Tag
67 articles.
Oracle a corrigé le 20 octobre 2026 la faille CVE-2026-101767 de E-Business Suite, une injection SQL sans authentification menant à l'exécution de code. Defused a observé des tentatives d'exploitation le 27 octobre, sans qu'Oracle confirme d'attaque réelle.
Kelvyn3 min de lecture
Une faille de gravité 9,5 sur 10, CVE-2026-97631, dans le code EDK II de TianoCore permet d'exécuter du code avant le système d'exploitation. Elle exige un accès au réseau local et touche les machines démarrant par PXE.
Kelvyn3 min de lecture
Apple a publié iOS 27.2 le 26 octobre 2026, qui corrige 163 failles de sécurité selon iPhoneAddict, sans exploitation connue à la sortie. Le correctif d'une faille CoreGraphics exploitée est par ailleurs étendu aux anciens appareils.
Kelvyn2 min de lecture
Les mainteneurs de Wasmtime, un runtime WebAssembly, ont publié le 19 octobre 2026 deux avis critiques, CVE-2026-115889 et CVE-2026-115893, notés 9.9 sur 10. Aucune exploitation n'a été signalée, mais un module piégé peut sortir du bac à sable.
Kelvyn3 min de lecture
Selon Unit 42 de Palo Alto Networks, une entité gouvernementale européenne a été compromise en exploitant les failles PHP critiques, avec des signes d'assistance par IA. CYFIRMA signale par ailleurs 216 hôtes vulnérables sondés par un opérateur lié à la Corée du Nord, avec une confiance modérée.
Kelvyn3 min de lecture
Erica Windisch, de Cyberdione Labs, a publié le 25 octobre 2026 un rapport baptisé « Tailworm » qui recense onze failles autour de Tailscale SSH, testées en laboratoire. Aucun correctif ni CVE n'existe, et Tailscale n'a pas confirmé les détails techniques.
Kelvyn3 min de lecture
La faille CVE-2026-111497, publiée le 21 octobre 2026, affecte le décodeur Brotli de Google et donc Node.js, Bun, Envoy, Istio et des paquets Python, avec un score de 9,2 sur 10 selon Google. Aucune exploitation dans la nature n'est connue.
Kelvyn2 min de lecture
Selon une analyse de Kaspersky relayée le 24 octobre 2026, le bootkit BlackX exploite la faille Baton Drop (CVE-2022-21894) pour contourner Secure Boot sur des Windows entièrement corrigés. La révocation du certificat concerné n'est pas automatique.
Kelvyn3 min de lecture
Eye Security a révélé le 23 octobre 2026 que l'updater du fork Time4Popcorn tournait encore sur des millions d'appareils et contactait des domaines abandonnés en HTTP non chiffré. Les chercheurs ont enregistré un domaine et envoyé une mise à jour qui le désactive.
Kelvyn3 min de lecture
Un chercheur a montré en octobre 2026 un jailbreak logiciel partiel de la Switch 2, qui exécute du homebrew grâce à une faille de SmileBasic 4. L'accès reste limité au mode utilisateur, sans contrôle complet de la console.
Kelvyn3 min de lecture
Arista a corrigé le 22 octobre 2026 la CVE-2026-114625, une injection SQL critique dans VeloCloud Orchestrator déjà exploitée par des attaquants. Elle donne les droits d'opérateur à tout utilisateur authentifié.
Kelvyn2 min de lecture
GitLab a corrigé le 21 octobre 2026 la faille CVE-2026-110264, notée 10,0 sur l'échelle CVSS, qui permet une exécution de code à distance sans authentification sur les installations auto-hébergées. Aucune exploitation n'est signalée à ce stade.
Kelvyn3 min de lecture
Huit certificats intermédiaires de l'autorité indienne eMudhra, dont les clés peuvent être recalculées, ont été bloqués par Mozilla, Google, Apple et Microsoft entre le 17 et le 20 octobre 2026. Les sites concernés doivent changer de certificat avant le 27 octobre.
Kelvyn3 min de lecture
Le projet PHP publie le 21 octobre 2026 des correctifs hors cycle pour CVE-2026-109618 et CVE-2026-109619, deux failles d'exécution de code à distance notées 9,2. Aucune exploitation n'était signalée, mais les branches 8.1 et antérieures ne seront pas corrigées.
Kelvyn3 min de lecture
Quatre failles de Plex, notées 10 sur 10 en CVSS par leur découvreur, permettent de prendre un serveur exposé sans identifiant. Le code est public depuis le 16 octobre 2026 et des pirates installent déjà le mineur XMRig.
Kelvyn3 min de lecture
Selon BleepingComputer le 18 octobre 2026, la faille CVE-2026-106931 de SiteGuard Server Edition permet d'exécuter des commandes en root ou SYSTEM. L'éditeur confirme une exploitation, sans détailler les victimes.
Kelvyn2 min de lecture
Le 16 octobre 2026, le chercheur belge Quentin Kaiser a présenté à Hexacon une faille d'exécution de code à distance dans l'ancien WPS de Broadcom. Ses relevés dans Paris montrent des Livebox 5 d'Orange et des SFR Box Plus encore vulnérables.
Kelvyn3 min de lecture
Drupal a corrigé en octobre 2026 deux failles d'exécution de code à distance, CVE-2026-108097 dans le cœur et CVE-2026-108099 dans Entity List. L'équipe de sécurité prévient que des exploits pourraient apparaître en quelques heures ou jours.
Kelvyn3 min de lecture
BeyondTrust a corrigé le 16 octobre 2026 la faille CVE-2026-102764 de Remote Support, exploitée comme zero-day depuis fin août par le groupe Armory Castle (UNC5221). Les serveurs auto-hébergés doivent être corrigés et traités comme potentiellement compromis.
Kelvyn3 min de lecture
Vercel a publié le 14 octobre 2026 Next.js 16.4.1 et 15.5.28 pour corriger deux failles critiques d'exécution de code à distance, notées 9,5 sur 10. Un défaut de déni de service est corrigé dans la même version.
Kelvyn3 min de lecture
La faille CVE-2026-110447 de l'application Collabora Online pour Nextcloud permet une exécution de commandes sans authentification et est exploitée depuis environ le 10 septembre 2026. Le correctif existe depuis le 11 septembre.
Kelvyn3 min de lecture
Palo Alto Networks a publié le 14 octobre 2026 un correctif pour CVE-2026-0322, une faille d’exécution de code à distance de gravité 8,6 sur 10 dans l’interface de gestion de PAN-OS. L’éditeur observe une exploitation « très limitée ».
Kelvyn2 min de lecture
Cisco a confirmé le 14 octobre 2026 des attaques actives contre la CVE-2026-76519, faille notée 9,8 sur 10 dans Cisco Secure Email Gateway. Elle touche les passerelles avec File Reputation activé et des Content Scanner Tools antérieurs à 25.3.0.5525.
Kelvyn2 min de lecture
Un avis publié le 12 octobre 2026 par SSD Secure Disclosure décrit trois failles de webOS qui, enchaînées, donnent un accès root à certains téléviseurs LG depuis le réseau local, sans PIN. LG a publié un correctif ; aucune exploitation n'est signalée.
Kelvyn2 min de lecture
KLYNLABS