Le 8 août 2026, Metabase a révélé qu’une injection SQL critique (CVSS 10.0) était exploitée dans la nature avant même la publication du correctif. La faille permet à un attaquant non authentifié d’obtenir les droits administrateur et de siphonner toutes les bases de données connectées. Tout administrateur auto-hébergeant Metabase doit patcher, révoquer les sessions et pivoter les secrets immédiatement.

CVE-2026-65667 est une élévation de privilèges non authentifiée dans Microsoft Teams, classée CVSS 10.0, publiée le 6 août 2026 hors cycle Patch Tuesday. L’avis ne précise ni le composant affecté ni la build corrigée — ce que les RSSI doivent faire en attendant.