CVE-2026-97229 : exécution de code à distance non authentifiée dans GitLab via une regex CI/CD
CISA KEV : faille integer overflow dans GitLab CE/EE exploitée par regex CI/CD malveillante, exécution de code à distance sans authentification. Ajout KEV le 29/10/2026, échéance le 01/11/2026. Correctif à appliquer en priorité.
CVE-2026-41709 : journalisation insuffisante dans VMware ESX exploitée pour opérer sans traces
CVE-2026-41709, ajoutée au catalogue CISA KEV le 28 octobre 2026, est une insuffisance de journalisation dans VMware ESX. Un acteur avec privilèges administrateur peut exécuter certaines opérations sans qu'elles soient enregistrées. Correctif via VMSA-2026-0006.2.
CVE-2026-48356 (PolyShell) : exploitation massive de l'upload non restreint dans Adobe Commerce et Magento
Ajoutée au catalogue KEV le 27 octobre 2026, la CVE-2026-48356 (PolyShell) est exploitée activement. Sansec documente l'upload de webshells PHP, les backdoors accesson.php et l'injection de loaders JavaScript dans les blocs CMS. Correctif APSB26-73 requis avant le 10 novembre 2026.
SiteGuard Server Edition : CVE-2026-106931, injection de commandes OS exploitée dans la nature
CVE-2026-106931 est une injection de commandes OS dans la fonction statistiques de SiteGuard Server Edition d'EG Secure Solutions. Exploitée dans la nature, elle permet à un attaquant disposant de privilèges locaux faibles d'exécuter des commandes avec les droits root ou SYSTEM sur le serveur hébergeant le WAF.
CVE-2026-110447 : injection de commande OS dans Collabora Online Built-in CODE Server, exploitée sur Nextcloud
CVE-2026-110447 affecte Collabora Online Built-in CODE Server (richdocumentscode) avant 26.4.303. Injection de commande OS dans proxy.php, exploitable à distance quand le serveur CODE est arrêté. Exploitée depuis septembre 2026, ajoutée au catalogue CISA KEV le 23 octobre 2026. CVSS 9.2.
PHP2Shell : CVE-2026-109618 et CVE-2026-109619, exécution de code à distance non authentifiée dans PHP
Deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell, permettent une exécution de code à distance non authentifiée. PHP a publié les correctifs 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre 2026. watchTowr signale une exploitation en cours.
CVE-2026-114625 : injection SQL dans Arista VeloCloud Orchestrator exploitée pour devenir superuser operator
Injection SQL critique (CVSS 9.9) dans Arista VeloCloud Orchestrator on-prem. Tout utilisateur authentifié peut s'élever au rôle opérateur et se faire passer pour superuser operator, accédant à des fonctions internes. Ajout au KEV le 23 octobre 2026, échéance CISA au 26 octobre 2026.
Flax Typhoon : l'entreprise-facade Integrity Tech, son scanner a 1 300 scripts et le portail qui revend les emails voles
Avis conjoint a 7 pays et saisie de 7 domaines par le FBI contre Integrity Technology Group, societe chinoise liee a Flax Typhoon. Scanner maison MicroScan, password spraying Microsoft 365, persistance SoftEther, et un portail qui revend l'acces aux emails voles. Cinq failles ajoutees au KEV.
CVE-2026-21589 : la lecture de fichiers pre-authentification qui ouvre Jira, Confluence et Crowd via le double deux-points
CVE-2026-21589 est une faille de lecture de fichiers arbitraires (CVSS 9.3) touchant huit produits Atlassian Data Center. Un attaquant non authentifie peut lire crowd.properties et en tirer un acces administrateur. Exploitee deux heures apres la publication du PoC watchTowr.