← Vulnérabilités de la semaineVulnérabilités de la semaine: 2–8 novembre 2026
Les principales vulnérabilités de la semaine : leur fonctionnement et leurs conséquences possibles. Ouvrez une explication pour savoir qui est concerné et quelles mesures prendre.
#1 · CVE-2026-116779
attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 9.8 · EPSS: 2,5 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
freeswitch peut interpréter une partie d’un message reçu comme une instruction lui demandant d’exécuter des commandes. L’expéditeur peut ainsi lancer son propre programme sur le serveur.
Quels sont les risques ?
Si freeswitch accepte le message de l’attaquant, celui-ci peut lire les paramètres et les identifiants de connexion, contrôler les appels et exécuter des commandes avec les droits du programme. Un compte permettant de se connecter suffit ; certaines configurations touchées permettent aussi un accès sans mot de passe.
Lire l’explication →#2 · CVE-2026-123218
attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 9.8 · EPSS: 0,5 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
IBM Aspera Faspex présente un défaut dans la vérification des droits des utilisateurs. Un message spécialement conçu peut donner à un utilisateur tous les droits d’administration.
Quels sont les risques ?
Un utilisateur disposant d’un accès autorisé peut obtenir tous les droits d’administration dans Aspera Faspex, ce qui peut lui permettre de lire, modifier ou supprimer des données et de perturber le programme. On ignore si une connexion préalable est toujours nécessaire.
Lire l’explication →#3 · CVE-2026-102895
attaques observées · KEV : attaques observées en conditions réelles · CVSS 9.8 · EPSS: 0,5 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
gpustack gère des processeurs graphiques pour exécuter des modèles et fournir des ressources de calcul. Le programme peut prendre une requête reçue par le réseau pour une requête locale et accorder des droits d’administration sans vérifier son expéditeur.
Quels sont les risques ?
Une personne pouvant joindre gpustack par le réseau peut obtenir des droits d’administration sans se connecter si sa requête est prise pour une requête locale et si la vérification des connexions locales est désactivée, comme c’est le cas par défaut. Elle peut modifier les utilisateurs et les modèles, créer des clés d’accès administrateur persistantes, révéler les secrets des nœuds de calcul et des fournisseurs de services en nuage, et exécuter son propre programme sur le serveur.
Lire l’explication →#4 · CVE-2026-116606
attaques observées · code d’exploitation public sur GitHub · Modèle Nuclei · KEV : attaques observées en conditions réelles · CVSS 9.3 · EPSS: 8,9 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
Une faille dans Barracuda Email Security Gateway (ESG) permet de contourner la vérification à la connexion. Une personne non autorisée peut ainsi modifier les réglages globaux de l’appareil.
Quels sont les risques ?
Un attaquant pouvant joindre l’appareil par le réseau peut appeler la fonction d’importation de configuration sans se connecter. En restaurant une archive de sauvegarde compatible spécialement préparée, il peut modifier les réglages globaux sans autorisation et sans intervention de votre part.
Lire l’explication →#5 · CVE-2026-111560
attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 8.6 · EPSS: 6,2 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
Certains appareils de Barracuda Networks traitent mal le réglage du fuseau horaire. Une valeur spécialement conçue peut être interprétée comme des commandes lorsque ce réglage est traité par la suite.
Quels sont les risques ?
Une personne pouvant se connecter par le réseau et ouvrir une session administrateur peut insérer des commandes dans ce réglage. Lors de son traitement, ces commandes s’exécutent avec des droits système illimités, permettant de lire, modifier ou supprimer les données enregistrées et d’arrêter les services.
Lire l’explication →#6 · CVE-2026-119977
attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 8.1 · EPSS: 1,2 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
Lors d’une mise à jour complète de son cœur, WordPress utilise des emplacements temporaires prévisibles et accessibles par Internet. Cela peut permettre à une personne malveillante d’exécuter son propre programme sur le serveur pendant la mise à jour.
Quels sont les risques ?
Une personne malveillante peut exécuter son propre programme sur votre serveur sans se connecter à un compte, pendant une mise à jour complète du cœur. L’attaque est difficile à réussir ; le moment précis et les autres conditions nécessaires ne sont pas indiqués.
Lire l’explication →#7 · CVE-2026-19868
attaques observées · code d’exploitation public sur GitHub · KEV : attaques observées en conditions réelles · CVSS 7.5 · EPSS: 0,5 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
SonicOS peut laisser contourner les vérifications obligatoires à la connexion. Une personne disposant d’identifiants valides pour une autre méthode peut éviter ces vérifications, y compris une confirmation supplémentaire.
Quels sont les risques ?
Une personne ayant des identifiants valides pour une autre méthode de connexion peut obtenir un accès sans passer les vérifications imposées. Les informations qu’elle pourrait ensuite lire ou modifier ne sont pas précisées.
Lire l’explication →#8 · CVE-2024-27834
attaques observées · KEV : attaques observées en conditions réelles · CVSS 5.5 · EPSS: 1,5 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
Safari, iOS and iPadOS, macOS, tvOS et watchOS présentent un défaut dans une vérification de sécurité. Une personne qui peut déjà lire et écrire des données arbitrairement pourrait contourner cette protection.
Quels sont les risques ?
L’attaquant doit disposer d’un accès local avec des droits limités et pouvoir déjà lire et écrire des données arbitrairement. Il pourrait contourner une protection sans intervention de votre part. Les modifications précises que cela permettrait ne sont pas décrites.
Lire l’explication →#9 · CVE-2026-118527
attaques observées · KEV : attaques observées en conditions réelles · CVSS 4.3 · EPSS: 0,8 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
De quoi s’agit-il ?
Ivanti Connect Secure utilise des noms de fichiers prévisibles. Cela permet à un attaquant de déposer des fichiers au contenu de son choix à un emplacement connu sur le disque du serveur.
Quels sont les risques ?
Un attaquant qui peut se connecter à un compte et joindre le programme par le réseau peut déposer ses propres fichiers sur le disque. Aucune intervention d’un autre utilisateur n’est nécessaire. Les droits requis pour se connecter ne sont pas précisés.
Lire l’explication →
Vérifiez gratuitement votre serveur →