Catégorie
Analyse approfondie
Analyses approfondies des vulnérabilités récemment publiées : qui est concerné, comment corriger, et comment fonctionne la faille.
PolyShell : RCE exploitée dans Magento et Adobe Commerce (CVE-2026-48356)
PolyShell (CVE-2026-48356) permet un téléversement non authentifié dans l'API REST de Magento, exploité massivement depuis mars 2026 ; les correctifs Adobe de juillet 2026 la corrigent.
28 octobre 2026
AuthMask : vol de jetons dans Microsoft Authenticator pour Android (CVE-2026-80097)
Avant 6.2606.4246, Microsoft Authenticator pour Android transmettait les jetons professionnels à ...
27 octobre 2026
Contournement de signature JWS dans Authlib, corrigé dans la version 1.9.0 (CVE-2026-96760)
Jusqu'à la version 1.8.0, Authlib considère un objet JWS JSON au tableau de signatures vide comme...
27 octobre 2026
Tailworm : élévation de privilèges vers root dans Tailscale SSH
Le démon root de Tailscale SSH se connecte aux sockets Unix et les remplace pour les utilisateurs...
27 octobre 2026
Autres articles de la catégorie Analyse approfondie
Des archives malveillantes de la CLI OVHcloud volent les secrets
Les archives remplacées de cinq versions de la CLI OVHcloud ont distribué un build voleur de secrets pendant 94 minutes le 19 octobre 2026 ; renouvelez tous les secrets et installez v0.16.0.
26 octobre 2026
OpenCode : RCE lors de la connexion OAuth MCP sur Windows, corrigée dans 1.18.33
Dans OpenCode 1.0.137 à 1.18.32 sur Windows et WSL, l’URL de connexion OAuth d’un serveur MCP malveillant atteint PowerShell et exécute du code sous l’identité du développeur ; corrigé dans 1.18.33, sans CVE.
26 octobre 2026
Faille Linux KSMBD avant authentification : RCE notée CVSS 9.0 par ZDI, aucun correctif publié à ce jour (ZDI-CAN-33774)
Deux failles de KSMBD, le serveur SMB intégré au noyau Linux, sont notées CVSS 9.0 par ZDI. L’une est accessible avant authentification ; aucun noyau publié n’est corrigé et aucun identifiant CVE n’est encore attribué.
26 octobre 2026
FortiSIEM : RCE par traversée de répertoires gRPC avec une PoC publique (CVE-2026-106173)
Le service gRPC non authentifié de FortiSIEM 7.5.0 sur TCP 27918 permet d’écraser des fichiers pour exécuter du code à distance ; corrigé en 7.5.1, PoC publique, aucune exploitation connue.
26 octobre 2026
Prise de contrôle complète de Postiz par tout utilisateur inscrit (CVE-2026-115931, CVE-2026-115932, CVE-2026-115933)
Dans Postiz auto-hébergé 2.23.0 à 2.25.2, tout utilisateur inscrit peut lire les fichiers du serveur ; dans 2.15.0 à 2.25.2, il peut forger des jetons de connexion pour prendre le contrôle d'autres organisations. Corrigé dans 2.25.3.
26 octobre 2026
Pillow : RCE par injection d’arguments Ghostscript (CVE-2026-112900)
Pillow 2.6.0 à 12.3.0 transmet sans assainissement à Ghostscript un nom de fichier EPS ou PostScript contrôlé par l’attaquant, permettant une injection d’arguments et une exécution de commandes ; corrigé dans 13.0.0.
26 octobre 2026
GitLab : RCE sans authentification sur 12 ans de versions (CVE-2026-110264)
Dépassement d’entier du compilateur d’expressions régulières noté 10.0, CVE-2026-110264 expose tous les GitLab autogérés depuis 7.0 à une RCE sans authentification ; corrigé le 21 octobre 2026.
25 octobre 2026
Node2Shell : RCE Brotli dans Node.js, Bun et Python (CVE-2026-111497)
CVE-2026-111497 (CVSS v4.0 9,2) : dépassement de tampon du décodeur Brotli dans Node.js, Bun, .NET, Python, Envoy et Istio, désormais inscrit au catalogue des vulnérabilités exploitées connues de CISA.
25 octobre 2026
Plex2Shell : RCE dans Plex exploitée dans la nature (CVE-2026-96656)
Quatre failles en chaîne dans Plex Media Server avant 1.43.3.10861 permettent à un attaquant non authentifié d'exécuter du code sous l'utilisateur Plex ; elles sont exploitées dans la nature depuis le 17 octobre 2026.
25 octobre 2026
Compromission de la CA eMudhra : Chrome retire emSign ECC Root CA - G3 le 27 octobre
Les clés privées de huit CA intermédiaires eMudhra se calculent à partir de leurs certificats publics, permettant l'usurpation de sites ; environ 30 800 certificats cesseront de fonctionner lorsque Chrome retirera emSign ECC Root CA - G3 le 27 octobre 2026.
25 octobre 2026