La forge auto-hébergée Forgejo a publié les versions 16.0.4 et 15.0.8 le 10 septembre pour corriger un RCE critique né de l’expansion de template, accompagné de trois failles d’autorisation qui partagent la même cause racine. Tout ce qui tourne en 16.0.3 ou avant doit être corrigé, et l’inventaire des jetons à portée réduite doit être revu.

Le 9 septembre 2026, SAP publie des correctifs pour quatre failles critiques, dont CVE-2026-44756 (CVSS 10.0), un défaut de corruption mémoire dans le traitement de l’Extended Passport qui permet une exécution de code à distance sans authentification via trois protocoles à la fois. Les équipes Basis doivent patcher le noyau SAP en priorité, avant toute considération de segmentation réseau.

Le Patch Tuesday du 8 septembre 2026 corrige neuf failles d’exécution de code à distance dans Windows DNS Server, dont CVE-2026-69730, un use-after-free à CVSS 9,8 exploitable par un seul paquet forgé. Priorisez la mise à jour des serveurs qui portent le rôle DNS et segmentez le port 53 avant l’apparition d’un exploit public.

Sansec documente StyleSmuggler, un zero-day de Magento et Adobe Commerce exploité depuis le 4 septembre 2026, qui exécute du code sans authentification via le moteur de templates et installe un backdoor persistant. Adobe n’a encore publié ni CVE ni correctif : désactivez GraphQL sur vos boutiques en attendant le bulletin du 8 septembre.

Cisco a divulgué le 2 septembre 2026 une vulnérabilité CVSS 9.8 (CVE-2026-20212) qui expose les ports TCP 43210 et 43211 de dix commutateurs Nexus 9000 à une exécution de code à distance en root, sans authentification. Appliquez sans attendre un iACL sur ces deux ports et le shield Live Protect lp00031, puis vérifiez votre version dans le Software Checker.

Le 1er septembre 2026, VulnCheck observe l’exploitation en masse de CVE-2026-0768, une exécution de code non authentifiée dans Langflow, pour récolter les clés OpenAI et AWS des instances exposées. C’est la sixième faille de Langflow exploitée depuis janvier : toute instance à jour avant la 1.11.6 doit être traitée comme compromise.

Le 27 août 2026, GiveWP a corrigé la CVE-2026-82222, une chaîne de trois failles qui transforme un formulaire de don WordPress en exécution de commandes à distance, sans authentification réelle. Les administrateurs doivent passer en 4.16.7.2 et vérifier qu’aucun compte parasite n’a été créé, même si l’inscription était désactivée.

Le 30 juin 2026, Citrix classait la CVE-2026-8452 comme un simple débordement mémoire. Le 14 août, WatchTowr démontre qu’elle mène à une exécution de code pré-authentification, et le 26 août, la CISA l’inscrit au catalogue KEV avec une échéance fixée au 29 août. Les appliances configurées en serveur VPN ou AAA doivent être patchées aujourd’hui, sans attendre la confirmation officielle de l’exploitation.

CVE-2026-60004, une injection de code critique dans Gitea, est exploitée dans la nature depuis le 25 août 2026 : un attaquant peut exécuter des commandes comme l’utilisateur système de la forge. Les instances auto-hébergées avec inscription ouverte sont les premières visées ; la correction tient en une mise à jour et une désactivation.

Une vulnérabilité de désérialisation dans Entra ID, le service d’identité cloud de Microsoft, permettait l’exécution de code à distance sans authentification — notée CVSS 10.0 et corrigée côté serveur sans action client. Le RSSI doit comprendre ce que « aucune action requise » exige réellement de lui.

La protection anti-navigateur de Ray reposait sur un en-tête User-Agent commençant par « Mozilla », que l’API fetch de Firefox et Safari permet de falsifier. Combinée à un rebinding DNS, elle devient une RCE déclenchée par une simple visite, ajoutée au catalogue KEV de la CISA le 17 août 2026 avec une échéance au 20 août.

CVE-2026-73678, notée CVSS 10, permet à un attaquant sans compte d’exécuter des commandes système sur la plateforme MindsDB en passant par l’outil scratchpad de l’agent Anton. Si vous exposez une instance MindsDB, coupez l’accès public avant même d’attendre un correctif.

Révélée le 12 août 2026, une injection SQL non authentifiée dans la fonction jsonArrayContains de GeoServer peut mener à une exécution de code à distance, et aucune rustine n’est encore publiée. Les attaquants sondent déjà les instances exposées : isolez-les avant le correctif.

Le 2 août 2026, Gitea a publié un correctif critique pour CVE-2026-59774, une vulnérabilité de traversée de chemin qui permet à un attaquant non authentifié de lire n’importe quel fichier du serveur via le rendu Org-mode d’un dépôt public. Pire : en lisant le INTERNAL_TOKEN dans app.ini, l’attaquant peut escalader vers une exécution de code distante. Tout administrateur auto-hébergeant Gitea doit patcher et pivoter ses secrets immédiatement.

Une chaîne de vulnérabilités dans WordPress Core, baptisée XSS2Shell, permet à un attaquant non authentifié de transformer une simple tentative de connexion échouée en exécution de code PHP sur le serveur. Le correctif 7.0.3 est sorti le 6 août 2026 — 43 % du web doit l’appliquer maintenant.

Le 1er août 2026, l'équipe Rails a corrigé CVE-2026-66066, une vulnérabilité critique dans Active Storage permettant la lecture arbitraire de fichiers et l'escalade vers une RCE via libvips. Akamai a baptisé la chaîne 'KindaRails2Shell' et confirmé le potentiel d'exécution de code à distance.

CVE-2026-16723 (CVSS 9.0) permet l’exécution de code à distance sans authentification sur Fastjson 1.x, sans correctif possible. Activez SafeMode immédiatement et planifiez votre migration vers Fastjson 2.x.

CVE-2026-61511 permet l’exécution de code PHP sans authentification via le rendu de templates vBulletin 5.x et 6.x. Un exploit public est disponible et la branche 5.x ne recevra aucun correctif.

Broadcom a dévoilé le 29 juillet 2026 trois vulnérabilités critiques dans VMware vCenter et ESXi, dont une VM escape et deux RCE sans authentification sur vCenter. Appliquez les correctifs sans délai : la compromission de vCenter équivaut au contrôle total de l’infrastructure virtualisée.

JetBrains a divulgué le 27 juillet 2026 une vulnérabilité critique (CVE-2026-63077, CVSS 9.8) dans TeamCity On-Premises permettant l’exécution de code à distance sans authentification. Toutes les instances auto-hébergées sont concernées — la mise à jour est immédiate même sans exploitation active connue.