Le 2 septembre 2026, Dropbox a révélé qu’un attaquant avait accédé à environ 5 000 comptes en exploitant une faille de vérification d’e-mail dans l’identité Lenovo, sans jamais connaître le mot de passe Dropbox. Auditez chaque liaison de fédération d’identité que votre entreprise accepte et imposez une ré-authentification sur les connexions SSO.
Deux failles d’authentification dans le plugin miniOrange SAML 2.0 Single Sign On pour WordPress, exploitées depuis la mi-août 2026, permettent de devenir administrateur sans identifiant. Les six éditions payantes n’ayant jamais fait l’objet d’un avis public, aucun scanner de vulnérabilités ne pouvait les détecter.
Le 9 août 2026, Planka publie la version 2.2.0, qui retire l’authentification OIDC/SSO de l’édition communautaire et désactive les comptes qui en dépendaient. Avant de mettre à jour, créez un administrateur local, sinon l’instance peut devenir inaccessible.
Authentik s’impose en 2026 comme le fournisseur d’identité de référence pour le self-hosting, devant Authelia et Keycloak. Un Docker Compose, cinq minutes de configuration, et tous vos services partagent le même login, la même MFA et le même annuaire.
