Le Patch Tuesday du 8 septembre 2026 bat un record avec 964 CVE, dont deux zero-day déjà exploitées dans la nature, CVE-2026-81963 et CVE-2026-85880. Triez le bulletin par exploitabilité — zero-day, puis RCE exposées sur Internet — plutôt que par score brut.
Un chercheur publie FalconFlank, un zero-day qui détourne la remédiation des macros Office de CrowdStrike Falcon pour obtenir les privilèges SYSTEM sur des Windows 11 et Server à jour. Désactivez la stratégie de suppression des macros suspectes en attendant le correctif officiel.
Sansec documente StyleSmuggler, un zero-day de Magento et Adobe Commerce exploité depuis le 4 septembre 2026, qui exécute du code sans authentification via le moteur de templates et installe un backdoor persistant. Adobe n’a encore publié ni CVE ni correctif : désactivez GraphQL sur vos boutiques en attendant le bulletin du 8 septembre.
Le 4 septembre 2026, Google publie une mise à jour d’urgence de Chrome qui corrige CVE-2026-85046, une confusion de types dans le moteur V8 déjà exploitée dans la nature et notée 8,8 au CVSS. Mettez à jour vers Chrome 152.0.7977.82 ou supérieur et vérifiez tous les navigateurs Chromium de votre parc, Edge, Brave et Opera compris.
Le 1er septembre 2026, SonicWall révèle deux failles de la gamme SMA 1000 — un SSRF pré-authentification (CVE-2026-83548, CVSS 10) et une injection de commandes (CVE-2026-83549) — déjà exploitées ensemble pour obtenir un RCE sans s’authentifier. Appliquez le hotfix immédiatement et, en cas de compromission confirmée, réimagez l’appliance plutôt que de la rafistoler.
Le 27 août 2026, PaperCut a confirmé l’exploitation active de deux zero-days dans ses solutions d’impression NG et MF, chaînés en exécution de code sans authentification. Le premier correctif d’urgence a déjà été contourné : appliquez la seconde version et coupez l’accès Internet.
Deux failles des passerelles VPN SonicWall SMA 1000 — un SSRF CVSS 10 et une injection de code — ont été exploitées en zero-day par INC Ransomware dès juillet 2026. Appliquer le correctif est nécessaire mais pas suffisant : les attaquants restaurent des versions vulnérables pour garder la main.
Révélée le 12 août 2026, une injection SQL non authentifiée dans la fonction jsonArrayContains de GeoServer peut mener à une exécution de code à distance, et aucune rustine n’est encore publiée. Les attaquants sondent déjà les instances exposées : isolez-les avant le correctif.
Le 11 août 2026, le chercheur Nightmare Eclipse a publié ShieldBreak, un PoC qui contourne le correctif de CVE-2026-50656 (RoguePlanet), la faille de Microsoft Defender corrigée en juillet. Des analystes indépendants confirment qu’il fonctionne, et Microsoft n’a pas encore publié de nouveau correctif.
Le Patch Tuesday du 11 août 2026 apporte 421 correctifs, dont un zero-day déjà exploité (CVE-2026-68820) par le groupe nord-coréen Lazarus et deux failles réseau exploitables sans authentification. Voici l’ordre de correction qui protège réellement votre parc, avant la surcharge du volume.
Le 8 août 2026, Metabase a révélé qu’une injection SQL critique (CVSS 10.0) était exploitée dans la nature avant même la publication du correctif. La faille permet à un attaquant non authentifié d’obtenir les droits administrateur et de siphonner toutes les bases de données connectées. Tout administrateur auto-hébergeant Metabase doit patcher, révoquer les sessions et pivoter les secrets immédiatement.
Cisco a divulgué le 29 juillet 2026 deux vulnérabilités zero-day dans Secure Firewall Management Center : des identifiants statiques codés en dur (CVE-2026-20316) et un bypass d’authentification CVSS 10.0 (CVE-2026-20079). Vérifiez vos logs immédiatement, les deux failles partagent le même indicateur de compromission.
CVE-2026-16723 (CVSS 9.0) permet l’exécution de code à distance sans authentification sur Fastjson 1.x, sans correctif possible. Activez SafeMode immédiatement et planifiez votre migration vers Fastjson 2.x.
De l’IA devenue arme offensive à la guerre des licences qui fracture l’open source, le premier semestre 2026 a marqué une bifurcation durable. Voici ce que chaque RSSI et responsable infrastructure doit retenir pour le second semestre.
Le 31 mars 2026, Google a corrigé en urgence CVE-2026-5281, un use-after-free dans Dawn, l’implémentation WebGPU de Chromium, déjà exploité dans la nature. C’est le quatrième zero-day Chrome de 2026 en quatre mois — et le signal que les API graphiques bas niveau sont devenues la nouvelle frontière de l’exploitation navigateur.
Le groupe a systématiquement exploité les failles CVE-2024-50623 et CVE-2024-55956 dans les produits MFT de Cleo entre octobre et décembre 2024, touchant plus de 180 organisations. Le correctif d’octobre n’a pas tenu ; un second CVE a dû être émis six semaines plus tard.
Microsoft publie un correctif d’urgence hors cycle pour CVE-2026-21509 le 26 janvier 2026. Vingt-quatre heures plus tard, APT28 l’exploite contre des institutions gouvernementales et le secteur financier : le délai de course entre divulgation et exploitation est désormais mesuré en heures.
