit CVE-2026-49869 au catalogue KEV : une injection de commandes CVSS 10 dans l’orchestrateur open source Kestra, causée par une comparaison de chemin qui laisse passer tout endpoint se terminant par « configs ». Passez en 1.0.45 ou 1.3.21 avant l’échéance fédérale du 5 septembre, puis vérifiez que l’instance n’a pas déjà servi de point d’entrée.
Le 1er septembre 2026, SonicWall révèle deux failles de la gamme SMA 1000 — un SSRF pré-authentification (CVE-2026-83548, CVSS 10) et une injection de commandes (CVE-2026-83549) — déjà exploitées ensemble pour obtenir un RCE sans s’authentifier. Appliquez le hotfix immédiatement et, en cas de compromission confirmée, réimagez l’appliance plutôt que de la rafistoler.
Deux failles publiées le 19 août 2026, CVE-2026-71960 et CVE-2026-71961, permettent à un attaquant sans compte de forger un jeton MQTT puis d’exécuter des commandes root sur le routeur mesh Cudy WR3000. Mettez à jour vers le firmware 2.5.24 et sortez l’interface mesh de votre exposition Internet.
CVE-2026-73570, une injection de commandes OS dans le composant SNMP de Zimbra Collaboration, est exploitée activement et a rejoint le catalogue KEV de CISA le 21 août 2026, avec une échéance fédérale au 24 août. Corrigez vers la 10.1.20 et traquez l’intrus dans les journaux, pas seulement le correctif.
La CISA a ajouté CVE-2026-8037 au catalogue KEV le **7 août 2026** — l’injection de commandes sur Progress Kemp LoadMaster est exploitée activement par des gangs ransomware. Mettez à jour avant que votre load balancer ne devienne le point d’entrée de votre infrastructure.
