Le 2 septembre 2026, la CISA a inscrit CVE-2026-49869 au catalogue KEV : une injection de commandes CVSS 10 dans l’orchestrateur open source Kestra, causée par une comparaison de chemin qui laisse passer tout endpoint se terminant par « configs ». Passez en 1.0.45 ou 1.3.21 avant l’échéance fédérale du 5 septembre, puis vérifiez que l’instance n’a pas déjà servi de point d’entrée.
Le 1er septembre 2026, SonicWall révèle deux failles de la gamme SMA 1000 — un SSRF pré-authentification (CVE-2026-83548, CVSS 10) et une injection de commandes (CVE-2026-83549) — déjà exploitées ensemble pour obtenir un RCE sans s’authentifier. Appliquez le hotfix immédiatement et, en cas de compromission confirmée, réimagez l’appliance plutôt que de la rafistoler.
Deux failles publiées le 19 août 2026, CVE-2026-71960 et CVE-2026-71961, permettent à un attaquant sans compte de forger un jeton MQTT puis d’exécuter des commandes root sur le routeur mesh Cudy WR3000. Mettez à jour vers le firmware 2.5.24 et sortez l’interface mesh de votre exposition Internet.
CVE-2026-73570, une injection de commandes OS dans le composant SNMP de Zimbra Collaboration, est exploitée activement et a rejoint le catalogue KEV de CISA le 21 août 2026, avec une échéance fédérale au 24 août. Corrigez vers la 10.1.20 et traquez l’intrus dans les journaux, pas seulement le correctif.
La CISA a ajouté CVE-2026-8037 au catalogue KEV le **7 août 2026** — l’injection de commandes sur Progress Kemp LoadMaster est exploitée activement par des gangs ransomware. Mettez à jour avant que votre load balancer ne devienne le point d’entrée de votre infrastructure.
