Vulnérabilités de la semaine: 26 octobre – 1 novembre 2026

Les principales vulnérabilités de la semaine : leur fonctionnement et leurs conséquences possibles. Ouvrez une explication pour savoir qui est concerné et quelles mesures prendre.

1. #1 · CVE-2026-97229

   GitLab

   attaques observées · code d’exploitation public sur GitHub · code d’exploitation public disponible · Modèle Nuclei · KEV : attaques observées en conditions réelles · CVSS 10 · EPSS: 69,3 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   GitLab vérifie insuffisamment un motif de recherche de texte spécialement conçu dans sa configuration. Dans certaines conditions, cela permet à une personne de lancer son propre programme sur le serveur GitLab.

   Quels sont les risques ?

   Une personne passant par le réseau peut lancer son propre programme sur votre serveur GitLab sans se connecter à un compte ni vous faire intervenir. Les conditions supplémentaires nécessaires ne sont pas précisées.

   Lire l’explication →

2. #2 · CVE-2026-48356

   Adobe Commerce, Adobe Commerce B2B, Adobe Magento Open Source, Adobe Commerce Events

   attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 9.3 · EPSS: 47,5 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   Une faille dans Adobe Commerce permet de téléverser des fichiers de types dangereux. Elle peut permettre à un attaquant d’exécuter son propre programme avec les droits de l’utilisateur actuel.

   Quels sont les risques ?

   L’attaquant n’a pas besoin de se connecter, mais la victime doit ouvrir un lien malveillant ou effectuer une action sur une page web compromise. L’attaquant pourrait alors exécuter son propre programme avec les droits de l’utilisateur actuel et éventuellement obtenir des droits supplémentaires ou le contrôle du compte ou de la session de la victime.

   Lire l’explication →

3. #3 · CVE-2026-109618

   PHP, Siemens AMIS TS, Siemens AX4, Siemens blueplanet 360 NX3 M6 WM OD IISX, Siemens blueplanet 360 NX3 M6 WM OD IISX - S, Siemens Building X, Siemens CADRA, Siemens Call stations, Siemens Capital, Siemens Chargesight, Siemens Climatix Cloud IC, Siemens Climatix Devices, Siemens Connect Insights, Siemens Connect X200, Siemens Connect X300, Siemens Connect X500, Siemens cRSP, Siemens Depotfinity, Siemens Designcenter, Siemens Designcenter X, Siemens Designcenter X Essentials, Siemens Desigo CC, Siemens Desigo DXR2, Siemens Desigo DXR3, Siemens Desigo Optic, Siemens Desigo PXC3, Siemens Desigo PXC4, Siemens Desigo PXC5, Siemens Desigo PXC7, Siemens DFMExpress, Siemens Energy Engage V2.0SP9, Siemens Energy Engage V3.1SP1, Siemens Energy Management System, Siemens Enlighted RTLS, Siemens Enlighted Space, Siemens Heliox Flex Pro, Siemens Heliox H60, Siemens Heliox Rapid, Siemens HyperLynx, Siemens Insights Hub, Siemens Local Monitoring bt-monitoring-vm, Siemens Navigator E&S, Siemens Novigo VANSYS, Siemens Novigo VANSYS core, Siemens Opcenter Connect Electronics, Siemens Opcenter Connect MOM, Siemens Opcenter Execution Core, Siemens Opcenter Execution Discrete, Siemens Opcenter Execution Foundation, Siemens Opcenter Execution Pharma, Siemens Opcenter Execution Process, Siemens Opcenter Intelligence, Siemens Opcenter Intra Plant Logistics, Siemens Opcenter Quality, Siemens Opcenter RDnL, Siemens Opcenter X, Siemens PACE-Design, Siemens PADS Pro Essentials, Siemens PADS Pro Student Edition, Siemens PADS Professional, Siemens PADS Professional - XCR, Siemens PADS Standard - XCR, Siemens PADS Standard & Standard Plus, Siemens Pathway to Learning Engineering, Siemens Polarion, Siemens QuadView, Siemens RUGGEDCOM APE1808, Siemens Sicharge D, Siemens Sicharge D Configuration Backend, Siemens SICHARGE FLEX, Siemens SICHARGE UC, Siemens Sifinity Control, Siemens Sifinity Go, Siemens Sifinity Setup, Siemens Simcenter Flomaster, Siemens Simcenter Flux, Siemens Simcenter Simlab, Siemens Sinteso FS20 EN, Siemens SiPass integrated, Siemens SIPORT, Siemens Siveillance Control, Siemens Siveillance Control Pro, Siemens Siveillance Intrusion, Siemens Siveillance Video, Siemens Solid Edge, Siemens Spectrum Power 4, Siemens Spectrum Power 7, Siemens Spectrum Power TG, Siemens Supply Chain Suite, Siemens Teamcenter, Siemens Teamcenter Product Cost Management, Siemens Teamcenter Share, Siemens Teamcenter Visualization, Siemens Tecnomatix Plant Simulation, Siemens TestWay, Siemens Valor NPI, Siemens Verischarge, Siemens VersiCloudHeliox Dual Port 60kW, Siemens Voice alarm panels, Siemens Voice alarm systems and audio matrices, Siemens Workplace Experience, Siemens Xcargo, Siemens Xpedition Designer, Siemens Xpedition Enterprise, Siemens Xpedition Enterprise XCR, Siemens Xpedition IC Packaging, Siemens Xpedition Layout Browser

   attaques observées · code d’exploitation public disponible · code d’exploitation public sur GitHub · Modèle Nuclei · KEV : attaques observées en conditions réelles · CVSS 9.2 · EPSS: 100,0 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   PHP peut mal gérer la mémoire lorsqu’une requête épuise la mémoire disponible. Lors du nettoyage qui suit, le programme peut utiliser une zone de mémoire mal préparée, ce qui permet à un attaquant d’exécuter son propre programme sur le serveur.

   Quels sont les risques ?

   Un attaquant peut agir par le réseau, sans se connecter à un compte ni faire intervenir un utilisateur, et faire exécuter son propre programme par PHP sur le serveur. L’attaque est difficile et exige de provoquer un épuisement de mémoire dans des conditions particulières dont les détails exacts sont inconnus.

   Lire l’explication →

4. #4 · CVE-2026-109619

   PHP, Siemens AMIS TS, Siemens AX4, Siemens blueplanet 360 NX3 M6 WM OD IISX, Siemens blueplanet 360 NX3 M6 WM OD IISX - S, Siemens Building X, Siemens CADRA, Siemens Call stations, Siemens Capital, Siemens Chargesight, Siemens Climatix Cloud IC, Siemens Climatix Devices, Siemens Connect Insights, Siemens Connect X200, Siemens Connect X300, Siemens Connect X500, Siemens cRSP, Siemens Depotfinity, Siemens Designcenter, Siemens Designcenter X, Siemens Designcenter X Essentials, Siemens Desigo CC, Siemens Desigo DXR2, Siemens Desigo DXR3, Siemens Desigo Optic, Siemens Desigo PXC3, Siemens Desigo PXC4, Siemens Desigo PXC5, Siemens Desigo PXC7, Siemens DFMExpress, Siemens Energy Engage V2.0SP9, Siemens Energy Engage V3.1SP1, Siemens Energy Management System, Siemens Enlighted RTLS, Siemens Enlighted Space, Siemens Heliox Flex Pro, Siemens Heliox H60, Siemens Heliox Rapid, Siemens HyperLynx, Siemens Insights Hub, Siemens Local Monitoring bt-monitoring-vm, Siemens Navigator E&S, Siemens Novigo VANSYS, Siemens Novigo VANSYS core, Siemens Opcenter Connect Electronics, Siemens Opcenter Connect MOM, Siemens Opcenter Execution Core, Siemens Opcenter Execution Discrete, Siemens Opcenter Execution Foundation, Siemens Opcenter Execution Pharma, Siemens Opcenter Execution Process, Siemens Opcenter Intelligence, Siemens Opcenter Intra Plant Logistics, Siemens Opcenter Quality, Siemens Opcenter RDnL, Siemens Opcenter X, Siemens PACE-Design, Siemens PADS Pro Essentials, Siemens PADS Pro Student Edition, Siemens PADS Professional, Siemens PADS Professional - XCR, Siemens PADS Standard - XCR, Siemens PADS Standard & Standard Plus, Siemens Pathway to Learning Engineering, Siemens Polarion, Siemens QuadView, Siemens RUGGEDCOM APE1808, Siemens Sicharge D, Siemens Sicharge D Configuration Backend, Siemens SICHARGE FLEX, Siemens SICHARGE UC, Siemens Sifinity Control, Siemens Sifinity Go, Siemens Sifinity Setup, Siemens Simcenter Flomaster, Siemens Simcenter Flux, Siemens Simcenter Simlab, Siemens Sinteso FS20 EN, Siemens SiPass integrated, Siemens SIPORT, Siemens Siveillance Control, Siemens Siveillance Control Pro, Siemens Siveillance Intrusion, Siemens Siveillance Video, Siemens Solid Edge, Siemens Spectrum Power 3, Siemens Spectrum Power 4, Siemens Spectrum Power 7, Siemens Spectrum Power TG, Siemens Supply Chain Suite, Siemens Teamcenter, Siemens Teamcenter Product Cost Management, Siemens Teamcenter Share, Siemens Teamcenter Visualization, Siemens Tecnomatix Plant Simulation, Siemens TestWay, Siemens Valor NPI, Siemens Verischarge, Siemens VersiCloudHeliox Dual Port 60kW, Siemens Voice alarm panels, Siemens Voice alarm systems and audio matrices, Siemens Workplace Experience, Siemens Xcargo, Siemens Xpedition Designer, Siemens Xpedition Enterprise, Siemens Xpedition Enterprise XCR, Siemens Xpedition IC Packaging, Siemens Xpedition Layout Browser

   attaques observées · code d’exploitation public sur GitHub · Modèle Nuclei · KEV : attaques observées en conditions réelles · CVSS 9.2 · EPSS: 100,0 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   PHP peut continuer à utiliser des références à une zone de mémoire déjà libérée. Lors du traitement de requêtes ultérieures, ces références périmées peuvent permettre à un attaquant d’exécuter son propre programme sur le serveur.

   Quels sont les risques ?

   Un attaquant peut agir par le réseau sans se connecter à un compte et sans intervention d’un utilisateur. L’attaque est complexe et nécessite des conditions supplémentaires qui ne sont pas précisées. En cas de réussite, il peut exécuter son propre programme, lire ou modifier des données, ou arrêter le programme touché.

   Lire l’explication →

5. #5 · CVE-2026-111497

   Google Brotli, Siemens Calibre, Siemens Calibre ICE, Siemens Capital, Siemens Cloud Connector Configurator, Siemens Common Configurator (CC on IEM), Siemens Common Configurator on Device (CC on Edge), Siemens COMOS Walkinside, Siemens Data Flow Monitoring, Siemens Databus Configurator, Siemens DataXess Configurator, Siemens Designcenter X Essentials, Siemens Desigo CC family V8, Siemens Desigo CC family V9, Siemens Edge OPC UA Server Configurator, Siemens Flow Creator Configurator, Siemens gDAP (gPROMS Digital Application Platform), Siemens Gridscale X DSA, Siemens Gridscale X PSS®E, Siemens Heliox Dual Port 60kW, Siemens Heliox Flex Pro, Siemens HyperLynx, Siemens Industrial Edge Hub, Siemens Industrial Edge Management Cloud, Siemens Innexis Architecture Native Acceleration 2026, Siemens Insights Hub, Siemens Opcenter Connect Electronics, Siemens Opcenter Connect MOM, Siemens Opcenter Execution Core, Siemens Opcenter Execution Discrete, Siemens Opcenter Execution Foundation, Siemens Opcenter Execution Pharma, Siemens Opcenter Execution Process, Siemens Opcenter Intelligence, Siemens Opcenter Intra Plant Logistics, Siemens Opcenter Quality, Siemens Opcenter RDnL, Siemens Opcenter X, Siemens PADS Pro Essentials, Siemens PADS Pro Student Edition, Siemens PADS Professional, Siemens Pathway to Learning Engineering, Siemens PAVE360 Automotive 2026, Siemens Polarion, Siemens Process Preparation X, Siemens Project Server Web Administration Tool, Siemens SICHARGE FLEX, Siemens SICHARGE UC, Siemens Sifinity Go, Siemens Sifinity Setup, Siemens SIMATIC BRAUMAT, Siemens SIMATIC Profiling Tool, Siemens SIMATIC SISTAR, Siemens SIMATIC WinCC Companion, Siemens SIMATIC WinCC OA V3.20, Siemens SIMATIC WinCC OA V3.21, Siemens SIMATIC WinCC Runtime Professional, Siemens SIMATIC WinCC Unified for Industrial Edge, Siemens SIMATIC WinCC Unified PC Runtime, Siemens SIMATIC WinCC Unified SIQENCE, Siemens SIMATIC WinCC V7/V8, Siemens Simcenter Executable Digital Twin, Siemens Simcenter Studio, Siemens Solid Edge, Siemens Teamcenter Share, Siemens Teamcenter V2412, Siemens Teamcenter V2506, Siemens Teamcenter V2512, Siemens Teamcenter V2606, Siemens TIA Administrator, Siemens User Management Component (UMC), Siemens VersiCharge AC Series, Siemens VersiCloud, Siemens Xpedition Designer, Siemens Xpedition Enterprise, Siemens RUGGEDCOM APE1808, brotli, brotlicffi

   attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 9.2 · EPSS: 82,6 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   Brotli de Google décompresse des données. Un flux compressé spécialement conçu peut lui faire écrire au-delà de la zone de mémoire prévue.

   Quels sont les risques ?

   Si un programme vulnérable traite ce flux, un attaquant peut endommager sa mémoire interne, révéler des informations sensibles qui s’y trouvent, arrêter le programme ou éventuellement exécuter son propre programme sur le serveur. Aucune connexion à un compte ni intervention de l’utilisateur n’est nécessaire, mais des conditions supplémentaires sont requises et ne sont pas précisées.

   Lire l’explication →

6. #6 · CVE-2026-76418

   Cisco Secure Firewall Adaptive Security Appliance (ASA) Software, Cisco Secure Firewall Threat Defense (FTD) Software

   attaques observées · KEV : attaques observées en conditions réelles · CVSS 8.6 · EPSS: 0,8 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   Cisco Secure Firewall Adaptive Security Appliance (ASA) Software et Cisco Secure Firewall Threat Defense (FTD) Software présentent un défaut dans leur service d’accès à distance. Une demande de connexion spécialement conçue peut provoquer un redémarrage inattendu de l’appareil.

   Quels sont les risques ?

   Un attaquant peut faire redémarrer l’appareil à distance, sans se connecter à un compte ni nécessiter votre intervention, et interrompre ainsi son fonctionnement. Une vérification d’identité supplémentaire doit être configurée pour le groupe de connexions concerné.

   Lire l’explication →

7. #7 · CVE-2026-119977

   WordPress

   attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 8.1 · EPSS: 1,2 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   Lors d’une mise à jour complète, WordPress utilise des emplacements temporaires dont les adresses sont prévisibles et accessibles par Internet. Cela peut permettre à une personne extérieure de lancer son propre programme sur le serveur pendant la mise à jour.

   Quels sont les risques ?

   Une personne malveillante n’a pas besoin de se connecter à un compte ni de vous faire effectuer une manipulation. Elle doit toutefois atteindre le serveur pendant la mise à jour et réunir des conditions techniques difficiles. Si elle y parvient, elle peut lancer son propre programme sur votre serveur. Les droits exacts de ce programme ne sont pas précisés.

   Lire l’explication →

8. #8 · CVE-2026-46300

   Linux, Red Hat NVIDIA for RHEL 10, Red Hat Enterprise Linux 10, Red Hat Enterprise Linux 10.0 Extended Update Support, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 8.4 Advanced Mission Critical Update Support, Red Hat Enterprise Linux 8.4 Extended Update Support Long-Life Add-On, Red Hat Enterprise Linux 8.6 Advanced Mission Critical Update Support, Red Hat Enterprise Linux 8.6 Telecommunications Update Service, Red Hat Enterprise Linux 8.6 Update Services for SAP Solutions, Red Hat Enterprise Linux 8.8 Telecommunications Update Service, Red Hat Enterprise Linux 8.8 Update Services for SAP Solutions, Red Hat Enterprise Linux 9, Red Hat Enterprise Linux 9.0 Update Services for SAP Solutions, Red Hat Enterprise Linux 9.2 Update Services for SAP Solutions, Red Hat Enterprise Linux 9.4 Extended Update Support, Red Hat Enterprise Linux 9.4 Update Services for SAP Solutions, Red Hat Enterprise Linux 9.6 Extended Update Support, Red Hat OpenShift Container Platform 4.12, Red Hat OpenShift Container Platform 4.13, Red Hat OpenShift Container Platform 4.14, Red Hat OpenShift Container Platform 4.15, Red Hat OpenShift Container Platform 4.16, Red Hat OpenShift Container Platform 4.17, Red Hat OpenShift Container Platform 4.18, Red Hat OpenShift Container Platform 4.19, Red Hat OpenShift Container Platform 4.20, Red Hat OpenShift Container Platform 4.21, Red Hat Enterprise Linux 6, Red Hat Enterprise Linux 7, Siemens SIMATIC S7-1500 CPU 1518-4 PN/DP MFP, Siemens SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP, Siemens SIPLUS S7-1500 CPU 1518-4 PN/DP MFP

   attaques observées · code d’exploitation public disponible · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 7.8 · EPSS: 16,1 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   Linux peut perdre l’indication que des données réseau partagent de la mémoire avec des données de fichiers mises en cache. Le traitement ultérieur du trafic chiffré peut alors écraser ces données par erreur.

   Quels sont les risques ?

   Une personne disposant déjà d’un accès local limité pourrait lire des données privées, modifier des données enregistrées ou perturber le fonctionnement du serveur. Le défaut concerne le traitement du trafic chiffré dans une mémoire partagée ; les étapes précises et les conditions supplémentaires nécessaires sont inconnues.

   Lire l’explication →

9. #9 · CVE-2026-118527

   Ivanti Connect Secure

   attaques observées · KEV : attaques observées en conditions réelles · CVSS 4.3 · EPSS: 0,8 % de probabilité d’une tentative d’attaque dans les 30 prochains jours

   De quoi s’agit-il ?

   Ivanti Connect Secure utilise des noms de fichiers prévisibles. Un attaquant peut ainsi déposer des fichiers au contenu de son choix à un emplacement connu sur le disque.

   Quels sont les risques ?

   Un attaquant capable de se connecter à un compte peut déposer ses fichiers par le réseau à un emplacement connu sur le disque de votre serveur. Les droits nécessaires au-delà de la connexion ne sont pas précisés.

   Lire l’explication →

Vérifiez gratuitement votre serveur →