Le 16 octobre 2026, la bibliothèque d’images Python Pillow publie sa version 13.0.0, qui corrige CVE-2026-112900 : un nom de fichier contrôlé par l’attaquant est passé à Ghostscript et exécute des commandes sur le serveur. Mettez à niveau tout pipeline Python qui ouvre des images, car la faille touche une bibliothèque téléchargée environ 436 millions de fois par mois.

Le 22 octobre 2026, deux failles d’exécution de code à distance cotées CVSS 9.0 dans KSMBD, le serveur SMB intégré au noyau Linux, circulent publiquement sans correctif dans le noyau principal. L’une est exploitable sans authentification sur le port 445 : vérifiez immédiatement si le module est chargé sur vos serveurs.

Le 21 octobre 2026, Node.js publie des correctifs de sécurité pour ses trois lignes supportées (22.x, 24.x, 26.x) et corrige dix failles, dont une écriture hors limites dans le décodeur Brotli (CVE-2026-111497) pouvant mener à une exécution de code à distance. Aucun contournement n’étant proposé, la mise à jour vers 22.23.4, 24.22.1 ou 26.12.1 est la seule parade.

Le 16 octobre 2026, le chercheur Zach Main publie Plex2Shell, une chaîne de quatre failles — CVE-2026-96652, 96654, 96655 et 96656 — permettant une exécution de code non authentifiée sur Plex Media Server. Dès le 17 octobre, des attaquants déploient un mineur XMRig et un proxy résidentiel sur les serveurs exposés : passez à la version 1.43.3.10861 et sortez Plex d’Internet.

Le 21 octobre 2026, PHP publie les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger CVE-2026-109618 et CVE-2026-109619, deux exécutions de code à distance non authentifiées présentes depuis PHP 5.4. Elles touchent 70 % des sites web, y compris WordPress, Drupal et Joomla : mettez à jour le moteur PHP, pas seulement vos applications.

Le 20 octobre 2026, le NVD publie cinq CVE critiques — de 9,8 à 9,9 — sur les frameworks d’agents IA Letta, Langchain-Chatchat, DB-GPT et Piflow : des endpoints d’exécution d’outils sans authentification et des bases de données livrées avec des identifiants par défaut. Si vous déployez un de ces frameworks, coupez-le de l’Internet tant que vous n’avez pas vérifié la version et l’exposition des ports.

Le 18 octobre 2026, JPCERT/CC et l’éditeur e-guardian confirment que CVE-2026-106931, une injection de commandes OS dans la fonction de statistiques du WAF SiteGuard Server Edition, est exploitée dans la nature. Avant de patcher, téléchargez les informations de diagnostic : la remédiation peut effacer les traces de l’attaque.

Le 15 octobre 2026, Check Point confirme que CVE-2026-85102, une exécution de code pré-authentification dans le VPN de ses Security Gateway corrigée le 9 septembre, est désormais exploitée en masse contre les pare-feu Spark, et publie dans la foulée le correctif d’une zero-day du serveur de management. Appliquez les deux hotfixes, en commençant par vos serveurs de management, souvent moins surveillés que les passerelles.

Le 12 octobre 2026, GitLab publie 19.4.2, 19.3.5 et 19.2.8 pour corriger CVE-2026-97229, un dépassement d’entier dans le compilateur d’expressions régulières des pipelines CI/CD qui permet une exécution de code à distance sans authentification. Si vous hébergez GitLab vous-même, passez immédiatement sur une version corrigée et traitez vos fichiers .gitlab-ci.yml comme du code, pas comme de la configuration.

Le 14 octobre 2026, Palo Alto Networks corrige CVE-2026-0322, une injection de code dans l’interface de gestion de PAN-OS qui donne la main root à un attaquant authentifié, et confirme une exploitation déjà observée. Patchez avant le 17 octobre et vérifiez que votre interface de gestion n’est pas exposée à Internet.

Le 12 octobre 2026, GitLab a publié un correctif critique refermant 24 failles, dont CVE-2026-97229, un débordement d’entier à CVSS 10,0 dans le compilateur d’expressions régulières du CI/CD, exploitable sans authentification. Tout administrateur d’une instance auto-hébergée doit passer en 19.4.2, 19.3.5 ou 19.2.8 sans attendre, car cette faille ne demande même plus de compte.

CVE-2026-84411, noté CVSS 9,8, est un underflow d’entier dans le service d’administration web de RouterOS, exploitable avant authentification par une seule requête forgée pour exécuter du code en root. Tout routeur MikroTik dont l’interface web est joignable depuis Internet doit passer en 7.24 ou retirer cette interface du réseau.

Le 9 octobre 2026, Citrix publie un correctif pour CVE-2026-107406, un débordement mémoire qui permet d’exécuter du code à distance ou de faire planter NetScaler ADC et Gateway configurés en fournisseur ou consommateur SAML. Passez en 14.1-73.46 ou 13.1-64.29, ou désactivez la configuration SAML si elle ne sert pas.

Le 7 octobre 2026, JFrog révèle la faille CVE-2026-105192, une exécution de code à distance non authentifiée de gravité 9,8 dans LMCache, le cache qui accélère les serveurs LLM comme vLLM, sans correctif disponible. Si votre cache LMCache écoute sur une adresse routable, isolez-le immédiatement plutôt que d’attendre un patch.

Le 7 octobre 2026, Cisco publie cinq correctifs critiques pour NX-OS, le système des switches Nexus 3000 et 9000 : une requête forgée peut exécuter du code avec les droits root, sinon planter le processus et forcer un redémarrage. Vérifiez si NX-API, NGOAM ou MPLS OAM est activé sur vos équipements, puis patchez ou désactivez ces fonctions.

Les appliances SD-WAN et VPN FatPipe MPVPN, WARP et IPVPN en firmware 10.1.2r60p100, en fin de vie, exposent une injection de commandes et un débordement de tampon qui donnent un shell root sans authentification. Montez vers une release supportée et restreignez l’interface de gestion, désactivée par défaut.

Mandiant et Google Threat Intelligence attribuent la CVE-2026-88772 à un acteur étatique qui exploite la faille DTLS de NetScaler depuis début septembre, chez des dizaines d’organisations. Mettre à jour ne suffit pas : il faut chercher les web shells et pivoter les identifiants volés.

Le 23 septembre 2026, GitLab a publié un correctif critique pour 19.4.1, 19.3.3 et 19.2.7, refermant deux exécutions de code à distance à CVSS 9,9 dans l’analyseur d’expressions régulières du pipeline, déclenchables par un simple fichier .gitlab-ci.yml forgé. Tout utilisateur authentifié capable d’éditer une configuration CI/CD devient un vecteur : corrigez les instances auto-hébergées immédiatement.

watchTowr documente deux zero-day d’exécution de code à distance dans Citrix NetScaler ADC et Gateway, déjà exploités avant qu’aucun correctif n’existe. Tant que Citrix n’a rien publié, la seule parade est l’isolement : préserver les preuves, couper l’appliance du réseau et garder la gestion hors d’Internet.

Microsoft présentait CVE-2026-65660 comme un spoofing à CVSS 6,5 ; le chercheur Dinh Ho Anh Khoa démontre qu’il s’agit d’une injection de code (CWE-94) aboutissant à une exécution de code à distance authentifiée, et la CISA l’a ajoutée au KEV le 25 septembre 2026 après des attaques observées. Appliquez le correctif du 11 août et auditez vos serveurs SharePoint 2016, 2019 et Subscription Edition.

Le 22 septembre 2026, WordPress a publié la version 7.1.2 pour corriger CVE-2026-87902, une faille critique qui permet à un attaquant non authentifié d’inclure un fichier PHP local dans la résolution de template et, sous conditions, d’exécuter du code. Mettez à jour immédiatement, en particulier les sites sans mise à jour automatique.

Le 17 septembre 2026, SolarWinds a publié un correctif pour CVE-2026-28326, une exécution de code à distance sans authentification dans Access Rights Manager causée par une clé statique codée en dur. Appliquez la 2026.2.1 sans attendre et auditiez vos outils de gouvernance d’accès à la recherche de secrets en dur.

Le 19 septembre 2026, Fortinet a confirmé l’exploitation active de CVE-2026-58138, une exécution de code à distance sans authentification dans Orkes Conductor publiée au NVD dès le 30 juin. Mettez à niveau vers 3.30.2 et traitez toute instance exposée comme compromise.

Le 1er septembre 2026, l’avis HPESBNW05134 corrige plus de vingt vulnérabilités dans ArubaOS-CX, dont deux bugs indépendants — CVE-2026-73749 (CVSS 9.8) et CVE-2026-73782 — qui donnent chacun l’exécution de code sans authentification sur un commutateur. Isolez le plan de gestion et appliquez la branche corrigée avant qu’un exploit public ne transforme ces failles en campagne de masse.

Le 10 septembre 2026, CISA inscrit deux failles MikroTik RouterOS — une authentification absente et une injection de commandes — au catalogue KEV après exploitation active. L’enchaînement ouvre une exécution de code à distance sans identifiants, et l’échéance de remédiation fédérale tombe le 13 septembre.

La forge auto-hébergée Forgejo a publié les versions 16.0.4 et 15.0.8 le 10 septembre pour corriger un RCE critique né de l’expansion de template, accompagné de trois failles d’autorisation qui partagent la même cause racine. Tout ce qui tourne en 16.0.3 ou avant doit être corrigé, et l’inventaire des jetons à portée réduite doit être revu.

Le 9 septembre 2026, SAP publie des correctifs pour quatre failles critiques, dont CVE-2026-44756 (CVSS 10.0), un défaut de corruption mémoire dans le traitement de l’Extended Passport qui permet une exécution de code à distance sans authentification via trois protocoles à la fois. Les équipes Basis doivent patcher le noyau SAP en priorité, avant toute considération de segmentation réseau.

Le Patch Tuesday du 8 septembre 2026 corrige neuf failles d’exécution de code à distance dans Windows DNS Server, dont CVE-2026-69730, un use-after-free à CVSS 9,8 exploitable par un seul paquet forgé. Priorisez la mise à jour des serveurs qui portent le rôle DNS et segmentez le port 53 avant l’apparition d’un exploit public.

Sansec documente StyleSmuggler, un zero-day de Magento et Adobe Commerce exploité depuis le 4 septembre 2026, qui exécute du code sans authentification via le moteur de templates et installe un backdoor persistant. Adobe n’a encore publié ni CVE ni correctif : désactivez GraphQL sur vos boutiques en attendant le bulletin du 8 septembre.

Cisco a divulgué le 2 septembre 2026 une vulnérabilité CVSS 9.8 (CVE-2026-20212) qui expose les ports TCP 43210 et 43211 de dix commutateurs Nexus 9000 à une exécution de code à distance en root, sans authentification. Appliquez sans attendre un iACL sur ces deux ports et le shield Live Protect lp00031, puis vérifiez votre version dans le Software Checker.

Le 1er septembre 2026, VulnCheck observe l’exploitation en masse de CVE-2026-0768, une exécution de code non authentifiée dans Langflow, pour récolter les clés OpenAI et AWS des instances exposées. C’est la sixième faille de Langflow exploitée depuis janvier : toute instance à jour avant la 1.11.6 doit être traitée comme compromise.

Le 27 août 2026, GiveWP a corrigé la CVE-2026-82222, une chaîne de trois failles qui transforme un formulaire de don WordPress en exécution de commandes à distance, sans authentification réelle. Les administrateurs doivent passer en 4.16.7.2 et vérifier qu’aucun compte parasite n’a été créé, même si l’inscription était désactivée.

Le 30 juin 2026, Citrix classait la CVE-2026-8452 comme un simple débordement mémoire. Le 14 août, WatchTowr démontre qu’elle mène à une exécution de code pré-authentification, et le 26 août, la CISA l’inscrit au catalogue KEV avec une échéance fixée au 29 août. Les appliances configurées en serveur VPN ou AAA doivent être patchées aujourd’hui, sans attendre la confirmation officielle de l’exploitation.

CVE-2026-60004, une injection de code critique dans Gitea, est exploitée dans la nature depuis le 25 août 2026 : un attaquant peut exécuter des commandes comme l’utilisateur système de la forge. Les instances auto-hébergées avec inscription ouverte sont les premières visées ; la correction tient en une mise à jour et une désactivation.

Une vulnérabilité de désérialisation dans Entra ID, le service d’identité cloud de Microsoft, permettait l’exécution de code à distance sans authentification — notée CVSS 10.0 et corrigée côté serveur sans action client. Le RSSI doit comprendre ce que « aucune action requise » exige réellement de lui.

La protection anti-navigateur de Ray reposait sur un en-tête User-Agent commençant par « Mozilla », que l’API fetch de Firefox et Safari permet de falsifier. Combinée à un rebinding DNS, elle devient une RCE déclenchée par une simple visite, ajoutée au catalogue KEV de la CISA le 17 août 2026 avec une échéance au 20 août.

CVE-2026-73678, notée CVSS 10, permet à un attaquant sans compte d’exécuter des commandes système sur la plateforme MindsDB en passant par l’outil scratchpad de l’agent Anton. Si vous exposez une instance MindsDB, coupez l’accès public avant même d’attendre un correctif.

Révélée le 12 août 2026, une injection SQL non authentifiée dans la fonction jsonArrayContains de GeoServer peut mener à une exécution de code à distance, et aucune rustine n’est encore publiée. Les attaquants sondent déjà les instances exposées : isolez-les avant le correctif.

Le 2 août 2026, Gitea a publié un correctif critique pour CVE-2026-59774, une vulnérabilité de traversée de chemin qui permet à un attaquant non authentifié de lire n’importe quel fichier du serveur via le rendu Org-mode d’un dépôt public. Pire : en lisant le INTERNAL_TOKEN dans app.ini, l’attaquant peut escalader vers une exécution de code distante. Tout administrateur auto-hébergeant Gitea doit patcher et pivoter ses secrets immédiatement.

Une chaîne de vulnérabilités dans WordPress Core, baptisée XSS2Shell, permet à un attaquant non authentifié de transformer une simple tentative de connexion échouée en exécution de code PHP sur le serveur. Le correctif 7.0.3 est sorti le 6 août 2026 — 43 % du web doit l’appliquer maintenant.

Le 1er août 2026, l'équipe Rails a corrigé CVE-2026-66066, une vulnérabilité critique dans Active Storage permettant la lecture arbitraire de fichiers et l'escalade vers une RCE via libvips. Akamai a baptisé la chaîne 'KindaRails2Shell' et confirmé le potentiel d'exécution de code à distance.

CVE-2026-16723 (CVSS 9.0) permet l’exécution de code à distance sans authentification sur Fastjson 1.x, sans correctif possible. Activez SafeMode immédiatement et planifiez votre migration vers Fastjson 2.x.

CVE-2026-61511 permet l’exécution de code PHP sans authentification via le rendu de templates vBulletin 5.x et 6.x. Un exploit public est disponible et la branche 5.x ne recevra aucun correctif.

Broadcom a dévoilé le 29 juillet 2026 trois vulnérabilités critiques dans VMware vCenter et ESXi, dont une VM escape et deux RCE sans authentification sur vCenter. Appliquez les correctifs sans délai : la compromission de vCenter équivaut au contrôle total de l’infrastructure virtualisée.

JetBrains a divulgué le 27 juillet 2026 une vulnérabilité critique (CVE-2026-63077, CVSS 9.8) dans TeamCity On-Premises permettant l’exécution de code à distance sans authentification. Toutes les instances auto-hébergées sont concernées — la mise à jour est immédiate même sans exploitation active connue.