Le 8 septembre 2026, ConnectWise a publié un correctif pour CVE-2026-84869, une autorisation manquante (CVSS 9.9) qui permet de transférer et d’exécuter des fichiers sur un poste pendant une session ScreenConnect active sans confirmation de l’utilisateur. Mettez le client à niveau vers la version 26.6.5, puis auditez les sessions et transferts de fichiers passés avant que l’accès distant ne devienne le point d’entrée de votre parc.

Le 8 septembre 2026, Google publie Chrome 153, qui corrige 230 vulnérabilités dont CVE-2026-87491, une écriture hors limites dans le moteur V8 déjà exploitée dans la nature. Mettez à jour vers 153.0.8010.36 ou supérieur avant l’échéance CISA du 23 septembre et vérifiez tous les navigateurs Chromium de votre parc, Edge, Brave et Opera compris.

Le 11 septembre 2026, GitLab publie une mise à jour hors cycle pour CVE-2026-85706, une traversée de chemin CVSS 10 qui lit des fichiers serveur sans authentification via l’API des commits. La faille est déjà sondée en conditions réelles — corrigez les instances auto-hébergées avant qu’un attaquant ne lise secrets.yml.

Le 10 septembre 2026, CISA inscrit deux failles MikroTik RouterOS — une authentification absente et une injection de commandes — au catalogue KEV après exploitation active. L’enchaînement ouvre une exécution de code à distance sans identifiants, et l’échéance de remédiation fédérale tombe le 13 septembre.

Le 9 septembre 2026, Cisco confirme que CVE-2026-20079, un contournement d’authentification noté CVSS 10.0 dans Secure Firewall Management Center, est exploité activement, alors que le correctif existait depuis mars. Les équipes réseau doivent patcher sans attendre, puis chercher les indicateurs de compromission avant de conclure que l’appareil est sain.

Corrigé en janvier 2026, le débordement de tas CVE-2025-25249 dans le démon cw_acd de FortiOS est désormais exploité dans la nature : la CISA l’a inscrit au KEV le 9 septembre 2026, alors que SOCRadar observe le RAT PivotC2 déployé sur 178 appareils. Les équipes réseau doivent monter en version les trains FortiOS exposés avant le 12 septembre, puis retirer l’accès fabric devenu inutile.

Le 27 août 2026, PaperCut a confirmé l’exploitation active de deux zero-days dans ses solutions d’impression NG et MF, chaînés en exécution de code sans authentification. Le premier correctif d’urgence a déjà été contourné : appliquez la seconde version et coupez l’accès Internet.

Le 30 juin 2026, Citrix classait la CVE-2026-8452 comme un simple débordement mémoire. Le 14 août, WatchTowr démontre qu’elle mène à une exécution de code pré-authentification, et le 26 août, la CISA l’inscrit au catalogue KEV avec une échéance fixée au 29 août. Les appliances configurées en serveur VPN ou AAA doivent être patchées aujourd’hui, sans attendre la confirmation officielle de l’exploitation.

Une écriture hors limites dans le traitement des fragments UDP IPv6 du noyau Linux, notée CVSS 7,8, permet à un utilisateur local d’élever ses privilèges et est déjà exploitée — la CISA l’a inscrite au catalogue KEV le 27 août 2026. Mettez à jour le noyau avant le 30 août et traitez IPv6 comme une surface à superviser, pas seulement à router.

CVE-2023-49105, une faille d’authentification WebDAV notée CVSS 9,8 et corrigée par ownCloud fin 2023, est aujourd’hui activement exploitée — la CISA l’a inscrite au catalogue KEV le 27 août 2026. Recensez vos instances ownCloud 10.x exposées, passez en 10.13.1 ou plus et traitez-les comme des compromissions possibles.

CVE-2026-60004, une injection de code critique dans Gitea, est exploitée dans la nature depuis le 25 août 2026 : un attaquant peut exécuter des commandes comme l’utilisateur système de la forge. Les instances auto-hébergées avec inscription ouverte sont les premières visées ; la correction tient en une mise à jour et une désactivation.

CVE-2026-21962, un défaut de contrôle d’accès noté 10.0 dans le plug-in proxy WebLogic d’Oracle, corrigé lors du CPU de janvier 2026, a rejoint le catalogue KEV de CISA le 24 août avec une exploitation active confirmée. Appliquez le correctif de janvier avant le 27 août et dressez l’inventaire de votre tier middleware, trop souvent absent des scans.

Le 19 août 2026, la CISA a inscrit CVE-2026-64849, une SSRF non authentifiée dans MLflow, à son catalogue des vulnérabilités activement exploitées. Tout serveur de tracking MLflow exposé doit passer en 3.15.0 et couper les webhooks inutilisés avant l’échéance du 2 septembre 2026.

CVE-2026-73570, une injection de commandes OS dans le composant SNMP de Zimbra Collaboration, est exploitée activement et a rejoint le catalogue KEV de CISA le 21 août 2026, avec une échéance fédérale au 24 août. Corrigez vers la 10.1.20 et traquez l’intrus dans les journaux, pas seulement le correctif.

CVE-2026-72529 (CVSS 9,8) et CVE-2026-72530 ont rejoint le catalogue KEV de CISA le 20 août 2026, six semaines après un correctif que la campagne Head Mare a déjà contourné. Les opérateurs TrueConf Server doivent corriger, puis prouver que leur serveur n’a pas été transformé en relais de distribution malveillante.

Le CISA a inscrit CVE-2026-33824, une exécution de code à distance dans Windows IKE, à son catalogue des failles activement exploitées le 18 août 2026, quatre mois après le correctif. Les équipes réseau doivent patcher les passerelles IPsec exposées ou bloquer les ports UDP 500 et 4500 sans attendre.

Le 5 août 2026, la CISA a inscrit trois vulnérabilités critiques au catalogue KEV : CVE-2026-9198 dans IBM Langflow (CVSS 9.8), CVE-2026-18576 dans N-able N-central, et CVE-2026-34486 dans Apache Tomcat. Les agences fédérales doivent patcher immédiatement.