Le 25 octobre 2026, la chercheuse Erica Windisch publie « Tailworm », un rapport qui montre que le SSH de Tailscale, combiné au transfert de port, donne un accès root sur chaque serveur joignable dès qu’un seul appareil du maillage est compromis. Sans correctif ni CVE à ce jour, la parade immédiate tient en trois réglages : règles d’accès par paires, transfert de port désactivé et Tailnet Lock.
La version 10.6 d’OpenSSH, publiée le 6 octobre 2026, désactive le codeur LZ77 de la compression SSH et refuse les caractères dollar et antislash dans les noms d’utilisateur passés en ligne de commande. Si vos transferts automatisés comptent sur la compression SSH ou si vos scripts construisent des identifiants depuis des entrées externes, vérifiez ces deux points avant de mettre à jour.
CERT Polska documente la chaîne « MikroTrick » : deux failles SSH de RouterOS, CVE-2026-67279 et CVE-2026-86060, donnent ensemble le contrôle administrateur complet d’un routeur exposé, sans mot de passe ni clé SSH. La CISA a ajouté CVE-2026-67279 à son catalogue KEV le 25 septembre 2026 : patchez en 6.49.21, 7.23.4 ou 7.24.2 et cherchez les traces de compromission.
CERT Polska révèle que des attaquants prennent le contrôle administratif complet de routeurs MikroTik dont le SSH est accessible depuis Internet, sans authentification. Mettez à jour RouterOS et auditez la configuration avant toute remise en service.
OpenSSH 10.4 date de juillet 2026, le multiplexing fait gagner 5 secondes par connexion, et les certificats SSH remplacent vos authorized_keys depuis 2010 sans que personne ne le sache. Si vous tapez encore votre mot de passe pour vous connecter à un serveur, cet article est pour vous.
