Le 25 octobre 2026, la chercheuse Erica Windisch publie « Tailworm », un rapport qui montre que le SSH de Tailscale, combiné au transfert de port, donne un accès root sur chaque serveur joignable dès qu’un seul appareil du maillage est compromis. Sans correctif ni CVE à ce jour, la parade immédiate tient en trois réglages : règles d’accès par paires, transfert de port désactivé et Tailnet Lock.

Le 20 octobre 2026, Unit 42 confirme que les ransomwares Spikey Scorpius (Qilin) et Tarnished Scorpius (Inc) exploitent encore CVE-2026-0257, la faille d’authentification des portails GlobalProtect corrigée depuis mai. Si vous avez une passerelle PAN-OS exposée, vérifiez la version et coupez le contournement d’authentification sans attendre.

Le 15 octobre 2026, Check Point confirme que CVE-2026-85102, une exécution de code pré-authentification dans le VPN de ses Security Gateway corrigée le 9 septembre, est désormais exploitée en masse contre les pare-feu Spark, et publie dans la foulée le correctif d’une zero-day du serveur de management. Appliquez les deux hotfixes, en commençant par vos serveurs de management, souvent moins surveillés que les passerelles.

Le 13 octobre 2026, Ivanti corrige CVE-2026-104935, un contournement d’authentification exploité en zero-day sur ses passerelles VPN Connect Secure, que Volexity relie à une chaîne de trois failles menant au root. La compromission ne laisse aucune trace détectable par l’outil d’intégrité du constructeur : il faut patcher en urgence et vérifier forensiquement chaque appliance.

Headplane, mis en avant le 9 octobre 2026 par selfh.st, ajoute à Headscale — la réimplémentation open source du serveur de contrôle de Tailscale — une interface web avec SSO OIDC, SSH à distance et gestion des réglages du tailnet. C’est la pièce qui manquait pour auto-héberger son propre réseau mesh sans renoncer à l’ergonomie.

Le 6 octobre 2026, le FBI et le Secret Service ont confirmé que la campagne FortiBleed a compromis plus de 86 644 équipements Fortinet exposés dans 194 pays, en réutilisant des identifiants volés et en cassant les mots de passe avec un cluster GPU. Il n’y a rien à patcher : la parade tient au MFA, au hachage PBKDF2 et au retrait de l’administration du pare-feu d’Internet.

SonicWall a corrigé le 6 octobre 2026 une faille SSRF pré-authentification (CVE-2026-102255, CVSS 10.0) dans ses appliances SMA 1000 ; depuis le 8 octobre, 135 tentatives d’exploitation ont été observées. Si vous exposez une SMA 1000, appliquez les hotfixes 12.4.3-03670 ou 12.5.0-03082 et vérifiez la présence de webshells.

Les appliances SD-WAN et VPN FatPipe MPVPN, WARP et IPVPN en firmware 10.1.2r60p100, en fin de vie, exposent une injection de commandes et un débordement de tampon qui donnent un shell root sans authentification. Montez vers une release supportée et restreignez l’interface de gestion, désactivée par défaut.

watchTowr documente deux zero-day d’exécution de code à distance dans Citrix NetScaler ADC et Gateway, déjà exploités avant qu’aucun correctif n’existe. Tant que Citrix n’a rien publié, la seule parade est l’isolement : préserver les preuves, couper l’appliance du réseau et garder la gestion hors d’Internet.

Le 22 septembre 2026, Check Point a publié un avis « Action Required » confirmant l’exploitation en conditions réelles de deux vulnérabilités notées CVSS 9,8 : CVE-2026-85102 dans le VPN du Security Gateway et le zero-day CVE-2026-93616 dans le serveur de Management. Appliquez les correctifs sans délai et traquez les connexions Mobile Access suspectes.

Check Point a corrigé le 9 septembre 2026 deux failles CVSS 9.8 dans la validation et le décodage de ses certificats VPN, exploitables sans authentification pour exécuter du code à distance. Le NCSC néerlandais juge l’exploitation imminente : appliquez le Live Patch ou le Jumbo Hotfix sans attendre.

Le 31 août 2026, Brad Fitzpatrick a publié tailcat, un paquet Go et un CLI open source qui expose le plan de données de Tailscale — WireGuard, NAT traversal et DERP — sans compte, sans IP et sans plan de contrôle. Utilisez-le pour relier deux machines isolées ou donner à un agent IA un accès jetable, sans privilège root.

Le 19 août 2026, Cloud Software Group publie un bulletin pour NetScaler ADC et NetScaler Gateway : CVE-2026-19490, un contournement d’authentification noté CVSS 9.3 exploitable à distance sans identifiants, et CVE-2026-19489, un déni de service noté 8.8. Toute appliance exposée doit être mise à niveau en urgence, après un triage guidé par la configuration SAML ou vserver.

Deux failles des passerelles VPN SonicWall SMA 1000 — un SSRF CVSS 10 et une injection de code — ont été exploitées en zero-day par INC Ransomware dès juillet 2026. Appliquer le correctif est nécessaire mais pas suffisant : les attaquants restaurent des versions vulnérables pour garder la main.

Le CISA a inscrit CVE-2026-33824, une exécution de code à distance dans Windows IKE, à son catalogue des failles activement exploitées le 18 août 2026, quatre mois après le correctif. Les équipes réseau doivent patcher les passerelles IPsec exposées ou bloquer les ports UDP 500 et 4500 sans attendre.

Un affilié du ransomware Akira a obtenu l’accès initial via un VPN SonicWall sans MFA, puis a redémarré la machine en mode sans échec pour neutraliser l’EDR le temps d’exfiltrer. Le récit de Huntress montre qu’un EDR n’est pas un filet de sécurité dès que l’attaquant détient des identifiants valides.

Le 13 août 2026, AWS publie la version 6.0 de son client VPN, reconstruite sur OpenVPN3, avec une CLI complète et des contrôles d’administration centralisés. Les équipes qui automatisent leurs accès distants peuvent désormais scripter les connexions sans outil tiers.

WireGuard est intégré au noyau Linux depuis mars 2020, Tailscale enchaîne sept ans de croissance continue, et Headscale dépasse les 42 000 étoiles GitHub mi-2026. Si vous auto-hébergez plus de deux services, un VPN mesh gratuit ou auto-contrôlé transforme votre accès distant sans configurer une seule règle de pare-feu.

Le NIST a publié le standard SP 800-207 en août 2020, l’administration Biden a imposé le Zero Trust à toutes les agences fédérales américaines en janvier 2022, et Google fait tourner BeyondCorp en interne depuis 2011 sans VPN. Si votre sécurité réseau repose encore sur l’idée qu’un paquet est propre parce qu’il arrive du LAN, vous avez déjà perdu.