Les failles de sécurité à corriger en ce moment, expliquées simplement : quel produit est touché, ce qu’un attaquant peut faire, et comment vous protéger.
Les failles graves annoncées ces 14 derniers jours dont parlent plusieurs sources ou le CERT-FR, souvent avant qu’elles ne soient exploitées.
Langage de programmation pour créer des sites web et serveurs.
Un attaquant peut prendre le contrôle complet d'un serveur web sans avoir besoin de se connecter.
Mettez à jour PHP vers la version 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 ou plus récente dès que possible.
Sur Cortex : PHP avertit les administrateurs de deux failles critiques, correctifs d'urgence demain · PHP avertit qu'il prévoit de publier 2 correctifs d'urgence imminents · Multiples vulnérabilités dans PHP (21 octobre 2026) · Des centaines de sites web mis hors ligne alors que deux vulnérabilités PHP suscitent des inquiétudes
Détails techniques : CVE-2026-109618 (nouvel onglet), CVE-2026-109619 (nouvel onglet)
Plateforme de gestion de code source et de collaboration pour développeurs.
Un attaquant peut exécuter du code sur un serveur GitLab auto-hébergé sans authentification.
Mettez à jour GitLab vers la version 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ou 18.11.13 ou plus récente.
Bibliothèque Python pour accéder à des modèles d'intelligence artificielle.
Un attaquant peut voler les identifiants de connexion et installer une porte dérobée pour contrôler l'ordinateur.
Installez la dernière mise à jour de LiteLLM dès que possible et vérifiez que votre version n'est pas 1.107.0.
Les failles que de vrais attaquants utilisent, d’après la CISA : 19 ces 60 derniers jours. À corriger en priorité.
Suite de logiciels collaboratifs pour la gestion de projets et le développement
Un attaquant peut accéder à des fichiers sensibles du serveur web sans authentification.
Installez la dernière mise à jour de vos produits Atlassian dès que possible
Détails techniques : CVE-2026-21589 (nouvel onglet)
Framework Java pour développer des applications web
Des milliers de failles sont publiées chaque mois, et la plupart ne concernent presque personne. Cette page en retient deux sortes : celles que la CISA, l’agence américaine de cybersécurité, a vu exploitées par de vrais attaquants (catalogue « Known Exploited Vulnerabilities »), et les failles graves dont parlent plusieurs des sources suivies par Cortex ou un avis du CERT-FR.
Les fiches sont rédigées automatiquement par une IA à partir de ces données et des articles. En cas de doute, suivez les consignes de l’éditeur du produit.
Un attaquant peut exécuter du code arbitraire sur le serveur web.
Mettez à jour Apache Struts vers la version 2.3.20.3 ou plus récente.
Détails techniques : CVE-2016-3081 (nouvel onglet)
Plateforme headless CMS pour créer des APIs et gérer du contenu
Un attaquant peut découvrir les mots de passe et tokens des administrateurs, puis prendre le contrôle du système.
Mettez à jour Strapi vers la version 4.8.0 ou plus récente.
Détails techniques : CVE-2023-22894 (nouvel onglet)
Plateforme pour créer et gérer des sites web
Un pirate peut charger un fichier malveillant et prendre le contrôle du site web.
Installez la dernière mise à jour de WordPress dès que possible.
Détails techniques : CVE-2026-87902 (nouvel onglet)
Plateforme pour créer et gérer des boutiques en ligne
Un pirate peut accéder à des données sensibles et obtenir des droits d'administrateur sans interaction.
Cœur du système d'exploitation Linux
Remplacez Linux Kernel par une version maintenue et à jour.
Détails techniques : CVE-2026-53266 (nouvel onglet), CVE-2025-39964 (nouvel onglet), CVE-2025-39682 (nouvel onglet)
Plateforme web pour gérer le code source et collaborer en développement
Un pirate peut lire n'importe quel fichier du serveur GitLab sans se connecter.
Mettez à jour GitLab vers la version 18.11.12, 19.0.9, 19.1.8, 19.2.6 ou 19.3.2 ou plus récente selon votre branche
Détails techniques : CVE-2026-85706 (nouvel onglet)
Référentiel logiciel pour stocker et gérer les composants de développement
framework web pour développer des applications Python
Un pirate peut contourner les protections de sécurité basées sur l'adresse web pour accéder à des zones protégées.
Mettez à jour Starlette vers la version 1.0.1 ou plus récente.
Détails techniques : CVE-2026-48710 (nouvel onglet)
serveur de stockage de composants logiciels pour entreprises
Un pirate peut obtenir les droits administrateur sur le serveur sans avoir besoin de se connecter.
serveur de stockage de composants logiciels pour entreprises
Un utilisateur autorisé peut écrire des données en dehors du dossier prévu dans certaines conditions.
Installez la dernière mise à jour de JFrog Artifactory dès que possible.
Détails techniques : CVE-2026-66384 (nouvel onglet)
Bibliothèque pour développeurs permettant de créer des applications web interactives
Un pirate peut exécuter du code malveillant sur le serveur et prendre le contrôle de l'application.
Installez la dernière mise à jour d'Adobe Commerce et Magento dès que possible.
Détails techniques : CVE-2026-71362 (nouvel onglet)
Mettez à jour JFrog Artifactory vers la version 7.133.11 ou plus récente
Détails techniques : CVE-2026-42018 (nouvel onglet), CVE-2026-42016 (nouvel onglet)
plateforme de création de boutiques en ligne
Un pirate peut exécuter du code malveillant sur le serveur de la boutique sans interaction de l'utilisateur.
Installez la dernière mise à jour d'Adobe Commerce et Magento dès que possible.
Détails techniques : CVE-2026-75650 (nouvel onglet)
Installez la dernière mise à jour de JFrog Artifactory dès que possible.
Détails techniques : CVE-2026-82329 (nouvel onglet)
plateforme d'automatisation de tâches informatiques
Un pirate peut créer et exécuter des tâches malveillantes sans avoir besoin de se connecter.
Installez la dernière mise à jour de Kestra OSS dès que possible.
Détails techniques : CVE-2026-49869 (nouvel onglet)
bibliothèque logicielle pour accéder à des modèles d'intelligence artificielle
Un pirate peut accéder aux outils et services connectés sans avoir besoin de se connecter.
Mettez à jour LiteLLM vers la version 1.84.0 ou plus récente.
Détails techniques : CVE-2026-59822 (nouvel onglet)
Remplacez Ajax.NET Professional par une solution maintenue, ce produit n'est plus supporté
Détails techniques : CVE-2021-23758 (nouvel onglet)
Plateforme de gestion de code source pour les développeurs et équipes
Un pirate ayant accès à un projet peut exécuter des commandes malveillantes sur le serveur Gitea.
Mettez à jour Gitea vers la version 1.27.1 ou plus récente
Détails techniques : CVE-2026-60004 (nouvel onglet)
CORTEX