Le 29 octobre 2026, Docker raconte comment un bot de revue de code tournant en local via Ollama a refusé un simple bump de version PostgreSQL en citant une CVE qui n’a jamais existé. La leçon vaut pour toute équipe qui branche un agent d’IA sur sa pipeline : la sortie d’un agent est une entrée non fiable, qu’il faut étiqueter et vérifier comme telle.

Le 19 octobre 2026, Siemens a confirmé l’exploitation active de la CVE-2026-110936, un side-loading de DLL dans Software Center : les attaquants diffusent une copie authentique et signée du programme à côté d’une DLL malveillante, hors des canaux officiels. Passez en version 4.0.9.8 et chassez les indicateurs publiés, car la signature n’est plus une preuve de confiance.

Le 14 octobre 2026, la CVE-2026-110447 documente une injection de commandes non authentifiée dans proxy.php de l’application Collabora Online Built-in CODE Server de Nextcloud, exploitée depuis septembre pour déposer des web shells PHP. Mettez à jour vers la version 26.4.303 et chassez les fichiers shx*.php, car le correctif ne supprime pas les coquilles déjà posées.

Le 21 octobre 2026, Node.js publie des correctifs de sécurité pour ses trois lignes supportées (22.x, 24.x, 26.x) et corrige dix failles, dont une écriture hors limites dans le décodeur Brotli (CVE-2026-111497) pouvant mener à une exécution de code à distance. Aucun contournement n’étant proposé, la mise à jour vers 22.23.4, 24.22.1 ou 26.12.1 est la seule parade.

Le 20 octobre 2026, le NVD publie cinq CVE critiques — de 9,8 à 9,9 — sur les frameworks d’agents IA Letta, Langchain-Chatchat, DB-GPT et Piflow : des endpoints d’exécution d’outils sans authentification et des bases de données livrées avec des identifiants par défaut. Si vous déployez un de ces frameworks, coupez-le de l’Internet tant que vous n’avez pas vérifié la version et l’exposition des ports.

Le 20 octobre 2026, Unit 42 confirme que les ransomwares Spikey Scorpius (Qilin) et Tarnished Scorpius (Inc) exploitent encore CVE-2026-0257, la faille d’authentification des portails GlobalProtect corrigée depuis mai. Si vous avez une passerelle PAN-OS exposée, vérifiez la version et coupez le contournement d’authentification sans attendre.

Le 14 octobre 2026, Palo Alto Networks corrige CVE-2026-0322, une injection de code dans l’interface de gestion de PAN-OS qui donne la main root à un attaquant authentifié, et confirme une exploitation déjà observée. Patchez avant le 17 octobre et vérifiez que votre interface de gestion n’est pas exposée à Internet.

Le 13 octobre 2026, Ivanti corrige CVE-2026-104935, un contournement d’authentification exploité en zero-day sur ses passerelles VPN Connect Secure, que Volexity relie à une chaîne de trois failles menant au root. La compromission ne laisse aucune trace détectable par l’outil d’intégrité du constructeur : il faut patcher en urgence et vérifier forensiquement chaque appliance.

Fin septembre 2026, le comité sécurité de Kubernetes corrige deux failles moyennes : CVE-2026-19444, un path traversal de kubectl cp sur Windows, et CVE-2026-2270, un confused deputy du contrôleur StatefulSet. La leçon vaut pour tous : mettre à jour le plan de contrôle ne protège ni votre poste d’administration, ni l’isolation entre namespaces.

Le 12 octobre 2026, GitLab a publié un correctif critique refermant 24 failles, dont CVE-2026-97229, un débordement d’entier à CVSS 10,0 dans le compilateur d’expressions régulières du CI/CD, exploitable sans authentification. Tout administrateur d’une instance auto-hébergée doit passer en 19.4.2, 19.3.5 ou 19.2.8 sans attendre, car cette faille ne demande même plus de compte.

L’avis DSA-6528-1 du 29 septembre 2026 corrige 1 313 identifiants CVE dans le noyau 6.12.111-1 de Debian 13 Trixie, un volume directement lié à la découverte de vulnérabilités assistée par IA. Un identifiant CVE ne préjuge ni de la sévérité ni de l’exploitabilité : l’essentiel est de mettre à jour proprement, pas de paniquer devant le chiffre.

CVE-2026-84411, noté CVSS 9,8, est un underflow d’entier dans le service d’administration web de RouterOS, exploitable avant authentification par une seule requête forgée pour exécuter du code en root. Tout routeur MikroTik dont l’interface web est joignable depuis Internet doit passer en 7.24 ou retirer cette interface du réseau.

Le 13 octobre 2026, Microsoft publie un Patch Tuesday d’octobre à 1 411 failles — un record — dont une zero-day déjà exploitée dans Windows Shell et un paquet d’exécutions de code à CVSS 9,8 sur des services réseau. Voici l’ordre de patching qui protège réellement un parc, de la surface exposée vers l’intérieur.

Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris la main sur des contrôleurs de réfrigération Danfoss AK-SM 800A et déclenché leur dégivrage automatique, détruisant des produits frais dans 250 à 350 magasins Intermarché, Super U, Leclerc et Monoprix. Tout exploitant de froid industriel doit recenser ses contrôleurs exposés sur Internet, les cloisonner et appliquer les correctifs des failles CVE-2025-41450 et CVE-2025-41451.

À Kernel Recipes 2026, Greg Kroah-Hartman détaille l’audit des 79 vulnérabilités que l’outil IA d’Anthropic prétendait avoir trouvées dans Linux : dix corrections réelles, le reste n’étant que bruit, doublons ou données inventées. Le signal le plus grave est ailleurs — le délai moyen entre divulgation et exploitation est tombé à moins sept jours, et la moitié des correctifs générés par IA sont faux.

Le bulletin de sécurité d’octobre 2026 de MediaTek referme 31 failles, dont deux écritures hors limites critiques dans le modem (CVE-2026-20519 et CVE-2026-20520) qu’une fausse station de base peut déclencher pour élever ses privilèges, sans interaction utilisateur. Vérifiez le niveau de correctif de votre flotte Android et traitez le décalage entre le correctif MediaTek et sa distribution par les fabricants comme un risque à part entière.

Le 1er octobre 2026, la fondation Apache publie HTTP Server 2.4.69, qui corrige vingt vulnérabilités, toutes notées « low » ou « moderate » par l’équipe sécurité du projet. Aucune n’est atteignable sans un module optionnel ou un réglage non standard, ce qui transforme ce correctif massif en une maintenance de routine doublée d’un audit de configuration.

Le 5 octobre 2026, Perforce a publié trois CVE critiques sur P4 Search, le moteur de recherche conteneurisé de Helix Core : un jeton d’authentification codé en dur (CVSS 10) et une interface de débogage JDWP laissée exposée permettent à un attaquant réseau non authentifié d’exécuter du code à côté du dépôt de code source. La parade tient en une mise à jour des images vers 2026.4.2 et un cloisonnement strict du service.

Dell a comblé six vulnérabilités de sévérité maximale dans ses Container Storage Modules, la couche qui relie ses baies PowerStore, PowerScale ou PowerFlex à Kubernetes. Sans aucune authentification, un attaquant récupère les identifiants d’administration des baies, obtient un root sur les nœuds et lit tous les Secrets : passez en CSM 1.18.0 sans attendre.

GitLab a comblé le 2 octobre une vulnérabilité critique (CVE-2026-90970, CVSS 9,9) qui permet à un utilisateur connecté d’exécuter des commandes sur l’AI Gateway, le service qui relie une instance GitLab aux modèles d’IA. Seules les équipes qui hébergent leur propre gateway doivent agir : passez en 19.2.4, 19.3.2 ou 19.4.1 sans attendre.

La CVE-2026-104286, notée CVSS 9,8, laisse un attaquant non authentifié écrire des fichiers arbitraires sur l’interface d’administration de FortiMail via une traversée de chemin et un octet NULL. En attendant le correctif, désactivez l’IBE et coupez l’interface de gestion d’Internet.

Canonical remplace ses cycles de quatre et deux semaines par un cycle unique de deux semaines, en cascade, qui livre un noyau Ubuntu chaque semaine. Pour un parc Ubuntu, cela raccourcit le délai entre une CVE noyau et son correctif — à condition d’adapter ses fenêtres de maintenance.

Le déploiement stable de Chrome 154, commencé le 22 septembre 2026, referme 108 failles de sécurité dont 11 critiques, en quasi-totalité des use-after-free et des débordements de tampon dans les couches GPU et de rendu. Aucune n’est confirmée exploitée, mais leur potentiel d’échappement de sandbox en fait une priorité de déploiement immédiate sur tout le parc de navigateurs.

Le 23 septembre 2026, GitLab a publié un correctif critique pour 19.4.1, 19.3.3 et 19.2.7, refermant deux exécutions de code à distance à CVSS 9,9 dans l’analyseur d’expressions régulières du pipeline, déclenchables par un simple fichier .gitlab-ci.yml forgé. Tout utilisateur authentifié capable d’éditer une configuration CI/CD devient un vecteur : corrigez les instances auto-hébergées immédiatement.

CERT Polska documente la chaîne « MikroTrick » : deux failles SSH de RouterOS, CVE-2026-67279 et CVE-2026-86060, donnent ensemble le contrôle administrateur complet d’un routeur exposé, sans mot de passe ni clé SSH. La CISA a ajouté CVE-2026-67279 à son catalogue KEV le 25 septembre 2026 : patchez en 6.49.21, 7.23.4 ou 7.24.2 et cherchez les traces de compromission.

Microsoft présentait CVE-2026-65660 comme un spoofing à CVSS 6,5 ; le chercheur Dinh Ho Anh Khoa démontre qu’il s’agit d’une injection de code (CWE-94) aboutissant à une exécution de code à distance authentifiée, et la CISA l’a ajoutée au KEV le 25 septembre 2026 après des attaques observées. Appliquez le correctif du 11 août et auditez vos serveurs SharePoint 2016, 2019 et Subscription Edition.

Microsoft a livré le 8 septembre 2026 le plus gros Patch Tuesday de son histoire, avec 973 correctifs et deux failles d’élévation de privilèges déjà exploitées à l’état sauvage. Déployez les correctifs des deux zero-days sous 24 heures, puis traitez les failles critiques d’exécution de code sous sept jours.

Le 8 septembre 2026, ConnectWise a publié un correctif pour CVE-2026-84869, une autorisation manquante (CVSS 9.9) qui permet de transférer et d’exécuter des fichiers sur un poste pendant une session ScreenConnect active sans confirmation de l’utilisateur. Mettez le client à niveau vers la version 26.6.5, puis auditez les sessions et transferts de fichiers passés avant que l’accès distant ne devienne le point d’entrée de votre parc.

Un acteur sinophone traqué sous le nom de Red Heron a exploité CVE-2026-60004, la faille Gitea, pour scanner 1 386 instances dans sept pays et dérober le code source d’industriels. Patchez vos forges auto-hébergées, restreignez l’inscription et traitez toute instance exposée comme déjà compromise.

Le 2 septembre 2026, Greg Kroah-Hartman a averti que le cycle Linux 7.3 s’annonce « difficile » : sa file de tâches pour le sous-système USB déborde de patchs générés par IA, pendant que le noyau approche les 2 000 CVE par release. Pour les distributions et les équipes d’infrastructure, cela veut dire prioriser les correctifs de sécurité réels et se préparer à une version stable autour du 18 octobre.

Le 30 août 2026, le projet gitoxide — l’implémentation Git écrite en Rust — a publié un correctif groupé pour cinq vulnérabilités de parsing, dont une fuite d’identifiants HTTP et plusieurs traversées de dossiers via les sous-modules. La leçon pour quiconque embarque des bibliothèques Rust : la sûreté mémoire n’est pas une garantie contre les bugs de logique.

Deux failles d’authentification dans le plugin miniOrange SAML 2.0 Single Sign On pour WordPress, exploitées depuis la mi-août 2026, permettent de devenir administrateur sans identifiant. Les six éditions payantes n’ayant jamais fait l’objet d’un avis public, aucun scanner de vulnérabilités ne pouvait les détecter.

CVE-2026-73678, notée CVSS 10, permet à un attaquant sans compte d’exécuter des commandes système sur la plateforme MindsDB en passant par l’outil scratchpad de l’agent Anton. Si vous exposez une instance MindsDB, coupez l’accès public avant même d’attendre un correctif.

Le 13 août 2026, le projet PostgreSQL a publié 18.6, 17.11, 16.15, 15.19, 14.24 et 19 Beta 3, corrigeant 28 failles de sécurité — un record — dont une douzaine de failles mémoire exploitables pour exécuter du code. Appliquez la mineure sans délai, et si vous êtes encore en version 14, planifiez la migration majeure avant le 12 novembre 2026.

Le Patch Tuesday du 11 août 2026 apporte 421 correctifs, dont un zero-day déjà exploité (CVE-2026-68820) par le groupe nord-coréen Lazarus et deux failles réseau exploitables sans authentification. Voici l’ordre de correction qui protège réellement votre parc, avant la surcharge du volume.

Le projet Linux a publié 46 CVE entre le 2 et le 8 août 2026. Toutes sont déjà corrigées dans les branches stables, aucune n’est un 0-day, mais l’écart entre le correctif disponible et le noyau qui tourne sur vos machines reste le vrai risque.

Une vulnérabilité use-after-free dans le protocole SCTP du noyau Linux, vieille de 18 ans et baptisée SCTPhantom, permet à un attaquant local d’obtenir les privilèges root et de s’évader d’un conteneur. Le correctif est disponible depuis le 4 août 2026 — mettez à jour vos noyaux sans délai.

Une chaîne de vulnérabilités dans WordPress Core, baptisée XSS2Shell, permet à un attaquant non authentifié de transformer une simple tentative de connexion échouée en exécution de code PHP sur le serveur. Le correctif 7.0.3 est sorti le 6 août 2026 — 43 % du web doit l’appliquer maintenant.

Une campagne de ransomware automatisée baptisée RedLocker exploite des instances Redis exposées sans mot de passe pour chiffrer les données et exfiltrer les clés. Le 4 août 2026, 3 200 serveurs avaient déjà été touchés. Fermez votre port 6379 ou activez l’authentification Redis dès maintenant.

Le règlement européen 2024/2847, dit Cyber Resilience Act, entre en application progressive à partir de 2026. Il impose à tout éditeur commercialisant un produit logiciel dans l’UE de produire un SBOM complet, de corriger les vulnérabilités connues sous cinq jours ouvrés et de notifier les incidents critiques à l’ENISA sous 24 heures. Voici ce que votre organisation doit faire avant la première échéance contraignante.

Le 14 juillet 2026, Microsoft corrigeait une faille dans AD CS permettant à un utilisateur authentifié d’usurper un contrôleur de domaine. Le 27 juillet, le PoC est public — tout domaine non patché est prenable en quelques commandes.

Broadcom a dévoilé le 29 juillet 2026 trois vulnérabilités critiques dans VMware vCenter et ESXi, dont une VM escape et deux RCE sans authentification sur vCenter. Appliquez les correctifs sans délai : la compromission de vCenter équivaut au contrôle total de l’infrastructure virtualisée.