Veille Systèmes & Réseaux Systems & Network Watch

Spectre v2 « BTR » (CVE-2026-64507, CVE-2026-64508) : une nouvelle attaque par canal auxiliaire fuite la mémoire noyau Linux via les moteurs JIT — Des chercheurs de VUSec (Vrije Universiteit Amsterdam) et de la Scuola Superiore Sant'Anna ont publié le 29 septembre 2026 « Branch Target Reuse » (BTR), une nouvelle variante Spectre v2 touchant les CPU Intel, AMD et Arm. La faille exploite la réutilisation d'entrées de prédiction de branchement indirect devenues obsolètes lorsqu'un moteur JIT réécrit du code à la même adresse mémoire, créant une primitive de type « speculative execute-after-free ». Les chercheurs ont démontré des exploits complets contre le noyau Linux (JIT BPF) permettant de fuiter et reconstituer le hash du mot de passe root en quelques minutes sur un système entièrement patché avec les protections par défaut activées ; Oracle GraalVM et le moteur JavaScript SpiderMonkey de Firefox sont également concernés. Source

Spectre v2 "BTR" (CVE-2026-64507, CVE-2026-64508): new side-channel attack leaks Linux kernel memory via JIT engines — Researchers from VUSec (Vrije Universiteit Amsterdam) and Scuola Superiore Sant'Anna published "Branch Target Reuse" (BTR) on September 29, 2026, a new Spectre v2 variant affecting Intel, AMD and Arm CPUs. The flaw exploits stale indirect branch prediction entries that get reused when a JIT engine rewrites code at the same memory address, creating a "speculative execute-after-free" primitive. The researchers demonstrated end-to-end exploits against the Linux kernel (BPF JIT) able to leak and recover the root password hash within minutes on a fully patched system with default protections enabled; Oracle GraalVM and Firefox's SpiderMonkey JavaScript engine are also affected. Source

➜ À faire : Vérifier que les serveurs Linux du parc (en particulier ceux avec BPF actif, ou hébergeant des moteurs JIT comme GraalVM/Java, Node.js) disposent des correctifs noyau incluant CVE-2026-64507/CVE-2026-64508 (durcissement IBPB sur les allocations JIT BPF, mainlinés et rétroportés sur les branches stables depuis juillet 2026) ; mettre à jour Firefox et GraalVM vers les versions intégrant les atténuations dès leur disponibilité.

➜ To do: Verify that fleet Linux servers (especially those with BPF enabled, or hosting JIT engines like GraalVM/Java, Node.js) carry kernel patches including CVE-2026-64507/CVE-2026-64508 (IBPB hardening on BPF JIT allocations, mainlined and backported to stable branches since July 2026); update Firefox and GraalVM to versions with the mitigations once available.

Oracle PeopleSoft (CVE-2026-35273) : ShinyHunters contourne les WAF, portails RH du FBI compromis — Le groupe d'extorsion ShinyHunters a modifié son exploit de la faille CVE-2026-35273 (Oracle PeopleSoft Environment Management Hub, exploitée en zero-day depuis mai-juin 2026 contre des établissements académiques) en encodant un caractère dans le chemin de la requête (« /%50SEMHUB/ » au lieu de « /PSEMHUB/ »), ce qui lui permet de contourner les règles de pare-feu applicatif (WAF) censées bloquer l'accès à l'endpoint vulnérable. Cette technique a servi fin septembre 2026 à compromettre plusieurs portails de recrutement du FBI (FBIJobs, BEAST, MedLink, BICS), exposant des données personnelles et médicales de candidats et d'employés actuels ou anciens ; ces portails restent hors ligne. Source

Oracle PeopleSoft (CVE-2026-35273): ShinyHunters bypasses WAFs, FBI HR portals compromised — The extortion group ShinyHunters modified its exploit for CVE-2026-35273 (Oracle PeopleSoft Environment Management Hub, exploited as a zero-day since May-June 2026 against academic institutions) by URL-encoding a character in the request path (using "/%50SEMHUB/" instead of "/PSEMHUB/"), letting it bypass web application firewall (WAF) rules meant to block access to the vulnerable endpoint. The technique was used in late September 2026 to compromise several FBI recruitment portals (FBIJobs, BEAST, MedLink, BICS), exposing personal and medical data of current, former and prospective employees; the portals remain offline. Source

➜ À faire : Appliquer sans délai le correctif d'urgence Oracle pour PeopleSoft Environment Management Hub sur tout serveur du parc ; si ce n'est pas possible immédiatement, restreindre l'accès réseau au serveur PeopleSoft aux réseaux internes de confiance et le bloquer en périphérie, car les règles WAF basées sur l'inspection du corps de requête seules sont insuffisantes face à ce contournement par encodage d'URL.

➜ To do: Apply Oracle's emergency patch for PeopleSoft Environment Management Hub to every affected server in the fleet without delay; if that isn't immediately possible, restrict network access to the PeopleSoft server to trusted internal networks and block it at the perimeter, since WAF rules relying solely on request-body inspection are insufficient against this URL-encoding bypass.

Storm-3168/JadePuffer : des identités de service Azure compromises servent à détruire des ressources cloud en 7 minutes — Microsoft détaille (25 septembre 2026, largement relayé le 28) une attaque du groupe JadePuffer (suivi comme Storm-3168), pionnier des opérations de rançongiciel pilotées par agents IA. Après avoir compromis deux principaux de service (service principals) Azure — dont les identifiants (client ID, secret, tenant ID) avaient été exposés en clair dans l'historique de modification d'un ticket GitHub public par un employé — l'attaquant a mené environ 15h30 de reconnaissance puis déclenché une séquence destructrice de 7 minutes supprimant plus de 100 comptes de stockage ainsi que des Key Vaults, Function Apps et plans App Service, avant de collecter d'autres identifiants via des appels ListKeys. Les verrous Azure Site Recovery ont limité les dégâts sur certaines ressources protégées. Source

Storm-3168/JadePuffer: compromised Azure service identities used to destroy cloud resources in 7 minutes — Microsoft details (September 25, 2026, widely reported on the 28th) an attack by the JadePuffer group (tracked as Storm-3168), a pioneer of agentic-AI-driven ransomware operations. After compromising two Azure service principals — whose credentials (client ID, secret, tenant ID) had been exposed in plaintext in the public edit history of a GitHub issue by an employee — the attacker spent roughly 15.5 hours on reconnaissance before triggering a 7-minute destructive sequence that deleted more than 100 storage accounts along with Key Vaults, Function Apps and App Service plans, then harvested further credentials via ListKeys calls. Azure Site Recovery locks limited the damage on some protected resources. Source

➜ À faire : Vérifier qu'aucun identifiant Azure (client ID/secret, tenant ID) n'a été exposé dans des dépôts de code ou tickets publics de l'organisation, y compris dans l'historique des modifications ; faire tourner immédiatement tout identifiant potentiellement exposé ; appliquer le principe de moindre privilège aux principaux de service et identités de charge de travail ; et activer Microsoft Defender for Cloud sur les ressources critiques (Storage, Key Vault, App Service, bases de données).

➜ To do: Check whether any Azure credentials (client ID/secret, tenant ID) have been exposed in the organization's code repositories or public issue trackers, including in edit history; immediately rotate any potentially exposed credential; apply least-privilege access to service principals and workload identities; and enable Microsoft Defender for Cloud on critical resources (Storage, Key Vault, App Service, databases).

MongoDB : cinq vulnérabilités corrigées dans le serveur, les pilotes et Compass — Le CERT-FR relaie (28 septembre 2026, CERTFR-2026-AVI-1234) les bulletins de sécurité MongoDB signalant cinq vulnérabilités (CVE-2026-96745 à CVE-2026-96749) affectant MongoDB Server, MongoDB-extension, mongo-c-driver, PyMongo et l'outil d'administration Compass, pouvant entraîner une atteinte à l'intégrité des données ou un contournement de la politique de sécurité. Aucune exploitation active n'est signalée à ce jour. Source

MongoDB: five vulnerabilities fixed across the server, drivers and Compass — CERT-FR relayed (September 28, 2026, CERTFR-2026-AVI-1234) MongoDB's security bulletins reporting five vulnerabilities (CVE-2026-96745 to CVE-2026-96749) affecting MongoDB Server, MongoDB-extension, mongo-c-driver, PyMongo and the Compass administration tool, which can lead to a data integrity compromise or a security policy bypass. No active exploitation has been reported so far. Source

➜ À faire : Recenser les serveurs MongoDB ainsi que les applications du parc utilisant mongo-c-driver, PyMongo ou Compass, et planifier leur mise à jour vers les versions corrigées (MongoDB Server ≥ 2.5.3/2.1.10/1.21.10 selon la branche, mongo-c-driver ≥ 1.30.12/2.5.5, PyMongo ≥ 4.18.2, Compass ≥ 1.49.12).

➜ To do: Inventory MongoDB servers as well as fleet applications using mongo-c-driver, PyMongo or Compass, and schedule their update to the patched versions (MongoDB Server ≥ 2.5.3/2.1.10/1.21.10 depending on the branch, mongo-c-driver ≥ 1.30.12/2.5.5, PyMongo ≥ 4.18.2, Compass ≥ 1.49.12).

Citrix NetScaler ADC/Gateway : deux failles zero-day critiques (CVE-2026-88771, CVE-2026-88772, CVSS 9.5) exploitées activement — Citrix a publié le 27 septembre 2026 le bulletin CTX697096 corrigeant huit vulnérabilités dans NetScaler ADC et NetScaler Gateway, dont deux zero-day activement exploitées : CVE-2026-88771 (validation d'entrée incorrecte permettant l'exécution de commandes arbitraires sans authentification, sur toute configuration par défaut) et CVE-2026-88772 (débordement mémoire pouvant mener à une exécution de code à distance ou un déni de service, lorsque DTLS est actif, ce qui est le cas par défaut sur les serveurs virtuels VPN). La CISA a ajouté les deux failles à son catalogue KEV le 27 septembre 2026 et confirme une exploitation active à l'échelle mondiale. Source

Citrix NetScaler ADC/Gateway: two critical zero-days (CVE-2026-88771, CVE-2026-88772, CVSS 9.5) actively exploited — Citrix published security bulletin CTX697096 on September 27, 2026, fixing eight vulnerabilities in NetScaler ADC and NetScaler Gateway, including two actively exploited zero-days: CVE-2026-88771 (improper input validation allowing unauthenticated attackers to run arbitrary commands, affecting every default deployment) and CVE-2026-88772 (a memory overflow that can lead to remote code execution or denial of service when DTLS is enabled, which is the default for VPN virtual servers). CISA added both flaws to its KEV catalog on September 27, 2026 and confirms active exploitation globally. Source

➜ À faire : Mettre à jour en urgence toute appliance NetScaler ADC/Gateway vers 14.1-73.37, 13.1-64.23, ou les versions FIPS/NDcPP équivalentes ; avant de patcher, rechercher des indices de compromission (IoC via NetScaler Console) et préserver les preuves forensiques, car des exploitations ont déjà été observées sur des instances non mitigées.

➜ To do: Urgently update any NetScaler ADC/Gateway appliance to 14.1-73.37, 13.1-64.23, or the equivalent FIPS/NDcPP builds; before patching, check for indicators of compromise (via NetScaler Console) and preserve forensic evidence, since exploitation has already been observed on unmitigated instances.

Zimbra Collaboration Suite : faille critique de traversée de répertoire (CVE-2026-93643, CVSS 9.8) sans authentification — Divulguée le 25 septembre 2026, cette vulnérabilité touche les versions de Zimbra Collaboration Suite (ZCS) antérieures à 10.1.21. Lorsque l'édition de documents OnlyOffice est activée, un attaquant non authentifié ayant accès à un document Briefcase public existant peut exploiter des champs de sauvegarde non signés pour effectuer des écritures par traversée de répertoire et exécuter des commandes avec les privilèges de l'utilisateur zimbra. Aucun exploit public actif n'est confirmé à ce stade, mais la sévérité critique et les antécédents d'exploitation rapide de failles Zimbra similaires imposent une remédiation rapide. Source

Zimbra Collaboration Suite: critical unauthenticated path-traversal flaw (CVE-2026-93643, CVSS 9.8) — Disclosed on September 25, 2026, this vulnerability affects Zimbra Collaboration Suite (ZCS) versions before 10.1.21. When OnlyOffice document editing is enabled, an unauthenticated attacker with access to an existing public Briefcase document can abuse unsigned save fields to perform path-traversal writes and execute commands with zimbra user privileges. No active public exploit has been confirmed yet, but the critical severity and Zimbra's track record of rapidly exploited flaws call for prompt remediation. Source

➜ À faire : Planifier la mise à jour de tout serveur Zimbra Collaboration Suite vers la version 10.1.21 ou supérieure ; en attendant, si l'édition OnlyOffice/Document Editing n'est pas indispensable, la désactiver pour supprimer le vecteur d'attaque.

➜ To do: Plan an update of any Zimbra Collaboration Suite server to version 10.1.21 or later; in the meantime, if OnlyOffice/Document Editing is not essential, disable it to remove the attack vector.

Roundcube Webmail : injection SQL pré-authentification (CVE-2026-48842) désormais exploitée activement — Le Centre canadien pour la cybersécurité a mis à jour son avis le 24 septembre 2026 pour signaler que la CVE-2026-48842, une injection SQL pré-authentification dans le plugin intégré virtuser_query de Roundcube Webmail, est exploitée dans la nature. Le correctif existe depuis mai 2026 (versions 1.6.16 et 1.7.1), mais l'exploitation n'a débuté que quatre mois plus tard. La faille permet de contourner l'authentification, d'exécuter des commandes SQL malveillantes et d'exfiltrer des données sans interaction utilisateur. Source

Roundcube Webmail: pre-auth SQL injection (CVE-2026-48842) now actively exploited — The Canadian Centre for Cyber Security updated its advisory on September 24, 2026 to flag that CVE-2026-48842, a pre-authenticated SQL injection in Roundcube Webmail's built-in virtuser_query plugin, is being exploited in the wild. A patch has existed since May 2026 (versions 1.6.16 and 1.7.1), but exploitation only began four months later. The flaw allows attackers to bypass authentication, run malicious SQL commands, and exfiltrate data without user interaction. Source

➜ À faire : Mettre à jour immédiatement tout serveur Roundcube Webmail vers la version 1.6.16 ou 1.7.1 ; si une mise à jour rapide est impossible, désactiver ou retirer le plugin virtuser_query pour supprimer le vecteur d'attaque.

➜ To do: Immediately update any Roundcube Webmail server to version 1.6.16 or 1.7.1; if a quick update isn't possible, disable or remove the virtuser_query plugin to eliminate the attack vector.

WordPress Core (CVE-2026-87902, CVSS 9.2) : passage massif à l'exploitation avec dépôt de webshells — La faille d'inclusion de fichiers locaux CVE-2026-87902 dans la résolution des modèles de page de WordPress Core, corrigée le 22 septembre 2026, fait l'objet d'une exploitation généralisée : après une phase de sondage automatisé, les attaquants incluent désormais pearcmd.php pour écrire sur le disque des fichiers PHP qui exécutent des commandes shell à distance. La CISA a ajouté cette CVE à son catalogue KEV le 25 septembre 2026, avec une échéance de remédiation au 28 septembre pour les agences fédérales américaines. Source

WordPress Core (CVE-2026-87902, CVSS 9.2): mass exploitation shifts to webshell deployment — The local file inclusion flaw CVE-2026-87902 in WordPress Core's page-template resolution, patched on September 22, 2026, is now under widespread exploitation: after an initial automated-probing phase, attackers are including pearcmd.php to write PHP files to disk that execute remote shell commands. CISA added this CVE to its KEV catalog on September 25, 2026, with a remediation deadline of September 28 for US federal agencies. Source

➜ À faire : Mettre à jour en urgence tout site WordPress hébergé sur le parc (souvent sur serveurs Linux) vers une version corrigée, rechercher la présence de fichiers pearcmd.php ou de webshells suspects dans l'arborescence, et bloquer les tentatives d'inclusion de fichiers via un WAF le temps du déploiement du correctif.

➜ To do: Urgently update any WordPress site hosted in the fleet (often on Linux servers) to a patched version, scan for pearcmd.php or suspicious webshell files in the file tree, and block file-inclusion attempts via a WAF while the patch is being rolled out.

SharePoint Server : injection de code CVE-2026-65660 (CVSS 8.8) ajoutée au catalogue CISA KEV — Le 25 septembre 2026, la CISA a ajouté au catalogue Known Exploited Vulnerabilities (KEV) la CVE-2026-65660, une injection de code affectant SharePoint Server 2016, 2019 et Subscription Edition : un défaut d'échappement dans la reconstruction des directives ToolPane permet à un attaquant authentifié disposant de faibles privilèges de déclencher une désérialisation XAML malveillante et d'exécuter du code arbitraire sur le serveur. Les correctifs sont disponibles depuis la mise à jour de sécurité du 11 août 2026. La CISA fixe une échéance de remédiation au 28 septembre 2026 pour les agences fédérales américaines. Source

SharePoint Server: code injection CVE-2026-65660 (CVSS 8.8) added to the CISA KEV catalog — On September 25, 2026, CISA added CVE-2026-65660 to its Known Exploited Vulnerabilities (KEV) catalog, a code injection flaw affecting SharePoint Server 2016, 2019 and Subscription Edition: a quoting failure when SharePoint reconstructs ToolPane directives lets a low-privileged authenticated attacker trigger malicious XAML deserialization and execute arbitrary code on the server. Patches have been available since the August 11, 2026 security update. CISA set a remediation deadline of September 28, 2026 for US federal agencies. Source

➜ À faire : Vérifier que tous les serveurs SharePoint Server (2016/2019/SE) du parc ont bien appliqué la mise à jour d'août 2026 ou une version ultérieure, et surveiller les journaux IIS/ULS pour toute activité suspecte liée à ToolPane.

➜ To do: Verify that every SharePoint Server (2016/2019/SE) instance in the fleet has the August 2026 update or later applied, and monitor IIS/ULS logs for any suspicious ToolPane-related activity.

MikroTik RouterOS : contournement SSH « MikroTrick » (CVE-2026-67279) exploité avant même la publication du correctif — CERT Polska détaille une chaîne d'attaque ciblant le service SSH de RouterOS : en enchaînant une renégociation (rekey) demandée par le client sans authentification complète, un attaquant distant non authentifié obtient l'exécution de commandes et peut lire, écraser ou reconstruire des fichiers dans l'espace géré de RouterOS. Des traces d'exploitation remontent au 2 septembre 2026, avant la publication du correctif le 3 septembre. La CISA a ajouté cette faille (CVSS 6.9) à son catalogue KEV le 25 septembre 2026, avec une échéance de remédiation au 28 septembre. Source

MikroTik RouterOS: "MikroTrick" SSH bypass (CVE-2026-67279) exploited before the patch even shipped — CERT Polska details an attack chain targeting RouterOS's SSH service: by chaining a client-requested rekey without completed authentication, an unauthenticated remote attacker gains command execution and can read, overwrite or reconstruct files in RouterOS's managed file namespace. Exploitation traces date back to September 2, 2026, before the patch shipped on September 3. CISA added this flaw (CVSS 6.9) to its KEV catalog on September 25, 2026, with a remediation deadline of September 28. Source

➜ À faire : Mettre à jour sans délai tout routeur MikroTik RouterOS vers 6.49.21, 7.23.4 ou 7.24.2 (ou version supérieure) ; si une mise à jour immédiate est impossible, désactiver ou restreindre l'accès SSH depuis Internet aux équipements RouterOS.

➜ To do: Urgently update any MikroTik RouterOS router to 6.49.21, 7.23.4 or 7.24.2 (or later); if an immediate update is not possible, disable or restrict Internet-facing SSH access to RouterOS devices.

Zabbix Agent2 : multiples vulnérabilités corrigées en version 7.0.31 — Le CERT-FR relaie (24 septembre 2026, CERTFR-2026-AVI-1226) le bulletin de sécurité Zabbix ZBX-28059, signalant plusieurs vulnérabilités non précisément détaillées par l'éditeur dans Zabbix Agent2 pour toutes les versions antérieures à 7.0.31. Aucune preuve d'exploitation active n'est mentionnée à ce jour. Source

Zabbix Agent2: multiple vulnerabilities fixed in version 7.0.31 — CERT-FR relayed (September 24, 2026, CERTFR-2026-AVI-1226) Zabbix's security bulletin ZBX-28059, reporting several vulnerabilities not precisely detailed by the vendor in Zabbix Agent2 for all versions before 7.0.31. No evidence of active exploitation is mentioned so far. Source

➜ À faire : Recenser les agents Zabbix Agent2 déployés sur le parc supervisé, planifier leur mise à jour vers la version 7.0.31 ou ultérieure, et consulter le bulletin ZBX-28059 pour le détail des correctifs.

➜ To do: Inventory Zabbix Agent2 instances deployed across the monitored fleet, schedule their update to version 7.0.31 or later, and consult bulletin ZBX-28059 for patch details.

Noyau Linux : vague coordonnée d'avis CERT-FR sur Ubuntu, Red Hat, SUSE et Debian — Le 25 septembre 2026, le CERT-FR a publié coup sur coup quatre avis (CERTFR-2026-AVI-1229 à 1232) relayant des correctifs de sécurité du noyau Linux pour Ubuntu, Red Hat, SUSE et Debian. Côté Red Hat, l'avis couvre à lui seul 67 CVE (de CVE-2023-53781 à CVE-2026-89846) pouvant entraîner exécution de code à distance, élévation de privilèges ou déni de service ; aucune exploitation active n'est signalée à ce stade. Source

Linux kernel: coordinated wave of CERT-FR advisories for Ubuntu, Red Hat, SUSE and Debian — On September 25, 2026, CERT-FR published four advisories in a row (CERTFR-2026-AVI-1229 to 1232) relaying Linux kernel security fixes for Ubuntu, Red Hat, SUSE and Debian. The Red Hat advisory alone covers 67 CVEs (from CVE-2023-53781 to CVE-2026-89846) that can lead to remote code execution, privilege escalation or denial of service; no active exploitation is reported at this stage. Source

➜ À faire : Planifier le déploiement des correctifs noyau sur les serveurs Linux du parc (Ubuntu, RHEL, SUSE, Debian selon les distributions en service), en priorisant les systèmes exposés ou hébergeant des services critiques, et se référer aux bulletins éditeurs (RHSA correspondants pour Red Hat) pour les versions cibles.

➜ To do: Schedule kernel patch deployment across Linux servers in the fleet (Ubuntu, RHEL, SUSE, Debian depending on distributions in service), prioritizing exposed systems or those hosting critical services, and refer to vendor bulletins (matching RHSAs for Red Hat) for target versions.

CISA ajoute deux failles activement exploitées au catalogue KEV : WSO2 (CVE-2026-5430) et Adobe Commerce/Magento (CVE-2026-71362) — Le 24 septembre 2026, la CISA a ajouté deux nouvelles vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV) sur la base de preuves d'exploitation active : CVE-2026-5430, une traversée de répertoires dans plusieurs produits WSO2, et CVE-2026-71362, un défaut d'autorisation incorrecte dans Adobe Commerce et Magento. La CISA rappelle que ce type de faille reste un vecteur d'attaque fréquent contre les organisations exposant ces applications sur Internet. Source

CISA adds two actively exploited flaws to the KEV catalog: WSO2 (CVE-2026-5430) and Adobe Commerce/Magento (CVE-2026-71362) — On September 24, 2026, CISA added two new vulnerabilities to its Known Exploited Vulnerabilities (KEV) catalog based on evidence of active exploitation: CVE-2026-5430, a path traversal flaw in multiple WSO2 products, and CVE-2026-71362, an incorrect authorization flaw in Adobe Commerce and Magento. CISA notes that this type of flaw remains a frequent attack vector against organizations exposing these applications to the Internet. Source

➜ À faire : Vérifier la présence de produits WSO2 ou de boutiques Adobe Commerce/Magento dans le parc (y compris chez des prestataires ou filiales), appliquer sans délai les correctifs éditeurs, et si l'un de ces produits est exposé sur Internet, consulter le catalogue CISA KEV pour prioriser la remédiation selon une approche fondée sur les risques.

➜ To do: Check whether WSO2 products or Adobe Commerce/Magento storefronts are present in the fleet (including with service providers or subsidiaries), apply vendor patches without delay, and if any of these products are Internet-facing, consult the CISA KEV catalog to prioritize remediation using a risk-based approach.

Apache Tomcat : 14 vulnérabilités corrigées, dont des contournements de politique de sécurité et des dénis de service — Le CERT-FR relaie (23 septembre 2026, CERTFR-2026-AVI-1218) la publication par la fondation Apache de correctifs pour 14 vulnérabilités affectant Tomcat 9.0.x (avant 9.0.122), 10.1.x (avant 10.1.60) et 11.0.x (avant 11.0.26). Ces failles peuvent permettre un contournement de politique de sécurité, une atteinte à l'intégrité des données ou un déni de service à distance ; aucune preuve d'exploitation active n'est mentionnée à ce jour. Source

Apache Tomcat: 14 vulnerabilities fixed, including security policy bypasses and denial-of-service flaws — CERT-FR relayed (September 23, 2026, CERTFR-2026-AVI-1218) the Apache Software Foundation's fixes for 14 vulnerabilities affecting Tomcat 9.0.x (before 9.0.122), 10.1.x (before 10.1.60) and 11.0.x (before 11.0.26). These flaws can allow a security policy bypass, a data integrity compromise, or a remote denial of service; no evidence of active exploitation is mentioned so far. Source

➜ À faire : Recenser tous les serveurs Tomcat du parc (souvent utilisés comme conteneur d'applications Java sur Windows Server et Linux), planifier la mise à jour vers 9.0.122, 10.1.60 ou 11.0.26 selon la branche utilisée, et vérifier qu'aucune configuration par défaut non sécurisée n'est exposée.

➜ To do: Inventory every Tomcat server in the fleet (often used as a Java application container on both Windows Server and Linux), schedule the update to 9.0.122, 10.1.60 or 11.0.26 depending on the branch in use, and verify that no insecure default configuration is exposed.

Check Point Security Management Server : zero-day critique CVE-2026-93616 (CVSS 9.8) exploité activement — Le CERT-FR relaie (23 septembre 2026, CERTFR-2026-AVI-1219) l'avis d'urgence de Check Point concernant une vulnérabilité pré-authentification combinant traversée de répertoires et téléversement de fichier non sécurisé dans le service web de gestion. Un attaquant sans compte ni interaction utilisateur, disposant d'un accès réseau à l'interface de management, peut déposer puis exécuter un script arbitraire (ou charger une classe Java arbitraire) sans authentification. Check Point confirme une exploitation ciblée dans la nature. Sont concernés Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server et SmartEvent. Source

Check Point Security Management Server: critical zero-day CVE-2026-93616 (CVSS 9.8) under active exploitation — CERT-FR relayed (September 23, 2026, CERTFR-2026-AVI-1219) Check Point's emergency advisory on a pre-authentication flaw combining path traversal with unsafe file upload in the management web service. An attacker with no account and no user interaction, only network access to the management interface, can plant and then execute an arbitrary script (or load an arbitrary Java class) without authenticating. Check Point confirms targeted exploitation in the wild. Affected products include Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server and SmartEvent. Source

➜ À faire : Recenser tout serveur Check Point Security/Multi-Domain Management, Log Server ou SmartEvent du parc, appliquer en urgence le correctif R82.20, s'assurer que l'interface d'administration n'est jamais exposée directement sur Internet, et rechercher dans les journaux tout dépôt de fichier ou exécution de script suspect.

➜ To do: Inventory every Check Point Security/Multi-Domain Management, Log Server or SmartEvent instance in the fleet, urgently apply patch R82.20, ensure the management interface is never exposed directly to the Internet, and review logs for any suspicious file drop or script execution.

SolarWinds Observability Self-Hosted : deux failles critiques d'exécution de code à distance, CVE-2026-28324 (CVSS 9.8) et CVE-2026-28325 (CVSS 8.8) — Le CERT-FR relaie (23 septembre 2026, CERTFR-2026-AVI-1215) la mise à jour SolarWinds du 22 septembre 2026 pour sa plateforme de supervision Observability Self-Hosted. CVE-2026-28324 est un défaut de vérification d'intégrité permettant à un attaquant non authentifié d'exécuter du code à distance sur une installation en configuration non sécurisée par défaut ; CVE-2026-28325 est une désérialisation de données non fiables exploitable dans certains modes de communication de l'application. SolarWinds ne signale aucune preuve d'exploitation active à ce jour. Source

SolarWinds Observability Self-Hosted: two critical remote code execution flaws, CVE-2026-28324 (CVSS 9.8) and CVE-2026-28325 (CVSS 8.8) — CERT-FR relayed (September 23, 2026, CERTFR-2026-AVI-1215) SolarWinds' September 22, 2026 update for its Observability Self-Hosted monitoring platform. CVE-2026-28324 is an integrity-verification flaw letting an unauthenticated attacker execute remote code against an installation left in a non-secure, non-default configuration; CVE-2026-28325 is an insecure deserialization issue exploitable under certain application communication modes. SolarWinds reports no evidence of active exploitation so far. Source

➜ À faire : Recenser tout serveur SolarWinds Observability Self-Hosted du parc, le mettre à jour vers la version 2026.2.3, vérifier qu'aucune configuration non sécurisée par défaut n'est active, et restreindre l'exposition réseau de la plateforme de supervision aux seuls postes d'administration.

➜ To do: Inventory every SolarWinds Observability Self-Hosted server in the fleet, update it to version 2026.2.3, verify that no non-secure default configuration is active, and restrict the monitoring platform's network exposure to administration workstations only.

F5 BIG-IP APM : faille critique CVE-2026-94127 (CVSS 9.8) exploitée activement, ajoutée au catalogue CISA KEV — F5 corrige (22 septembre 2026) un débordement de tampon en zone de tas dans BIG-IP Access Policy Manager (APM), exploitable sans authentification lorsqu'une politique d'accès APM et un profil OAuth sont configurés sur un même serveur virtuel : un trafic spécialement conçu envoyé à ce serveur corrompt la mémoire pendant le traitement de la requête et permet l'exécution de code arbitraire. F5 confirme une exploitation active dans la nature, avec des indicateurs de compromission (échecs répétés d'authentification OAuth, activité de commande suspecte, plantages du TMM). Le même jour, la CISA a ajouté cette faille à son catalogue KEV, aux côtés de deux failles Check Point (CVE-2026-85102, CVE-2026-93616) et d'une faille Arista VeloCloud Orchestrator (CVE-2026-93952). Source

F5 BIG-IP APM: critical flaw CVE-2026-94127 (CVSS 9.8) under active exploitation, added to the CISA KEV catalog — F5 fixed (September 22, 2026) a heap-based buffer overflow in BIG-IP Access Policy Manager (APM), exploitable without authentication when an APM access policy and an OAuth profile are both configured on the same virtual server: specially crafted traffic sent to that server corrupts memory during request handling and enables arbitrary code execution. F5 confirms active in-the-wild exploitation, with indicators of compromise including repeated OAuth authentication failures, suspicious command activity, and TMM crashes. The same day, CISA added this flaw to its KEV catalog alongside two Check Point flaws (CVE-2026-85102, CVE-2026-93616) and an Arista VeloCloud Orchestrator flaw (CVE-2026-93952). Source

➜ À faire : Identifier tout serveur virtuel BIG-IP APM combinant une politique d'accès et un profil OAuth, appliquer en urgence le hotfix correspondant (21.1.0.2.0.30.22, 17.5.1.9.0.160.12 ou 17.1.3.5.0.41.14 selon la branche), et rechercher dans les journaux les échecs d'authentification OAuth répétés et plantages TMM signalés par l'éditeur.

➜ To do: Identify any BIG-IP APM virtual server combining an access policy with an OAuth profile, urgently apply the matching hotfix (21.1.0.2.0.30.22, 17.5.1.9.0.160.12, or 17.1.3.5.0.41.14 depending on the branch), and review logs for the repeated OAuth authentication failures and TMM crashes flagged by the vendor.

SolarWinds Access Rights Manager : clé cryptographique statique menant à une exécution de code à distance non authentifiée, CVE-2026-28326 (CVSS 8.8) — Le CERT-FR relaie (22 septembre 2026, CERTFR-2026-AVI-1211) l'avis SolarWinds du 17 septembre 2026 concernant Access Rights Manager (ARM), l'outil d'audit et de gestion des droits d'accès souvent déployé en complément d'Active Directory. La faille provient d'une clé cryptographique statique codée en dur dans le produit : un attaquant disposant d'un accès réseau adjacent, sans compte ni interaction utilisateur, peut l'exploiter pour exécuter du code arbitraire sur le serveur ARM. SolarWinds indique n'avoir à ce jour aucune preuve d'exploitation active, mais recommande une mise à jour rapide compte tenu du rôle de l'outil dans la gouvernance des accès. Source

SolarWinds Access Rights Manager: hardcoded static key leads to unauthenticated remote code execution, CVE-2026-28326 (CVSS 8.8) — CERT-FR relayed (September 22, 2026, CERTFR-2026-AVI-1211) SolarWinds' September 17, 2026 advisory on Access Rights Manager (ARM), the access-rights auditing and management tool often deployed alongside Active Directory. The flaw stems from a hardcoded static cryptographic key in the product: an attacker with adjacent network access, no account and no user interaction can exploit it to execute arbitrary code on the ARM server. SolarWinds states it has no evidence of active exploitation so far, but recommends prompt patching given the tool's role in access governance. Source

➜ À faire : Recenser tout serveur SolarWinds Access Rights Manager du parc, le mettre à jour vers la version 2026.2.1, restreindre son exposition réseau aux seuls postes d'administration, et vérifier l'absence de connexions suspectes dans les journaux ARM.

➜ To do: Inventory every SolarWinds Access Rights Manager server in the fleet, update it to version 2026.2.1, restrict its network exposure to administration workstations only, and check ARM logs for any suspicious connections.

Commutateurs Zyxel GS1900 : faille CVE-2026-7273 (CVSS 8.8) désormais exploitée activement, ajoutée au catalogue CISA KEV — La CISA a confirmé le 21 septembre 2026 l'exploitation active de CVE-2026-7273, un débordement de tampon sur la pile dans le programme CGI des commutateurs Zyxel GS1900 (notamment GS1900-48HPv2, firmware jusqu'à 2.90(ABTQ.1)C0 inclus). Un attaquant non authentifié présent sur le réseau local peut envoyer une requête HTTP spécialement conçue pour exécuter des commandes système arbitraires avec les privilèges du service CGI. La vulnérabilité avait été publiée par Zyxel le 16 juin 2026 ; c'est sa mise en exploitation active confirmée qui est nouvelle. Source

Zyxel GS1900 switches: CVE-2026-7273 (CVSS 8.8) now under active exploitation, added to the CISA KEV catalog — On September 21, 2026, CISA confirmed active exploitation of CVE-2026-7273, a stack-based buffer overflow in the CGI program of Zyxel GS1900 switches (notably GS1900-48HPv2, firmware up to and including 2.90(ABTQ.1)C0). An unauthenticated attacker on the local network can send a specially crafted HTTP request to execute arbitrary OS commands with the privileges of the CGI service. The vulnerability was originally published by Zyxel on June 16, 2026; what is new is the confirmed active exploitation. Source

➜ À faire : Recenser tout commutateur Zyxel GS1900 (notamment GS1900-48HPv2) présent sur le parc, appliquer le correctif du fabricant s'il est disponible pour le modèle concerné, et à défaut restreindre l'accès à l'interface web/CGI du commutateur au seul réseau d'administration.

➜ To do: Inventory any Zyxel GS1900 switch (notably GS1900-48HPv2) present on the fleet, apply the vendor's patch if available for the affected model, and otherwise restrict access to the switch's web/CGI interface to the management network only.

SolarWinds Access Rights Manager : clé cryptographique codée en dur permettant une RCE non authentifiée (CVE-2026-28326) — SolarWinds a publié le 17 septembre 2026 un avis pour CVE-2026-28326, une vulnérabilité notée CVSS 8.8 dans Access Rights Manager (ARM), l'outil de gestion des droits d'accès Active Directory et serveurs de fichiers. La faille provient d'une clé cryptographique statique codée en dur dans le produit, identique sur tous les déploiements, permettant à un attaquant non authentifié pouvant atteindre l'interface exposée d'exécuter des commandes arbitraires sur l'hôte hébergeant ARM. Toutes les versions 2026.2 et antérieures sont concernées ; aucune exploitation active n'est signalée à ce jour. Source

SolarWinds Access Rights Manager: hard-coded cryptographic key enables unauthenticated RCE (CVE-2026-28326) — On September 17, 2026, SolarWinds published an advisory for CVE-2026-28326, a CVSS 8.8 vulnerability in Access Rights Manager (ARM), the tool used to manage Active Directory and file server access rights. The flaw stems from a static cryptographic key hard-coded into the product, identical across every deployment, letting an unauthenticated attacker who can reach the exposed interface run arbitrary commands on the host running ARM. All versions 2026.2 and earlier are affected; no active exploitation has been reported so far. Source

➜ À faire : Mettre à jour sans délai tout serveur SolarWinds Access Rights Manager du parc vers la version 2026.2.1, et s'assurer que l'interface d'administration d'ARM n'est pas exposée directement sur Internet en attendant le déploiement du correctif.

➜ To do: Update any SolarWinds Access Rights Manager server in the fleet to version 2026.2.1 without delay, and ensure ARM's administration interface is not directly exposed to the Internet while the patch is being rolled out.

Mises à jour Windows 11 de septembre : échecs d'authentification de domaine liés à Machine Identity Isolation (KB5124008/KB5124012) — Microsoft a confirmé, le 17 septembre 2026, un problème connu affectant les postes Windows 11 (24H2/25H2 avec KB5124008, 26H1 avec KB5124012) : après installation de ces mises à jour, la fonctionnalité Machine Identity Isolation peut s'exécuter en mode d'application forcée sur des environnements ne disposant pas du niveau fonctionnel de domaine Windows Server 2025, provoquant des erreurs de confiance de domaine et des échecs de connexion avec des identifiants pourtant valides. Microsoft propose de désactiver Machine Identity Isolation sur les postes non pris en charge puis de réinitialiser le canal sécurisé, en attendant une correction définitive dans une prochaine mise à jour. Source

September Windows 11 updates: domain authentication failures linked to Machine Identity Isolation (KB5124008/KB5124012) — On September 17, 2026, Microsoft confirmed a known issue affecting Windows 11 devices (24H2/25H2 with KB5124008, 26H1 with KB5124012): after installing these updates, the Machine Identity Isolation feature can start running in enforcement mode on environments that lack the Windows Server 2025 domain functional level, causing domain trust errors and login failures even with valid credentials. Microsoft's workaround is to disable Machine Identity Isolation on unsupported devices and reset the secure channel, pending a permanent fix in a future update. Source

➜ À faire : Identifier les postes Windows 11 du parc ayant reçu KB5124008/KB5124012 dans des domaines dont le niveau fonctionnel est inférieur à Windows Server 2025, désactiver Machine Identity Isolation via stratégie de groupe sur ces postes, réinitialiser le canal sécurisé, puis redémarrer.

➜ To do: Identify Windows 11 devices in the fleet that received KB5124008/KB5124012 in domains below the Windows Server 2025 functional level, disable Machine Identity Isolation via Group Policy on those devices, reset the secure channel, then reboot.

CERT-FR publie deux avis sur de multiples vulnérabilités du noyau Linux (Red Hat et Ubuntu) — Le CERT-FR a publié le 18 septembre 2026 les avis CERTFR-2026-AVI-1204 (noyau Linux Red Hat Enterprise Linux, environ 80 CVE référencés) et CERTFR-2026-AVI-1203 (noyau Linux Ubuntu, plus de 600 CVE référencés), couvrant l'exécution de code arbitraire, l'élévation de privilèges et le déni de service à distance. Ce lot inclut notamment CVE-2025-39682, une faille ajoutée le même jour au catalogue des vulnérabilités activement exploitées de la CISA, avec une échéance de remédiation fixée au 21 septembre 2026. Source

CERT-FR publishes two advisories on multiple Linux kernel vulnerabilities (Red Hat and Ubuntu) — On September 18, 2026, French CERT-FR published advisories CERTFR-2026-AVI-1204 (Red Hat Enterprise Linux kernel, roughly 80 referenced CVEs) and CERTFR-2026-AVI-1203 (Ubuntu Linux kernel, over 600 referenced CVEs), covering arbitrary code execution, privilege escalation and remote denial of service. This batch notably includes CVE-2025-39682, a flaw added the same day to CISA's actively exploited vulnerabilities catalog, with a remediation deadline set for September 21, 2026. Source

➜ À faire : Planifier sans délai la mise à jour du noyau (dnf/yum update ou apt update && apt upgrade selon la distribution) sur l'ensemble des serveurs Red Hat Enterprise Linux et Ubuntu du parc, en traitant en priorité CVE-2025-39682 du fait de son exploitation active confirmée.

➜ To do: Schedule the kernel update (dnf/yum update or apt update && apt upgrade depending on the distribution) across all Red Hat Enterprise Linux and Ubuntu servers in the fleet without delay, prioritizing CVE-2025-39682 given its confirmed active exploitation.

Microsoft corrige une faille critique CVSS 10.0 dans Azure Billing permettant une élévation de privilèges à distance — Microsoft a publié le 17 septembre 2026 un correctif pour CVE-2026-62874, une vulnérabilité de vérification insuffisante de l'authenticité des données (CWE-345) dans Azure Billing, notée CVSS 10.0, permettant à un attaquant non authentifié d'élever ses privilèges à distance sur le réseau. Le correctif a été déployé côté service par Microsoft ; aucune exploitation active n'est signalée à ce jour. Source

Microsoft fixes a critical CVSS 10.0 flaw in Azure Billing enabling remote privilege escalation — On September 17, 2026, Microsoft released a fix for CVE-2026-62874, an insufficient verification of data authenticity flaw (CWE-345) in Azure Billing, rated CVSS 10.0, allowing an unauthenticated attacker to remotely elevate privileges over the network. The fix was deployed server-side by Microsoft; no active exploitation has been reported so far. Source

➜ À faire : Aucune action de correctif requise côté client (correctif appliqué côté service Azure) ; par précaution, vérifier les rôles et permissions liés à la facturation (Cost Management/Billing) du tenant Azure et activer le MFA sur les comptes disposant d'un accès administrateur à la facturation.

➜ To do: No client-side patch action is required (fix applied server-side by Azure); as a precaution, review roles and permissions related to billing (Cost Management/Billing) on the Azure tenant and enable MFA on accounts with billing administrator access.

Cisco ASA/FTD/FMC : nouvelle campagne de durcissement, deux failles exploitées activement (CVE-2026-20329, CVE-2026-20330) — Cisco publie le 16 septembre une nouvelle campagne de durcissement pour Secure Firewall ASA, FTD et FMC, corrigeant huit vulnérabilités internes dont CVE-2026-20329 et CVE-2026-20330 (CVSS 9.9 chacune) ; Cisco confirme que deux des failles corrigées dans ce lot font l'objet d'une exploitation active. Source

Cisco ASA/FTD/FMC: new hardening release, two flaws under active exploitation (CVE-2026-20329, CVE-2026-20330) — Cisco released a new hardening bundle on September 16 for Secure Firewall ASA, FTD and FMC, fixing eight internally discovered vulnerabilities including CVE-2026-20329 and CVE-2026-20330 (CVSS 9.9 each); Cisco confirms that two of the fixed flaws in this bundle are under active exploitation. Source

➜ À faire : Mettre à jour sans délai les pare-feux ASA vers 9.16.4.103, 9.18.4.94, 9.20.4.49, 9.22.3.26, 9.23.1.47 ou 9.24.1.26, et FTD/FMC vers 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 ou 10.1.0 selon la version en place, en priorisant les équipements exposés à Internet.

➜ To do: Update ASA firewalls to 9.16.4.103, 9.18.4.94, 9.20.4.49, 9.22.3.26, 9.23.1.47 or 9.24.1.26, and FTD/FMC to 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 or 10.1.0 depending on the current version, without delay, prioritizing internet-facing appliances.

Exploits publics publiés pour quatre failles du noyau Linux permettant une élévation de privilèges locale — Des chercheurs ont publié le 18 septembre des exploits fonctionnels pour quatre vulnérabilités du noyau Linux — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) et DiagSpill (CVE-2026-74469, SCTP) — permettant à un utilisateur local d'obtenir les privilèges root ; DiagSpill est la plus critique car elle ne nécessite aucun espace de noms privilégié particulier si le module SCTP est chargé. Les correctifs existent depuis plusieurs semaines et aucune exploitation en conditions réelles n'est signalée à ce jour. Source

Public exploits released for four Linux kernel flaws enabling local privilege escalation — Researchers published working exploits on September 18 for four Linux kernel vulnerabilities — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) and DiagSpill (CVE-2026-74469, SCTP) — letting a local user gain root privileges; DiagSpill is the most critical since it requires no privileged namespace as long as the SCTP module is loaded. Fixes have been available for several weeks and no in-the-wild exploitation has been reported so far. Source

➜ À faire : Mettre à jour les noyaux Linux du parc vers les versions stables corrigées (5.10.270, 5.15.221, 6.1.188 ou équivalent selon la distribution) ou appliquer le correctif spécifique de son éditeur, en priorité sur les systèmes autorisant les espaces de noms utilisateur non privilégiés ou chargeant le module SCTP.

➜ To do: Update Linux kernels across the fleet to the fixed stable versions (5.10.270, 5.15.221, 6.1.188 or the distribution's equivalent) or apply the vendor's specific patch, prioritizing systems that allow unprivileged user namespaces or load the SCTP module.

La CISA ajoute deux failles du noyau Linux à son catalogue des vulnérabilités activement exploitées — Le 18 septembre 2026, la CISA a ajouté à son catalogue Known Exploited Vulnerabilities une vulnérabilité de condition de course du noyau Linux (CVE-2025-39964) et une vulnérabilité d'écriture hors limites (CVE-2026-53266), toutes deux exploitées activement selon la CISA. Source

CISA adds two Linux kernel flaws to its actively exploited vulnerabilities catalog — On September 18, 2026, CISA added a Linux kernel race condition vulnerability (CVE-2025-39964) and an out-of-bounds write vulnerability (CVE-2026-53266) to its Known Exploited Vulnerabilities catalog, both reported by CISA as actively exploited. Source

➜ À faire : Vérifier que les correctifs noyau correspondants sont déployés sur l'ensemble du parc Linux, en priorité sur les systèmes exposés à Internet et les serveurs critiques, conformément aux exigences de remédiation rapide de la directive BOD 26-04.

➜ To do: Verify that the corresponding kernel fixes are deployed across the Linux fleet, prioritizing internet-facing systems and critical servers, in line with the rapid-remediation requirements of BOD 26-04.

Microsoft corrige 18 vulnérabilités dans Azure et ses produits IA, dont une faille critique CVSS 10.0 dans Azure AI Foundry — Microsoft a corrigé 18 vulnérabilités touchant Azure ARC, Azure AI Foundry, Azure Logic Apps, Azure Cosmos DB, Microsoft Fabric, Dataverse et Microsoft 365 Copilot, majoritairement des élévations de privilèges, dont une faille notée CVSS 10.0 dans Azure AI Foundry corrigée le 17 septembre. Microsoft indique n'avoir constaté aucune exploitation active et précise que les correctifs sont appliqués côté serveur, sans action cliente requise. Source

Microsoft fixes 18 vulnerabilities in Azure and AI products, including a critical CVSS 10.0 flaw in Azure AI Foundry — Microsoft fixed 18 vulnerabilities affecting Azure ARC, Azure AI Foundry, Azure Logic Apps, Azure Cosmos DB, Microsoft Fabric, Dataverse and Microsoft 365 Copilot, mostly privilege-escalation flaws, including a CVSS 10.0 issue in Azure AI Foundry fixed on September 17. Microsoft states it has observed no active exploitation and that fixes were applied server-side, requiring no customer action. Source

➜ À faire : Aucune action requise côté client puisque les correctifs sont déployés côté serveur par Microsoft ; il reste recommandé de revoir par précaution les permissions d'accès et les stratégies d'authentification multifacteur sur les ressources Azure AI Foundry et Copilot du tenant.

➜ To do: No client-side action is required since the fixes were deployed server-side by Microsoft; as a precaution, it remains advisable to review access permissions and multi-factor authentication policies on the tenant's Azure AI Foundry and Copilot resources.

Windows Kerberos : contournement d'authentification par rejeu, CVE-2026-69676 (CVSS 8.8) — Corrigée lors du Patch Tuesday de septembre 2026, cette faille (CWE-294, capture-rejeu) permet à un attaquant disposant déjà de faibles privilèges d'intercepter un échange Kerberos légitime et de le rejouer, modifié, contre le serveur, qui l'accepte comme authentique et exécute du code arbitraire. Microsoft évalue l'exploitation comme « plus probable » ; aucune exploitation active n'est signalée à ce jour. Sont concernés Windows Server 2012 à 2025 ainsi que les postes Windows 10/11 joints au domaine. Source

Windows Kerberos: authentication bypass via replay, CVE-2026-69676 (CVSS 8.8) — Fixed in the September 2026 Patch Tuesday, this flaw (CWE-294, capture-replay) lets an attacker who already holds low-level credentials intercept a legitimate Kerberos exchange and replay a modified variant against the server, which accepts it as authentic and executes attacker-controlled code. Microsoft rates exploitation as "more likely"; no active exploitation has been reported so far. Affected systems include Windows Server 2012 through 2025 and domain-joined Windows 10/11 clients. Source

➜ À faire : Déployer le correctif de septembre 2026 sur tous les contrôleurs de domaine et postes joints au domaine, et vérifier la configuration Kerberos (signing/sealing) sur les environnements AD sensibles.

➜ To do: Deploy the September 2026 update on all domain controllers and domain-joined hosts, and review Kerberos signing/sealing configuration on sensitive AD environments.

Cisco ISE : faille critique CVE-2026-76460 (CVSS 10.0) déjà exploitée, ajoutée au catalogue CISA KEV — Cisco publie (16 septembre 2026) un correctif pour une faille d'authentification sur une API de Cisco Identity Services Engine (ISE) et ISE-PIC, découverte lors du traitement d'un dossier au Cisco TAC après qu'un environnement client a été compromis. Un attaquant non authentifié peut envoyer une requête spécialement conçue à un point d'accès API pour contourner entièrement l'authentification et obtenir un accès administrateur complet à l'appliance. La CISA a ajouté la faille à son catalogue KEV le jour même, avec une échéance de remédiation fixée au 19 septembre 2026. Source

Cisco ISE: critical flaw CVE-2026-76460 (CVSS 10.0) already exploited, added to the CISA KEV catalog — Cisco released (September 16, 2026) a fix for an authentication flaw in an API of Cisco Identity Services Engine (ISE) and ISE-PIC, discovered while resolving a Cisco TAC support case after a customer environment had already been compromised. An unauthenticated attacker can send a specially crafted request to an API endpoint to fully bypass authentication and gain complete administrative access to the appliance. CISA added the flaw to its KEV catalog the same day, with a remediation deadline set for September 19, 2026. Source

➜ À faire : Mettre à jour en urgence toute appliance Cisco ISE / ISE-PIC vers la version 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 ou 3.5 Patch 4 selon la branche utilisée, et vérifier les journaux d'accès API à la recherche de toute activité suspecte antérieure au correctif.

➜ To do: Urgently update any Cisco ISE / ISE-PIC appliance to version 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 or 3.5 Patch 4 depending on the branch in use, and review API access logs for any suspicious activity predating the patch.

Acronis Backup (plugin cPanel/WHM) : faille CVE-2026-87886 exploitée dans des attaques ciblées — Acronis corrige une élévation de privilèges locale (CVSS 7.8) due à des permissions de fichiers incorrectes dans son plugin de sauvegarde pour cPanel/WHM, permettant à un attaquant déjà authentifié sur le serveur d'obtenir les privilèges root sans interaction. Une exploitation limitée et ciblée a été détectée dans la nature sur des déploiements cPanel/WHM ; l'extension Plesk n'est pas concernée par une exploitation active connue. La CISA a ajouté la faille à son catalogue KEV le 16 septembre 2026, avec une échéance au 19 septembre 2026. Source

Acronis Backup (cPanel/WHM plugin): flaw CVE-2026-87886 exploited in targeted attacks — Acronis fixed a local privilege escalation (CVSS 7.8) caused by incorrect file permissions in its backup plugin for cPanel/WHM, allowing an attacker already authenticated on the server to gain root privileges with no further interaction. Limited, targeted exploitation has been observed in the wild against cPanel/WHM deployments; the Plesk extension has no known active exploitation. CISA added the flaw to its KEV catalog on September 16, 2026, with a deadline of September 19, 2026. Source

➜ À faire : Identifier tout serveur d'hébergement du parc exécutant le plugin Acronis Backup pour cPanel/WHM ou l'extension Plesk, et le mettre à jour respectivement vers la version 1.9.3 HF3 ou 1.8.11 dès que possible.

➜ To do: Identify any hosting server in the fleet running the Acronis Backup plugin for cPanel/WHM or the Plesk extension, and update it to version 1.9.3 HF3 or 1.8.11 respectively as soon as possible.

389-ds-base (serveur d'annuaire LDAP Linux) : plusieurs failles critiques corrigées — Red Hat, AlmaLinux et Oracle Linux publient (14 septembre 2026) des correctifs de sévérité critique pour 389-ds-base, le serveur d'annuaire LDAP utilisé sur RHEL, AlmaLinux et Oracle Linux : CVE-2026-18922 permet une élévation de privilèges jusqu'à Directory Manager via l'authentification SASL PLAIN, et CVE-2026-18355 est un débordement de tampon critique dans le traitement SASL. Source

389-ds-base (Linux LDAP directory server): several critical flaws fixed — Red Hat, AlmaLinux and Oracle Linux released (September 14, 2026) critical-severity fixes for 389-ds-base, the LDAP directory server used on RHEL, AlmaLinux and Oracle Linux: CVE-2026-18922 allows privilege escalation up to Directory Manager via SASL PLAIN authentication, and CVE-2026-18355 is a critical buffer overflow in SASL processing. Source

➜ À faire : Identifier les serveurs Linux exécutant 389-ds-base (annuaires LDAP utilisés en complément ou en remplacement d'Active Directory) et appliquer le correctif RHSA-2026:64804 (ou ALSA-2026:64785 / ELSA-2026-64791-0 selon la distribution) en priorité, puis vérifier les journaux d'authentification SASL pour toute activité suspecte.

➜ To do: Identify Linux servers running 389-ds-base (LDAP directories used alongside or instead of Active Directory) and apply RHSA-2026:64804 (or ALSA-2026:64785 / ELSA-2026-64791-0 depending on the distribution) as a priority, then review SASL authentication logs for any suspicious activity.

Cisco Secure Email Gateway : faille critique CVE-2026-76461 (CVSS 9.8) exploitée activement — Cisco confirme (14 septembre 2026) l'exploitation active d'une injection SQL non authentifiée dans AsyncOS pour Secure Email Gateway, permettant l'exécution de commandes arbitraires avec des privilèges root via un e-mail spécialement conçu envoyé à la passerelle. La faille a été ajoutée le même jour au catalogue CISA KEV, signe d'une exploitation en zero-day avant sa divulgation. Source

Cisco Secure Email Gateway: critical flaw CVE-2026-76461 (CVSS 9.8) under active exploitation — Cisco confirms (September 14, 2026) active exploitation of an unauthenticated SQL injection in AsyncOS for Secure Email Gateway, allowing arbitrary command execution with root privileges via a specially crafted email sent to the gateway. The flaw was added to the CISA KEV catalog the same day, indicating zero-day exploitation prior to disclosure. Source

➜ À faire : Mettre à jour immédiatement toute passerelle Cisco Secure Email Gateway (AsyncOS) vers 15.5.5-0141, 16.0.4-3021 ou, de préférence, 16.5.0-780 ; les passerelles Cisco Secure Email Cloud sont déjà protégées.

➜ To do: Immediately update any Cisco Secure Email Gateway (AsyncOS) appliance to 15.5.5-0141, 16.0.4-3021, or preferably 16.5.0-780; Cisco Secure Email Cloud gateways are already protected.

Cisco : notification anticipée du 16 septembre pour plusieurs versions de durcissement (ISE, Nexus Dashboard, ASA/FMC/FTD, ThousandEyes) — Cisco annonce la publication, ce jour, de nouvelles versions de durcissement de sécurité pour Identity Services Engine, Nexus Dashboard, les pare-feux Secure Firewall (ASA, FMC et FTD regroupés dans une même version) et ThousandEyes Virtual Appliance. Aucun détail technique ni score de sévérité n'est communiqué à ce stade, conformément au modèle de divulgation basé sur les risques de Cisco. Source

Cisco: September 16 advance notice for several hardening releases (ISE, Nexus Dashboard, ASA/FMC/FTD, ThousandEyes) — Cisco announces that new security hardening releases will be published today for Identity Services Engine, Nexus Dashboard, the Secure Firewall products (ASA, FMC and FTD bundled in a single release) and the ThousandEyes Virtual Appliance. No technical details or severity scores have been shared yet, in line with Cisco's risk-based disclosure model. Source

➜ À faire : Surveiller la publication des avis détaillés Cisco de ce jour pour ISE, Nexus Dashboard, ASA/FMC/FTD et ThousandEyes Virtual Appliance, et planifier la mise à niveau vers les versions durcies dès leur disponibilité.

➜ To do: Watch for today's detailed Cisco advisories covering ISE, Nexus Dashboard, ASA/FMC/FTD and the ThousandEyes Virtual Appliance, and schedule the upgrade to the hardened versions as soon as they are released.

VMware vCenter : la faille critique CVE-2026-59310 désormais exploitée par des rançongiciels — La CISA confirme (15 septembre 2026) que des opérateurs de rançongiciels ont rejoint l'exploitation de cette traversée de répertoire non authentifiée (CVSS 9.8) dans le service Syslog de vCenter, corrigée par Broadcom depuis le 29 juillet 2026. Plus de 361 adresses IP compromises dans 47 pays ont été recensées, avec dépôt de portes dérobées puis déploiement d'un rançongiciel dérivé de Babuk sur des hôtes ESXi gérés. Source

VMware vCenter: critical flaw CVE-2026-59310 now exploited by ransomware gangs — CISA confirms (September 15, 2026) that ransomware operators have joined the exploitation of this unauthenticated path traversal flaw (CVSS 9.8) in vCenter's Syslog service, fixed by Broadcom since July 29, 2026. Over 361 compromised IP addresses across 47 countries have been identified, with backdoors deployed followed by Babuk-derived ransomware on managed ESXi hosts. Source

➜ À faire : Vérifier sans délai que tous les serveurs vCenter du parc sont en version 9.1.0.0300, 9.0.2.0100 ou 8.0 U3k/U2f (ou ultérieure), en priorité ceux exposés ou encore en 7.x (fin de vie), et rechercher dans les journaux Syslog de vCenter tout signe de compromission antérieure.

➜ To do: Immediately verify that all vCenter servers in the fleet are running 9.1.0.0300, 9.0.2.0100, or 8.0 U3k/U2f (or later), prioritizing exposed instances or any still on the end-of-life 7.x branch, and review vCenter Syslog logs for signs of prior compromise.

Windows Server : la mise à jour de sécurité de septembre 2026 (KB5122871) casse les services Bureau à distance — Microsoft confirme que le correctif cumulatif de septembre rend les services RDS instables sur Windows Server 2019, 2022 et 2025 (et Windows 10/11) : connexions RDP qui échouent après quelques minutes, échecs de connexion, blocage sur « Veuillez patienter pendant la configuration du Bureau à distance », MMC, RDS Licensing Diagnoser et l'explorateur de fichiers qui deviennent parfois non réactifs. Le correctif hors-bande KB5129235, publié le 14 septembre 2026, résout le problème. Source

Windows Server: the September 2026 security update (KB5122871) breaks Remote Desktop Services — Microsoft confirms the September cumulative update makes RDS unstable on Windows Server 2019, 2022 and 2025 (and Windows 10/11): RDP connections failing after a few minutes, sign-in failures, servers hanging at "Please wait for the Remote Desktop Configuration", and MMC, RDS Licensing Diagnoser and File Explorer sometimes becoming unresponsive. The out-of-band update KB5129235, released September 14, 2026, resolves the issue. Source

➜ À faire : Déployer la mise à jour hors-bande KB5129235 (ou ultérieure) sur tous les serveurs Windows Server 2019/2022/2025 exécutant le rôle RDS ; si une atténuation temporaire via GPO avait été appliquée, aucune action supplémentaire n'est nécessaire avant l'installation de ce correctif.

➜ To do: Deploy the out-of-band update KB5129235 (or later) to all Windows Server 2019/2022/2025 machines running the RDS role; if a temporary GPO mitigation was applied, no further action is needed before installing this update.

Microsoft Edge : 21 vulnérabilités corrigées, dont une 0-day activement exploitée (CVE-2026-87491) — Le CERT-FR (avis CERTFR-2026-AVI-1171, 14 septembre 2026) relaie le correctif de Microsoft Edge (versions antérieures à 151.0.4129.107 et 152.0.4191.66) corrigeant 21 CVE, dont CVE-2026-87491, un défaut de type « out-of-bounds write » dans le moteur V8 de Chromium, activement exploité selon Microsoft et Google. Les navigateurs Chromium (Edge, Chrome, Brave, Opera, Vivaldi) partagent tous ce moteur. Source

Microsoft Edge: 21 vulnerabilities fixed, including an actively exploited 0-day (CVE-2026-87491) — CERT-FR (advisory CERTFR-2026-AVI-1171, September 14, 2026) relays Microsoft Edge's fix (versions prior to 151.0.4129.107 and 152.0.4191.66) addressing 21 CVEs, including CVE-2026-87491, an out-of-bounds write flaw in Chromium's V8 engine, actively exploited according to Microsoft and Google. Chromium-based browsers (Edge, Chrome, Brave, Opera, Vivaldi) all share this engine. Source

➜ À faire : Forcer la mise à jour de Microsoft Edge (et de tout autre navigateur Chromium déployé sur le parc) vers la dernière version dès que possible, et vérifier que la stratégie de groupe de mise à jour automatique des navigateurs est bien active sur l'ensemble des postes.

➜ To do: Force Microsoft Edge (and any other Chromium-based browser deployed across the fleet) to update to the latest version as soon as possible, and verify the browser auto-update group policy is active on all workstations.

Windows DNS Server : faille critique CVE-2026-69730, qualifiée de « digne héritière de SigRed » — Corrigée lors du Patch Tuesday de septembre 2026, cette exécution de code à distance non authentifiée (CVSS 9.8) dans le rôle DNS Server est classée par le Zero Day Initiative parmi les vulnérabilités « wormables » du mois. Le service tournant en SYSTEM et étant installé par défaut sur la plupart des contrôleurs de domaine, son exploitation offre un contrôle total du serveur sans interaction utilisateur. Source

Windows DNS Server: critical flaw CVE-2026-69730, dubbed "SigRed's spiritual successor" — Fixed in the September 2026 Patch Tuesday, this unauthenticated remote code execution (CVSS 9.8) in the DNS Server role is classified by the Zero Day Initiative among this month's "wormable" vulnerabilities. Since the service runs as SYSTEM and is installed by default on most domain controllers, exploitation grants full control of the server with no user interaction. Source

➜ À faire : Vérifier que la mise à jour de sécurité de septembre 2026 est bien installée sur tous les serveurs Windows exécutant le rôle DNS Server, en priorité les contrôleurs de domaine, et surveiller les journaux DNS pour toute activité anormale en attendant le déploiement complet du parc.

➜ To do: Verify the September 2026 security update is installed on all Windows servers running the DNS Server role, prioritizing domain controllers, and monitor DNS logs for abnormal activity while the fleet-wide rollout completes.

GitLab : faille critique CVE-2026-85706 (CVSS 10.0) activement exploitée, échéance CISA fixée à aujourd'hui — GitLab a publié en urgence les versions 19.3.2, 19.2.6 et 19.1.8 pour corriger une traversée de répertoire non authentifiée dans l'API des commits, permettant de lire des fichiers arbitraires sur le serveur (identifiants, secrets, clés SSH, jetons d'accès). Des sondages d'exploitation à grande échelle ont débuté dès le lendemain de la divulgation ; la CISA a inscrit la faille à son catalogue KEV avec une échéance de remédiation fixée au 14 septembre 2026 pour les agences fédérales américaines. Source

GitLab: critical flaw CVE-2026-85706 (CVSS 10.0) under active exploitation, CISA deadline set for today — GitLab urgently released versions 19.3.2, 19.2.6 and 19.1.8 to fix an unauthenticated path traversal in the commits API, allowing arbitrary files to be read from the server (credentials, secrets, SSH keys, access tokens). Large-scale exploitation probing began the day after disclosure; CISA added the flaw to its KEV catalog with a remediation deadline of September 14, 2026 for US federal agencies. Source

➜ À faire : Mettre à jour immédiatement toute instance GitLab autogérée (CE/EE) en versions 18.7 à 19.3.1 vers 19.1.8, 19.2.6 ou 19.3.2 selon la branche utilisée, et faire tourner les identifiants et secrets potentiellement exposés (clés SSH, jetons CI/CD, secrets de configuration).

➜ To do: Immediately update any self-managed GitLab instance (CE/EE) running versions 18.7 through 19.3.1 to 19.1.8, 19.2.6 or 19.3.2 depending on the branch in use, and rotate any potentially exposed credentials and secrets (SSH keys, CI/CD tokens, configuration secrets).

Active Directory Domain Services : faille critique « wormable » CVE-2026-69524 — Le Patch Tuesday de septembre 2026 corrige une exécution de code à distance non authentifiée (CVSS 9.8) dans Active Directory Domain Services, classée par le Zero Day Initiative parmi les 20 failles « wormables » du mois, capables de se propager de façon autonome sur le réseau sans interaction utilisateur. Source

Active Directory Domain Services: critical "wormable" flaw CVE-2026-69524 — The September 2026 Patch Tuesday fixes an unauthenticated remote code execution (CVSS 9.8) in Active Directory Domain Services, classified by the Zero Day Initiative among this month's 20 "wormable" flaws, capable of propagating autonomously across the network with no user interaction. Source

➜ À faire : Déployer en priorité la mise à jour de sécurité de septembre 2026 sur l'ensemble des contrôleurs de domaine et vérifier qu'aucun DC n'est resté sans correctif, ce composant étant au cœur de l'authentification du parc.

➜ To do: Deploy the September 2026 security update to all domain controllers as a priority and confirm no DC has been left unpatched, since this component is central to the fleet's authentication.

Patch Tuesday Microsoft de septembre 2026 : deux 0-day activement exploitées — Le CERT-FR (avis CERTFR-2026-AVI-1147, 9 septembre) relaie le correctif cumulatif couvrant Windows Server 2012 à 2025 ainsi que Windows 10/11. Deux failles d'élévation de privilèges y sont déjà exploitées activement : CVE-2026-81963 (Windows Update Stack) et CVE-2026-85880 (débordement de tas dans Windows ALPC). Source

September 2026 Microsoft Patch Tuesday: two actively exploited zero-days — CERT-FR (advisory CERTFR-2026-AVI-1147, September 9) relays the cumulative update covering Windows Server 2012 through 2025 as well as Windows 10/11. Two elevation-of-privilege flaws are already being actively exploited: CVE-2026-81963 (Windows Update Stack) and CVE-2026-85880 (heap overflow in Windows ALPC). Source

➜ À faire : Déployer en urgence la mise à jour cumulative de septembre (KB5122871 pour Windows Server 2025 et équivalents pour les autres versions) sur l'ensemble du parc, en priorisant les serveurs exposés et les contrôleurs de domaine.

➜ To do: Urgently deploy the September cumulative update (KB5122871 for Windows Server 2025 and equivalents for other versions) across the fleet, prioritizing exposed servers and domain controllers.

Cisco Secure FMC : faille critique CVE-2026-20079 exploitée par plusieurs groupes — Cisco Talos confirme (9 septembre) l'exploitation active par au moins trois clusters d'attaquants, dont l'APT russe Sandworm, d'un contournement d'authentification critique (CVSS 10.0) dans Cisco Secure Firewall Management Center, combiné à une seconde faille (CVE-2026-20316, CVSS 5.3) permettant une connexion avec un compte à faibles privilèges. Les attaquants obtiennent un accès root et déploient des logiciels malveillants, dont une variante de Cyclops Blink. La CISA a inscrit CVE-2026-20079 à son catalogue KEV avec une échéance de remédiation fixée au 12 septembre. Source

Cisco Secure FMC: critical flaw CVE-2026-20079 exploited by multiple groups — Cisco Talos confirms (September 9) active exploitation by at least three attacker clusters, including the Russian APT Sandworm, of a critical authentication bypass (CVSS 10.0) in Cisco Secure Firewall Management Center, combined with a second flaw (CVE-2026-20316, CVSS 5.3) allowing login with a low-privileged account. Attackers gain root access and deploy malware, including a Cyclops Blink variant. CISA added CVE-2026-20079 to its KEV catalog with a remediation deadline of September 12. Source

➜ À faire : Appliquer immédiatement le correctif Cisco pour Secure FMC, vérifier les journaux à la recherche de signes de compromission antérieure (comptes admin, sessions actives, shells web) et retirer l'interface de management de toute exposition directe à Internet.

➜ To do: Immediately apply Cisco's fix for Secure FMC, review logs for signs of prior compromise (admin accounts, active sessions, web shells), and remove the management interface from any direct internet exposure.

Patch Tuesday Microsoft — septembre 2026 — Publication ce jour de 9 vulnérabilités critiques (Azure, Office, Dynamics), plus 149 mises à jour de paquets Azure Linux et 23 correctifs Chromium republiés pour Edge. Aucune n'était exploitée avant publication. Source

Microsoft Patch Tuesday — September 2026 — Released today: 9 critical vulnerabilities (Azure, Office, Dynamics), plus 149 Azure Linux package updates and 23 republished Chromium fixes for Edge. None was exploited prior to release. Source

➜ À faire : Planifier le déploiement des correctifs de septembre sur les serveurs Windows Server et postes du parc après validation en environnement de test, en priorisant les 9 CVE critiques Azure/Office/Dynamics.

➜ To do: Schedule the September patches on the fleet's Windows Server systems and workstations after validation in a test environment, prioritizing the 9 critical Azure/Office/Dynamics CVEs.

Faille noyau Linux « Copy Fail » (CVE-2026-31431) — Élévation de privilèges locale (CVSS 7.8) affectant les principales distributions Linux depuis les noyaux 2017+, permettant l'écriture arbitraire dans le cache de page. Source

Linux kernel flaw "Copy Fail" (CVE-2026-31431) — Local privilege escalation (CVSS 7.8) affecting major Linux distributions running kernels since 2017+, allowing arbitrary writes into the page cache. Source

➜ À faire : Vérifier les versions de noyau des serveurs Linux du parc et appliquer le correctif dès sa publication par la distribution utilisée (Red Hat, Debian, Ubuntu...).

➜ To do: Check the kernel versions of the fleet's Linux servers and apply the fix as soon as it is published by the distribution in use (Red Hat, Debian, Ubuntu...).

Cisco IOS XR — durcissement sécurité septembre 2026 — Cisco publie plusieurs correctifs internes pour IOS XR (CVE notées jusqu'à CVSS 9.8), découverts en interne, non exploités à ce jour ; aucun contournement disponible. Source

Cisco IOS XR — September 2026 security hardening — Cisco released several internally discovered fixes for IOS XR (CVEs rated up to CVSS 9.8), not currently exploited; no workaround available. Source

➜ À faire : Identifier les équipements IOS XR du parc et planifier leur mise à jour vers les versions corrigées.

➜ To do: Identify IOS XR devices in the fleet and schedule their upgrade to the fixed versions.

Cisco Nexus 9000 — RCE critique Silicon One (CVE-2026-20212) — Exécution de code à distance non authentifiée avec privilèges root (CVSS 9.8) via les ports TCP 43210/43211 exposés sur les switches Nexus 9000 à ASIC Silicon One. Source

Cisco Nexus 9000 — critical Silicon One RCE (CVE-2026-20212) — Unauthenticated remote code execution with root privileges (CVSS 9.8) via exposed TCP ports 43210/43211 on Nexus 9000 switches with a Silicon One ASIC. Source

➜ À faire : Recenser les switches Nexus 9000 en production, appliquer le correctif Cisco en priorité et vérifier que les ports 43210/43211 ne sont pas exposés en dehors du VRF prévu.

➜ To do: Inventory Nexus 9000 switches in production, apply the Cisco fix as a priority, and verify that ports 43210/43211 are not exposed outside the intended VRF.

Proxmox VE 7.x — contournement d'authentification exploité — Proxmox alerte (PSA-2026-00043-1) sur une faille pré-authentification critique activement exploitée sur les versions 7.x, désormais en fin de vie. Source

Proxmox VE 7.x — authentication bypass under active exploitation — Proxmox warns (PSA-2026-00043-1) of a critical pre-authentication flaw being actively exploited on 7.x releases, now end of life. Source

➜ À faire : Si des nœuds Proxmox VE 7.x sont encore en service, migrer en urgence vers la 9.x et restreindre l'accès de l'interface d'administration au réseau interne en attendant.

➜ To do: If any Proxmox VE 7.x nodes are still in service, migrate urgently to 9.x and restrict the admin interface to the internal network in the meantime.

Fin des dépôts Proxmox VE 8.x (bookworm) — Depuis le 1er septembre 2026, les dépôts pve-no-subscription et enterprise ne servent plus de nouveaux paquets pour bookworm : plus aucun correctif de sécurité pour la 8.x. Source

End of Proxmox VE 8.x repositories (bookworm) — Since September 1, 2026, the pve-no-subscription and enterprise repositories no longer serve new packages for bookworm: no more security fixes for 8.x. Source

➜ À faire : Planifier la migration des hôtes Proxmox VE 8.x vers la 9.x pour continuer à recevoir les correctifs de sécurité.

➜ To do: Plan the migration of Proxmox VE 8.x hosts to 9.x to keep receiving security fixes.

SonicWall SMA1000 — deux failles zero-day exploitées (CVE-2026-83548, CVE-2026-83549) — SSRF pré-authentification (CVSS 10.0) chaînable avec une exécution de commande à distance ; exploitation active confirmée, ajout au catalogue CISA KEV et alerte CERT-FR CERTFR-2026-ALE-009. Source

SonicWall SMA1000 — two zero-days under active exploitation (CVE-2026-83548, CVE-2026-83549) — Pre-authentication SSRF (CVSS 10.0) chainable with remote command execution; active exploitation confirmed, added to the CISA KEV catalog and covered by CERT-FR alert CERTFR-2026-ALE-009. Source

➜ À faire : Vérifier immédiatement la présence d'appliances SonicWall SMA1000 (modèles 6210/7210/8200v) sur le parc, appliquer les hotfix 12.4.3-03526 / 12.5.0-02952 ou supérieurs, et restreindre l'exposition de l'interface Work Place à Internet.

➜ To do: Immediately check for SonicWall SMA1000 appliances (models 6210/7210/8200v) in the fleet, apply hotfix 12.4.3-03526 / 12.5.0-02952 or later, and restrict internet exposure of the Work Place interface.

Red Hat Advanced Cluster Management for Kubernetes — CVE-2026-66786 (CVSS 9.1) — Injection de configuration via Submariner en mode cert-auth pouvant mener à une exécution de code root sur le nœud gateway. Source

Red Hat Advanced Cluster Management for Kubernetes — CVE-2026-66786 (CVSS 9.1) — Configuration injection via Submariner in cert-auth mode that can lead to root code execution on the gateway node. Source

➜ À faire : Si RH ACM for Kubernetes est utilisé pour la gestion des clusters, appliquer le correctif Red Hat sans délai et vérifier les journaux Submariner pour signes de compromission.

➜ To do: If RH ACM for Kubernetes is used to manage clusters, apply the Red Hat fix without delay and check Submariner logs for signs of compromise.

Microsoft 365 — dégradation de service résolue — Le 2 septembre 2026, plusieurs services Microsoft 365 ont connu une dégradation ; le service est revenu à plus de 99 % de disponibilité. Source

Microsoft 365 — service degradation resolved — On September 2, 2026, several Microsoft 365 services experienced degradation; availability recovered to above 99%. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Correctifs noyau Ubuntu 16.04/14.04 LTS (ESM) — Canonical a publié le 4 septembre 2026 des correctifs noyau pour ces deux versions LTS étendues, couvrant plusieurs CVE dont CVE-2026-53045 et CVE-2026-52914. Source

Kernel fixes for Ubuntu 16.04/14.04 LTS (ESM) — Canonical released kernel fixes on September 4, 2026 for these two extended LTS releases, covering several CVEs including CVE-2026-53045 and CVE-2026-52914. Source

➜ À faire : Si des serveurs sous Ubuntu 16.04/14.04 avec abonnement ESM sont encore en production, appliquer apt update && apt upgrade et planifier un redémarrage.

➜ To do: If Ubuntu 16.04/14.04 servers with an ESM subscription are still in production, apply apt update && apt upgrade and schedule a reboot.

Patch Tuesday Microsoft demain, 8 septembre 2026 — Le prochain cycle mensuel de correctifs sort demain ; aucun détail sur son contenu n'est encore public. Source

Microsoft Patch Tuesday tomorrow, September 8, 2026 — The next monthly patch cycle ships tomorrow; no details on its content have been published yet. Source

➜ À faire : Réserver dès maintenant une fenêtre de test/déploiement pour les serveurs Windows Server du parc en vue des correctifs de demain.

➜ To do: Reserve a test/deployment window now for Windows Server systems in the fleet ahead of tomorrow's patches.

VMware prépare une refonte de vSphere Standard — Broadcom/VMware annonce une mise à jour de son offre d'entrée de gamme, longtemps délaissée, sous la pression de la migration massive vers des alternatives : Proxmox VE est passé à 21 % de parts de marché (contre 12 % en 2024) pendant que VMware recule de 48 % à 31 %. Source

VMware plans a vSphere Standard overhaul — Broadcom/VMware is announcing an update to its long-neglected entry-level offering, under pressure from the mass migration to alternatives: Proxmox VE has climbed to 21% market share (up from 12% in 2024) while VMware has slipped from 48% to 31%. Source

➜ À faire : Aucune action requise, à titre informatif. Utile si une renégociation de licences VMware ou une évaluation Proxmox est à l'ordre du jour.

➜ To do: No action required, for information only. Useful context if a VMware license renegotiation or a Proxmox evaluation is on the agenda.

SonicWall Network Security Manager (NSM) On-Prem : deux failles critiques (CVSS 9.1) — CVE-2026-81939 (Zip Slip) et CVE-2026-78327 (injection de commandes OS) touchent la console de gestion ; ajoutées au catalogue CISA KEV le 2 septembre avec échéance de remédiation au 5 septembre. Source

SonicWall Network Security Manager (NSM) On-Prem: two critical flaws (CVSS 9.1) — CVE-2026-81939 (Zip Slip) and CVE-2026-78327 (OS command injection) affect the management console; added to the CISA KEV catalog on September 2 with a remediation deadline of September 5. Source

➜ À faire : Si un SonicWall NSM On-Prem est déployé sur le parc, appliquer le correctif éditeur immédiatement et vérifier les journaux d'accès de la console de gestion.

➜ To do: If a SonicWall NSM On-Prem is deployed in the fleet, apply the vendor fix immediately and check the management console access logs.

JFrog Artifactory : contournement d'authentification critique exploité activement (CVSS 9.8) — CVE-2026-82329 permet à un attaquant non authentifié d'obtenir des privilèges administrateur en configuration par défaut ; exploitation active constatée dès le 1er septembre (création de jetons admin, énumération d'utilisateurs). Source

JFrog Artifactory: critical authentication bypass actively exploited (CVSS 9.8) — CVE-2026-82329 lets an unauthenticated attacker obtain administrator privileges under the default configuration; active exploitation observed as early as September 1 (minting admin tokens, enumerating users). Source

➜ À faire : Vérifier la version d'Artifactory en production, mettre à jour vers 7.111.21/7.117.28/7.125.20/7.133.29/7.146.38/7.161.20 selon la branche, et auditer les journaux pour toute création anormale de comptes ou jetons.

➜ To do: Check the Artifactory version in production, update to 7.111.21/7.117.28/7.125.20/7.133.29/7.146.38/7.161.20 depending on the branch, and audit logs for any abnormal account or token creation.

CISA KEV : Kestra et LiteLLM ajoutés au catalogue (2 septembre) — CVE-2026-49869 (Kestra OSS, injection de commandes OS, CVSS 10.0, exécution de workflows sans authentification) et CVE-2026-59822 (LiteLLM, authentification incorrecte sur l'endpoint MCP, CVSS 8.8). Source

CISA KEV: Kestra and LiteLLM added to the catalog (September 2) — CVE-2026-49869 (Kestra OSS, OS command injection, CVSS 10.0, unauthenticated workflow execution) and CVE-2026-59822 (LiteLLM, improper authentication on the MCP endpoint, CVSS 8.8). Source

➜ À faire : Si Kestra ou LiteLLM sont utilisés sur le parc (orchestration de workflows / passerelle LLM), appliquer les correctifs éditeur en urgence et vérifier l'exposition de ces services sur Internet.

➜ To do: If Kestra or LiteLLM are used in the fleet (workflow orchestration / LLM gateway), apply vendor patches urgently and check whether these services are exposed to the internet.

Correctifs noyau Linux sur Ubuntu 20.04 LTS — Ubuntu a publié le 2 septembre 2026 un correctif noyau corrigeant une vingtaine de CVE, dont CVE-2026-53224, CVE-2026-31705 et CVE-2026-52924. Source

Linux kernel fixes for Ubuntu 20.04 LTS — Ubuntu released a kernel fix on September 2, 2026 addressing about twenty CVEs, including CVE-2026-53224, CVE-2026-31705 and CVE-2026-52924. Source

➜ À faire : Appliquer les mises à jour (apt update && apt upgrade) sur les serveurs Ubuntu 20.04 du parc, puis planifier un redémarrage pour charger le nouveau noyau.

➜ To do: Apply updates (apt update && apt upgrade) on Ubuntu 20.04 servers in the fleet, then schedule a reboot to load the new kernel.

Patch Tuesday Microsoft à venir le 8 septembre 2026 — Le prochain Patch Tuesday est prévu la semaine prochaine ; aucun détail sur le contenu n'est encore publié à ce jour. Source

Microsoft Patch Tuesday coming September 8, 2026 — The next Patch Tuesday is scheduled for next week; no details on its content have been published yet. Source

➜ À faire : Prévoir une fenêtre de maintenance pour le déploiement des correctifs la semaine prochaine sur les serveurs Windows Server du parc.

➜ To do: Schedule a maintenance window for next week's patch deployment on Windows Server systems in the fleet.

Cisco IOS XR : durcissement critique (CVSS 9.8) — Cisco a publié le 2 septembre 2026 un correctif de durcissement pour IOS XR couvrant 7 CVE critiques (CVE-2026-20274 à CVE-2026-20280). Source

Cisco IOS XR: critical hardening release (CVSS 9.8) — Cisco published a hardening fix for IOS XR on September 2, 2026 covering 7 critical CVEs (CVE-2026-20274 to CVE-2026-20280). Source

➜ À faire : Identifier les routeurs IOS XR du parc et planifier la montée de version vers le correctif recommandé par Cisco.

➜ To do: Identify IOS XR routers in the fleet and schedule the upgrade to the fix recommended by Cisco.

Cisco Nexus 9000 : exécution de code root non authentifiée (CVSS 9.8) — CVE-2026-20212 : un adaptateur Silicon One lié à une IP non restreinte laisse les ports TCP 43210/43211 accessibles, permettant l'exécution de code en root à distance. Source

Cisco Nexus 9000: unauthenticated root code execution (CVSS 9.8) — CVE-2026-20212: a Silicon One adapter bound to an unrestricted IP leaves TCP ports 43210/43211 reachable, allowing remote code execution as root. Source

➜ À faire : Vérifier l'exposition des ports 43210/43211 sur les switches Nexus 9000 du parc, appliquer le correctif Cisco et restreindre l'accès réseau à ces ports en attendant.

➜ To do: Check exposure of ports 43210/43211 on Nexus 9000 switches in the fleet, apply the Cisco fix, and restrict network access to these ports in the meantime.

Cisco Secure Firewall Management Center : vulnérabilité RCE — Cisco a publié un avis de sécurité pour une vulnérabilité d'exécution de code à distance sur FMC. Source

Cisco Secure Firewall Management Center: RCE vulnerability — Cisco published a security advisory for a remote code execution vulnerability affecting FMC. Source

➜ À faire : Vérifier la version de FMC en production et appliquer le correctif dès que disponible.

➜ To do: Check the FMC version in production and apply the fix as soon as it is available.

VMSA-2026-0007 : VMware Workstation/Fusion, échappement de VM (CVSS 9.3) — CVE-2026-59346 (integer overflow VMXNET3) et CVE-2026-59347 (buffer overflow HGFS) permettent à un attaquant disposant de privilèges locaux sur une VM de s'échapper vers l'hôte. Source

VMSA-2026-0007: VMware Workstation/Fusion VM escape (CVSS 9.3) — CVE-2026-59346 (VMXNET3 integer overflow) and CVE-2026-59347 (HGFS buffer overflow) allow an attacker with local privileges on a VM to escape to the host. Source

➜ À faire : Mettre à jour VMware Workstation/Fusion vers la version 26H1u1 sur tous les postes concernés du parc.

➜ To do: Update VMware Workstation/Fusion to version 26H1u1 on all affected machines in the fleet.

Fin de vie de Proxmox VE 8 — Depuis le 1er septembre 2026, les dépôts non-abonnement et entreprise ne servent plus de nouveaux paquets pour Proxmox VE 8 (EOL au 31 août 2026). Source

Proxmox VE 8 reaches end of life — Since September 1, 2026, the no-subscription and enterprise repositories no longer serve new packages for Proxmox VE 8 (EOL as of August 31, 2026). Source

➜ À faire : Vérifier la version des hôtes Proxmox du parc et planifier la migration vers PVE 9 si encore en version 8.

➜ To do: Check the version of Proxmox hosts in the fleet and schedule migration to PVE 9 if still on version 8.

Microsoft Exchange : contournement d'authentification critique — CVE-2026-62911 : environ 22 000 serveurs Exchange restent exposés à ce jour, un exploit fonctionnel circule déjà en ligne. Source

Microsoft Exchange: critical authentication bypass — CVE-2026-62911: about 22,000 Exchange servers remain exposed as of today, and a working exploit is already circulating online. Source

➜ À faire : Vérifier que le correctif Microsoft est appliqué sur tous les serveurs Exchange on-premise du parc ; isoler ceux non patchés et surveiller les logs d'authentification.

➜ To do: Verify the Microsoft fix is applied on all on-premise Exchange servers in the fleet; isolate unpatched ones and monitor authentication logs.

SonicWall SMA1000 : SSRF exploité activement — CVE-2026-83548 et CVE-2026-83549, exploitées dans la nature ; alerte CERT-FR CERTFR-2026-ALE-009 publiée le 2 septembre 2026. Source

SonicWall SMA1000: actively exploited SSRF — CVE-2026-83548 and CVE-2026-83549, exploited in the wild; CERT-FR alert CERTFR-2026-ALE-009 published on September 2, 2026. Source

➜ À faire : Si des boîtiers SonicWall SMA1000 sont présents dans le parc, appliquer le correctif éditeur immédiatement et vérifier l'absence de compromission.

➜ To do: If SonicWall SMA1000 appliances are present in the fleet, apply the vendor fix immediately and check for signs of compromise.

Ransomware « agentique » : attaque menée par IA en 10 heures — Selon Unit 42 (Palo Alto), une entreprise a vu son cloud, son identité, sa CI/CD et ses SaaS entièrement compromis en 10 heures par des agents IA autonomes, plus de 50 techniques MITRE ATT&CK exploitées. Source

"Agentic" ransomware: AI-driven attack in 10 hours — According to Unit 42 (Palo Alto), an enterprise had its cloud, identity, CI/CD and SaaS entirely compromised in 10 hours by autonomous AI agents, exploiting over 50 MITRE ATT&CK techniques. Source

➜ À faire : Aucune action requise, à titre informatif. Bon rappel pour renforcer la supervision et la segmentation des accès identité/cloud.

➜ To do: No action required, for information only. A good reminder to strengthen monitoring and segmentation of identity/cloud access.

Panne Azure Front Door — Le 2 septembre 2026, un changement de configuration a provoqué une dégradation d'Azure Front Door impactant Outlook, Teams, Xbox Live et le Microsoft Store ; service rétabli à plus de 99 %. Source

Azure Front Door outage — On September 2, 2026, a configuration change caused an Azure Front Door degradation affecting Outlook, Teams, Xbox Live and the Microsoft Store; service was restored to over 99%. Source

➜ À faire : Aucune action requise, à titre informatif — vérifier que la supervision a bien détecté l'incident côté services dépendants d'Azure Front Door.

➜ To do: No action required, for information only — verify that monitoring correctly detected the incident on services depending on Azure Front Door.

Linux Kernel 7.2.3 publié avec 71 correctifs de sécurité — Nouvelle version stable corrigeant des failles de corruption mémoire USB, des vulnérabilités Bluetooth et des race conditions réseau. Source

Linux Kernel 7.2.3 released with 71 security fixes — New stable release fixing USB memory corruption flaws, Bluetooth vulnerabilities, and networking race conditions. Source

➜ À faire : Planifier la mise à jour du noyau sur les serveurs Linux critiques (composants USB, Bluetooth et réseau concernés) et tester en pré-production avant déploiement.

➜ To do: Plan the kernel update on critical Linux servers (USB, Bluetooth and networking components affected) and test in pre-production before rollout.

Ubuntu corrige des dizaines de CVE noyau sur 18.04 et 20.04 LTS — Correctifs publiés le 2 septembre 2026 pour de nombreuses failles du noyau Linux affectant ces deux versions LTS. Source

Ubuntu fixes dozens of kernel CVEs on 18.04 and 20.04 LTS — Fixes published on September 2, 2026 for numerous Linux kernel flaws affecting both LTS releases. Source

➜ À faire : Appliquer les mises à jour (apt update && apt upgrade) sur les serveurs Ubuntu 18.04/20.04 LTS du parc et planifier les redémarrages nécessaires.

➜ To do: Apply updates (apt update && apt upgrade) on Ubuntu 18.04/20.04 LTS servers in the fleet and schedule the required reboots.

Windows Server 2025 : hotpatch KB5120228 disponible — Publication de contenu hotpatch pour Windows Server 2025 le 1er septembre 2026. Source

Windows Server 2025: hotpatch KB5120228 available — Hotpatch content published for Windows Server 2025 on September 1, 2026. Source

➜ À faire : Vérifier le déploiement du hotpatch KB5120228 via WSUS/SCCM sur les serveurs Windows Server 2025 éligibles au hotpatching.

➜ To do: Verify the deployment of hotpatch KB5120228 via WSUS/SCCM on Windows Server 2025 servers eligible for hotpatching.

Deux zero-day SonicWall SMA1000 exploités activement, chaînables en RCE non authentifié — CVE-2026-83548 (SSRF critique, CVSS 10.0, interface Work Place) et CVE-2026-83549 (injection de commandes OS, CVSS 7.8, console AMC). Modèles 6210/7210/8200v concernés (SMA 100 et SSL-VPN des firewalls non affectés). Source

Two actively exploited SonicWall SMA1000 zero-days, chainable into unauthenticated RCE — CVE-2026-83548 (critical SSRF, CVSS 10.0, Work Place interface) and CVE-2026-83549 (OS command injection, CVSS 7.8, AMC console). SMA1000 6210/7210/8200v models affected (SMA 100 and firewall SSL-VPN not impacted). Source

➜ À faire : Recenser les appliances SonicWall SMA1000 du parc, appliquer immédiatement le correctif éditeur et vérifier les journaux d'accès de l'interface Work Place et de la console AMC pour toute activité suspecte.

➜ To do: Identify SonicWall SMA1000 appliances in the fleet, apply the vendor fix immediately, and review Work Place interface and AMC console access logs for suspicious activity.

CERT-FR (CERTFR-2026-AVI-1102) : multiples vulnérabilités dans SPIP — Failles permettant une exécution de code arbitraire à distance, versions antérieures à 4.4.22 affectées. Avis publié le 1er septembre 2026. Source

CERT-FR (CERTFR-2026-AVI-1102): multiple vulnerabilities in SPIP — Flaws allowing arbitrary remote code execution, affecting versions prior to 4.4.22. Advisory published September 1, 2026. Source

➜ À faire : Vérifier la version de SPIP utilisée sur les sites du parc et mettre à jour vers la version 4.4.22 ou supérieure.

➜ To do: Check the SPIP version used on sites in the fleet and update to version 4.4.22 or later.

Ransomware ciblant les environnements OT du secteur manufacturier + avis Siemens ICS — Nouvelle variante de ransomware exploitant des vulnérabilités connues sur des systèmes legacy ; Siemens publie un avis pour plusieurs failles dans ses produits ICS. Source

Ransomware targeting manufacturing OT environments + Siemens ICS advisory — New ransomware variant exploiting known vulnerabilities on legacy systems; Siemens publishes an advisory covering several flaws in its ICS products. Source

➜ À faire : Vérifier l'application des correctifs Siemens sur les équipements ICS/SCADA du parc, contrôler la segmentation réseau OT/IT et prioriser la mise à jour des systèmes legacy exposés.

➜ To do: Verify that Siemens fixes have been applied on ICS/SCADA equipment in the fleet, check OT/IT network segmentation, and prioritize updating exposed legacy systems.

Incident majeur Microsoft 365 / Azure le 2 septembre 2026 — Panne causée par un problème de déploiement d'une configuration d'authentification centrale, affectant Teams, Exchange Online, OneDrive, SharePoint Online, Copilot, Outlook, Xbox Live et Microsoft Store. Service rétabli à plus de 99 %, impact résiduel possible pour certains utilisateurs. Source

Major Microsoft 365 / Azure incident on September 2, 2026 — Outage caused by a deployment issue in a core authentication configuration, affecting Teams, Exchange Online, OneDrive, SharePoint Online, Copilot, Outlook, Xbox Live and Microsoft Store. Service availability recovered above 99%, with possible residual impact for some users. Source

➜ À faire : Vérifier l'état des services sur Azure Service Health / Microsoft 365 Admin Center et surveiller d'éventuels problèmes d'authentification résiduels côté utilisateurs.

➜ To do: Check service status on Azure Service Health / Microsoft 365 Admin Center and monitor for any residual authentication issues on the user side.

Incident AWS région us-west-2 le 1er septembre 2026 (~16h09 de durée) — 4e incident en 4 mois touchant cette région. Source

AWS us-west-2 region incident on September 1, 2026 (~16h09 duration) — 4th incident in 4 months affecting this region. Source

➜ À faire : Vérifier si des ressources du SI dépendent de la région us-west-2, consulter l'AWS Health Dashboard et envisager une architecture multi-AZ/multi-région pour les services critiques.

➜ To do: Check whether any IT resources depend on the us-west-2 region, review the AWS Health Dashboard, and consider a multi-AZ/multi-region architecture for critical services.

Vulnérabilités dans le noyau Linux (Debian, Ubuntu, Red Hat, SUSE) — Le CERT-FR a publié le 28 août 2026 plusieurs avis (CERTFR-2026-AVI-1090 à 1093) sur des failles du noyau Linux touchant ces quatre distributions : élévation de privilèges, atteinte à la confidentialité/intégrité, déni de service. Source

Vulnerabilities in the Linux kernel (Debian, Ubuntu, Red Hat, SUSE) — On August 28, 2026, CERT-FR published several advisories (CERTFR-2026-AVI-1090 to 1093) on Linux kernel flaws affecting these four distributions: privilege escalation, confidentiality/integrity impact, denial of service. Source

➜ À faire : Identifier les serveurs Linux du parc par distribution, vérifier la version de noyau installée et déployer les correctifs de sécurité dès disponibilité ; planifier les redémarrages nécessaires.

➜ To do: Identify Linux servers in the fleet by distribution, check the installed kernel version, and deploy the security fixes as soon as they are available; plan the required reboots.

CVE-2026-31431 « Copy Fail » — Faille locale d'élévation de privilèges dans le noyau Linux (CVSS 7.8), affectant les noyaux publiés depuis 2017, inscrite au catalogue CISA KEV (exploitation active). Source

CVE-2026-31431 "Copy Fail" — A local privilege escalation flaw in the Linux kernel (CVSS 7.8), affecting kernels released since 2017, listed in the CISA KEV catalog (active exploitation). Source

➜ À faire : Vérifier que les systèmes Linux du parc sont patchés contre CVE-2026-31431 ; si non, prioriser le déploiement du correctif fournisseur en urgence.

➜ To do: Check that Linux systems in the fleet are patched against CVE-2026-31431; if not, prioritize urgent deployment of the vendor fix.

Prochain Patch Tuesday Microsoft — Le prochain cycle de correctifs mensuels est prévu le 8 septembre 2026.

Next Microsoft Patch Tuesday — The next monthly patch cycle is scheduled for September 8, 2026.

➜ À faire : Aucune action requise, à titre informatif. À anticiper pour la semaine prochaine (prévoir une fenêtre de test/déploiement).

➜ To do: No action required, for information only. Plan ahead for next week (schedule a test/deployment window).

Avis PSIRT Cisco du 2 septembre 2026 — Cisco publie aujourd'hui de nouveaux avis de sécurité pour IOS XR Software (version de durcissement), Nexus 9000 Series (Silicon One), Secure Email, et les téléphones de bureau (séries 9800/7800/8800/8875). Source

Cisco PSIRT advisories of September 2, 2026 — Cisco is publishing new security advisories today for IOS XR Software (hardening release), Nexus 9000 Series (Silicon One), Secure Email, and desk phones (9800/7800/8800/8875 series). Source

➜ À faire : Surveiller la publication de ces avis PSIRT ce jour ; si IOS XR, Nexus 9000 Silicon One ou Secure Email sont présents sur le parc, planifier l'application des correctifs dès parution.

➜ To do: Watch for the publication of these PSIRT advisories today; if IOS XR, Nexus 9000 Silicon One, or Secure Email are present in the fleet, plan to apply the fixes as soon as they are released.

CVE-2026-20349 — Vulnérabilité dans Cisco Secure Firewall ASA/FTD permettant à un attaquant non authentifié de provoquer un redémarrage inopiné (déni de service) via le VPN SSL. Source

CVE-2026-20349 — A vulnerability in Cisco Secure Firewall ASA/FTD allows an unauthenticated attacker to cause an unexpected reload (denial of service) via SSL VPN. Source

➜ À faire : Vérifier la version logicielle des pare-feux ASA/FTD du parc, appliquer le correctif Cisco dès que possible ; en attendant, limiter l'exposition du portail VPN SSL à Internet si possible.

➜ To do: Check the software version of ASA/FTD firewalls in the fleet, apply the Cisco fix as soon as possible; in the meantime, limit the SSL VPN portal's exposure to the Internet if possible.

RCE dans Cisco Secure Firewall Management Center — Vulnérabilité permettant l'exécution de code Java arbitraire en tant que root par un attaquant non authentifié. Source

RCE in Cisco Secure Firewall Management Center — A vulnerability allows an unauthenticated attacker to execute arbitrary Java code as root. Source

➜ À faire : Identifier les instances FMC exposées, appliquer le correctif dès disponibilité, et restreindre l'accès à l'interface de gestion aux réseaux d'administration de confiance.

➜ To do: Identify exposed FMC instances, apply the fix as soon as it is available, and restrict access to the management interface to trusted administration networks.

CVE-2026-51083 — Contournement d'authentification critique dans Proxmox VE — Faille dans les versions 7.x (fin de vie) et 8.0 initiale : via le paramètre tfa-challenge de l'API de connexion, un attaquant non authentifié peut se connecter en tant que root sans mot de passe. PoC public et exploitation active constatée (avis Proxmox PSA-2026-00043-1 du 1er septembre 2026). Source

CVE-2026-51083 — Critical authentication bypass in Proxmox VE — A flaw in versions 7.x (end of life) and initial 8.0: via the tfa-challenge parameter of the login API, an unauthenticated attacker can log in as root without a password. Public PoC and active exploitation observed (Proxmox advisory PSA-2026-00043-1, September 1, 2026). Source

➜ À faire : Vérifier immédiatement la version de Proxmox VE utilisée sur le parc ; si en version 7.x ou 8.0 initiale (EOL), migrer en urgence vers une version supportée (libpve-access-control ≥ 8.0.4) et isoler l'interface web de gestion du réseau public en attendant la mise à niveau.

➜ To do: Immediately check the Proxmox VE version used in the fleet; if running 7.x or the initial 8.0 (EOL), urgently migrate to a supported version (libpve-access-control ≥ 8.0.4) and isolate the web management interface from the public network until upgraded.

VMSA-2026-0006 (Broadcom/VMware) — Vulnérabilités critiques dans vCenter Server (CVE-2026-59309, contournement d'authentification, CVSS 9.8) et ESXi (CVE-2026-47876, écriture hors limites VMXNET3, CVSS 9.3) ; correctifs disponibles depuis le 29 juillet 2026. Source

VMSA-2026-0006 (Broadcom/VMware) — Critical vulnerabilities in vCenter Server (CVE-2026-59309, authentication bypass, CVSS 9.8) and ESXi (CVE-2026-47876, VMXNET3 out-of-bounds write, CVSS 9.3); fixes available since July 29, 2026. Source

➜ À faire : Vérifier que les correctifs VMSA-2026-0006 ont bien été appliqués sur tous les hôtes ESXi et instances vCenter du parc ; si ce n'est pas encore fait, prioriser ce déploiement vu la criticité (CVSS ≥ 9).

➜ To do: Verify that the VMSA-2026-0006 fixes have been applied to all ESXi hosts and vCenter instances in the fleet; if not yet done, prioritize this deployment given the criticality (CVSS ≥ 9).

PaperCut NG/MF — RCE chaînable exploitée activement — Deux vulnérabilités, CVE-2026-81578 (absence d'authentification) et CVE-2026-82078 (réflexion non sécurisée), permettent une fois chaînées une exécution de code arbitraire à distance sans authentification. Ajoutées au catalogue CISA KEV le 31 août 2026 ; avis CERT-FR du 28 août 2026. Source

PaperCut NG/MF — chainable RCE actively exploited — Two vulnerabilities, CVE-2026-81578 (missing authentication) and CVE-2026-82078 (unsafe reflection), can be chained to achieve unauthenticated remote code execution. Added to the CISA KEV catalog on August 31, 2026; CERT-FR advisory published August 28, 2026. Source

➜ À faire : Identifier les serveurs PaperCut NG/MF du parc, appliquer immédiatement le correctif éditeur, et vérifier les journaux à la recherche de signes de compromission antérieure.

➜ To do: Identify PaperCut NG/MF servers in the fleet, apply the vendor fix immediately, and review logs for signs of prior compromise.

Ransomware — exploitation des failles SonicWall SMA1000 — La CISA confirme que des groupes de ransomware exploitent activement la vulnérabilité SSRF critique CVE-2026-15409 sur les appliances SonicWall Secure Mobile Access 1000.

Ransomware — exploitation of SonicWall SMA1000 flaws — CISA confirms that ransomware groups are actively exploiting the critical SSRF vulnerability CVE-2026-15409 on SonicWall Secure Mobile Access 1000 appliances.

➜ À faire : Vérifier la présence d'appliances SonicWall SMA1000 sur le parc, appliquer le correctif éditeur en urgence si ce n'est pas déjà fait, et auditer les accès VPN récents pour détecter une éventuelle compromission.

➜ To do: Check for SonicWall SMA1000 appliances in the fleet, urgently apply the vendor fix if not already done, and audit recent VPN access for signs of compromise.

Ransomware — exploitation de la faille SharePoint — Des groupes de ransomware exploitent activement la vulnérabilité RCE non authentifiée de Microsoft SharePoint (CVE-2026-50522 / CVE-2026-58644), corrigée le 14 juillet 2026. Source

Ransomware — exploitation of the SharePoint flaw — Ransomware groups are actively exploiting the unauthenticated RCE vulnerability in Microsoft SharePoint (CVE-2026-50522 / CVE-2026-58644), patched on July 14, 2026. Source

➜ À faire : Confirmer que tous les serveurs SharePoint on-premise du parc ont bien reçu le correctif de juillet 2026 ; à défaut, appliquer en urgence et rechercher des indicateurs de compromission (webshells).

➜ To do: Confirm that all on-premise SharePoint servers in the fleet have received the July 2026 fix; if not, apply it urgently and look for indicators of compromise (webshells).

Fin de vie des VM confidentielles Azure « cc_v5 » — Les séries DCas_cc_v5, DCads_cc_v5, ECas_cc_v5 et ECads_cc_v5 sont retirées le 1er septembre 2026. Source

End of life for Azure "cc_v5" confidential VMs — The DCas_cc_v5, DCads_cc_v5, ECas_cc_v5, and ECads_cc_v5 series are retired on September 1, 2026. Source

➜ À faire : Vérifier si des VM de ces séries sont déployées dans les abonnements Azure gérés ; si oui, migrer vers une série de VM confidentielle plus récente ou une VM standard avant l'arrêt du service.

➜ To do: Check whether VMs from these series are deployed in the managed Azure subscriptions; if so, migrate to a newer confidential VM series or a standard VM before the service is discontinued.

CVE-2026-33826 — Vulnérabilité RCE dans Active Directory (validation d'entrée incorrecte), exploitable par un attaquant authentifié depuis un réseau adjacent. Source

CVE-2026-33826 — An RCE vulnerability in Active Directory (improper input validation), exploitable by an authenticated attacker from an adjacent network. Source

➜ À faire : Vérifier l'application du correctif Microsoft correspondant sur les contrôleurs de domaine, et s'assurer que les segments réseau adjacents aux DC sont correctement cloisonnés.

➜ To do: Verify that the corresponding Microsoft fix has been applied on domain controllers, and ensure that network segments adjacent to the DCs are properly isolated.

CVE-2026-20929 — Relais Kerberos via empoisonnement DNS CNAME — Permet un relais Kerberos inter-services vers SMB, LDAP et AD CS ; le correctif Microsoft ne couvre à ce jour que le vecteur HTTP, la cause racine reste non corrigée. Source

CVE-2026-20929 — Kerberos relay via DNS CNAME poisoning — Enables cross-service Kerberos relay to SMB, LDAP, and AD CS; Microsoft's fix currently only covers the HTTP vector, and the root cause remains unpatched. Source

➜ À faire : Sur les contrôleurs de domaine et serveurs AD CS, restreindre les enregistrements DNS CNAME non maîtrisés, activer la signature LDAP et l'Extended Protection for Authentication (EPA), et surveiller les tentatives de relais Kerberos anormales.

➜ To do: On domain controllers and AD CS servers, restrict unmanaged DNS CNAME records, enable LDAP signing and Extended Protection for Authentication (EPA), and monitor for abnormal Kerberos relay attempts.

Bugs multiples après la mise à jour Windows d'août 2026 — Microsoft confirme plusieurs effets de bord post-KB5120998 : réinitialisation des paramètres souris sous Windows 11, fausses alertes « Defender désactivé », et plantages de jeux liés aux périphériques RGB. Source

Multiple bugs reported after the August 2026 Windows update — Microsoft confirms several side effects following KB5120998: mouse settings reverting on Windows 11, false "Defender turned off" alerts, and game crashes linked to RGB peripherals. Source

➜ À faire : Sur les postes Windows 11 ayant reçu la mise à jour d'août, ignorer les alertes « Defender désactivé » (faux positif connu, aucune action antivirus requise) et vérifier les remontées utilisateurs sur les paramètres souris avant d'escalader un ticket.

➜ To do: On Windows 11 machines that received the August update, disregard "Defender turned off" alerts (known false positive, no antivirus action needed) and check user reports about mouse settings before escalating a ticket.

Cisco : notification anticipée des avis de sécurité du 2 septembre 2026 — Le PSIRT Cisco annonce la publication imminente de plusieurs avis de sécurité, notamment sur IOS XR et des gammes de téléphonie de bureau. Source

Cisco: advance notification for the September 2, 2026 security advisories — Cisco PSIRT announces the upcoming publication of several security advisories, notably covering IOS XR and desk phone product lines. Source

➜ À faire : Surveiller la publication des avis le 2 septembre sur le portail Cisco Security Advisories et vérifier dès leur sortie si des équipements IOS XR ou de téléphonie du parc sont concernés.

➜ To do: Watch for the advisories on September 2 on the Cisco Security Advisories portal and check as soon as they're published whether any IOS XR or phone equipment in the fleet is affected.

Proxmox VE 8 : fin de support standard depuis le 31 août 2026 — Proxmox GmbH a officiellement arrêté les correctifs de sécurité et le support pour la branche PVE 8. Source

Proxmox VE 8: standard support ended on August 31, 2026 — Proxmox GmbH has officially stopped security patches and support for the PVE 8 branch. Source

➜ À faire : Recenser tous les hôtes Proxmox VE 8 encore en production sur le parc et planifier leur migration vers PVE 9, ces hôtes ne recevant plus aucun correctif de sécurité.

➜ To do: Identify any Proxmox VE 8 hosts still in production and plan their migration to PVE 9, since these hosts no longer receive any security patches.

VMware vCenter : faille critique CVE-2026-59310 activement exploitée — Vulnérabilité de traversée de répertoire (CVSS 9.8) dans vCenter Server, exploitée par un groupe APT lié à la Chine ; plus de 360 victimes recensées dans 47 pays, dont la France. Source

VMware vCenter: critical CVE-2026-59310 flaw actively exploited — A directory traversal vulnerability (CVSS 9.8) in vCenter Server is being exploited by a China-linked APT group; over 360 victims have been identified across 47 countries, including France. Source

➜ À faire : Vérifier le niveau de patch de tous les vCenter Server du parc par rapport à l'avis VMSA-2026-0006, appliquer le correctif Broadcom sans délai, et contrôler les journaux d'accès au service Syslog de vCenter pour toute activité suspecte.

➜ To do: Check the patch level of all vCenter Server instances against advisory VMSA-2026-0006, apply the Broadcom fix without delay, and review vCenter Syslog service access logs for suspicious activity.

Fire Ant : campagne d'espionnage chinoise étendue aux routeurs Cisco et serveurs TACACS — Le groupe APT Fire Ant, déjà connu pour cibler VMware ESXi/vCenter, compromet désormais des routeurs Cisco IOS XR, des serveurs TACACS et des hôtes Linux d'administration pour intercepter le trafic et effacer les traces (implants BridgeAgent, TacTap). Source

Fire Ant: Chinese espionage campaign expands to Cisco routers and TACACS servers — The Fire Ant APT group, previously known for targeting VMware ESXi/vCenter, now compromises Cisco IOS XR routers, TACACS servers and Linux management hosts to intercept traffic and erase traces (BridgeAgent and TacTap implants). Source

➜ À faire : Auditer les routeurs Cisco IOS XR et serveurs TACACS du parc à la recherche de tunnels GRE non expliqués par la configuration ou l'historique de commit, et surveiller les journaux d'authentification TACACS pour toute anomalie.

➜ To do: Audit Cisco IOS XR routers and TACACS servers in the fleet for GRE tunnels not explained by configuration or commit history, and monitor TACACS authentication logs for anomalies.

CERT-FR : multiples vulnérabilités dans les produits Tenable (CERTFR-2026-AVI-1097, publié le 31 août 2026). Source

CERT-FR: multiple vulnerabilities in Tenable products (CERTFR-2026-AVI-1097, published August 31, 2026). Source

➜ À faire : Si des outils Tenable (Nessus, Tenable.sc, etc.) sont déployés sur le parc, consulter l'avis CERTFR-2026-AVI-1097 et appliquer les correctifs listés dans les meilleurs délais.

➜ To do: If Tenable tools (Nessus, Tenable.sc, etc.) are deployed on the fleet, review advisory CERTFR-2026-AVI-1097 and apply the listed fixes as soon as possible.

Bulletin d'actualité CERT-FR CERTFR-2026-ACT-037 — Récapitulatif hebdomadaire des vulnérabilités significatives, publié le 31 août 2026. Source

CERT-FR news bulletin CERTFR-2026-ACT-037 — Weekly recap of significant vulnerabilities, published August 31, 2026. Source

➜ À faire : Aucune action requise, à titre informatif — consulter le bulletin pour prioriser les correctifs déjà identifiés dans les avis associés.

➜ To do: No action required, for information only — review the bulletin to prioritize fixes already identified in the related advisories.

Patch Tuesday août 2026 : élévation de privilèges Windows déjà exploitée — Microsoft a publié 751 correctifs dont 108 critiques. CVE-2026-68820 (AFD/WinSock) était exploitée avant la disponibilité du correctif, et CVE-2026-62878 (RCE DNS Server) est jugée potentiellement « wormable ». Source

August 2026 Patch Tuesday: Windows privilege escalation already exploited — Microsoft released 751 fixes, 108 rated critical. CVE-2026-68820 (AFD/WinSock) was exploited before a patch was available, and CVE-2026-62878 (DNS Server RCE) is considered potentially wormable. Source

➜ À faire : Déployer en urgence le cumulatif d'août sur tous les serveurs Windows, en priorité les serveurs DNS exposés (CVE-2026-62878) et les systèmes concernés par CVE-2026-68820.

➜ To do: Urgently deploy the August cumulative update on all Windows servers, prioritizing exposed DNS servers (CVE-2026-62878) and systems affected by CVE-2026-68820.

Noyau Linux : mises à jour stables du 27 août — Versions 5.10.267 à 7.1.11 corrigeant une fuite mémoire exploitable côté hôte Hyper-V malveillant et huit failles NFC. Source

Linux kernel: stable updates on August 27 — Versions 5.10.267 through 7.1.11 fixing a memory leak exploitable via a malicious Hyper-V host and eight NFC flaws. Source

➜ À faire : Planifier la mise à jour du noyau sur les VM Linux hébergées sur Hyper-V, en particulier si le NFC ou un hôte Hyper-V tiers est en jeu.

➜ To do: Schedule kernel updates on Linux VMs hosted on Hyper-V, especially where NFC or a third-party Hyper-V host is involved.

Cisco : failles critiques CVSS 10.0 dans Crosswork et Secure Workload — Advisories publiées le 19 août pour ces deux plateformes, avec sévérité maximale. Source

Cisco: critical CVSS 10.0 flaws in Crosswork and Secure Workload — Advisories published August 19 for these two platforms, rated maximum severity. Source

➜ À faire : Recenser les instances Cisco Crosswork et Secure Workload du parc et appliquer sans délai la mise à jour de durcissement recommandée.

➜ To do: Identify any Cisco Crosswork or Secure Workload instances in the fleet and apply the recommended hardening update without delay.

Cisco : Catalyst SD-WAN (CVSS 9.9) et IOS XE (CVSS 9.8) — Advisories du 5 août, sévérité critique, non exploitées à ce jour. Source

Cisco: Catalyst SD-WAN (CVSS 9.9) and IOS XE (CVSS 9.8) — August 5 advisories, critical severity, not exploited to date. Source

➜ À faire : Identifier les équipements IOS XE / Catalyst SD-WAN du parc et planifier leur mise à jour vers les versions corrigées.

➜ To do: Identify IOS XE / Catalyst SD-WAN devices in the fleet and schedule their upgrade to fixed versions.

VMware vCenter : exploitation active confirmée — CVE-2026-59309 (contournement d'authentification) et CVE-2026-59310 (RCE via traversée de répertoire, CVSS 9.8) sont exploitées par un groupe APT chinois déployant un ransomware dérivé de Babuk via SSH inversé. Source

VMware vCenter: active exploitation confirmed — CVE-2026-59309 (authentication bypass) and CVE-2026-59310 (directory-traversal RCE, CVSS 9.8) are being exploited by a China-nexus APT group deploying a Babuk-derived ransomware via reverse SSH. Source

➜ À faire : Patcher immédiatement tous les vCenter vers 9.1.0.0300 / 9.0.2.0100, contrôler les journaux pour des connexions SSH inversées suspectes, et isoler vCenter du réseau si le patch ne peut pas être appliqué tout de suite.

➜ To do: Patch all vCenter instances immediately to 9.1.0.0300 / 9.0.2.0100, review logs for suspicious reverse SSH connections, and isolate vCenter from the network if the patch cannot be applied right away.

VMware ESXi : faille d'évasion de VM (VM escape) — CVE-2026-47876 (CVSS 9.3), aucun contournement disponible en dehors du correctif. Source

VMware ESXi: VM escape flaw — CVE-2026-47876 (CVSS 9.3), no workaround available other than patching. Source

➜ À faire : Patcher en priorité tous les hôtes ESXi concernés.

➜ To do: Patch all affected ESXi hosts as a priority.

Proxmox VE 8 : fin de support aujourd'hui — Plus aucun correctif de sécurité à compter du 31 août 2026. Source

Proxmox VE 8: end of life today — No more security patches as of August 31, 2026. Source

➜ À faire : Planifier la migration vers Proxmox VE 9.2 pour tous les hôtes encore en version 8.

➜ To do: Plan the migration to Proxmox VE 9.2 for any hosts still running version 8.

Campagne ransomware Cl0p via PTC Windchill/FlexPLM — Plus de 40 organisations (Shell, Philips, General Electric...) listées sur le site de fuite du groupe. Source

Cl0p ransomware campaign via PTC Windchill/FlexPLM — Over 40 organizations (Shell, Philips, General Electric...) listed on the group's leak site. Source

➜ À faire : Vérifier si le parc utilise PTC Windchill/FlexPLM, appliquer les correctifs éditeur et contrôler les journaux d'accès.

➜ To do: Check whether the fleet uses PTC Windchill/FlexPLM, apply vendor patches, and review access logs.

LockBit 5.0 revendique une attaque contre un cabinet français — Le groupe cible Dupouy et Associés – Crowe Horwath, menaçant de publier des données sensibles. Source

LockBit 5.0 claims attack on a French firm — The group targets Dupouy et Associés – Crowe Horwath, threatening to leak sensitive data. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CERT-FR : alerte SonicWall SMA 1000 clôturée — CVE-2026-15409, faille SSRF non authentifiée, alerte close le 24 août. Source

CERT-FR: SonicWall SMA 1000 alert closed — CVE-2026-15409, unauthenticated SSRF flaw, alert closed August 24. Source

➜ À faire : Vérifier la présence de boîtiers SonicWall SMA 1000 sur le parc et confirmer l'application du correctif.

➜ To do: Check for any SonicWall SMA 1000 appliances in the fleet and confirm the patch has been applied.

Azure : incident réseau résolu (région West US) — Incident affectant plusieurs services, résolu le 28 août. Source

Azure: network incident resolved (West US region) — Incident affecting multiple services, resolved August 28. Source

➜ À faire : Aucune action requise, à titre informatif ; vérifier a posteriori qu'aucun service critique hébergé en West US n'a été impacté.

➜ To do: No action required, for information only; verify retroactively that no critical service hosted in West US was impacted.

AWS : nouvel incident de connectivité us-west-2 — Avertissement de service le 27 août (environ 15h), 4ᵉ incident de ce type en 4 mois sur cette région. Source

AWS: new us-west-2 connectivity incident — Service warning on August 27 (about 15 hours), the 4th such incident in 4 months in this region. Source

➜ À faire : Si des charges critiques tournent sur us-west-2, vérifier l'existence d'un plan de reprise multi-région.

➜ To do: If critical workloads run on us-west-2, verify a multi-region failover plan is in place.

CVE-2026-62818 : RCE critique dans AD Certificate Services — Faille use-after-free (CVSS 8.8), exploitable à distance sans authentification. Source

CVE-2026-62818: critical RCE in AD Certificate Services — Use-after-free flaw (CVSS 8.8), remotely exploitable without authentication. Source

➜ À faire : Appliquer le cumulatif d'août 2026 en priorité sur tous les serveurs AD CS.

➜ To do: Apply the August 2026 cumulative update as a priority on all AD CS servers.

CVE-2026-50481 : élévation de privilèges Azure AD/Entra ID — CVSS 9.9, exploitable via une donnée supposée immuable modifiée par un attaquant autorisé. Source

CVE-2026-50481: Azure AD/Entra ID privilege escalation — CVSS 9.9, exploitable via modification of assumed-immutable data by an authorized attacker. Source

➜ À faire : Vérifier l'application du correctif côté Microsoft et contrôler les journaux d'audit Entra ID pour toute activité suspecte.

➜ To do: Verify the fix has been applied on the Microsoft side and review Entra ID audit logs for suspicious activity.

Zabbix : plusieurs CVE publiées — CVE-2026-23919 (fuite d'informations via le moteur JS Duktape), CVE-2026-23921 (injection SQL, CVSS 8.7), CVE-2026-23925 (création d'hôtes non autorisée via l'API configuration.import) et CVE-2026-23924 (lecture de fichiers via le plugin Docker de l'Agent 2). Source

Zabbix: several CVEs published — CVE-2026-23919 (information disclosure via the Duktape JS engine), CVE-2026-23921 (SQL injection, CVSS 8.7), CVE-2026-23925 (unauthorized host creation via the configuration.import API), and CVE-2026-23924 (file read via the Agent 2 Docker plugin). Source

➜ À faire : Vérifier la version Zabbix Server/Proxy/Agent 2 installée, appliquer les correctifs disponibles et restreindre les droits d'import de configuration aux comptes de confiance.

➜ To do: Check the installed Zabbix Server/Proxy/Agent 2 version, apply available patches, and restrict configuration-import rights to trusted accounts.

Correctifs noyau Ubuntu LTS diffusés — Canonical a publié le 27 août des mises à jour de sécurité du noyau Linux pour plusieurs versions LTS (24.04, 22.04, 20.04, 18.04, 16.04) ; un redémarrage est nécessaire. Source

Ubuntu LTS kernel patches released — Canonical released Linux kernel security updates on August 27 for several LTS versions (24.04, 22.04, 20.04, 18.04, 16.04); a reboot is required. Source

➜ À faire : Planifier le déploiement de ces correctifs noyau sur les serveurs Ubuntu du parc pendant une fenêtre de maintenance (redémarrage requis) et vérifier la recompilation des modules tiers (DKMS) si utilisés.

➜ To do: Schedule deployment of these kernel patches on the fleet's Ubuntu servers during a maintenance window (reboot required) and check third-party module recompilation (DKMS) if used.

Windows 11 : correctif définitif contre les plantages système — Microsoft a commencé à déployer le 27 août un correctif permanent pour un bug provoquant des plantages sur certains postes Windows 11. Source

Windows 11: permanent fix for system crashes — Microsoft began rolling out a permanent fix on August 27 for a bug causing crashes on some Windows 11 devices. Source

➜ À faire : Si des postes Windows 11 du parc sont concernés par ces plantages, vérifier le déploiement du correctif via WSUS/Intune/Windows Update.

➜ To do: If any Windows 11 workstations in the fleet are affected by these crashes, verify the fix is rolled out via WSUS/Intune/Windows Update.

PaperCut NG/MF : faille critique exploitée en zero-day, correctif d'urgence publié — Toutes les versions supportées de NG et MF (Windows/Linux/macOS) sont touchées par une faille activement exploitée ; des builds correctives d'urgence (v25 et v26) ont été publiées le 28 août à 2h10 (AEST). Source

PaperCut NG/MF: critical zero-day flaw exploited, emergency patch released — All supported versions of NG and MF (Windows/Linux/macOS) are affected by an actively exploited flaw; emergency fix builds (v25 and v26) were released on August 28 at 2:10 am AEST. Source

➜ À faire : Identifier tout serveur PaperCut NG/MF sur le parc, restreindre immédiatement l'accès à son interface web aux seules IP de confiance (pare-feu), et appliquer sans délai le build correctif d'urgence dès qu'il est disponible pour la version utilisée.

➜ To do: Identify any PaperCut NG/MF server in the fleet, immediately restrict access to its web interface to trusted IPs only (firewall), and apply the emergency fix build as soon as it is available for the version in use.

ShinyHunters publie les données de ~13 millions de comptes Carhartt — Le groupe d'extorsion a diffusé des données volées au distributeur Carhartt. Source

ShinyHunters leaks data from ~13 million Carhartt accounts — The extortion group published data stolen from retailer Carhartt. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Manchester Airports Group : vol des données de 8,7 millions de clients — Coordonnées (emails, téléphones, plaques, codes postaux) volées ; aucune donnée bancaire compromise. Source

Manchester Airports Group: data of 8.7 million customers stolen — Contact details (emails, phone numbers, plates, postcodes) stolen; no payment data compromised. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Arrestations liées au groupe TeamPCP (attaques supply chain) — Deux hommes ont été inculpés en Australie pour leur rôle présumé dans le piratage de Trivy, Checkmarx KICS et LiteLLM en mars 2026. Source

Arrests linked to the TeamPCP group (supply chain attacks) — Two men were charged in Australia over their alleged role in the March 2026 compromise of Trivy, Checkmarx KICS and LiteLLM. Source

➜ À faire : Vérifier que les outils Trivy, Checkmarx KICS et LiteLLM éventuellement utilisés dans le parc sont à jour vers les versions corrigées publiées après l'incident de mars 2026.

➜ To do: Verify that any Trivy, Checkmarx KICS or LiteLLM tools used in the fleet are updated to the fixed versions released after the March 2026 incident.

Microsoft revient sur l'incident Azure du 23 juillet (région West US) — Un retour d'expérience public a été tenu le 27 août sur cette panne réseau ayant causé pertes de connectivité et latences dans la région Azure West US. Source

Microsoft revisits the July 23 Azure incident (West US region) — A public retrospective was held on August 27 on this network outage which caused connectivity loss and latency in the Azure West US region. Source

➜ À faire : Aucune action requise, à titre informatif ; si des ressources critiques du parc dépendent de la région Azure West US, vérifier que des mécanismes de reprise multi-région sont en place.

➜ To do: No action required, for information only; if critical fleet resources depend on the Azure West US region, verify that multi-region failover mechanisms are in place.

Windows Deployment Services : RCE critique (CVE-2026-62893, CVSS 9.8) — Faille corrigée lors du Patch Tuesday d'août 2026 dans le serveur TFTP de WDS, permettant une exécution de code à distance. Source

Windows Deployment Services: critical RCE (CVE-2026-62893, CVSS 9.8) — Flaw fixed in the August 2026 Patch Tuesday, affecting the WDS TFTP server and allowing remote code execution. Source

➜ À faire : Vérifier si le rôle WDS est actif sur le parc ; patcher en priorité les serveurs de déploiement exposés au réseau.

➜ To do: Check whether the WDS role is active in the fleet; patch network-exposed deployment servers as a priority.

Windows DNS Server : RCE critique (CVE-2026-62878, CVSS 9.8) — Faille corrigée lors du Patch Tuesday d'août 2026 dans le service DNS de Windows Server. Source

Windows DNS Server: critical RCE (CVE-2026-62878, CVSS 9.8) — Flaw fixed in the August 2026 Patch Tuesday, affecting the Windows Server DNS service. Source

➜ À faire : Patcher en priorité tous les contrôleurs de domaine et serveurs DNS Windows Server du parc.

➜ To do: Patch all Windows Server domain controllers and DNS servers in the fleet as a priority.

Vague de correctifs de sécurité Linux (noyau, glibc, OpenSSH, OpenSSL, Node.js) — Debian, RHEL, Fedora et Ubuntu publient cette semaine de nombreux correctifs sur des briques d'infrastructure critiques. Source

Wave of Linux security patches (kernel, glibc, OpenSSH, OpenSSL, Node.js) — Debian, RHEL, Fedora and Ubuntu ship numerous patches this week for critical infrastructure components. Source

➜ À faire : Lancer un cycle de mise à jour sur les serveurs Linux du parc et vérifier les versions de glibc/OpenSSH/OpenSSL après application.

➜ To do: Run an update cycle on Linux servers in the fleet and verify glibc/OpenSSH/OpenSSL versions after applying.

ClamAV : failles affectant Cisco Secure Endpoint — Plusieurs vulnérabilités ClamAV permettant un déni de service, avec un impact élevé sur les connecteurs Secure Endpoint Windows. Source

ClamAV: flaws affecting Cisco Secure Endpoint — Several ClamAV vulnerabilities enabling denial of service, with high impact on Windows Secure Endpoint connectors. Source

➜ À faire : Mettre à jour les connecteurs Cisco Secure Endpoint sur les postes Windows concernés.

➜ To do: Update Cisco Secure Endpoint connectors on the affected Windows workstations.

VMware ESXi : faille d'évasion de VM (CVE-2026-47876, CVSS 9.3) — Vulnérabilité corrigée par Broadcom (VMSA-2026-0006) permettant à un attaquant de s'échapper d'une VM pour exécuter du code sur l'hôte ESXi. Source

VMware ESXi: VM escape flaw (CVE-2026-47876, CVSS 9.3) — Vulnerability fixed by Broadcom (VMSA-2026-0006) allowing an attacker to break out of a VM and execute code on the ESXi host. Source

➜ À faire : Patcher les hôtes ESXi vers la version corrigée par Broadcom, en priorité les hôtes multi-tenant.

➜ To do: Patch ESXi hosts to the version fixed by Broadcom, prioritizing multi-tenant hosts.

Fin du support standard de Proxmox VE 8 en août 2026 — Proxmox recommande la migration vers la version 9.2 (Debian 13 « Trixie », noyau Linux 7.0). Source

End of standard support for Proxmox VE 8 in August 2026 — Proxmox recommends migrating to version 9.2 (Debian 13 "Trixie", Linux kernel 7.0). Source

➜ À faire : Planifier la migration des clusters encore en Proxmox VE 8 vers la version 9.x pour continuer à recevoir les correctifs de sécurité.

➜ To do: Plan the migration of clusters still on Proxmox VE 8 to version 9.x to keep receiving security patches.

Gitea : RCE critique exploitée activement (CVE-2026-60004, CVSS 9.8) — Ajoutée au catalogue CISA KEV le 25 août ; un accès en écriture sur un dépôt permet d'exécuter des commandes shell via l'API diffpatch. Source

Gitea: actively exploited critical RCE (CVE-2026-60004, CVSS 9.8) — Added to the CISA KEV catalog on August 25; write access to a repository allows shell commands to be run via the diffpatch API. Source

➜ À faire : Mettre à jour toute instance Gitea auto-hébergée vers la version 1.27.1 ou supérieure ; traiter les instances exposées avec inscription publique activée comme un incident potentiel.

➜ To do: Update any self-hosted Gitea instance to version 1.27.1 or later; treat exposed instances with public registration enabled as a potential incident.

SharePoint : chaîne d'exploitation active (CVE-2026-55040 + CVE-2026-63520) — Contournement d'authentification puis exécution de code à distance non authentifiée, exploitation confirmée par la CISA. Source

SharePoint: active exploitation chain (CVE-2026-55040 + CVE-2026-63520) — Authentication bypass followed by unauthenticated remote code execution, exploitation confirmed by CISA. Source

➜ À faire : Patcher immédiatement les serveurs SharePoint on-premise et vérifier les journaux IIS/BCS pour détecter des tentatives d'exploitation.

➜ To do: Immediately patch on-premise SharePoint servers and check IIS/BCS logs for signs of exploitation attempts.

Ubiquiti UniFi : 3 failles critiques, dont une notée CVSS 10.0 — CVE-2026-77537 (UniFi Protect), CVE-2026-77550 (injection CRLF) et CVE-2026-77554 (injection de commandes UniFi Talk), exploitables sans authentification. Source

Ubiquiti UniFi: 3 critical flaws, one rated CVSS 10.0 — CVE-2026-77537 (UniFi Protect), CVE-2026-77550 (CRLF injection) and CVE-2026-77554 (UniFi Talk command injection), exploitable without authentication. Source

➜ À faire : Mettre à jour sans délai le firmware UniFi OS/Protect/Talk sur l'ensemble des équipements Ubiquiti du parc.

➜ To do: Promptly update UniFi OS/Protect/Talk firmware on all Ubiquiti equipment in the fleet.

Correctifs .NET cassent l'impression et l'export PDF dans WPF — Les mises à jour .NET Framework du Patch Tuesday d'août 2026 provoquent des régressions sur l'impression et l'export PDF des applications WPF. Source

.NET updates break printing and PDF export in WPF — The August 2026 Patch Tuesday .NET Framework updates cause regressions in printing and PDF export for WPF applications. Source

➜ À faire : Tester les applications métier WPF (impression/export PDF) après déploiement des KB d'août sur un groupe pilote avant généralisation ; suivre le correctif de contournement Microsoft.

➜ To do: Test WPF business applications (printing/PDF export) after deploying the August KBs on a pilot group before wider rollout; follow Microsoft's workaround.

Plantages de jeux/apps après les MAJ Windows d'août — Microsoft évoque une possible cause liée aux pilotes de périphériques RGB. Source

Game/app crashes after August Windows updates — Microsoft points to a possible cause linked to RGB peripheral drivers. Source

➜ À faire : En cas de tickets de plantage post-MAJ, vérifier en premier les pilotes des périphériques RGB (clavier/souris) comme piste de dépannage.

➜ To do: For post-update crash tickets, check RGB peripheral drivers (keyboard/mouse) first as a troubleshooting lead.

Ubuntu déploie des correctifs noyau critiques sur toutes les LTS — Correctifs pour une faille d'injection WiFi mesh et un problème d'isolation de cache sur AMD Zen 2, sur 22.04/24.04/26.04 LTS. Source

Ubuntu rolls out critical kernel fixes across all LTS releases — Fixes for a WiFi mesh injection flaw and an AMD Zen 2 cache isolation issue, across 22.04/24.04/26.04 LTS. Source

➜ À faire : Planifier la mise à jour noyau + redémarrage sur les serveurs Ubuntu du parc ; recompiler les modules tiers si nécessaire.

➜ To do: Schedule kernel update + reboot on Ubuntu servers in the fleet; recompile third-party modules if needed.

Windows Server 2022 : fin du support courant le 13 octobre 2026 — Dernière mise à jour « mainstream » prévue en octobre 2026. Source

Windows Server 2022: mainstream support ends October 13, 2026 — Last mainstream update planned for October 2026. Source

➜ À faire : Aucune action requise, à titre informatif (anticiper les plans de migration si des serveurs 2022 sont encore en usage).

➜ To do: No action required, for information only (plan migration ahead if Server 2022 systems are still in use).

Cisco corrige des failles critiques CVSS 10.0 sur Crosswork et Secure Workload — Publications de durcissement du 19 août 2026, non exploitées connues à ce jour. Source

Cisco fixes critical CVSS 10.0 flaws in Crosswork and Secure Workload — Hardening releases published August 19, 2026, no known exploitation to date. Source

➜ À faire : Identifier les équipements Crosswork / Secure Workload sur le parc et appliquer les mises à jour de durcissement Cisco.

➜ To do: Identify Crosswork / Secure Workload equipment in the fleet and apply Cisco's hardening updates.

Failles critiques sur IOS XE (CVSS 9.8) et Catalyst SD-WAN (CVSS 9.9) — Découvertes en interne par Cisco, non exploitées à ce jour, publications du 5 août 2026. Source

Critical flaws in IOS XE (CVSS 9.8) and Catalyst SD-WAN (CVSS 9.9) — Discovered internally by Cisco, no known exploitation to date, published August 5, 2026. Source

➜ À faire : Vérifier la version d'IOS XE et de Catalyst SD-WAN sur routeurs/switches du parc et planifier la montée de version vers les correctifs disponibles.

➜ To do: Check the IOS XE and Catalyst SD-WAN version on the fleet's routers/switches and schedule the upgrade to the available fixes.

VMware vCenter activement exploité, ransomware Babuk déployé — CVE-2026-59310 (traversée de répertoire, CVSS 9.8) combinée à CVE-2026-59309 (contournement d'authentification) exploitées par un acteur lié à la Chine ; environ 361 IP compromises dans 47 pays, dépôt de tâches cron et binaires reverse_ssh, puis ransomware Babuk pour brouiller les traces. Source

VMware vCenter actively exploited, Babuk ransomware deployed — CVE-2026-59310 (directory traversal, CVSS 9.8) combined with CVE-2026-59309 (authentication bypass) exploited by a China-linked actor; around 361 IPs compromised across 47 countries, cron job and reverse_ssh binaries dropped, then Babuk ransomware deployed as a smokescreen. Source

➜ À faire : Vérifier immédiatement la version de vCenter Server (correctif Broadcom disponible depuis le 29 juillet 2026), l'appliquer en urgence, et contrôler les logs pour tâches cron suspectes ou connexions reverse_ssh.

➜ To do: Immediately check the vCenter Server version (Broadcom fix available since July 29, 2026), apply it urgently, and check logs for suspicious cron jobs or reverse_ssh connections.

Microsoft retire la licence « incluse » d'Azure VMware Solution (AVS) — Arrêt des ventes le 31 octobre 2026, migration vers une licence VCF exigée avant août 2027. Source

Microsoft retires the "license-included" Azure VMware Solution offer — Sales end October 31, 2026, migration to a VCF license required before August 2027. Source

➜ À faire : Si le parc utilise AVS en licence incluse, planifier dès maintenant la migration vers une licence VCF ou une alternative.

➜ To do: If the fleet uses AVS in license-included mode, start planning the migration to a VCF license or an alternative now.

Proxmox VE en forte progression (+340% d'évaluations) — Conséquence directe de la hausse des tarifs Broadcom/VMware (+800 à 1500%) ; Proxmox atteindrait 21% de part de marché hyperviseur en 2026. Source

Proxmox VE surges (+340% in evaluations) — A direct consequence of Broadcom/VMware pricing increases (+800 to 1500%); Proxmox is reported to reach 21% of the hypervisor market in 2026. Source

➜ À faire : Aucune action requise, à titre informatif (utile pour les arbitrages de stratégie de virtualisation).

➜ To do: No action required, for information only (useful for virtualization strategy decisions).

Zimbra Collaboration Suite : RCE activement exploitée, patch sous 3 jours imposé par la CISA — CVE-2026-73570 (injection de commande non authentifiée via le composant SNMP) corrigée en version 10.1.20 depuis le 20 juillet, mais plus de 270 instances déjà compromises détectées. Source

Zimbra Collaboration Suite: actively exploited RCE, CISA orders patch within 3 days — CVE-2026-73570 (unauthenticated command injection via the SNMP component) fixed in version 10.1.20 since July 20, but over 270 instances already found compromised. Source

➜ À faire : Vérifier immédiatement la version de Zimbra sur le parc, mettre à jour vers 10.1.20 ou supérieur, et désactiver les notifications SNMP si elles ne sont pas utilisées.

➜ To do: Immediately check the Zimbra version in the fleet, update to 10.1.20 or later, and disable SNMP notifications if unused.

Microsoft IKE Extensions : faille critique exploitée par un acteur chinois assisté par IA — CVE-2026-33824 (double free, CVSS 9.8), exploitation liée à une campagne de piratage autonome utilisant DeepSeek. Source

Microsoft IKE Extensions: critical flaw exploited by an AI-assisted Chinese actor — CVE-2026-33824 (double free, CVSS 9.8), exploitation linked to an autonomous hacking campaign using DeepSeek. Source

➜ À faire : Confirmer le déploiement du correctif Patch Tuesday d'août 2026 sur tous les serveurs exposant un service IKE/VPN.

➜ To do: Confirm the August 2026 Patch Tuesday fix is deployed on all servers exposing an IKE/VPN service.

Windows AFD (Winsock) : élévation de privilèges activement exploitée — CVE-2026-68820, seule faille du Patch Tuesday d'août confirmée exploitée dans la nature. Source

Windows AFD (Winsock): actively exploited privilege escalation — CVE-2026-68820, the only flaw from August's Patch Tuesday confirmed exploited in the wild. Source

➜ À faire : Vérifier que KB5120242 (ou équivalent selon la version d'OS) est bien déployé sur tous les postes et serveurs Windows du parc.

➜ To do: Verify that KB5120242 (or the equivalent for the OS version) is deployed on all Windows workstations and servers in the fleet.

Oracle WebLogic ajouté au catalogue CISA KEV — CVE-2026-21962, largement exploitée contre les serveurs WebLogic et Oracle HTTP Server. Source

Oracle WebLogic added to the CISA KEV catalog — CVE-2026-21962, widely exploited against WebLogic servers and Oracle HTTP Server. Source

➜ À faire : Identifier les serveurs WebLogic/Oracle HTTP Server sur le parc et appliquer le correctif Oracle en urgence si exposés.

➜ To do: Identify WebLogic/Oracle HTTP Server instances in the fleet and apply the Oracle fix urgently if exposed.

ANSSI : notifications Apple à des cibles de logiciels espions + campagne npm — Le CERT-FR relaie des notifications Apple du 13 août à des utilisateurs ciblés par des spywares, ainsi qu'une campagne de compromission de paquets npm visant à voler des identifiants développeurs. Source

ANSSI: Apple notifications to spyware targets + npm campaign — CERT-FR relays Apple notifications from August 13 sent to users targeted by spyware, along with an npm package compromise campaign aiming to steal developer credentials. Source

➜ À faire : Sensibiliser les développeurs à vérifier l'origine des paquets npm avant installation ; si un utilisateur reçoit une notification Apple de ce type, l'inviter à contacter le CERT-FR.

➜ To do: Raise developer awareness to verify the origin of npm packages before installing them; if a user receives such an Apple notification, direct them to contact CERT-FR.

Incidents opérationnels sur Azure et AWS les 24-25 août 2026 — Latences accrues et signalements multiples sur plusieurs services des deux plateformes. Source

Operational incidents on Azure and AWS, August 24-25, 2026 — Increased latency and multiple reports across several services on both platforms. Source

➜ À faire : Vérifier l'Azure Service Health et l'AWS Health Dashboard pour les ressources critiques de l'entreprise et consulter les post-mortems une fois publiés.

➜ To do: Check Azure Service Health and the AWS Health Dashboard for the company's critical resources and review post-mortems once published.

Microsoft Entra ID : faille RCE de sévérité maximale (CVSS 10.0) — CVE-2026-69836, désérialisation de données non fiables permettant une exécution de code à distance sans authentification ni interaction utilisateur ; corrigée côté service par Microsoft, statut d'exploitation encore débattu. Source

Microsoft Entra ID: maximum-severity RCE flaw (CVSS 10.0) — CVE-2026-69836, deserialization of untrusted data allowing remote code execution without authentication or user interaction; fixed server-side by Microsoft, exploitation status still debated. Source

➜ À faire : Aucune action technique requise côté client (correctif appliqué directement par Microsoft sur le service), mais suivre les communications officielles pour confirmation finale du statut d'exploitation.

➜ To do: No technical action required client-side (fix applied directly by Microsoft on the service), but monitor official communications for final confirmation of exploitation status.

AD CS (Certificate Services) : RCE critique — CVE-2026-62818 (use-after-free, CVSS 8.8), exploitable par un attaquant peu privilégié sans interaction utilisateur. Source

AD CS (Certificate Services): critical RCE — CVE-2026-62818 (use-after-free, CVSS 8.8), exploitable by a low-privileged attacker without user interaction. Source

➜ À faire : Vérifier le déploiement du correctif Patch Tuesday d'août sur tous les serveurs AD CS et auditer les modèles de certificats exposés.

➜ To do: Verify the August Patch Tuesday fix is deployed on all AD CS servers and audit exposed certificate templates.

Azure AD : élévation de privilèges critique — CVE-2026-50481 (CVSS 9.9), exploitable à distance sans privilège ni interaction utilisateur. Source

Azure AD: critical privilege escalation — CVE-2026-50481 (CVSS 9.9), remotely exploitable without privilege or user interaction. Source

➜ À faire : Vérifier les journaux Entra ID/Azure AD pour toute activité suspecte d'élévation de privilèges récente ; confirmer l'application du correctif côté service.

➜ To do: Review Entra ID/Azure AD logs for any recent suspicious privilege escalation activity; confirm the service-side fix has been applied.

Nagios XI : injection de commande authentifiée (CVSS 7.2) — CVE-2026-2041, via la fonction zabbixagent_configwizard_func, permet à un compte authentifié d'exécuter du code avec les privilèges du service. Source

Nagios XI: authenticated command injection (CVSS 7.2) — CVE-2026-2041, via the zabbixagent_configwizard_func function, allows an authenticated account to execute code with the service's privileges. Source

➜ À faire : Mettre à jour Nagios XI vers la version 2026 R1.0.1 ou supérieure et restreindre les comptes ayant accès à l'assistant de configuration.

➜ To do: Update Nagios XI to version 2026 R1.0.1 or later and restrict accounts with access to the configuration wizard.

Nagios XI : injection SQL sur le tableau de bord — Paramètres du dashboard insuffisamment filtrés dans la version 2026R1.0.1, exploitable par tout utilisateur authentifié. Source

Nagios XI: SQL injection in the dashboard — Dashboard parameters insufficiently filtered in version 2026R1.0.1, exploitable by any authenticated user. Source

➜ À faire : Vérifier la version Nagios XI installée, restreindre l'accès au dashboard aux comptes de confiance en attendant un correctif dédié.

➜ To do: Check the installed Nagios XI version and restrict dashboard access to trusted accounts pending a dedicated fix.

CVE-2026-68820 – faille WinSock (AFD) exploitée, échéance de correction aujourd'hui — Microsoft a corrigé cette faille d'élévation de privilèges (use-after-free) dans le pilote Ancillary Function Driver for WinSock, activement exploitée. La CISA a fixé au 25 août 2026 la date limite de correction pour les administrations. Source

CVE-2026-68820 – exploited WinSock (AFD) flaw, remediation deadline today — Microsoft fixed this privilege escalation flaw (use-after-free) in the Ancillary Function Driver for WinSock, actively exploited. CISA set August 25, 2026 as the remediation deadline for agencies. Source

➜ À faire : Vérifier que le correctif Patch Tuesday d'août est bien déployé sur tous les serveurs Windows (Server 2019/2022/2025) ; prioriser les serveurs exposés ou multi-utilisateurs.

➜ To do: Verify that the August Patch Tuesday fix is deployed on all Windows servers (Server 2019/2022/2025); prioritize exposed or multi-user servers.

Faille noyau Linux « Copy Fail » (CVE-2026-31431, CVSS 7.8) — Vulnérabilité d'élévation de privilèges locale affectant toutes les distributions majeures (noyaux depuis 2017), permettant l'écriture arbitraire dans le cache de pages. Source

Linux kernel "Copy Fail" flaw (CVE-2026-31431, CVSS 7.8) — Local privilege escalation vulnerability affecting all major distributions (kernels since 2017), allowing arbitrary writes into the page cache. Source

➜ À faire : Appliquer les mises à jour noyau dès publication par la distribution utilisée (Ubuntu, Debian, RHEL, SUSE) et planifier le redémarrage des serveurs concernés.

➜ To do: Apply kernel updates as soon as published by the distribution in use (Ubuntu, Debian, RHEL, SUSE) and schedule reboots for affected servers.

Bulletin CERT-FR CERTFR-2026-ACT-036 (24 août) — Vulnérabilités signalées dans le noyau Red Hat Linux et Microsoft Edge. Source

CERT-FR bulletin CERTFR-2026-ACT-036 (August 24) — Vulnerabilities reported in the Red Hat Linux kernel and Microsoft Edge. Source

➜ À faire : Consulter le bulletin CERT-FR et appliquer les correctifs RHEL/Edge concernés sur le parc.

➜ To do: Review the CERT-FR bulletin and apply the relevant RHEL/Edge fixes across the fleet.

Cisco IOS XE – vulnérabilités chaînées sur les switches Catalyst 9000 — Des failles combinées dans le traitement de trames Ethernet peuvent bloquer un port et provoquer un déni de service. Source

Cisco IOS XE – chained vulnerabilities on Catalyst 9000 switches — Combined flaws in Ethernet frame handling can block a port and cause a denial of service. Source

➜ À faire : Identifier les switches Catalyst 9000 du parc, appliquer l'avis de sécurité Cisco correspondant et vérifier la version d'IOS XE installée.

➜ To do: Identify Catalyst 9000 switches in the fleet, apply the corresponding Cisco security advisory, and check the installed IOS XE version.

Cisco IOS XE – contournement du Secure Boot — Faille dans le bootloader des séries Catalyst et Rugged permettant l'exécution de code au démarrage avec un accès physique ou local. Source

Cisco IOS XE – Secure Boot bypass — Flaw in the bootloader of Catalyst and Rugged series allowing code execution at boot time with physical or local access. Source

➜ À faire : Restreindre l'accès physique aux équipements réseau critiques et planifier la mise à jour IOS XE dès que le correctif est disponible.

➜ To do: Restrict physical access to critical network equipment and schedule the IOS XE update as soon as a fix is available.

Operation Zero Disco – exploitation active de CVE-2025-20352 (SNMP Cisco) — Des attaquants déploient des rootkits sur des équipements Cisco via une faille SNMP. Source

Operation Zero Disco – active exploitation of CVE-2025-20352 (Cisco SNMP) — Attackers are deploying rootkits on Cisco equipment via an SNMP flaw. Source

➜ À faire : Vérifier que SNMP n'est pas exposé inutilement (communautés par défaut, ACL), désactiver SNMPv1/v2 si possible, et contrôler les équipements Cisco du parc avec la CVE-2025-20352.

➜ To do: Verify SNMP is not needlessly exposed (default communities, ACLs), disable SNMPv1/v2 where possible, and check Cisco equipment in the fleet against CVE-2025-20352.

VMware vCenter CVE-2026-59310 (CVSS 9.8) exploitée — ransomware Babuk sur ESXi — Un acteur lié à la Chine exploite cette faille de traversée de répertoire pour obtenir un accès root sur vCenter, créer des comptes admin et déployer un ransomware dérivé de Babuk sur les hôtes ESXi (361 IP touchées dans 47 pays). Correctif Broadcom disponible depuis le 29 juillet 2026. Source

VMware vCenter CVE-2026-59310 (CVSS 9.8) exploited — Babuk ransomware on ESXi — A China-linked actor is exploiting this directory traversal flaw to gain root access on vCenter, create admin accounts, and deploy Babuk-derived ransomware on ESXi hosts (361 IPs affected across 47 countries). Broadcom fix available since July 29, 2026. Source

➜ À faire : Vérifier en urgence que les instances vCenter du parc sont patchées (version corrigée depuis le 29/07/2026), s'assurer qu'aucun vCenter n'est exposé directement sur Internet, et auditer les comptes admin créés récemment sur vCenter/ESXi.

➜ To do: Urgently verify that vCenter instances in the fleet are patched (fixed version since 07/29/2026), ensure no vCenter is directly exposed to the Internet, and audit recently created admin accounts on vCenter/ESXi.

Broadcom/VMware – fin de l'offre Azure VMware Solution « license-included » — Microsoft arrête la commercialisation de cette offre le 31 octobre 2026 ; bascule vers une licence VCF requise avant le 30 août 2027. Source

Broadcom/VMware – end of the "license-included" Azure VMware Solution offer — Microsoft is discontinuing sales of this offer on October 31, 2026; a switch to a VCF license is required before August 30, 2027. Source

➜ À faire : Si l'entreprise utilise AVS en mode license-included, planifier la migration vers VCF ou une alternative avant l'échéance.

➜ To do: If the organization uses AVS in license-included mode, plan the migration to VCF or an alternative before the deadline.

Proxmox VE 8 – fin de vie le 31 août 2026 — Plus aucun correctif de sécurité après cette date. Source

Proxmox VE 8 – end of life on August 31, 2026 — No more security fixes after this date. Source

➜ À faire : Planifier la mise à niveau vers Proxmox VE 9 sur les clusters encore en version 8 avant fin août.

➜ To do: Schedule the upgrade to Proxmox VE 9 on clusters still on version 8 before end of August.

CVE-2026-9198 – Langflow (CVSS 9.8), exploitée — Injection de code permettant une exécution de code à distance non authentifiée sur les déploiements Langflow par défaut ; ajoutée au catalogue KEV de la CISA. Source

CVE-2026-9198 – Langflow (CVSS 9.8), exploited — Code injection enabling unauthenticated remote code execution on default Langflow deployments; added to the CISA KEV catalog. Source

➜ À faire : Vérifier si Langflow est utilisé dans le SI ; si oui, isoler l'instance et appliquer le correctif immédiatement.

➜ To do: Check whether Langflow is used in the information system; if so, isolate the instance and apply the fix immediately.

CVE-2026-34486 – Apache Tomcat (CVSS 7.5), exploitée par un acteur lié à la Chine — Contournement de chiffrement (EncryptInterceptor) utilisé pour livrer le malware SNOWLIGHT sur des infrastructures gouvernementales et commerciales dans plus de 100 pays. Source

CVE-2026-34486 – Apache Tomcat (CVSS 7.5), exploited by a China-linked actor — Encryption bypass (EncryptInterceptor) used to deliver the SNOWLIGHT malware against government and commercial infrastructure in over 100 countries. Source

➜ À faire : Recenser les serveurs Tomcat en cluster utilisant EncryptInterceptor et appliquer le correctif ; vérifier les journaux pour toute activité suspecte.

➜ To do: Identify clustered Tomcat servers using EncryptInterceptor and apply the fix; check logs for any suspicious activity.

TrueConf Server – CVE-2026-72529 et CVE-2026-72530 ajoutées au catalogue KEV — Authentification manquante sur fonction critique et injection de code. Source

TrueConf Server – CVE-2026-72529 and CVE-2026-72530 added to the KEV catalog — Missing authentication for a critical function and code injection. Source

➜ À faire : Si TrueConf Server est déployé, appliquer les correctifs disponibles et vérifier l'exposition du service sur Internet.

➜ To do: If TrueConf Server is deployed, apply the available fixes and check the service's exposure to the Internet.

Bilan CISA KEV du 24 août 2026 — 8 vulnérabilités activement exploitées recensées ce jour (Windows/SharePoint, VMware, Apple macOS, Zimbra, TrueConf, mlflow) et 23 nouveaux CVE critiques (CVSS ≥ 9.0). Source

CISA KEV summary for August 24, 2026 — 8 actively exploited vulnerabilities recorded that day (Windows/SharePoint, VMware, Apple macOS, Zimbra, TrueConf, mlflow) and 23 new critical CVEs (CVSS ≥ 9.0). Source

➜ À faire : Passer en revue le catalogue KEV du jour et croiser avec l'inventaire du parc (SharePoint, VMware, macOS, Zimbra notamment) pour prioriser les correctifs.

➜ To do: Review the day's KEV catalog and cross-check against the fleet inventory (SharePoint, VMware, macOS, Zimbra in particular) to prioritize fixes.

Azure – Trusted Launch activé par défaut sur les nouvelles VM Gen2 — Secure Boot et vTPM sont désormais activés par défaut, renforçant la sécurité de base sans configuration manuelle. Source

Azure – Trusted Launch enabled by default on new Gen2 VMs — Secure Boot and vTPM are now enabled by default, raising the baseline security without manual configuration. Source

➜ À faire : Vérifier que les VM Gen2 existantes bénéficient bien de Trusted Launch (ou l'activer manuellement) ; aucune action nécessaire pour les nouvelles VM.

➜ To do: Verify that existing Gen2 VMs benefit from Trusted Launch (or enable it manually); no action needed for new VMs.

Microsoft Fabric – Item Recovery activé par défaut depuis le 23 août 2026 — Fenêtre de récupération de 3 jours par défaut pour les types d'éléments pris en charge. Source

Microsoft Fabric – Item Recovery enabled by default since August 23, 2026 — 3-day recovery window by default for supported item types. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CVE-2026-69836 – Microsoft Entra ID, RCE CVSS 10.0 — Faille de désérialisation exploitable sans authentification ; corrigée côté serveur par Microsoft (aucune action client requise). Le statut « exploité activement » a été démenti par Microsoft après vérification. Source

CVE-2026-69836 – Microsoft Entra ID, RCE CVSS 10.0 — Deserialization flaw exploitable without authentication; fixed server-side by Microsoft (no customer action required). The "actively exploited" status was later retracted by Microsoft after verification. Source

➜ À faire : Aucune action requise, correctif déjà appliqué côté Microsoft ; rester attentif à toute mise à jour de statut.

➜ To do: No action required, fix already applied by Microsoft; stay alert for any status update.

CVE-2026-62818 – Active Directory Certificate Services, RCE (CVSS 8.8) — Faille use-after-free permettant l'exécution de code à distance sans interaction utilisateur sur un service AD CS exposé. Source

CVE-2026-62818 – Active Directory Certificate Services, RCE (CVSS 8.8) — Use-after-free flaw allowing remote code execution without user interaction on an exposed AD CS service. Source

➜ À faire : Vérifier la présence et le patch des serveurs AD CS sur le parc ; appliquer le correctif Patch Tuesday d'août sans délai.

➜ To do: Check for AD CS servers in the fleet and their patch level; apply the August Patch Tuesday fix without delay.

CVE-2026-59115 – Microsoft Entra Provisioning Service (SyncFabric), CVSS 9.9 — Faille de traversée de chemin permettant une élévation de privilèges sans interaction utilisateur. Source

CVE-2026-59115 – Microsoft Entra Provisioning Service (SyncFabric), CVSS 9.9 — Path traversal flaw allowing privilege escalation without user interaction. Source

➜ À faire : Aucune action cliente requise (service géré par Microsoft) ; surveiller les communications officielles pour confirmation.

➜ To do: No customer action required (Microsoft-managed service); monitor official communications for confirmation.

CVE-2026-50481 – Azure Active Directory, élévation de privilèges (CVSS 9.9) — Modification de données supposées immuables (MAID) pouvant permettre une élévation de privilèges réseau. Source

CVE-2026-50481 – Azure Active Directory, elevation of privilege (CVSS 9.9) — Modification of assumed-immutable data (MAID) potentially allowing network privilege escalation. Source

➜ À faire : Vérifier la configuration des stratégies de conditional access et des rôles Entra ID à privilèges élevés sur le tenant.

➜ To do: Review conditional access policy configuration and high-privilege Entra ID roles on the tenant.

LibreNMS – multiples vulnérabilités (CERT-FR, 24 août 2026) — Failles permettant une atteinte à la confidentialité des données et un contournement de politique de sécurité. Source

LibreNMS – multiple vulnerabilities (CERT-FR, August 24, 2026) — Flaws allowing a breach of data confidentiality and a security policy bypass. Source

➜ À faire : Si LibreNMS est utilisé pour la supervision réseau, consulter l'avis CERT-FR et appliquer la mise à jour corrective dès sa disponibilité.

➜ To do: If LibreNMS is used for network monitoring, review the CERT-FR advisory and apply the fix as soon as it is available.

Windows 11 : plantages de jeux liés aux pilotes RGB après la MAJ d'août — Microsoft confirme que les plantages et échecs de lancement de jeux constatés depuis les mises à jour du 11/08 (KB5121003 et suivantes) sont liés à des pilotes de périphériques RGB (fichier inpoutx64.sys). Affecte Windows 11 24H2/25H2. Source

Windows 11: game crashes linked to RGB drivers after August update — Microsoft confirms that game crashes and launch failures reported since the 08/11 updates (KB5121003 and later) are linked to RGB lighting device drivers (inpoutx64.sys file). Affects Windows 11 24H2/25H2. Source

➜ À faire : Aucune action requise, à titre informatif ; utile pour le support niveau 1 si des tickets de plantage remontent sur des postes équipés de périphériques RGB.

➜ To do: No action required, for information only; useful for level-1 support if crash tickets come in from machines with RGB peripherals.

Noyau Linux : lancement coordonné 7.1.10 et fin de vie approchant pour les branches 5.x — Sept versions du noyau publiées (jusqu'à 7.1.10), plus de 680 correctifs de sécurité (réseau, GPU) ; les branches LTS 5.10 et 5.15 entrent dans leurs 4 derniers mois de support avant leur fin de vie en décembre 2026. Source

Linux kernel: coordinated 7.1.10 release, 5.x branches approaching end of life — Seven kernel versions released (up to 7.1.10), over 680 security patches (networking, GPU); the 5.10 and 5.15 LTS branches enter their final four months of support before reaching end of life in December 2026. Source

➜ À faire : Mettre à jour les serveurs Linux vers les derniers correctifs noyau disponibles ; recenser les systèmes encore en 5.10/5.15 et planifier leur migration avant décembre 2026.

➜ To do: Update Linux servers to the latest available kernel patches; identify systems still on 5.10/5.15 and plan their migration before December 2026.

Windows Server 2022 : fin du support mainstream le 13 octobre 2026 — Après cette date, seules les mises à jour de sécurité (support étendu, jusqu'en octobre 2031) seront fournies ; plus de correctifs non-sécurité ni de nouvelles fonctionnalités. Source

Windows Server 2022: end of mainstream support on October 13, 2026 — After this date, only security updates (extended support, through October 2031) will be provided; no more non-security fixes or new features. Source

➜ À faire : Recenser les serveurs encore en Windows Server 2022 sur le parc et anticiper une éventuelle migration vers une version plus récente si le support étendu ne convient pas à moyen terme.

➜ To do: Identify servers still on Windows Server 2022 in the fleet and anticipate a possible migration to a newer version if extended support isn't suitable in the medium term.

Proxmox VE 8 atteint sa fin de vie le 31 août 2026 — Plus aucune mise à jour de sécurité ne sera fournie après cette date ; la version actuelle est Proxmox VE 9.2 (basée sur Debian 13 « Trixie »). Source

Proxmox VE 8 reaches end of life on August 31, 2026 — No more security updates will be provided after this date; the current version is Proxmox VE 9.2 (based on Debian 13 "Trixie"). Source

➜ À faire : Identifier les nœuds Proxmox encore en version 8 sur le parc et planifier la mise à niveau vers Proxmox VE 9 avant le 31/08/2026.

➜ To do: Identify Proxmox nodes still on version 8 in the fleet and schedule the upgrade to Proxmox VE 9 before 08/31/2026.

CISA ordonne le correctif urgent de deux failles TrueConf Server activement exploitées (CVE-2026-72529, CVE-2026-72530) — Contournement d'authentification sur le port TCP 4307 et évasion de bac à sable par injection de code, exploitées depuis juillet par le groupe Head Mare (malware PhantomCore). Correctifs disponibles depuis juin (versions 5.3.9, 5.4.9, 5.5.5). Source

CISA orders urgent patching of two actively exploited TrueConf Server flaws (CVE-2026-72529, CVE-2026-72530) — Authentication bypass on TCP port 4307 and sandbox escape via code injection, exploited since July by the Head Mare group (PhantomCore malware). Fixes available since June (versions 5.3.9, 5.4.9, 5.5.5). Source

➜ À faire : Vérifier si TrueConf Server est déployé sur le parc (visioconférence auto-hébergée) ; si oui, mettre à jour immédiatement vers une version corrigée ou couper l'exposition du port 4307 à Internet.

➜ To do: Check whether TrueConf Server is deployed in the fleet (self-hosted video conferencing); if so, update immediately to a fixed version or block port 4307 exposure to the Internet.

Faille critique MLflow activement exploitée (CVE-2026-64849, SSRF par DNS rebinding) — Permet à un attaquant non authentifié d'accéder aux services internes ou aux métadonnées cloud d'instances MLflow non corrigées, avec vol d'identifiants cloud à la clé. Exploitation massive dans les heures suivant la divulgation. Corrigé en version 3.15.0. Source

Critical MLflow vulnerability actively exploited (CVE-2026-64849, DNS-rebinding SSRF) — Allows an unauthenticated attacker to reach internal services or cloud metadata on unpatched MLflow instances, leading to cloud credential theft. Mass exploitation within hours of disclosure. Fixed in version 3.15.0. Source

➜ À faire : Si des environnements MLflow sont hébergés (data science/IA), mettre à jour vers la version 3.15.0+ en urgence et vérifier qu'aucune instance n'est exposée directement sur Internet.

➜ To do: If MLflow environments are hosted (data science/AI), urgently update to version 3.15.0+ and verify no instance is directly exposed to the Internet.

Oracle PeopleSoft PeopleTools exploité avec du ransomware (CVE-2026-35273, CVSS 9.8) — Faille d'authentification manquante activement exploitée dans le cadre de campagnes de ransomware. Source

Oracle PeopleSoft PeopleTools exploited with ransomware (CVE-2026-35273, CVSS 9.8) — Missing authentication flaw actively exploited as part of ransomware campaigns. Source

➜ À faire : Si PeopleSoft est utilisé (RH/finance), appliquer en urgence le correctif Oracle et contrôler les journaux d'accès pour toute activité suspecte.

➜ To do: If PeopleSoft is used (HR/finance), urgently apply the Oracle fix and check access logs for any suspicious activity.

Palo Alto PAN-OS : contournement d'authentification exploité avec du ransomware (CVE-2026-0257, CVSS 9.1) — Faille activement exploitée sur les pare-feux PAN-OS. Source

Palo Alto PAN-OS: authentication bypass exploited with ransomware (CVE-2026-0257, CVSS 9.1) — Flaw actively exploited on PAN-OS firewalls. Source

➜ À faire : Vérifier la version de PAN-OS sur les pare-feux du parc, appliquer le correctif en urgence, et s'assurer que l'interface d'administration n'est jamais exposée sur Internet.

➜ To do: Check the PAN-OS version on firewalls in the fleet, urgently apply the fix, and ensure the admin interface is never exposed to the Internet.

Microsoft SharePoint Server : contournement de sécurité exploité (CVE-2026-55040, CVSS 9.1) — Faille activement exploitée dans le cadre d'attaques en cours. Source

Microsoft SharePoint Server: security bypass exploited (CVE-2026-55040, CVSS 9.1) — Flaw actively exploited as part of ongoing attacks. Source

➜ À faire : Vérifier que les serveurs SharePoint on-premise du parc sont à jour avec les derniers correctifs Microsoft ; surveiller les journaux pour toute activité anormale.

➜ To do: Verify that on-premise SharePoint servers in the fleet are up to date with the latest Microsoft fixes; monitor logs for any abnormal activity.

AWS : 4e incident de connectivité en 4 mois sur la région US-WEST-2 — Panne régionale d'environ 80 minutes affectant la connectivité Internet en Oregon. Source

AWS: 4th connectivity incident in 4 months in the US-WEST-2 region — Regional outage lasting around 80 minutes affecting Internet connectivity in Oregon. Source

➜ À faire : Vérifier la résilience multi-région des services critiques hébergés sur AWS US-WEST-2 et s'assurer qu'un plan de bascule existe en cas de panne régionale.

➜ To do: Verify the multi-region resilience of critical services hosted on AWS US-WEST-2 and ensure a failover plan exists in case of a regional outage.

Azure : panne intermittente sur la région West US — Incident de connectivité affectant certains services Azure dans cette région. Source

Azure: intermittent outage in the West US region — Connectivity incident affecting some Azure services in this region. Source

➜ À faire : Vérifier si des ressources critiques du parc sont hébergées en région West US et consulter Azure Status en cas d'impact constaté.

➜ To do: Check whether critical resources in the fleet are hosted in the West US region and consult Azure Status if an impact is observed.

Faille WinSock Windows activement exploitée (CVE-2026-68820) — Vulnérabilité d'élévation de privilèges dans le pilote AFD.sys (CVSS 7.0), exploitée depuis fin juillet, liée au groupe Lazarus, inscrite au catalogue KEV de la CISA. Source

Windows WinSock flaw actively exploited (CVE-2026-68820) — Privilege escalation vulnerability in the AFD.sys driver (CVSS 7.0), exploited since late July, linked to the Lazarus group, added to CISA's KEV catalog. Source

➜ À faire : Vérifier que le correctif Patch Tuesday d'août (KB du 11/08) est déployé sur tous les postes et serveurs Windows du parc ; prioriser les machines exposées ou accessibles à des utilisateurs non-admin.

➜ To do: Verify the August Patch Tuesday fix (KB from 08/11) is deployed on all Windows workstations and servers in the fleet; prioritize machines exposed to or accessible by non-admin users.

Vulnérabilité Linux « Copy Fail » (élévation de privilèges locale) — Faille affectant le noyau Linux (versions depuis 2017) permettant à un attaquant local d'écrire dans le cache de page et d'obtenir les droits root. Source

Linux "Copy Fail" vulnerability (local privilege escalation) — Flaw affecting the Linux kernel (versions since 2017) allowing a local attacker to write into the page cache and gain root privileges. Source

➜ À faire : Identifier les serveurs Linux du parc (RHEL, Ubuntu, Debian, SUSE) non encore patchés et planifier l'application des derniers correctifs noyau, avec redémarrage requis.

➜ To do: Identify Linux servers in the fleet (RHEL, Ubuntu, Debian, SUSE) not yet patched and schedule the latest kernel fixes, which require a reboot.

Mise à jour cumulative Windows Server 2022 (KB5120242) — Nouveau build 20348.5499, correctifs de sécurité et non-sécurité inclus. Source

Windows Server 2022 cumulative update (KB5120242) — New build 20348.5499, including security and non-security fixes. Source

➜ À faire : Aucune action requise, à titre informatif, si les correctifs d'août ont déjà été déployés (cf. item CVE-2026-68820 ci-dessus).

➜ To do: No action required, for information only, if August's fixes have already been deployed (see the CVE-2026-68820 item above).

Failles critiques Cisco Crosswork et Secure Workload (CVSS jusqu'à 10.0) — Plusieurs vulnérabilités critiques corrigées le 19/08 dans ces plateformes de gestion réseau et sécurité. Source

Critical Cisco Crosswork and Secure Workload flaws (up to CVSS 10.0) — Several critical vulnerabilities patched on 08/19 in these network and security management platforms. Source

➜ À faire : Si Cisco Crosswork ou Secure Workload sont utilisés dans le parc, appliquer les correctifs de sécurité en urgence (priorité maximale, CVSS 10.0).

➜ To do: If Cisco Crosswork or Secure Workload are used in the fleet, apply the security fixes urgently (top priority, CVSS 10.0).

Faille XXE dans Cisco BroadWorks (CVE-2026-20320, CVSS 7.5) — Un attaquant non authentifié peut lire des fichiers de configuration sensibles à distance via le parseur XML OCI. Source

XXE flaw in Cisco BroadWorks (CVE-2026-20320, CVSS 7.5) — An unauthenticated attacker can remotely read sensitive configuration files via the OCI XML parser. Source

➜ À faire : Vérifier si BroadWorks est déployé sur l'infrastructure de téléphonie/UC et appliquer le correctif Cisco correspondant.

➜ To do: Check whether BroadWorks is deployed on the telephony/UC infrastructure and apply the corresponding Cisco fix.

Cisco IOS XE Software Security Hardening Release (août 2026) — Recommandations de durcissement publiées par Cisco pour IOS XE. Source

Cisco IOS XE Software Security Hardening Release (August 2026) — Hardening recommendations published by Cisco for IOS XE. Source

➜ À faire : Comparer la configuration des switchs/routeurs IOS XE du parc aux recommandations de durcissement Cisco et ajuster si nécessaire.

➜ To do: Compare the configuration of IOS XE switches/routers in the fleet against Cisco's hardening recommendations and adjust as needed.

VMware vCenter activement exploité pour déployer un ransomware (CVE-2026-59310, CVSS 9.8) — Faille de traversée de répertoire dans le serveur Syslog de vCenter, exploitée par un acteur suspecté d'origine chinoise pour déployer un ransomware dérivé de Babuk. Correctif Broadcom disponible depuis le 29/07. Source

VMware vCenter actively exploited to deploy ransomware (CVE-2026-59310, CVSS 9.8) — Directory traversal flaw in vCenter's Syslog server, exploited by a suspected China-nexus actor to deploy Babuk-derived ransomware. Broadcom fix available since 07/29. Source

➜ À faire : Vérifier en urgence que tous les vCenter du parc sont patchés (correctif du 29/07) ; à défaut, isoler l'accès réseau au service Syslog de vCenter et rechercher des signes de compromission (tâches cron suspectes, reverse_ssh).

➜ To do: Urgently verify that all vCenter instances in the fleet are patched (07/29 fix); otherwise, isolate network access to vCenter's Syslog service and look for signs of compromise (suspicious cron jobs, reverse_ssh).

VMware Explore 2026 (31 août au 3 septembre, Las Vegas) — Conférence Broadcom/VMware centrée sur VMware Cloud Foundation et l'IA privée. Source

VMware Explore 2026 (August 31 – September 3, Las Vegas) — Broadcom/VMware conference focused on VMware Cloud Foundation and private AI. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

SonicWall SMA 1000 exploité en chaîne par le ransomware INC (CVE-2026-15409 CVSS 10.0 + CVE-2026-15410 CVSS 7.2) — Contournement d'authentification pré-auth combiné à une traversée de chemin permettant une prise de contrôle root complète des passerelles VPN ; vol des secrets MFA (TOTP). 885 victimes revendiquées. Source

SonicWall SMA 1000 chain-exploited by INC ransomware (CVE-2026-15409 CVSS 10.0 + CVE-2026-15410 CVSS 7.2) — Pre-auth bypass combined with a path traversal flaw allowing full root takeover of VPN gateways; theft of MFA secrets (TOTP). 885 victims claimed. Source

➜ À faire : Vérifier immédiatement si des appliances SonicWall SMA 1000 sont présentes sur le parc, appliquer les correctifs, et si compromission suspectée, régénérer les secrets MFA/TOTP et forcer la rotation des identifiants VPN.

➜ To do: Immediately check whether SonicWall SMA 1000 appliances are present in the fleet, apply the fixes, and if compromise is suspected, regenerate MFA/TOTP secrets and force a rotation of VPN credentials.

CERT-FR AVI-1057 : vulnérabilités dans Ceph — Failles permettant élévation de privilèges, atteinte à la confidentialité des données et contournement de politique de sécurité. Source

CERT-FR AVI-1057: vulnerabilities in Ceph — Flaws allowing privilege escalation, breach of data confidentiality and security policy bypass. Source

➜ À faire : Si Ceph est utilisé pour le stockage (cluster de stockage objet/bloc), consulter l'avis CERT-FR et appliquer les correctifs sur les versions concernées.

➜ To do: If Ceph is used for storage (object/block storage cluster), review the CERT-FR advisory and apply fixes to the affected versions.

CERT-FR AVI-1056 : vulnérabilités dans Splunk — Certaines failles permettent l'exécution de code arbitraire à distance et l'élévation de privilèges. Source

CERT-FR AVI-1056: vulnerabilities in Splunk — Some flaws allow remote arbitrary code execution and privilege escalation. Source

➜ À faire : Vérifier la version de Splunk en production (SIEM/logs) et appliquer les correctifs recommandés par l'éditeur en priorité sur les instances exposées.

➜ To do: Check the version of Splunk in production (SIEM/logs) and apply the vendor's recommended fixes as a priority on exposed instances.

Mise à jour du provider AWS (20/08) : 9 nouveaux services — Ajout de Resilience Hub V2, Lambda MicroVMs, Agent Registry, contrôles de chiffrement VPC, et plus de 200 nouvelles ressources API. Source

AWS provider update (08/20): 9 new services — Addition of Resilience Hub V2, Lambda MicroVMs, Agent Registry, VPC encryption controls, and over 200 new API resources. Source

➜ À faire : Aucune action requise, à titre informatif ; à surveiller si des outils d'infrastructure-as-code (Terraform, StackQL) sont utilisés sur le parc AWS.

➜ To do: No action required, for information only; worth monitoring if infrastructure-as-code tools (Terraform, StackQL) are used on the AWS fleet.

AD Certificate Services : faille RCE critique (CVE-2026-62818, CVSS 8.8) — Use-after-free permettant à un attaquant distant faiblement privilégié d'exécuter du code sans interaction utilisateur sur AD CS, rôle gérant les certificats d'authentification du domaine. Source

AD Certificate Services: critical RCE flaw (CVE-2026-62818, CVSS 8.8) — Use-after-free allowing a low-privileged remote attacker to execute code with no user interaction on AD CS, the role managing domain authentication certificates. Source

➜ À faire : Appliquer en priorité le correctif Patch Tuesday d'août sur tous les serveurs AD CS du domaine ; vérifier l'exposition réseau des serveurs de certificats.

➜ To do: Apply the August Patch Tuesday fix as a priority on all domain AD CS servers; check the network exposure of certificate servers.

Azure Active Directory : élévation de privilèges critique (CVE-2026-50481, CVSS 9.9) — Modification de données supposées immuables (MAID) permettant à un attaquant autorisé d'élever ses privilèges sur le réseau. Source

Azure Active Directory: critical elevation of privilege (CVE-2026-50481, CVSS 9.9) — Modification of Assumed-Immutable Data (MAID) allowing an authorized attacker to elevate privileges over the network. Source

➜ À faire : Vérifier les journaux Azure AD/Entra ID pour toute activité anormale de modification de rôles ou permissions, et s'assurer que les correctifs Microsoft associés sont appliqués côté tenant.

➜ To do: Check Azure AD/Entra ID logs for any abnormal role or permission modification activity, and ensure the associated Microsoft fixes are applied on the tenant side.

AD Domain Services : bug d'injection de commande — Faille nécessitant une interaction utilisateur, corrigée dans le Patch Tuesday d'août. Source

AD Domain Services: command injection bug — Flaw requiring user interaction, fixed in August's Patch Tuesday. Source

➜ À faire : Sensibiliser les administrateurs AD à ne pas exécuter de scripts/commandes non vérifiés et vérifier le déploiement du correctif d'août sur les contrôleurs de domaine.

➜ To do: Raise AD administrators' awareness about not running unverified scripts/commands, and verify the deployment of August's fix on domain controllers.

Fin de support Windows 11 24H2 Home/Pro le 13 octobre 2026 — Microsoft a émis un rappel à 60 jours : passé cette date, plus de mises à jour de sécurité mensuelles pour ces éditions. Migration conseillée vers 25H2 (même socle, mise à jour légère). Source

Windows 11 24H2 Home/Pro end of support on October 13, 2026 — Microsoft issued a 60-day reminder: after that date, no more monthly security updates for these editions. Migration to 25H2 recommended (same codebase, lightweight update). Source

➜ À faire : Recenser les postes encore en 24H2 Home/Pro sur le parc et planifier la mise à niveau vers 25H2 avant le 13/10/2026.

➜ To do: Identify machines still on 24H2 Home/Pro across the fleet and schedule the upgrade to 25H2 before 10/13/2026.

Ubuntu : nouveaux correctifs noyau avec changement d'ABI — lots de correctifs pour les images Azure Confidential VM (20.04) et AWS (24.04), avec changement d'ABI noyau. Source

Ubuntu: new kernel patches with ABI change — patch batches for Azure Confidential VM (20.04) and AWS (24.04) images, with a kernel ABI change. Source

➜ À faire : Sur les VM Ubuntu concernées, planifier le redémarrage post-patch et prévoir la recompilation des modules tiers (DKMS, pilotes) impactés par le changement d'ABI.

➜ To do: On the affected Ubuntu VMs, schedule the post-patch reboot and plan to rebuild third-party modules (DKMS, drivers) impacted by the ABI change.

Nouvelles advisories Cisco PSIRT du 19 août — BroadWorks, Crosswork, switches Industrial Ethernet 1000, RoomOS, Secure Workload, Unified Intelligence Center ; deux « hardening releases » notées CVSS 10.0 et une faille XXE à fort impact sur BroadWorks. Source

New Cisco PSIRT advisories from August 19 — BroadWorks, Crosswork, Industrial Ethernet 1000 switches, RoomOS, Secure Workload, Unified Intelligence Center; two "hardening releases" rated CVSS 10.0 and a high-impact XXE flaw in BroadWorks. Source

➜ À faire : Identifier les équipements BroadWorks/Crosswork/Industrial Ethernet 1000/RoomOS présents sur le parc, consulter les bulletins du 19/08 sur le portail Cisco PSIRT et prioriser les correctifs des advisories CVSS 10.0.

➜ To do: Identify BroadWorks/Crosswork/Industrial Ethernet 1000/RoomOS devices present in the fleet, review the August 19 bulletins on the Cisco PSIRT portal and prioritize fixes for the CVSS 10.0 advisories.

CVE-2026-59310 — VMware vCenter, faille activement exploitée — traversée de répertoire dans Broadcom VMware vCenter Server, ajoutée au catalogue CISA KEV le 18 août. Source

CVE-2026-59310 — VMware vCenter, actively exploited flaw — directory traversal in Broadcom VMware vCenter Server, added to the CISA KEV catalog on August 18. Source

➜ À faire : Vérifier la version de vCenter Server en production, appliquer le correctif Broadcom dès sa disponibilité et surveiller les journaux d'accès pour toute tentative de traversée de répertoire.

➜ To do: Check the vCenter Server version in production, apply the Broadcom fix as soon as available and monitor access logs for any directory traversal attempt.

CVE-2026-33824 — Windows IKE Service Extensions, RCE non authentifiée activement exploitée — double-free exploitable via UDP 500/4500 sur Windows 10/11/Server, ajoutée au KEV le 18 août, échéance de remédiation CISA au 21 août. Source

CVE-2026-33824 — Windows IKE Service Extensions, unauthenticated RCE actively exploited — double-free exploitable via UDP 500/4500 on Windows 10/11/Server, added to KEV on August 18, CISA remediation deadline August 21. Source

➜ À faire : Appliquer en urgence le correctif Microsoft sur tous les serveurs/postes exposant IKE/IPsec. À défaut, bloquer UDP 500/4500 en entrée ou restreindre aux pairs connus. Traiter avant le 21/08.

➜ To do: Urgently apply the Microsoft fix on all servers/machines exposing IKE/IPsec. If not possible, block inbound UDP 500/4500 or restrict to known peers. Address before 08/21.

CVE-2026-55040 — Microsoft SharePoint, authentification faible — ajoutée au catalogue CISA KEV le 18 août. Source

CVE-2026-55040 — Microsoft SharePoint, weak authentication — added to the CISA KEV catalog on August 18. Source

➜ À faire : Vérifier la version des instances SharePoint Server on-premise du parc, appliquer le correctif correspondant et contrôler les journaux d'authentification.

➜ To do: Check the version of the fleet's on-premise SharePoint Server instances, apply the corresponding fix and review authentication logs.

Avis CERT-FR du 19 août — vulnérabilités multiples sur Mozilla (Firefox/Thunderbird), Moxa, Oracle WebLogic, Oracle Systems et Oracle PeopleSoft. Source

CERT-FR advisory from August 19 — multiple vulnerabilities affecting Mozilla (Firefox/Thunderbird), Moxa, Oracle WebLogic, Oracle Systems and Oracle PeopleSoft. Source

➜ À faire : Vérifier les versions de Firefox/Thunderbird, des équipements Moxa et des instances Oracle WebLogic/PeopleSoft/Systems présentes sur le parc, et appliquer les correctifs listés.

➜ To do: Check the versions of Firefox/Thunderbird, Moxa devices and Oracle WebLogic/PeopleSoft/Systems instances present in the fleet, and apply the listed fixes.

Campagne d'extorsion « Ransom Busters » — de faux cabinets de récupération contactent des victimes de ransomware avant divulgation publique et réclament 20 000 à 60 000 $ pour « supprimer » les données volées. Source

"Ransom Busters" extortion campaign — fake data-recovery firms contact ransomware victims before public disclosure and demand $20,000 to $60,000 to "delete" the stolen data. Source

➜ À faire : Aucune action technique requise ; sensibiliser direction et RSSI à ne jamais répondre à ce type de sollicitation non sollicitée hors canaux officiels de réponse à incident.

➜ To do: No technical action required; raise awareness among management and the CISO to never respond to this kind of unsolicited outreach outside official incident-response channels.

Suppression de WMIC dans Windows 11 24H2/25H2 — Microsoft retire par défaut l'outil en ligne de commande WMIC (déjà absent des nouvelles installations, non réinstallable en Feature on Demand) des builds 24H2/25H2 et des versions bêta. Source

WMIC removed from Windows 11 24H2/25H2 — Microsoft has removed the WMIC command-line tool by default (already absent from new installs, no longer available as a Feature on Demand) from the 24H2/25H2 builds and beta versions. Source

➜ À faire : Vérifier si des scripts d'administration, d'inventaire ou de supervision du parc utilisent encore WMIC, et les migrer vers PowerShell/CIM avant que les postes ne passent en 24H2/25H2.

➜ To do: Check whether any fleet administration, inventory or monitoring scripts still use WMIC, and migrate them to PowerShell/CIM before machines upgrade to 24H2/25H2.

Faille noyau Linux « Copy Fail » activement exploitée (CVE-2026-31431, CVSS 7.8) — élévation de privilèges locale permettant d'écrire dans le cache de pages d'un fichier lisible ; exploit public disponible. Source

"Copy Fail" Linux kernel flaw actively exploited (CVE-2026-31431, CVSS 7.8) — local privilege escalation allowing an attacker to write into the page cache of any readable file; a public exploit is available. Source

➜ À faire : Appliquer en urgence les correctifs noyau (Ubuntu, Debian, RHEL) sur tous les serveurs Linux du parc et planifier les redémarrages nécessaires.

➜ To do: Urgently apply kernel patches (Ubuntu, Debian, RHEL) on all fleet Linux servers and schedule the necessary reboots.

Windows Server 2022 : cumulatif KB5120242 disponible — correctifs de sécurité publiés le 11 août. Source

Windows Server 2022: KB5120242 cumulative update available — security fixes released on August 11. Source

➜ À faire : Vérifier via WSUS/SCCM que KB5120242 a bien été déployé sur l'ensemble des serveurs Windows Server 2022 du parc.

➜ To do: Verify via WSUS/SCCM that KB5120242 has been deployed across all fleet Windows Server 2022 machines.

Cisco publie ce jour de nouvelles alertes de sécurité (19 août) — BroadWorks, Crosswork Industrial Ethernet 1000, Packaged/Unified Contact Center Enterprise, RoomOS, Secure Workload, Unified Intelligence Center. Source

Cisco publishes new security advisories today (August 19) — BroadWorks, Crosswork Industrial Ethernet 1000, Packaged/Unified Contact Center Enterprise, RoomOS, Secure Workload, Unified Intelligence Center. Source

➜ À faire : Consulter les avis PSIRT dès leur publication, identifier les équipements du parc concernés (switches IE1000, plateformes BroadWorks/Contact Center) et planifier les correctifs.

➜ To do: Review the PSIRT advisories as soon as published, identify affected fleet devices (IE1000 switches, BroadWorks/Contact Center platforms) and schedule the fixes.

Cisco IOS XE — Security Hardening Release (CVSS jusqu'à 9.8) — correction de plusieurs vulnérabilités internes non exploitées à ce jour. Source

Cisco IOS XE — Security Hardening Release (CVSS up to 9.8) — fixes for several internally discovered vulnerabilities, not exploited to date. Source

➜ À faire : Mettre à jour les switches/routeurs IOS XE du parc vers la version corrigée lors de la prochaine fenêtre de maintenance.

➜ To do: Update the fleet's IOS XE switches/routers to the fixed version during the next maintenance window.

Cisco Catalyst SD-WAN — Security Hardening Release (CVSS 9.9) — correctifs pour plusieurs vulnérabilités critiques internes. Source

Cisco Catalyst SD-WAN — Security Hardening Release (CVSS 9.9) — fixes for several critical internally discovered vulnerabilities. Source

➜ À faire : Si le parc utilise Catalyst SD-WAN/IMC, appliquer les correctifs listés dans l'avis dès que possible.

➜ To do: If the fleet uses Catalyst SD-WAN/IMC, apply the fixes listed in the advisory as soon as possible.

VMware ESXi/vCenter : 3 failles critiques exploitées (VMSA-2026-0006) — CVE-2026-59309 (contournement d'authentification, CVSS 9.8), CVE-2026-59310 (traversée de répertoire, CVSS 9.8, exploitation active constatée), CVE-2026-47876 (débordement mémoire, CVSS 9.8) ; affecte ESXi, vCenter, Workstation, Fusion, Cloud Foundation. Source

VMware ESXi/vCenter: 3 critical flaws under active exploitation (VMSA-2026-0006) — CVE-2026-59309 (authentication bypass, CVSS 9.8), CVE-2026-59310 (directory traversal, CVSS 9.8, active exploitation observed), CVE-2026-47876 (out-of-bounds write, CVSS 9.8); affects ESXi, vCenter, Workstation, Fusion, Cloud Foundation. Source

➜ À faire : Vérifier la version d'ESXi/vCenter/Workstation/Fusion du parc et appliquer immédiatement les correctifs Broadcom VMSA-2026-0006 ; auditer les connexions SSH inversées suspectes sur les vCenter exposés à Internet.

➜ To do: Check the fleet's ESXi/vCenter/Workstation/Fusion version and immediately apply the Broadcom VMSA-2026-0006 fixes; audit internet-exposed vCenter servers for suspicious reverse SSH connections.

CISA ajoute 4 failles à son catalogue KEV (19 août) — macOS, Microsoft SharePoint, VMware vCenter (CVE-2026-59310), Microsoft IKE. Source

CISA adds 4 flaws to its KEV catalog (August 19) — macOS, Microsoft SharePoint, VMware vCenter (CVE-2026-59310), Microsoft IKE. Source

➜ À faire : Vérifier si ces produits sont présents sur le parc et prioriser leur correction (délai KEV habituel de 21 jours pour les organismes concernés).

➜ To do: Check whether these products are present in the fleet and prioritize remediation (the usual 21-day KEV deadline applies to covered organizations).

GitLab : patch d'urgence pour faille critique GraphQL (CVE-2026-19478, CVSS 9.4) — permet à un attaquant non authentifié de modifier/supprimer des projets publics et des données utilisateur. Source

GitLab: emergency patch for critical GraphQL flaw (CVE-2026-19478, CVSS 9.4) — allows an unauthenticated attacker to modify/delete public projects and user data. Source

➜ À faire : Si une instance GitLab self-managed est utilisée, mettre à jour immédiatement vers 19.2.4 / 19.1.6 / 19.0.8 / 18.11.11.

➜ To do: If a self-managed GitLab instance is used, upgrade immediately to 19.2.4 / 19.1.6 / 19.0.8 / 18.11.11.

Web shell lié à Clop ciblant les serveurs PTC Windchill/FlexPLM — implant sur mesure exploitant CVE-2026-12569 (RCE, CVSS 9.8) pour déchiffrer des identifiants et exfiltrer des fichiers ; 43 organisations touchées (Shell, GE, Philips…). Source

Clop-linked web shell targeting PTC Windchill/FlexPLM servers — a custom implant exploiting CVE-2026-12569 (RCE, CVSS 9.8) to decrypt credentials and exfiltrate files; 43 organizations affected (Shell, GE, Philips…). Source

➜ À faire : Vérifier la présence de serveurs PTC Windchill/FlexPLM exposés sur le parc, appliquer le correctif éditeur pour CVE-2026-12569 et auditer les logs pour détecter ce web shell.

➜ To do: Check for exposed PTC Windchill/FlexPLM servers in the fleet, apply the vendor fix for CVE-2026-12569 and audit logs to detect this web shell.

CERT-FR AVI-1035 — vulnérabilités multiples dans les produits Microsoft (PowerShell 7.4/7.5/7.6, Malware Protection Engine) permettant exécution de code à distance et élévation de privilèges. Source

CERT-FR AVI-1035 — multiple vulnerabilities in Microsoft products (PowerShell 7.4/7.5/7.6, Malware Protection Engine) allowing remote code execution and privilege escalation. Source

➜ À faire : Vérifier la version de PowerShell installée sur le parc (< 7.4.19.0 / 7.5.10.0 / 7.6.5.0) et mettre à jour vers les versions corrigées.

➜ To do: Check the PowerShell version installed on the fleet (< 7.4.19.0 / 7.5.10.0 / 7.6.5.0) and update to the fixed versions.

Azure : vente de données d'employés issues de tenants Fortune 500 via identifiants compromis — un acteur malveillant revendique 3,6 millions d'enregistrements (McDonald's, Vodafone, TCS, Kyndryl, IHG…), obtenus par password spraying et MFA fatigue. Source

Azure: employee data from Fortune 500 tenants sold after credential compromise — a threat actor claims 3.6 million records (McDonald's, Vodafone, TCS, Kyndryl, IHG…), obtained via password spraying and MFA fatigue. Source

➜ À faire : Vérifier la robustesse du MFA sur les comptes Azure/Entra ID du parc (résistance au MFA fatigue, ex. number matching) et surveiller les tentatives de password spraying dans les logs Entra.

➜ To do: Verify the robustness of MFA on the fleet's Azure/Entra ID accounts (resistance to MFA fatigue, e.g. number matching) and monitor Entra logs for password spraying attempts.

AWS us-west-2 : 4e incident de fiabilité en 4 mois (15 août). Source

AWS us-west-2: 4th reliability incident in 4 months (August 15). Source

➜ À faire : Vérifier la répartition multi-AZ/multi-région des charges critiques hébergées sur us-west-2 et envisager un plan de bascule si dépendance forte à cette région.

➜ To do: Check the multi-AZ/multi-region distribution of critical workloads hosted on us-west-2 and consider a failover plan if heavily dependent on this region.

« Certighost » — CVE-2026-62818, RCE critique dans AD Certificate Services (CVSS 8.8) — use-after-free exploitable à distance sans interaction utilisateur par un attaquant peu privilégié. Source

"Certighost" — CVE-2026-62818, critical RCE in AD Certificate Services (CVSS 8.8) — use-after-free remotely exploitable with no user interaction by a low-privileged attacker. Source

➜ À faire : Vérifier que le correctif Patch Tuesday d'août est appliqué sur tous les serveurs AD CS du parc ; à défaut, restreindre l'accès réseau au service en attendant.

➜ To do: Verify the August Patch Tuesday fix is applied on all fleet AD CS servers; if not, restrict network access to the service in the meantime.

Nagios XI — injection de commandes authentifiée (CVE-2026-2041, RCE). Source

Nagios XI — authenticated command injection (CVE-2026-2041, RCE). Source

➜ À faire : Mettre à jour Nagios XI vers la version 2026 R1.0.1 ou supérieure sur les serveurs de supervision du parc.

➜ To do: Update Nagios XI to version 2026 R1.0.1 or later on the fleet's monitoring servers.

Zabbix — plusieurs vulnérabilités de sévérité élevée (CVE-2026-23928, -23926, -23921, -23920, -23919) sur les versions 5.1 à 8.7. Source

Zabbix — several high-severity vulnerabilities (CVE-2026-23928, -23926, -23921, -23920, -23919) affecting versions 5.1 to 8.7. Source

➜ À faire : Vérifier la version Zabbix installée et appliquer les correctifs disponibles si le parc utilise une version comprise entre 5.1 et 8.7.

➜ To do: Check the Zabbix version installed and apply the available fixes if the fleet uses a version between 5.1 and 8.7.

Patch Tuesday Microsoft d'août corrige ~400 failles, dont une déjà exploitée — Publié le 11 août : CVE-2026-68820 (pilote Winsock AFD, exploitée activement), CVE-2026-62878 (Windows DNS Server RCE, CVSS 9.8) et CVE-2026-62819 (RRAS RCE, CVSS 8.1). Source

Microsoft's August Patch Tuesday fixes ~400 flaws, including one already exploited — Released August 11: CVE-2026-68820 (Winsock AFD driver, actively exploited), CVE-2026-62878 (Windows DNS Server RCE, CVSS 9.8) and CVE-2026-62819 (RRAS RCE, CVSS 8.1). Source

➜ À faire : Déployer sans délai KB5120242 (Server 2022) et les correctifs équivalents sur tous les Windows Server exposant les rôles DNS ou RRAS ; prioriser les machines avec Winsock/AFD exposé.

➜ To do: Deploy KB5120242 (Server 2022) and the equivalent fixes without delay on all Windows Server machines exposing the DNS or RRAS roles; prioritize machines with exposed Winsock/AFD.

Zero-day « ShieldBreak » dans Microsoft Defender — CVE-2026-69414, divulguée publiquement, correctif en préparation chez Microsoft. Source

"ShieldBreak" zero-day in Microsoft Defender — CVE-2026-69414, publicly disclosed, Microsoft is preparing a fix. Source

➜ À faire : Surveiller la sortie du correctif Defender et l'appliquer dès disponibilité ; vérifier d'ici là que les définitions Defender sont à jour.

➜ To do: Monitor for the Defender patch release and apply it as soon as available; in the meantime, verify Defender definitions are up to date.

Debian 13 corrige 68 failles noyau Linux — dont CVE-2026-64530 (use-after-free traffic-control, RCE potentielle) et CVE-2026-64531 « OVSwrap » (élévation de privilèges locale via Open vSwitch). Source

Debian 13 fixes 68 Linux kernel flaws — including CVE-2026-64530 (traffic-control use-after-free, potential RCE) and CVE-2026-64531 "OVSwrap" (local privilege escalation via Open vSwitch). Source

➜ À faire : Planifier la mise à jour noyau sur les serveurs Debian 13 du parc, en priorité ceux utilisant Open vSwitch.

➜ To do: Schedule the kernel update on the fleet's Debian 13 servers, prioritizing those using Open vSwitch.

CERT-FR : vulnérabilités noyaux SUSE, Red Hat et Ubuntu — RCE, déni de service ou élévation de privilèges selon la distribution (avis du 14 août). Source

CERT-FR: SUSE, Red Hat and Ubuntu kernel vulnerabilities — RCE, denial of service or privilege escalation depending on the distribution (advisory dated August 14). Source

➜ À faire : Identifier les serveurs SUSE/RHEL/Ubuntu du parc concernés et planifier l'application des correctifs noyau détaillés dans les avis CERT-FR.

➜ To do: Identify the fleet's affected SUSE/RHEL/Ubuntu servers and schedule the kernel fixes detailed in the CERT-FR advisories.

Cisco Secure Firewall ASA/FTD : faille activement exploitée — CVE-2026-20349 (Heap Inspection), ajoutée au catalogue CISA KEV le 11 août. Source

Cisco Secure Firewall ASA/FTD: actively exploited flaw — CVE-2026-20349 (Heap Inspection), added to the CISA KEV catalog on August 11. Source

➜ À faire : Vérifier en urgence la version logicielle de tous les firewalls ASA/FTD du parc et appliquer le correctif Cisco sans délai ; isoler tout équipement non patchable exposé à Internet.

➜ To do: Urgently check the software version of every ASA/FTD firewall in the fleet and apply Cisco's fix without delay; isolate any non-patchable device exposed to the internet.

Cisco IOS XE : durcissement de sécurité — 7 CVE critiques (CVE-2026-20267 à -20273, CVSS jusqu'à 9.8) corrigées le 5 août sur les branches 17.9 à 26.1. Source

Cisco IOS XE: security hardening release — 7 critical CVEs (CVE-2026-20267 to -20273, CVSS up to 9.8) fixed on August 5 across the 17.9 to 26.1 branches. Source

➜ À faire : Vérifier la version IOS XE des équipements et planifier la mise à niveau vers 17.9.10 / 17.12.8 / 17.15.6 / 17.18.4(a) / 26.1.2 selon la branche utilisée.

➜ To do: Check the IOS XE version of devices and schedule an upgrade to 17.9.10 / 17.12.8 / 17.15.6 / 17.18.4(a) / 26.1.2 depending on the branch in use.

Cisco Catalyst SD-WAN : durcissement critique — 5 CVE critiques (CVSS jusqu'à 9.9) corrigées le 5 août. Source

Cisco Catalyst SD-WAN: critical hardening release — 5 critical CVEs (CVSS up to 9.9) fixed on August 5. Source

➜ À faire : Si le parc utilise Catalyst SD-WAN, appliquer les correctifs en priorité vu la sévérité (CVSS 9.9).

➜ To do: If the fleet uses Catalyst SD-WAN, apply the fixes as a priority given the severity (CVSS 9.9).

Vulnérabilités ClamAV dans les produits Cisco — impact élevé sur Cisco Secure Endpoint Connector pour Windows (déni de service). Source

ClamAV vulnerabilities in Cisco products — high impact on Cisco Secure Endpoint Connector for Windows (denial of service). Source

➜ À faire : Mettre à jour Cisco Secure Endpoint Connector sur les postes Windows concernés.

➜ To do: Update Cisco Secure Endpoint Connector on affected Windows machines.

Fin de support Proxmox VE 8 le 31 août 2026 — plus aucun correctif de sécurité après cette date. Source

Proxmox VE 8 end of life on August 31, 2026 — no more security fixes after that date. Source

➜ À faire : Planifier la mise à niveau des hôtes Proxmox VE 8 vers la version 9 avant le 31 août.

➜ To do: Plan the upgrade of Proxmox VE 8 hosts to version 9 before August 31.

Proxmox VE ajoute le support officiel arm64 — support des plateformes NVIDIA Grace et Vera. Source

Proxmox VE adds official arm64 support — support for the NVIDIA Grace and Vera platforms. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Migrations croissantes vers Proxmox face aux tarifs Broadcom/VMware — les évaluations Proxmox ont augmenté de 340 % sur un an. Source

Growing migrations to Proxmox amid Broadcom/VMware pricing — Proxmox evaluations grew 340% year-over-year. Source

➜ À faire : Aucune action requise, à titre informatif ; utile pour anticiper un arbitrage budgétaire licence VMware.

➜ To do: No action required, for information only; useful to anticipate a VMware licensing budget decision.

CERT-FR : failles critiques Stormshield, Sophos, PostgreSQL et Tenable Security Center — RCE, déni de service, élévation de privilèges ou fuite de données selon le produit (avis du 14 août). Source

CERT-FR: critical flaws in Stormshield, Sophos, PostgreSQL and Tenable Security Center — RCE, denial of service, privilege escalation or data leak depending on the product (advisory dated August 14). Source

➜ À faire : Vérifier la présence de ces produits sur le parc (pare-feu Stormshield, antivirus Sophos, bases PostgreSQL, Tenable SC) et appliquer les correctifs listés dans les avis CERT-FR correspondants.

➜ To do: Check whether these products are present in the fleet (Stormshield firewalls, Sophos antivirus, PostgreSQL databases, Tenable SC) and apply the fixes listed in the corresponding CERT-FR advisories.

TeamCity : RCE activement exploitée — CVE-2026-63077 permet de contourner l'authentification via le protocole agent ; échéance de correctif fédéral US dépassée le 8 août. Source

TeamCity: actively exploited RCE — CVE-2026-63077 allows authentication bypass via the agent polling protocol; the US federal patch deadline passed on August 8. Source

➜ À faire : Si TeamCity est utilisé en interne, appliquer le correctif immédiatement et vérifier les journaux d'accès pour toute activité suspecte.

➜ To do: If TeamCity is used internally, apply the fix immediately and check access logs for suspicious activity.

Progress Kemp LoadMaster : injection de commandes exploitée — CVE-2026-8037, ajoutée au CISA KEV le 7 août. Source

Progress Kemp LoadMaster: exploited command injection — CVE-2026-8037, added to the CISA KEV catalog on August 7. Source

➜ À faire : Vérifier si des répartiteurs de charge Kemp LoadMaster sont déployés sur le parc et appliquer le correctif sans délai.

➜ To do: Check whether Kemp LoadMaster load balancers are deployed in the fleet and apply the fix without delay.

Ray-Project Ray : faille d'injection de code ajoutée au KEV CISA — CVE-2025-62593, exploitation confirmée (17 août). Source

Ray-Project Ray: code injection flaw added to CISA KEV — CVE-2025-62593, confirmed exploitation (August 17). Source

➜ À faire : Vérifier si des environnements Ray (infrastructure IA/ML) sont présents sur le parc et les patcher le cas échéant ; sinon aucune action.

➜ To do: Check whether any Ray environments (AI/ML infrastructure) are present in the fleet and patch them if so; otherwise no action needed.

Ransomware : Clop revendique GE et Philips, vague d'attaques en France — Santé publique France (11 août) et France Casse (15 août) concernés par des revendications de fuite de données. Source

Ransomware: Clop claims GE and Philips, wave of attacks in France — Santé publique France (August 11) and France Casse (August 15) hit by data leak claims. Source

➜ À faire : Aucune action technique directe requise ; rester vigilant sur le phishing et rappeler la règle de sauvegarde 3-2-1 hors ligne.

➜ To do: No direct technical action required; stay alert on phishing and remind teams of the offline 3-2-1 backup rule.

Panne mondiale de GitHub confirmée par Microsoft — erreurs sur le site, l'API, Actions et Pull Requests. Source

Worldwide GitHub outage confirmed by Microsoft — errors across the site, API, Actions and Pull Requests. Source

➜ À faire : Vérifier l'impact sur les pipelines CI/CD dépendant de GitHub et prévoir un plan de repli si des déploiements sont bloqués.

➜ To do: Check the impact on CI/CD pipelines depending on GitHub and prepare a fallback plan if deployments are blocked.

Azure renforce la supervision de son trafic datacenter — amélioration annoncée suite à la panne Azure Front Door, déploiement prévu en août 2026. Source

Azure strengthens datacenter traffic monitoring — improvement announced following the Azure Front Door outage, rollout planned for August 2026. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

AD CS : faille critique CVE-2026-62818 (CVSS 8.8) — use-after-free permettant l'exécution de code à distance sur les services de certificats Active Directory, corrigée le 11 août. Source

AD CS: critical flaw CVE-2026-62818 (CVSS 8.8) — use-after-free allowing remote code execution on Active Directory Certificate Services, fixed on August 11. Source

➜ À faire : Patcher en priorité tous les serveurs AD CS (autorités de certification) du domaine ; ils constituent une racine de confiance critique pour l'authentification.

➜ To do: Patch all domain AD CS servers (certificate authorities) as a priority; they are a critical trust root for authentication.

Azure AD : élévation de privilèges critique — CVE-2026-50481 (CVSS 9.9), modification de données supposées immuables. Source

Azure AD: critical privilege escalation — CVE-2026-50481 (CVSS 9.9), modification of assumed-immutable data. Source

➜ À faire : Vérifier l'application du correctif côté Microsoft (déploiement cloud) et surveiller les alertes d'élévation de privilèges anormales dans Azure AD / Entra ID.

➜ To do: Verify the fix has been applied on Microsoft's side (cloud rollout) and monitor for abnormal privilege escalation alerts in Azure AD / Entra ID.

Faille « Certighost » dans les certificats Active Directory — vulnérabilité affectant AD CS, à surveiller de près. Source

"Certighost" flaw in Active Directory certificates — vulnerability affecting AD CS, to be watched closely. Source

➜ À faire : Appliquer les recommandations de durcissement AD CS (désactivation des templates vulnérables, vecteurs ESC) en attendant un correctif définitif.

➜ To do: Apply AD CS hardening recommendations (disabling vulnerable templates, ESC vectors) pending a definitive fix.

Bilan Patch Tuesday d'août 2026 — 394 à 421 correctifs selon les sources, dont 62 vulnérabilités critiques et 3 zero-days, incluant CVE-2026-68820 (élévation de privilèges WinSock AFD) activement exploitée par le groupe Lazarus. CISA a intégré cette CVE à son catalogue KEV avec échéance au 25 août. Source

August 2026 Patch Tuesday recap — 394 to 421 fixes depending on the source, including 62 critical vulnerabilities and 3 zero-days, among them CVE-2026-68820 (WinSock AFD elevation of privilege) actively exploited by the Lazarus group. CISA added this CVE to its KEV catalog with a deadline of August 25. Source

➜ À faire : Déployer KB5121003 en priorité sur tous les serveurs Windows Server et postes exposés, en particulier Exchange Server, et vérifier l'application du correctif CVE-2026-68820 avant le 25 août.

➜ To do: Deploy KB5121003 with priority on all Windows Server machines and exposed endpoints, especially Exchange Server, and verify the CVE-2026-68820 fix is applied before August 25.

CVE-2026-62878 — RCE critique Windows DNS Server (CVSS 9.8) — Faille corrigée dans le cadre du Patch Tuesday, non exploitée à ce jour mais ne nécessitant aucune interaction utilisateur. Source

CVE-2026-62878 — critical Windows DNS Server RCE (CVSS 9.8) — A flaw fixed as part of Patch Tuesday, not exploited to date but requiring no user interaction. Source

➜ À faire : Identifier les serveurs DNS Windows du parc et planifier leur correctif en priorité haute, même en l'absence d'exploitation connue.

➜ To do: Identify the fleet's Windows DNS servers and schedule patching with high priority, even absent known exploitation.

Correctifs noyau Linux (SUSE, Ubuntu) — SUSE a publié un correctif couvrant 77 vulnérabilités du noyau (réseau, stockage, virtualisation) ; Ubuntu a publié l'avis USN-8631-2 pour Ubuntu 22.04 LTS. Source

Linux kernel updates (SUSE, Ubuntu) — SUSE released a fix covering 77 kernel vulnerabilities (networking, storage, virtualization); Ubuntu published advisory USN-8631-2 for Ubuntu 22.04 LTS. Source

➜ À faire : Planifier la mise à jour du noyau sur les serveurs SUSE/Ubuntu du parc lors de la prochaine fenêtre de maintenance.

➜ To do: Schedule the kernel update on the fleet's SUSE/Ubuntu servers during the next maintenance window.

Zapscape (CVE-2026-64561) — évasion KVM et root local — Livepatches KernelCare disponibles pour corriger cette faille d'évasion d'invité KVM. Source

Zapscape (CVE-2026-64561) — KVM guest escape and local root — KernelCare livepatches are available to fix this KVM guest escape flaw. Source

➜ À faire : Sur les hôtes KVM/CloudLinux du parc, appliquer le livepatch ou planifier un redémarrage noyau dès que possible.

➜ To do: On the fleet's KVM/CloudLinux hosts, apply the livepatch or schedule a kernel reboot as soon as possible.

Cisco Catalyst SD-WAN — durcissement de sécurité (CVSS 9.9) — Publication du 5 août 2026 corrigeant des vulnérabilités découvertes en interne, non exploitées à ce jour. Source

Cisco Catalyst SD-WAN — security hardening release (CVSS 9.9) — Published August 5, 2026, fixing internally discovered vulnerabilities, not exploited to date. Source

➜ À faire : Vérifier la version logicielle des routeurs/contrôleurs SD-WAN Cisco du parc et planifier la mise à jour vers la version durcie.

➜ To do: Check the software version of the fleet's Cisco SD-WAN routers/controllers and schedule an update to the hardened release.

Cisco IOS XE — durcissement de sécurité (CVSS 9.8) — Publication du 5 août 2026, vulnérabilités internes non exploitées connues. Source

Cisco IOS XE — security hardening release (CVSS 9.8) — Published August 5, 2026, internal vulnerabilities with no known exploitation. Source

➜ À faire : Identifier les switchs/routeurs sous IOS XE et planifier la mise à jour vers la release durcie recommandée.

➜ To do: Identify the switches/routers running IOS XE and schedule an update to the recommended hardened release.

Vulnérabilités ClamAV affectant des produits Cisco — Failles pouvant provoquer un déni de service sur les fonctions d'analyse antivirus intégrées. Source

ClamAV vulnerabilities affecting Cisco products — Flaws that can cause denial of service on the built-in antivirus scanning functions. Source

➜ À faire : Vérifier si des équipements Cisco du parc embarquent ClamAV et appliquer le correctif fourni par Cisco.

➜ To do: Check whether the fleet's Cisco devices embed ClamAV and apply Cisco's fix.

VMSA-2026-0006 — 3 failles critiques VMware vCenter/ESXi — CVE-2026-59309 (contournement d'authentification vCenter), CVE-2026-47876 (évasion de VM via l'adaptateur VMXNET3, CVSS 9.3) et CVE-2026-59310 (RCE vCenter). Des scans actifs contre vCenter sont observés depuis le 11 août, bien qu'aucune exploitation confirmée à ce stade. Source

VMSA-2026-0006 — 3 critical VMware vCenter/ESXi flaws — CVE-2026-59309 (vCenter authentication bypass), CVE-2026-47876 (VM escape via the VMXNET3 adapter, CVSS 9.3) and CVE-2026-59310 (vCenter RCE). Active scanning against vCenter has been observed since August 11, though no confirmed exploitation so far. Source

➜ À faire : Patcher en urgence tous les vCenter Server et hôtes ESXi du parc vers les versions corrigées de VMSA-2026-0006, et vérifier les journaux d'accès vCenter pour repérer des tentatives suspectes.

➜ To do: Urgently patch all vCenter Server instances and ESXi hosts in the fleet to the VMSA-2026-0006 fixed versions, and check vCenter access logs for suspicious attempts.

Proxmox VE 9.2-1-arm64 — Première version Proxmox VE supportant officiellement l'architecture ARM64 (NVIDIA Grace/Vera). Source

Proxmox VE 9.2-1-arm64 — First Proxmox VE release with official support for the ARM64 architecture (NVIDIA Grace/Vera). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CVE-2026-68820 exploitée par Lazarus (Operation Dream Job) — Zero-day WinSock AFD activement exploité, ajouté au catalogue CISA KEV, échéance de correction au 25 août 2026. Source

CVE-2026-68820 exploited by Lazarus (Operation Dream Job) — Actively exploited WinSock AFD zero-day, added to the CISA KEV catalog, fix deadline August 25, 2026. Source

➜ À faire : Prioriser le déploiement du correctif Patch Tuesday d'août sur l'ensemble du parc Windows avant le 25 août.

➜ To do: Prioritize deploying August's Patch Tuesday fix across the entire Windows fleet before August 25.

Faille SharePoint RCE exploitée par des groupes ransomware — CISA confirme l'exploitation active par des rançongiciels d'une vulnérabilité RCE SharePoint connue depuis début juillet. Source

SharePoint RCE flaw exploited by ransomware groups — CISA confirms active exploitation by ransomware gangs of a SharePoint RCE vulnerability known since early July. Source

➜ À faire : Vérifier que tous les serveurs SharePoint on-premise du parc ont bien reçu le correctif correspondant ; isoler tout serveur non patché.

➜ To do: Verify that all on-premise SharePoint servers in the fleet have received the corresponding fix; isolate any unpatched server.

ShieldBreak — PoC de contournement Microsoft Defender — Un exploit public revendique un contournement du patch avec accès SYSTEM sur Microsoft Defender. Source

ShieldBreak — Microsoft Defender bypass PoC — A public exploit claims a patch bypass granting SYSTEM access on Microsoft Defender. Source

➜ À faire : Surveiller les alertes EDR/Defender pour des comportements anormaux et s'assurer que les dernières définitions et builds Defender sont à jour sur le parc.

➜ To do: Monitor EDR/Defender alerts for abnormal behavior and ensure the latest definitions and Defender builds are up to date across the fleet.

Alertes CERT-FR (11-12 août) — Vulnérabilités multiples dans OpenSSH, SAP, Docker, SPIP, Microsoft Office et Microsoft Edge, certaines permettant RCE, injection SQL ou SSRF. Source

CERT-FR alerts (August 11-12) — Multiple vulnerabilities in OpenSSH, SAP, Docker, SPIP, Microsoft Office and Microsoft Edge, some allowing RCE, SQL injection or SSRF. Source

➜ À faire : Croiser cette liste avec l'inventaire logiciel du parc (OpenSSH, Docker, SPIP le cas échéant) et appliquer les correctifs correspondants.

➜ To do: Cross-check this list against the fleet's software inventory (OpenSSH, Docker, SPIP where applicable) and apply the corresponding fixes.

Ransomware Clop — attaque contre FIS Global — Exfiltration revendiquée de 874 Go de données sensibles. Source

Clop ransomware — attack on FIS Global — A claimed exfiltration of 874 GB of sensitive data. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

AWS — 4^e incident réseau en 4 mois sur US-WEST-2 — Nouveau problème de connectivité sur la région US-WEST-2, lié au chemin réseau vers la zone de Seattle. Source

AWS — 4th network incident in 4 months on US-WEST-2 — A new connectivity issue in the US-WEST-2 region, linked to the network path toward the Seattle area. Source

➜ À faire : Si des ressources critiques sont hébergées en us-west-2, vérifier la configuration de bascule multi-AZ/multi-région et surveiller le tableau de bord AWS Health.

➜ To do: If critical resources are hosted in us-west-2, verify the multi-AZ/multi-region failover configuration and monitor the AWS Health dashboard.

CVE-2026-62818 — RCE critique AD Certificate Services (CVSS 8.8) — Use-after-free permettant l'exécution de code à distance sur les autorités de certification AD CS. Source

CVE-2026-62818 — critical AD Certificate Services RCE (CVSS 8.8) — A use-after-free allowing remote code execution on AD CS certificate authorities. Source

➜ À faire : Patcher en priorité tous les serveurs AD CS du parc via le Patch Tuesday d'août ; vérifier les journaux d'émission de certificats pour toute anomalie.

➜ To do: Patch all fleet AD CS servers with priority via August's Patch Tuesday; check certificate issuance logs for any anomaly.

CVE-2026-50481 — Élévation de privilèges Azure Active Directory (CVSS 9.9) — Modification de données supposées immuables permettant une élévation de privilèges à distance. Source

CVE-2026-50481 — Azure Active Directory elevation of privilege (CVSS 9.9) — Modification of assumed-immutable data allowing remote privilege elevation. Source

➜ À faire : Vérifier l'application des correctifs côté tenant Azure AD/Entra ID et contrôler les journaux d'activité pour des modifications de rôles suspectes.

➜ To do: Verify patch application on the Azure AD/Entra ID tenant side and review activity logs for suspicious role changes.

Compléments Patch Tuesday d'août : SSTP et QUIC — CVE-2026-62889 (Windows SSTP, RCE critique CVSS 8.1, double free, non authentifié) et CVE-2026-62815 (Microsoft QUIC, RCE non authentifié) viennent compléter le lot de correctifs du 11 août. Source

August Patch Tuesday follow-up: SSTP and QUIC — CVE-2026-62889 (Windows SSTP, critical RCE CVSS 8.1, double free, unauthenticated) and CVE-2026-62815 (Microsoft QUIC, unauthenticated RCE) round out the August 11 patch batch. Source

➜ À faire : Vérifier l'exposition des serveurs RAS/VPN utilisant SSTP et des services utilisant QUIC (HTTP/3) sur le parc, et appliquer le Patch Tuesday d'août sans délai si ce n'est pas déjà fait.

➜ To do: Check exposure of RAS/VPN servers using SSTP and of services using QUIC (HTTP/3) in the fleet, and apply August's Patch Tuesday without delay if not already done.

Cisco ASA/FTD : déni de service activement exploité (CVE-2026-20349) — Faille d'inspection du tas dans Secure Firewall ASA et Threat Defense, ajoutée au catalogue CISA KEV le 11 août. Source

Cisco ASA/FTD: actively exploited denial of service (CVE-2026-20349) — A heap inspection flaw in Secure Firewall ASA and Threat Defense, added to the CISA KEV catalog on August 11. Source

➜ À faire : Recenser les pare-feux Cisco ASA/FTD du parc, vérifier la version installée, appliquer le correctif Cisco en priorité sur les équipements exposés à Internet.

➜ To do: Inventory the fleet's Cisco ASA/FTD firewalls, check the installed version, and apply Cisco's patch with priority on internet-facing devices.

VMware VMSA-2026-0006 : failles critiques vCenter/ESXi — CVE-2026-59309 et CVE-2026-59310 (contournement d'authentification et RCE sur vCenter, CVSS 9.8, aucun contournement possible) ainsi que CVE-2026-47876 (évasion de VM via l'adaptateur VMXNET3, CVSS 9.3). Source

VMware VMSA-2026-0006: critical vCenter/ESXi flaws — CVE-2026-59309 and CVE-2026-59310 (authentication bypass and RCE on vCenter, CVSS 9.8, no workaround available) plus CVE-2026-47876 (VM escape via the VMXNET3 adapter, CVSS 9.3). Source

➜ À faire : Mettre à jour vCenter (9.1.0.0300 / 9.0.2.0100 / 8.0 U3k) et ESXi (9.1.0.0200 / 9.0.2.0100 / 8.0 U3k) en priorité sur les environnements accessibles depuis des réseaux non approuvés.

➜ To do: Update vCenter (9.1.0.0300 / 9.0.2.0100 / 8.0 U3k) and ESXi (9.1.0.0200 / 9.0.2.0100 / 8.0 U3k) with priority on environments reachable from untrusted networks.

Proxmox VE 8 : fin de vie le 31 août 2026 — La version 8 arrive en fin de support ; sortie parallèle de Proxmox VE pour Arm64. Source

Proxmox VE 8: end of life on August 31, 2026 — Version 8 reaches end of support; parallel release of Proxmox VE for Arm64. Source

➜ À faire : Planifier la migration des hôtes encore en Proxmox VE 8 vers la version 9 avant le 31 août.

➜ To do: Plan the migration of hosts still on Proxmox VE 8 to version 9 before August 31.

ShieldBreak : nouveau zero-day Microsoft Defender, sans correctif — Contournement de la faille RoguePlanet permettant une élévation vers SYSTEM sur Windows 10, Windows 11 25H2 et Windows Server 2025. Source

ShieldBreak: new unpatched Microsoft Defender zero-day — A bypass of the RoguePlanet flaw allowing elevation to SYSTEM on Windows 10, Windows 11 25H2 and Windows Server 2025. Source

➜ À faire : Surveiller la publication du correctif Microsoft, renforcer la supervision EDR/Defender sur les serveurs Windows Server 2025 et limiter les comptes à privilèges locaux faibles en attendant.

➜ To do: Monitor for Microsoft's upcoming patch, strengthen EDR/Defender monitoring on Windows Server 2025 machines, and limit low-privilege local accounts in the meantime.

Metabase : injection SQL critique activement exploitée (CVE-2026-72898, CVSS 10.0) — Faille non authentifiée via l'endpoint /reset_password donnant un accès administrateur complet ; 5 entreprises déjà compromises, ajoutée au CISA KEV le 11 août. Source

Metabase: actively exploited critical SQL injection (CVE-2026-72898, CVSS 10.0) — An unauthenticated flaw via the /reset_password endpoint granting full admin access; 5 companies already compromised, added to the CISA KEV on August 11. Source

➜ À faire : Si Metabase est utilisé, vérifier la version, appliquer le correctif immédiatement, changer les identifiants des bases connectées et isoler l'instance d'Internet si elle y est exposée.

➜ To do: If Metabase is in use, check the version, apply the patch immediately, rotate credentials for connected databases, and take the instance offline if internet-exposed.

Sandworm : ingénierie sociale ciblant les administrateurs systèmes/IT — Le groupe UAC-0145 (lié à Sandworm) usurpe des recruteurs, mène de faux entretiens Zoom via Telegram et pousse un client WireGuard trojanisé (SopraVPN) exécutant des payloads PowerShell. Source

Sandworm: social engineering targeting system/IT administrators — The UAC-0145 group (linked to Sandworm) impersonates recruiters, runs fake Zoom interviews via Telegram, and pushes a trojanized WireGuard client (SopraVPN) running PowerShell payloads. Source

➜ À faire : Sensibiliser les équipes IT/admin systèmes à ce type de campagne, ne jamais installer de VPN ou logiciel fourni dans le cadre d'un « test technique » externe, et vérifier l'identité des recruteurs avant tout entretien technique.

➜ To do: Raise awareness among IT/sysadmin teams about this type of campaign, never install a VPN or software provided as part of an external "technical test", and verify recruiters' identity before any technical interview.

CERT-FR : avis Microsoft Office et Edge (12 août) — CERTFR-2026-AVI-1000 (Office, RCE critique) et CERTFR-2026-AVI-0999 (Edge, RCE). Source

CERT-FR: Microsoft Office and Edge advisories (August 12) — CERTFR-2026-AVI-1000 (Office, critical RCE) and CERTFR-2026-AVI-0999 (Edge, RCE). Source

➜ À faire : Vérifier le déploiement des correctifs Office/Edge du Patch Tuesday d'août sur le parc bureautique.

➜ To do: Verify deployment of August's Patch Tuesday Office/Edge fixes across the office fleet.

AWS : 4^e incident de connectivité en 4 mois sur US-West-2 — Nouvelle perturbation liée au chemin réseau entre US-WEST-2 et la zone de Seattle. Source

AWS: 4th connectivity incident in 4 months on US-West-2 — A new disruption linked to the network path between US-WEST-2 and the Seattle area. Source

➜ À faire : Aucune action requise côté parc local, à titre informatif ; si des charges critiques dépendent d'US-West-2, vérifier l'existence d'un plan de bascule multi-AZ/multi-région.

➜ To do: No action required on the local fleet, for information only; if critical workloads depend on US-West-2, verify a multi-AZ/multi-region failover plan exists.

Patch Tuesday Microsoft d'août 2026 : 421 CVE corrigées, dont une faille WinSock exploitée — Microsoft a publié KB5121003 (KB5120242 pour Windows Server 2022, KB5120228 pour 2025) corrigeant 421 vulnérabilités dont 62 critiques. CVE-2026-68820 (pilote WinSock, élévation vers SYSTEM) est activement exploitée, et CVE-2026-62878 (Windows DNS Server, RCE critique, potentiellement « wormable ») est jugée à très haut risque. Source

Microsoft's August 2026 Patch Tuesday: 421 CVEs fixed, including an exploited WinSock flaw — Microsoft released KB5121003 (KB5120242 for Windows Server 2022, KB5120228 for 2025) fixing 421 vulnerabilities, 62 of them critical. CVE-2026-68820 (WinSock driver, elevation to SYSTEM) is actively exploited, and CVE-2026-62878 (Windows DNS Server, critical RCE, potentially "wormable") is rated very high risk. Source

➜ À faire : Déployer en priorité les correctifs d'août sur tous les serveurs Windows, en particulier les serveurs DNS et Exchange ; vérifier l'installation de KB5121003/KB5120242/KB5120228 selon la version.

➜ To do: Prioritize deploying August's patches on all Windows servers, especially DNS and Exchange servers; verify installation of KB5121003/KB5120242/KB5120228 depending on version.

Nouveaux noyaux Linux stables et faille locale critique — Sortie des noyaux 6.18.44, 6.12.103 et 6.6.151. Par ailleurs, CVE-2026-31431 (« Copy Fail », CVSS 7.8) permet à un attaquant local non privilégié d'écrire dans le cache de page d'un fichier, avec risque d'élévation vers root ; elle concerne tous les noyaux Linux publiés depuis 2017. Source

New stable Linux kernels and a critical local flaw — Kernels 6.18.44, 6.12.103 and 6.6.151 were released. Separately, CVE-2026-31431 ("Copy Fail", CVSS 7.8) lets an unprivileged local attacker write into a file's page cache, with a risk of escalation to root; it affects every Linux kernel released since 2017. Source

➜ À faire : Planifier la mise à jour du noyau via le gestionnaire de paquets de la distribution sur les serveurs Linux du parc, après vérification de compatibilité des pilotes.

➜ To do: Schedule the kernel update via the distribution's package manager on the fleet's Linux servers, after checking driver compatibility.

Cisco Catalyst SD-WAN : 3 failles critiques CVSS 9.9 — CVE-2026-20303, CVE-2026-20304 et CVE-2026-20310 (validation d'entrée, contrôle d'accès, résolution de lien), découvertes en interne, non exploitées à ce jour. Correctifs : versions 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 ou 26.1.2. Source

Cisco Catalyst SD-WAN: 3 critical flaws, CVSS 9.9 — CVE-2026-20303, CVE-2026-20304 and CVE-2026-20310 (input validation, access control, link resolution), found internally, not exploited to date. Fixes: versions 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 or 26.1.2. Source

➜ À faire : Identifier les contrôleurs SD-WAN du parc et planifier la montée vers la version corrigée correspondante ; aucun contournement n'existe.

➜ To do: Identify the fleet's SD-WAN controllers and schedule an upgrade to the corresponding fixed version; no workaround exists.

Cisco IOS XE : durcissement sécurité, faille critique CVSS 9.8 — CVE-2026-20272 corrigée dans les versions 17.9.10, 17.12.8, 17.15.6 ou 17.18.4/17.18.4a. Source

Cisco IOS XE: security hardening release, critical flaw CVSS 9.8 — CVE-2026-20272 fixed in versions 17.9.10, 17.12.8, 17.15.6 or 17.18.4/17.18.4a. Source

➜ À faire : Vérifier la version IOS XE des équipements du parc et planifier la mise à jour vers la version corrigée.

➜ To do: Check the IOS XE version of the fleet's devices and schedule an update to the fixed version.

TeamCity : RCE non authentifiée activement exploitée, dans le catalogue CISA KEV — CVE-2026-63077 (CVSS 9.8) permet à un attaquant non authentifié d'exécuter des commandes sur les serveurs TeamCity On-Premises exposés en HTTP/HTTPS. Versions affectées : antérieures à 2025.11.7 et 2026.1.3. Source

TeamCity: actively exploited unauthenticated RCE, added to the CISA KEV catalog — CVE-2026-63077 (CVSS 9.8) lets an unauthenticated attacker execute commands on TeamCity On-Premises servers exposed over HTTP/HTTPS. Affected versions: earlier than 2025.11.7 and 2026.1.3. Source

➜ À faire : Vérifier si un serveur TeamCity est présent sur le parc ou exposé sur Internet ; le mettre à jour immédiatement vers 2025.11.7/2026.1.3 ou une version supérieure ; en cas d'exposition prolongée, examiner les journaux pour signe de compromission et envisager la rotation des secrets/identifiants stockés.

➜ To do: Check whether a TeamCity server is present in the fleet or exposed to the internet; update it immediately to 2025.11.7/2026.1.3 or later; if it was exposed for a while, review logs for signs of compromise and consider rotating stored secrets/credentials.

Alertes CERT-FR du 11 août : Postfix, OpenSSH, Docker, SAP, SPIP, CPython — Le CERT-FR a publié plusieurs avis concernant des vulnérabilités (déni de service, contournement de sécurité, exécution de code selon les produits) affectant Postfix, OpenSSH, Docker, les produits SAP, SPIP et CPython. Source

CERT-FR alerts of August 11: Postfix, OpenSSH, Docker, SAP, SPIP, CPython — CERT-FR published several advisories covering vulnerabilities (denial of service, security bypass, code execution depending on the product) affecting Postfix, OpenSSH, Docker, SAP products, SPIP and CPython. Source

➜ À faire : Vérifier les versions de Postfix, OpenSSH, Docker et CPython installées sur le parc et appliquer les correctifs éditeurs dès disponibilité ; si SAP ou SPIP sont utilisés, consulter l'avis CERT-FR correspondant pour évaluer l'exposition.

➜ To do: Check the versions of Postfix, OpenSSH, Docker and CPython installed in the fleet and apply vendor patches as soon as available; if SAP or SPIP are used, review the corresponding CERT-FR advisory to assess exposure.

Azure AD et AD Certificate Services : deux failles critiques dans le Patch Tuesday d'août — CVE-2026-50481 (Azure AD, élévation de privilèges, CVSS 9.9) et CVE-2026-62818 (AD Certificate Services, RCE par use-after-free, CVSS 8.8) ont été corrigées. Source

Azure AD and AD Certificate Services: two critical flaws in August's Patch Tuesday — CVE-2026-50481 (Azure AD, elevation of privilege, CVSS 9.9) and CVE-2026-62818 (AD Certificate Services, use-after-free RCE, CVSS 8.8) were fixed. Source

➜ À faire : Appliquer le Patch Tuesday d'août sur les contrôleurs de domaine et les serveurs AD CS ; vérifier la configuration Azure AD Connect/Entra Connect si utilisée.

➜ To do: Apply August's Patch Tuesday on domain controllers and AD CS servers; check the Azure AD Connect/Entra Connect configuration if in use.

Poursuite de la migration hors VMware/Broadcom — Le passage aux licences par abonnement chez Broadcom continue de pousser des organisations vers Proxmox VE, XCP-ng ou Hyper-V (évaluations Proxmox VE en hausse de 340 % sur un an selon Gartner). Source

Continued migration away from VMware/Broadcom — The shift to Broadcom's subscription licensing keeps pushing organizations toward Proxmox VE, XCP-ng or Hyper-V (Proxmox VE evaluations up 340% year-over-year according to Gartner). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Patch Tuesday Microsoft d'août 2026 — Microsoft publie ce jour son lot mensuel de correctifs, avec un volume attendu très élevé après le record de 621 CVE en juillet. Source

Microsoft's August 2026 Patch Tuesday — Microsoft releases its monthly patch batch today, with a very high volume expected after July's record of 621 CVEs. Source

➜ À faire : Planifier le déploiement des correctifs sur l'ensemble du parc Windows Server et Windows 10/11 dès leur publication, en testant d'abord sur un groupe pilote avant diffusion généralisée.

➜ To do: Schedule patch deployment across the Windows Server and Windows 10/11 fleet as soon as released, testing first on a pilot group before wider rollout.

Faille noyau Linux « Copy Fail » (CVE-2026-31431) — Vulnérabilité locale (CVSS 7.8) affectant toutes les distributions Linux depuis 2017, permettant une écriture arbitraire dans le cache de pages et une élévation de privilèges vers root. Source

Linux kernel "Copy Fail" flaw (CVE-2026-31431) — Local vulnerability (CVSS 7.8) affecting all Linux distributions since 2017, enabling arbitrary writes into the page cache of readable files and privilege escalation to root. Source

➜ À faire : Identifier les serveurs Linux du parc et les versions de noyau concernées, puis appliquer le correctif de la distribution dès sa disponibilité ; prioriser les serveurs multi-utilisateurs.

➜ To do: Identify the fleet's Linux servers and affected kernel versions, then apply the distribution's patch as soon as available; prioritize multi-user servers.

Debian 13 : 68 vulnérabilités noyau corrigées — Mise à jour de sécurité majeure du noyau Linux 6.12 LTS sous Debian 13. Source

Debian 13: 68 kernel vulnerabilities patched — Major security update for the Linux 6.12 LTS kernel under Debian 13. Source

➜ À faire : Sur les serveurs Debian 13, exécuter la mise à jour du système (apt update && apt upgrade) puis planifier un redémarrage pour charger le nouveau noyau.

➜ To do: On Debian 13 servers, run the system update (apt update && apt upgrade) then schedule a reboot to load the new kernel.

Vulnérabilités critiques Catalyst SD-WAN et IOS XE (CVSS 9.9 / 9.8) — Cisco a publié le 5 août des correctifs de durcissement pour plusieurs failles critiques sur SD-WAN IMC et IOS XE ; non exploitées à ce jour mais sans contournement possible. Source

Critical Catalyst SD-WAN and IOS XE vulnerabilities (CVSS 9.9 / 9.8) — On August 5, Cisco released hardening fixes for several critical flaws in SD-WAN IMC and IOS XE; not exploited to date but with no available workaround. Source

➜ À faire : Recenser les équipements Cisco IOS XE et Catalyst SD-WAN du parc, vérifier les versions concernées et planifier la mise à jour vers les versions corrigées en priorité sur les équipements exposés.

➜ To do: Inventory the fleet's Cisco IOS XE and Catalyst SD-WAN devices, check affected versions, and schedule updates to fixed versions, prioritizing exposed devices.

Zero-day activement exploité sur Cisco Secure FMC (CVE-2026-20316) — Un identifiant statique permet à un attaquant distant de se connecter avec un compte à faibles privilèges et d'accéder à des données sensibles. Source

Actively exploited zero-day on Cisco Secure FMC (CVE-2026-20316) — A static credential lets a remote attacker log in with a low-privilege account and access sensitive data. Source

➜ À faire : Vérifier si un Firewall Management Center Cisco est déployé, appliquer le correctif dès disponibilité et changer les identifiants par défaut/statiques.

➜ To do: Check whether a Cisco Firewall Management Center is deployed, apply the patch as soon as available, and rotate default/static credentials.

Vulnérabilités ClamAV affectant des produits Cisco — Plusieurs failles peuvent provoquer un déni de service sur les fonctions d'analyse antivirus intégrées à certains produits Cisco. Source

ClamAV vulnerabilities affecting Cisco products — Several flaws can trigger a denial of service on the antivirus scanning functions embedded in certain Cisco products. Source

➜ À faire : Vérifier si des appliances Cisco intégrant ClamAV sont utilisées et appliquer les correctifs correspondants.

➜ To do: Check whether Cisco appliances embedding ClamAV are in use and apply the corresponding patches.

TeamCity : faille critique activement exploitée (CVE-2026-63077) — Vulnérabilité de désérialisation permettant une exécution de code à distance sans authentification via le protocole de polling des agents ; échéance de correction fixée au 8 août pour les agences fédérales US par la CISA. Source

TeamCity: critical actively exploited flaw (CVE-2026-63077) — A deserialization vulnerability enabling unauthenticated remote code execution via the agent polling protocol; CISA set an August 8 remediation deadline for US federal agencies. Source

➜ À faire : Vérifier si un serveur TeamCity est utilisé en CI/CD, appliquer immédiatement le correctif JetBrains et l'isoler d'Internet si non patché.

➜ To do: Check whether a TeamCity server is used for CI/CD, apply the JetBrains patch immediately, and isolate it from the internet if not yet patched.

N-able N-central : contournement d'authentification exploité (CVE-2026-18577) — Des clients ont été compromis via cette faille avant la publication d'un correctif d'urgence le 2 août. Source

N-able N-central: exploited authentication bypass (CVE-2026-18577) — Customers were compromised via this flaw before an emergency patch was released on August 2. Source

➜ À faire : Si N-central est utilisé pour la supervision/RMM, appliquer le hotfix immédiatement et vérifier les journaux d'accès admin.

➜ To do: If N-central is used for monitoring/RMM, apply the hotfix immediately and review admin access logs.

Apache Tomcat : contournement de chiffrement exploité par une campagne IA (CVE-2026-34486, CVSS 7.5) — Faille permettant de contourner l'EncryptInterceptor, exploitée par une campagne de piratage automatisée. Source

Apache Tomcat: encryption bypass exploited by an AI-driven campaign (CVE-2026-34486, CVSS 7.5) — A flaw allowing the EncryptInterceptor to be bypassed, exploited by an automated hacking campaign. Source

➜ À faire : Vérifier la version de Tomcat sur les serveurs applicatifs, appliquer le correctif et contrôler la configuration de l'EncryptInterceptor si utilisé pour du clustering.

➜ To do: Check the Tomcat version on application servers, apply the patch, and review the EncryptInterceptor configuration if used for clustering.

Langflow : RCE critique massivement exploitée (CVE-2026-9198, CVSS 9.8) — Plus de 650 tentatives d'exploitation recensées depuis juillet, exécution de code à distance sans authentification sur les déploiements par défaut. Source

Langflow: critical RCE under mass exploitation (CVE-2026-9198, CVSS 9.8) — Over 650 exploitation attempts recorded since July, unauthenticated remote code execution on default deployments. Source

➜ À faire : Vérifier si Langflow est déployé dans l'environnement, le mettre à jour immédiatement ou le retirer d'Internet si exposé publiquement.

➜ To do: Check whether Langflow is deployed in the environment, update it immediately, or take it off the internet if publicly exposed.

Panne Azure liée à un changement de configuration — Une modification de l'infrastructure Azure a provoqué une panne affectant Office 365, Xbox Live, Copilot et de nombreux services tiers ; Microsoft a déployé un correctif et prévoit un renforcement du monitoring du trafic datacenter d'ici septembre 2026. Source

Azure outage caused by a configuration change — An Azure infrastructure change caused an outage affecting Office 365, Xbox Live, Copilot and many third-party services; Microsoft deployed a fix and plans stronger datacenter traffic monitoring by September 2026. Source

➜ À faire : Aucune action requise côté parc local, à titre informatif ; vérifier que les services critiques dépendant d'Azure disposent d'un plan de continuité.

➜ To do: No action required on the local fleet, for information only; verify that critical services depending on Azure have a continuity plan.

Panne majeure AWS la semaine précédente — Une panne à grande échelle chez AWS a affecté de nombreux services en ligne (réseaux sociaux, jeux, streaming, plateformes financières). Source

Major AWS outage the previous week — A large-scale AWS outage affected many online services (social media, gaming, streaming, financial platforms). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Élévation de privilèges critique dans Active Directory (CVE-2026-50481, CVSS 9.9) — Faille exploitable à distance permettant une élévation de privilèges. Source

Critical elevation of privilege in Active Directory (CVE-2026-50481, CVSS 9.9) — A remotely exploitable flaw allowing privilege escalation. Source

➜ À faire : Appliquer le correctif Microsoft du Patch Tuesday d'août sur l'ensemble des contrôleurs de domaine dès que possible.

➜ To do: Apply the Microsoft patch from August's Patch Tuesday on all domain controllers as soon as possible.

ADFS : faille activement exploitée (CVE-2026-56155) — Un attaquant local authentifié à faibles privilèges peut obtenir un accès administrateur sur les serveurs Windows Server 2012 à 2025 exécutant ADFS. Source

ADFS: actively exploited flaw (CVE-2026-56155) — A low-privileged authenticated local attacker can gain administrator access on Windows Server 2012 through 2025 servers running ADFS. Source

➜ À faire : Vérifier si ADFS est déployé sur le parc, appliquer le correctif en priorité et auditer les comptes à faibles privilèges ayant un accès local aux serveurs ADFS.

➜ To do: Check whether ADFS is deployed in the fleet, apply the patch with priority, and audit low-privilege accounts with local access to ADFS servers.

Faille « Certighost » dans AD Certificate Services activement exploitée — Permet de transformer un compte de domaine standard en compromission complète du domaine. Source

"Certighost" flaw in AD Certificate Services actively exploited — Allows a standard domain account to be turned into full domain compromise. Source

➜ À faire : Vérifier la configuration des modèles de certificats AD CS (durcissement contre les attaques ESC), auditer les permissions des templates et appliquer les recommandations de durcissement Microsoft.

➜ To do: Review the AD CS certificate template configuration (hardening against ESC attacks), audit template permissions, and apply Microsoft's hardening recommendations.

Patch Tuesday août 2026 imminent — Microsoft publie le 11 août son lot mensuel de correctifs, avec des failles d'élévation de privilèges sur Windows 10/11/Server et une vulnérabilité SharePoint 2016/2019 à haut risque. Source

August 2026 Patch Tuesday imminent — Microsoft releases its monthly patch batch on August 11, including privilege-escalation flaws on Windows 10/11/Server and a high-risk SharePoint 2016/2019 vulnerability. Source

➜ À faire : Planifier le déploiement des correctifs dès leur publication sur les serveurs Windows Server et postes Windows ; prioriser les correctifs SharePoint et les failles d'élévation de privilèges.

➜ To do: Schedule patch deployment as soon as they're released on Windows Server and Windows workstations; prioritize SharePoint fixes and privilege-escalation flaws.

CVE-2026-31431 « Copy Fail » (Linux) — Faille locale d'élévation de privilèges (CVSS 7.8) affectant toutes les distributions Linux majeures depuis 2017. Source

CVE-2026-31431 "Copy Fail" (Linux) — Local privilege escalation flaw (CVSS 7.8) affecting all major Linux distributions since 2017. Source

➜ À faire : Vérifier la version du noyau sur les serveurs Linux du parc et appliquer le correctif dès qu'il est disponible pour la distribution utilisée.

➜ To do: Check the kernel version on the fleet's Linux servers and apply the patch as soon as it's available for the distribution in use.

46 CVE noyau Linux corrigées (2-8 août) — Toutes déjà corrigées en version stable, aucun 0-day ni exploit public. Versions minimales sûres : 5.10.264, 5.15.215, 6.1.182, 6.6.150, 6.12.102, 6.18.43. Source

46 Linux kernel CVEs fixed (Aug 2-8) — All already fixed in a stable release, no 0-day and no public exploit code. Minimum safe versions: 5.10.264, 5.15.215, 6.1.182, 6.6.150, 6.12.102, 6.18.43. Source

➜ À faire : Mettre à jour les noyaux Linux vers la version stable minimale correspondant à la branche utilisée.

➜ To do: Update Linux kernels to the minimum stable version matching the branch in use.

5 failles critiques SD-WAN (CVSS 9.9) et 7 failles critiques IOS XE (CVSS 9.8) — Durcissement de sécurité annoncé par Cisco le 5 août. Source

5 critical SD-WAN flaws (CVSS 9.9) and 7 critical IOS XE flaws (CVSS 9.8) — Security hardening release announced by Cisco on August 5. Source

➜ À faire : Identifier les équipements Catalyst SD-WAN et IOS XE du parc, appliquer les correctifs en priorité sur ceux exposés à Internet.

➜ To do: Identify Catalyst SD-WAN and IOS XE devices in the fleet, apply the patches with priority on internet-exposed ones.

Zero-day Cisco FMC activement exploité — Des identifiants statiques exposent des données sensibles sur Firepower Management Center. Source

Cisco FMC zero-day actively exploited — Static credentials expose sensitive data on Firepower Management Center. Source

➜ À faire : Vérifier la présence d'équipements FMC, appliquer le correctif Cisco dès sa disponibilité et changer les identifiants statiques/par défaut.

➜ To do: Check for FMC instances in the fleet, apply the Cisco patch as soon as it's available, and rotate static/default credentials.

Vulnérabilités ClamAV affectant les produits Cisco — Risque de déni de service sur Cisco Secure Endpoint Connector. Source

ClamAV vulnerabilities affecting Cisco products — Denial-of-service risk on Cisco Secure Endpoint Connector. Source

➜ À faire : Mettre à jour ClamAV/Secure Endpoint Connector vers la version corrigée.

➜ To do: Update ClamAV/Secure Endpoint Connector to the patched version.

Proxmox VE disponible pour Arm64 — Première version de Proxmox VE pour une architecture autre que x86-64 (NVIDIA Grace/Vera). Source

Proxmox VE available for Arm64 — First Proxmox VE release for an architecture other than x86-64 (NVIDIA Grace/Vera). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Catalogic DPX 4.16 ajoute le support Proxmox — Sauvegarde agentless pour Proxmox aux côtés de VMware et Hyper-V. Source

Catalogic DPX 4.16 adds Proxmox support — Agentless backup for Proxmox alongside VMware and Hyper-V. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CISA ajoute 3 CVE activement exploitées au catalogue KEV (5 août) — Langflow CVE-2026-9198 (RCE non authentifié, CVSS 9.8, 650 tentatives recensées), Apache Tomcat CVE-2026-34486 (CVSS 7.5, contournement d'EncryptInterceptor), N-able N-central CVE-2026-18556/18577 (CVSS 8.2, contournement d'authentification). Source

CISA adds 3 actively exploited CVEs to the KEV catalog (Aug 5) — Langflow CVE-2026-9198 (unauthenticated RCE, CVSS 9.8, 650 attempts recorded), Apache Tomcat CVE-2026-34486 (CVSS 7.5, EncryptInterceptor bypass), N-able N-central CVE-2026-18556/18577 (CVSS 8.2, authentication bypass). Source

➜ À faire : Vérifier la présence de Langflow, Apache Tomcat (clustering) et N-able N-central sur le parc ; appliquer les correctifs immédiatement, ces failles sont exploitées activement.

➜ To do: Check for Langflow, Apache Tomcat (clustering) and N-able N-central in the fleet; apply patches immediately, these flaws are actively exploited.

CVE-2026-50522 (Microsoft) activement exploitée — Permet le vol de clés machine et un accès persistant même après application du correctif. Source

CVE-2026-50522 (Microsoft) actively exploited — Allows theft of machine keys and persistent access even after the patch is applied. Source

➜ À faire : Appliquer le correctif Microsoft dès sa disponibilité et envisager une rotation des clés machine sur les systèmes concernés.

➜ To do: Apply the Microsoft patch as soon as it's available and consider rotating machine keys on affected systems.

Ransomware Qilin cible le secteur pharmaceutique (Inotiv) — Vol revendiqué de plus de 162 000 fichiers ; les attaques ransomware ont bondi de +55 % en Europe depuis le début de l'année. Source

Qilin ransomware targets pharmaceutical sector (Inotiv) — Theft of over 162,000 files claimed; ransomware attacks have jumped +55% across Europe since the start of the year. Source

➜ À faire : Sensibiliser les utilisateurs au phishing, vérifier l'état des sauvegardes hors-ligne et l'application des correctifs sur les systèmes exposés — ce groupe reste très actif.

➜ To do: Raise user awareness on phishing, verify offline backup status and patching on exposed systems — this group remains highly active.

Panne Azure de plus de 10 heures — VM et services d'identité impactés. Source

Azure outage lasting over 10 hours — VMs and identity services impacted. Source

➜ À faire : Vérifier l'impact sur les VM et Entra ID utilisés, consulter le post-incident Microsoft pour d'éventuelles actions de remédiation.

➜ To do: Check the impact on VMs and Entra ID in use, review Microsoft's post-incident report for any remediation actions.

Microsoft bascule une partie du trafic GitHub vers AWS — La capacité Azure ne suffit plus face à la hausse du développement assisté par IA. Source

Microsoft shifts part of GitHub's traffic to AWS — Azure capacity no longer keeps up with the rise in AI-assisted development. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

CVE-2026-50481 — Azure AD, élévation de privilèges critique (CVSS 9.9) — Corrigée côté serveur par Microsoft le 6 août, aucune action client requise. Source

CVE-2026-50481 — Azure AD, critical elevation of privilege (CVSS 9.9) — Fixed server-side by Microsoft on August 6, no customer action required. Source

➜ À faire : Aucune action requise, à titre informatif (correctif déjà appliqué automatiquement par Microsoft).

➜ To do: No action required, for information only (fix already applied automatically by Microsoft).

PoC publié pour « Certighost » (CVE-2026-54121, AD CS) — Élévation de privilèges critique permettant à un utilisateur AD peu privilégié d'usurper un contrôleur de domaine. Source

PoC published for "Certighost" (CVE-2026-54121, AD CS) — Critical privilege escalation letting a low-privileged AD user impersonate a domain controller. Source

➜ À faire : Vérifier la configuration AD CS (modèles de certificats), appliquer les correctifs Microsoft disponibles et restreindre les droits d'inscription de certificats.

➜ To do: Review the AD CS configuration (certificate templates), apply available Microsoft patches, and restrict certificate enrollment rights.

CVE-2026-56155 — AD FS, faille activement exploitée — Corrigée le 14 juillet, permettait à un attaquant local peu privilégié d'obtenir les droits admin. Source

CVE-2026-56155 — AD FS, actively exploited flaw — Patched July 14, allowed a low-privileged local attacker to gain admin rights. Source

➜ À faire : Vérifier que le correctif du 14 juillet est bien appliqué sur les serveurs AD FS du parc.

➜ To do: Verify that the July 14 fix is properly applied on the fleet's AD FS servers.

Faille Spectre v2 "Interrupt Injection" sur CPU AMD (CVE-2026-68480) — Patch noyau Linux publié le 6 août pour les branches 6.18.43, 6.6.149, 6.1.181 ; les LTS 5.10.263 et 5.15.214 corrigent aussi une faille associée dans la protection Safe-RET (Zen 1 à Zen 4). Source

Spectre v2 "Interrupt Injection" flaw on AMD CPUs (CVE-2026-68480) — Linux kernel patch released August 6 for branches 6.18.43, 6.6.149, 6.1.181; LTS 5.10.263 and 5.15.214 also fix a related flaw in the Safe-RET protection (Zen 1 through Zen 4). Source

➜ À faire : Planifier la mise à jour du noyau sur les serveurs Linux équipés de CPU AMD Zen 1-4, en priorité les hôtes multi-utilisateurs ou d'hébergement partagé.

➜ To do: Schedule the kernel update on Linux servers running AMD Zen 1-4 CPUs, prioritizing multi-user or shared-hosting hosts.

Faille locale "Copy Fail" dans le noyau Linux (CVE-2026-31431, CVSS 7.8) — Élévation de privilèges locale affectant toutes les distributions majeures depuis les noyaux publiés après 2017. Source

Local "Copy Fail" flaw in the Linux kernel (CVE-2026-31431, CVSS 7.8) — Local privilege escalation affecting all major distributions running kernels released after 2017. Source

➜ À faire : Vérifier la version de noyau sur le parc Linux et appliquer le correctif dès sa disponibilité via le gestionnaire de paquets.

➜ To do: Check the kernel version across the Linux fleet and apply the patch as soon as it's available via the distribution's package manager.

Patch Tuesday Microsoft du 11 août à anticiper — Juillet a battu un record avec plus de 600 CVE corrigées ; prochaine échéance le 11 août. Source

Microsoft Patch Tuesday on August 11 to prepare for — July set a record with over 600 CVEs fixed; the next release is due August 11. Source

➜ À faire : Réserver une fenêtre de maintenance pour tester et déployer les correctifs Windows dès leur publication le 11 août, en priorité sur les serveurs exposés.

➜ To do: Reserve a maintenance window to test and deploy the Windows patches as soon as they're released on August 11, prioritizing exposed servers.

Correctif Windows hors cycle du 6 août (CVE-2026-65400) — Faille liée au partage d'écran corrigée. Source

Out-of-band Windows fix on August 6 (CVE-2026-65400) — Screen-sharing related flaw patched. Source

➜ À faire : Vérifier que WSUS/SCCM/Intune a bien distribué ce correctif et la mise à jour Defender associée (KB4052623).

➜ To do: Verify that WSUS/SCCM/Intune has properly distributed this fix and the associated Defender update (KB4052623).

Cisco Secure FMC : contournement d'authentification critique (CVE-2026-20079, CVSS 10.0) — Faille zero-click permettant à un attaquant non authentifié d'obtenir un accès root sur le Firewall Management Center dès son démarrage, avec impact possible sur les FTD gérés. Source

Cisco Secure FMC: critical authentication bypass (CVE-2026-20079, CVSS 10.0) — A zero-click flaw letting an unauthenticated attacker gain root access to the Firewall Management Center right at boot, with possible impact on managed FTDs. Source

➜ À faire : Identifier tous les FMC du parc, appliquer immédiatement le correctif Cisco (aucun contournement disponible) et vérifier les journaux d'accès pour toute activité suspecte post-démarrage.

➜ To do: Identify all FMC instances in the fleet, apply the Cisco patch immediately (no workaround available), and check access logs for suspicious post-boot activity.

Cisco Secure FMC : identifiants statiques exploités activement (CVE-2026-20316, CVSS 5.3) — Exploitation active confirmée par Cisco PSIRT, permettant à un attaquant distant de se connecter avec un compte à faibles privilèges. Source

Cisco Secure FMC: static credentials actively exploited (CVE-2026-20316, CVSS 5.3) — Active exploitation confirmed by Cisco PSIRT, letting a remote attacker log in with a low-privilege account. Source

➜ À faire : Appliquer le correctif Cisco sur les FMC concernés et changer les identifiants statiques exposés.

➜ To do: Apply the Cisco patch on the affected FMC instances and rotate the exposed static credentials.

Cisco IOS XE / Catalyst SD-WAN : durcissement de sécurité (5 août) — Correctifs de durcissement pour des failles découvertes en interne, non exploitées à ce jour. Source

Cisco IOS XE / Catalyst SD-WAN: security hardening (August 5) — Hardening fixes for internally discovered flaws, not exploited to date. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

VMware ESX/vCenter : failles critiques (VMSA-2026-0006.1) — Cinq vulnérabilités corrigées dont trois critiques (CVE-2026-59309, CVE-2026-59310, CVE-2026-47876) permettant contournement d'authentification ou exécution de code à distance sur vCenter, sans contournement possible. Source

VMware ESX/vCenter: critical flaws (VMSA-2026-0006.1) — Five vulnerabilities fixed, three of them critical (CVE-2026-59309, CVE-2026-59310, CVE-2026-47876) allowing authentication bypass or remote code execution on vCenter, with no workaround available. Source

➜ À faire : Appliquer en urgence les patchs vSphere/ESXi/vCenter de la matrice Broadcom, en priorité sur les vCenter exposés au réseau.

➜ To do: Urgently apply the vSphere/ESXi/vCenter patches from Broadcom's response matrix, prioritizing network-exposed vCenter instances.

VMware VeloCloud Orchestrator : faille exploitée activement (CVE-2026-16812) — VMware confirme une exploitation active donnant accès à des fonctions internes des instances on-premises. Source

VMware VeloCloud Orchestrator: actively exploited flaw (CVE-2026-16812) — VMware confirms active exploitation giving access to internal-only functions of on-premises instances. Source

➜ À faire : Vérifier la version de VeloCloud Orchestrator on-prem et appliquer le correctif VMware sans délai.

➜ To do: Check the on-prem VeloCloud Orchestrator version and apply the VMware patch without delay.

Proxmox VE 9.2 : support ARM64 officiel (5 août) — Première extension de Proxmox au-delà de l'architecture x86 (cible NVIDIA Grace Hopper/Vera Rubin). Source

Proxmox VE 9.2: official ARM64 support (August 5) — Proxmox's first expansion beyond the x86 architecture (targeting NVIDIA Grace Hopper/Vera Rubin). Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

N-able N-central : accès "god mode" non authentifié (CVE-2026-18556 / CVE-2026-18577) — Exploitation active confirmée ; le premier correctif s'est révélé incomplet, un second est disponible. CISA a imposé un délai de 3 jours aux agences fédérales US. Source

N-able N-central: unauthenticated "god mode" access (CVE-2026-18556 / CVE-2026-18577) — Active exploitation confirmed; the first patch proved incomplete, a second one is now available. CISA gave US federal agencies a 3-day remediation deadline. Source

➜ À faire : Mettre à jour immédiatement N-central vers la version 2026.3.1.7, vérifier les comptes/agents pour toute activité anormale et changer les identifiants si le serveur a été exposé.

➜ To do: Immediately update N-central to version 2026.3.1.7, check accounts/agents for abnormal activity, and rotate credentials if the server was exposed.

SharePoint : deux failles critiques exploitées (CVE-2026-50522, CVE-2026-58644, CVSS 9.8) — Alerte CERT-FR CERTFR-2026-ALE-008 : exécution de code arbitraire à distance sans authentification sur SharePoint Server 2016/2019/Subscription Edition. Source

SharePoint: two critical flaws under exploitation (CVE-2026-50522, CVE-2026-58644, CVSS 9.8) — CERT-FR alert CERTFR-2026-ALE-008: unauthenticated remote code execution on SharePoint Server 2016/2019/Subscription Edition. Source

➜ À faire : Vérifier que les serveurs SharePoint on-premises sont patchés ; en cas de compromission suspectée, faire tourner les clés machine ASP.NET et les secrets associés, comme recommandé par le CERT-FR.

➜ To do: Verify that on-premises SharePoint servers are patched; if compromise is suspected, rotate the ASP.NET machine keys and related secrets, as recommended by CERT-FR.

Check Point : exécution de code à distance et contournement de politiques (CERTFR-2026-AVI-0965) — Avis CERT-FR du 4 août. Source

Check Point: remote code execution and security-policy bypass (CERTFR-2026-AVI-0965) — CERT-FR advisory from August 4. Source

➜ À faire : Identifier les produits Check Point déployés (firewalls, gateways VPN) et appliquer le correctif éditeur dès sa disponibilité.

➜ To do: Identify deployed Check Point products (firewalls, VPN gateways) and apply the vendor patch as soon as it's available.

Ransomware : activité soutenue (LockBit 5.0, Qilin, DragonForce) — Plusieurs entreprises industrielles et de services touchées début août (France, Allemagne, Inde, USA). Source

Ransomware: sustained activity (LockBit 5.0, Qilin, DragonForce) — Several industrial and service companies hit in early August (France, Germany, India, USA). Source

➜ À faire : Vérifier les sauvegardes hors ligne/immuables et la segmentation réseau ; rappeler aux utilisateurs les bons réflexes anti-phishing, vecteur d'entrée principal de ces groupes.

➜ To do: Verify offline/immutable backups and network segmentation; remind users of good anti-phishing practices, the main entry vector for these groups.

Microsoft Azure : incidents de disponibilité signalés — Plusieurs rapports d'utilisateurs de dégradations de service Azure début août ; un correctif a été déployé côté Microsoft. Source

Microsoft Azure: availability incidents reported — Several user reports of Azure service degradation in early August; a fix has been deployed by Microsoft. Source

➜ À faire : Vérifier le statut des services Azure utilisés via Azure Service Health et confirmer qu'aucune alerte de supervision interne n'est restée sans suite pendant l'incident.

➜ To do: Check the status of the Azure services in use via Azure Service Health and confirm no internal monitoring alert went unaddressed during the incident.

AD FS : élévation de privilèges exploitée activement (CVE-2026-56155, CVSS 7.8) — Faille corrigée le 14 juillet permettant à un attaquant local à faibles privilèges d'obtenir des droits administrateur ; exploitation confirmée. Source

AD FS: privilege escalation under active exploitation (CVE-2026-56155, CVSS 7.8) — Flaw patched on July 14 letting a low-privileged local attacker gain administrator rights; exploitation confirmed. Source

➜ À faire : Vérifier que le correctif du Patch Tuesday de juillet est appliqué sur tous les serveurs AD FS du parc ; à défaut, prioriser ce déploiement.

➜ To do: Verify that the July Patch Tuesday fix is applied on all AD FS servers in the fleet; if not, prioritize this deployment.

"Certighost" : usurpation de contrôleur de domaine par un compte AD peu privilégié — Technique d'exploitation publiée visant AD Certificate Services. Source

"Certighost": domain controller impersonation by a low-privileged AD account — Published exploitation technique targeting AD Certificate Services. Source

➜ À faire : Auditer le durcissement de l'AD CS et les modèles de certificats vulnérables (type PetitPotam/ESC) sur l'infrastructure PKI interne.

➜ To do: Audit AD CS hardening and vulnerable certificate templates (PetitPotam/ESC-type) on the internal PKI infrastructure.

LibreNMS : multiples vulnérabilités critiques (CERTFR-2026-AVI-0966, 4 août) — RCE, SSRF et injection de code indirecte (XSS). Source

LibreNMS: multiple critical vulnerabilities (CERTFR-2026-AVI-0966, August 4) — RCE, SSRF and indirect code injection (XSS). Source

➜ À faire : Vérifier la version de LibreNMS en production et appliquer les correctifs des avis GHSA associés sans délai.

➜ To do: Check the LibreNMS version in production and apply the patches from the related GHSA advisories without delay.

Nagios XI : injection de commande RCE (CVE-2026-2041) — Faille dans le module zabbixagent_configwizard_func permettant à un attaquant authentifié d'exécuter du code arbitraire. Source

Nagios XI: command injection RCE (CVE-2026-2041) — Flaw in the zabbixagent_configwizard_func module letting an authenticated attacker execute arbitrary code. Source

➜ À faire : Mettre à jour Nagios XI vers la version 2026 R1.0.1 ou supérieure.

➜ To do: Update Nagios XI to version 2026 R1.0.1 or later.

Zabbix : plusieurs failles HIGH/MEDIUM corrigées (CVE-2026-23928 et consorts) — Multiples CVE affectant diverses versions de Zabbix. Source

Zabbix: several HIGH/MEDIUM flaws fixed (CVE-2026-23928 and related) — Multiple CVEs affecting various Zabbix versions. Source

➜ À faire : Comparer la version Zabbix en production à la liste des versions affectées et planifier la montée de version si nécessaire.

➜ To do: Compare the production Zabbix version against the list of affected versions and plan an upgrade if needed.

Noyaux Linux LTS 6.18.42 / 6.12.101 / 6.6.148 — Publiés le 3 août, ces correctifs LTS renforcent la sécurité (validation ACL ksmbd, dépassement de tampon dm-verity, sécurité mémoire BPF). Source

Linux LTS kernels 6.18.42 / 6.12.101 / 6.6.148 — Released August 3, these LTS patches strengthen security (ksmbd ACL validation, dm-verity buffer overflow, BPF memory safety). Source

➜ À faire : Planifier la mise à jour des serveurs Linux exposant du SMB (ksmbd) ou utilisant dm-verity vers ces versions LTS patchées lors de la prochaine fenêtre de maintenance.

➜ To do: Schedule the update of Linux servers exposing SMB (ksmbd) or using dm-verity to these patched LTS versions during the next maintenance window.

Patch Tuesday Windows du 11 août — Microsoft doit publier son correctif mensuel (plus de 400 failles attendues sur Windows 10/11/Server). Source

Windows Patch Tuesday — August 11 — Microsoft is due to release its monthly patch (over 400 flaws expected across Windows 10/11/Server). Source

➜ À faire : Réserver une fenêtre de test et de déploiement le 11/08 pour le Patch Tuesday sur le parc Windows Server et postes clients.

➜ To do: Reserve a test and deployment window on 8/11 for Patch Tuesday across the Windows Server fleet and client workstations.

Fin du support courant de Windows Server 2022 — Bascule en support étendu le 13 octobre 2026 (sécurité maintenue jusqu'en 2031). Source

Windows Server 2022 — mainstream support ending — Moves to extended support on October 13, 2026 (security updates maintained until 2031). Source

➜ À faire : Vérifier l'inventaire des serveurs 2022 du parc et anticiper la couverture contractuelle du support étendu si nécessaire.

➜ To do: Check the fleet's inventory of 2022 servers and anticipate extended support contract coverage if needed.

Notification préalable Cisco du 5 août — Cisco a annoncé la publication imminente de plusieurs avis de sécurité. Source

Cisco advance notice — August 5 — Cisco announced the imminent release of several security advisories. Source

➜ À faire : Surveiller la publication des avis associés dans les prochains jours et évaluer leur impact sur le parc Cisco.

➜ To do: Watch for the associated advisories over the coming days and assess their impact on the Cisco fleet.

Cisco IOS XE — durcissement sécurité août 2026 — Failles internes corrigées (CVSS jusqu'à 9.8), non exploitées à ce jour. Source

Cisco IOS XE — August 2026 security hardening — Internal flaws fixed (CVSS up to 9.8), not exploited to date. Source

➜ À faire : Planifier la mise à jour IOS XE des équipements du parc dès la prochaine fenêtre de maintenance, même en l'absence d'exploitation active.

➜ To do: Plan the IOS XE update for fleet devices at the next maintenance window, even though there's no active exploitation.

Cisco Catalyst SD-WAN — durcissement sécurité août 2026 — Failles internes corrigées (CVSS jusqu'à 9.9), non exploitées à ce jour. Source

Cisco Catalyst SD-WAN — August 2026 security hardening — Internal flaws fixed (CVSS up to 9.9), not exploited to date. Source

➜ À faire : Si du SD-WAN Cisco est déployé sur le parc, planifier la montée de version vers les releases corrigées.

➜ To do: If Cisco SD-WAN is deployed in the fleet, plan the upgrade to the patched releases.

Catalogic DPX 4.16 supporte Proxmox VE — Nouvelle version avec sauvegarde agentless pour Proxmox, en plus de VMware/Hyper-V. Source

Catalogic DPX 4.16 adds Proxmox VE support — New release with agentless backup for Proxmox, alongside VMware/Hyper-V. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Migration accélérée vers Proxmox VE — La hausse des tarifs VMware/Broadcom continue de pousser les entreprises vers Proxmox et d'autres alternatives. Source

Accelerated migration to Proxmox VE — Rising VMware/Broadcom pricing continues to push companies toward Proxmox and other alternatives. Source

➜ À faire : Aucune action requise, à titre informatif — à considérer si une évaluation d'alternative à VMware est prévue sur le parc.

➜ To do: No action required, for information only — worth considering if a VMware alternative evaluation is planned for the fleet.

CERT-FR — avis du 4 août — Vulnérabilités RCE/SSRF/XSS sur LibreNMS, RCE et contournement de sécurité sur Check Point, RCE/SQLi sur Tenable. Source

CERT-FR — August 4 advisory — RCE/SSRF/XSS vulnerabilities in LibreNMS, RCE and security bypass in Check Point, RCE/SQLi in Tenable. Source

➜ À faire : Vérifier si LibreNMS, Check Point ou Tenable sont utilisés sur le parc et appliquer les correctifs listés dans les avis correspondants.

➜ To do: Check whether LibreNMS, Check Point, or Tenable are used in the fleet and apply the patches listed in the corresponding advisories.

CERT-FR — avis du 3 août — Faille d'exécution de code arbitraire à distance dans Microsoft Office. Source

CERT-FR — August 3 advisory — Arbitrary remote code execution flaw in Microsoft Office. Source

➜ À faire : Vérifier le déploiement des dernières mises à jour Office via WSUS/Intune sur le parc et forcer l'installation si absente.

➜ To do: Check that the latest Office updates have been deployed via WSUS/Intune across the fleet, and force installation if missing.

Le phishing boosté à l'IA rend les listes de blocage obsolètes — 89% des domaines de phishing restent actifs moins de 2 jours, rendant le filtrage par réputation moins efficace. Source

AI-boosted phishing makes blocklists obsolete — 89% of phishing domains stay active for less than 2 days, making reputation-based filtering less effective. Source

➜ À faire : Aucune action requise, à titre informatif — envisager de renforcer la sensibilisation utilisateurs plutôt que de compter uniquement sur les blocklists.

➜ To do: No action required, for information only — consider strengthening user awareness training rather than relying solely on blocklists.

Perturbations Azure signalées — 15 signalements utilisateurs d'incidents sur Azure dans les dernières 24h (statut officiel affiché « opérationnel » au 5 août). Source

Azure disruptions reported — 15 user-submitted incident reports on Azure in the last 24h (official status showing "operational" as of August 5). Source

➜ À faire : Consulter Azure Service Health pour le tenant de l'entreprise et surveiller les services critiques hébergés dessus en cas de ralentissement constaté.

➜ To do: Check Azure Service Health for the company tenant and monitor critical services hosted there if slowdowns are observed.

GitHub dépasse la capacité Azure, Microsoft loue de l'AWS — La croissance du trafic (dev assisté par IA) pousse Microsoft à louer de la capacité AWS en complément le temps de la migration Azure. Source

GitHub outgrows Azure capacity, Microsoft rents AWS — Traffic growth (AI-assisted development) is pushing Microsoft to rent extra AWS capacity while the Azure migration continues. Source

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Certighost (CVE-2026-54121) — Un exploit PoC public permet à un utilisateur peu privilégié d'usurper un contrôleur de domaine via AD CS (CVSS 8.8). Source

Certighost (CVE-2026-54121) — A public PoC exploit lets a low-privileged user impersonate a domain controller via AD CS (CVSS 8.8). Source

➜ À faire : Vérifier si une Enterprise CA (AD CS) est déployée sur le parc ; si oui, installer en urgence le correctif Microsoft du 14 juillet sur les serveurs AD CS concernés et auditer les modèles de certificats vulnérables.

➜ To do: Check whether an Enterprise CA (AD CS) is deployed in the fleet; if so, urgently install Microsoft's July 14 patch on the affected AD CS servers and audit vulnerable certificate templates.

Patch Tuesday Microsoft — aperçu août 2026 — Le prochain Patch Tuesday (12 août) doit corriger au moins 6 CVE critiques, dont une élévation de privilèges noyau Windows et une chaîne RCE SharePoint. Source

Microsoft Patch Tuesday — August 2026 preview — The upcoming Patch Tuesday (August 12) is expected to fix at least 6 critical CVEs, including a Windows kernel privilege escalation and a SharePoint RCE chain. Source

➜ À faire : Planifier la fenêtre de maintenance du 12/08 sur les serveurs Windows et SharePoint on-premise ; prévoir un redémarrage complet (patch noyau).

➜ To do: Schedule the 8/12 maintenance window for Windows and on-prem SharePoint servers; plan for a full reboot (kernel patch).

Debian 13 : 68 vulnérabilités noyau corrigées — Mise à jour majeure du noyau Linux 6.12 LTS, incluant CVE-2026-64530 (use-after-free, traffic control) et CVE-2026-64531 « OVSwrap » (root local via Open vSwitch). Source

Debian 13: 68 kernel vulnerabilities patched — Major Linux 6.12 LTS kernel update, including CVE-2026-64530 (use-after-free, traffic control) and CVE-2026-64531 "OVSwrap" (local root via Open vSwitch). Source

➜ À faire : Identifier les serveurs Debian 13 du parc, exécuter la mise à jour du noyau, redémarrer les hôtes concernés.

➜ To do: Identify Debian 13 servers in the fleet, run the kernel update, and reboot the affected hosts.

AlmaLinux — patch urgent « GhostLock » — Correctif d'urgence pour CVE-2026-43499, faille locale d'élévation de privilèges.

AlmaLinux — urgent "GhostLock" patch — Emergency fix for CVE-2026-43499, a local privilege escalation flaw.

➜ À faire : Vérifier la version noyau des serveurs AlmaLinux du parc et appliquer le correctif dès disponibilité.

➜ To do: Check the kernel version on AlmaLinux servers in the fleet and apply the patch as soon as it's available.

Cisco ISE — RCE non authentifiée — Advisory Cisco pour des vulnérabilités d'exécution de code à distance sans authentification sur Identity Services Engine. Source

Cisco ISE — unauthenticated RCE — Cisco advisory covering unauthenticated remote code execution vulnerabilities in Identity Services Engine. Source

➜ À faire : Vérifier la version ISE en production, appliquer le correctif, contrôler que l'interface d'admin n'est pas exposée sur Internet.

➜ To do: Check the ISE version in production, apply the patch, and confirm the admin interface isn't exposed to the Internet.

Cisco ASA/FTD — RCE via WebVPN — Vulnérabilité RCE dans le serveur web VPN des Secure Firewall ASA et Firepower Threat Defense. Source

Cisco ASA/FTD — RCE via WebVPN — RCE vulnerability in the WebVPN web server of Secure Firewall ASA and Firepower Threat Defense. Source

➜ À faire : Vérifier si le WebVPN est activé sur les ASA/FTD du parc ; appliquer le correctif ou désactiver le service si inutilisé.

➜ To do: Check whether WebVPN is enabled on the ASA/FTD devices in the fleet; apply the patch or disable the service if unused.

Cisco IMC/SSM — failles CVSS 9.8 — Deux failles critiques permettant un contournement d'authentification et un accès root.

Cisco IMC/SSM — CVSS 9.8 flaws — Two critical flaws allowing authentication bypass and root access.

➜ À faire : Recenser les équipements IMC/SSM du parc et planifier leur mise à jour.

➜ To do: Inventory the IMC/SSM equipment in the fleet and schedule their update.

Broadcom/VMware — VMSA-2026-0006 : bypass auth + RCE vCenter — Trois failles critiques dont un contournement d'authentification vCenter (CVE-2026-59309) et une exécution de code à distance (CVE-2026-59310). Source

Broadcom/VMware — VMSA-2026-0006: auth bypass + vCenter RCE — Three critical flaws including a vCenter authentication bypass (CVE-2026-59309) and a remote code execution flaw (CVE-2026-59310). Source

➜ À faire : Patcher vCenter en priorité (interruption temporaire du vSphere Client à prévoir) ; vérifier que vCenter n'est pas exposé sur des réseaux non fiables.

➜ To do: Patch vCenter as a priority (expect a temporary vSphere Client outage); verify vCenter isn't exposed on untrusted networks.

VMware ESXi — évasion VM via VMXNET3 (CVSS 9.3) — CVE-2026-47876 permet à un attaquant avec droits admin dans une VM d'exécuter du code sur l'hôte ESXi. Source

VMware ESXi — VM escape via VMXNET3 (CVSS 9.3) — CVE-2026-47876 lets an attacker with admin rights inside a VM execute code on the ESXi host. Source

➜ À faire : Mettre à jour ESXi vers la version corrigée, en priorité sur les hôtes hébergeant des VM multi-tenant ou exposées.

➜ To do: Update ESXi to the patched version, prioritizing hosts running multi-tenant or exposed VMs.

VMware Avi Load Balancer — bypass auth critique — CVE-2026-47865 permet à un attaquant réseau de compromettre le control plane Avi. Pas de nouveauté notable côté Proxmox ou Hyper-V ce jour-là. Source

VMware Avi Load Balancer — critical auth bypass — CVE-2026-47865 lets a network attacker compromise the Avi control plane. Nothing notable on Proxmox or Hyper-V that day. Source

➜ À faire : Vérifier si Avi Load Balancer est déployé sur le parc et appliquer le correctif Broadcom.

➜ To do: Check whether Avi Load Balancer is deployed in the fleet and apply the Broadcom patch.

Debian 13 « Trixie » : correctif noyau majeur (68 vulnérabilités) — Mise à jour du noyau Linux 6.12 LTS vers la version 6.12.100-1. Inclut CVE-2026-64530 (use-after-free dans le traffic-control, DoS distant avec potentiel RCE) et CVE-2026-64531 « OVSwrap » (élévation de privilèges locale vers root via Open vSwitch). Source

Debian 13 "Trixie": major kernel fix (68 vulnerabilities) — Linux 6.12 LTS kernel update to version 6.12.100-1. Includes CVE-2026-64530 (use-after-free in traffic-control, remote DoS with potential RCE) and CVE-2026-64531 "OVSwrap" (local privilege escalation to root via Open vSwitch). Source

➜ À faire : Mettre à jour vers le noyau 6.12.100-1 sur tous les serveurs Debian 13 du parc, en priorité ceux utilisant Open vSwitch ou exposés en frontal réseau.

➜ To do: Update to kernel 6.12.100-1 on all Debian 13 servers in the fleet, prioritizing those using Open vSwitch or exposed on the network edge.

Windows Server — Rien de notable dans les dernières 24h. Prochain Patch Tuesday Microsoft prévu le 11 août 2026.

Windows Server — Nothing notable in the last 24h. Next Microsoft Patch Tuesday scheduled for August 11, 2026.

➜ À faire : Aucune action requise, à titre informatif.

➜ To do: No action required, for information only.

Cisco : notification anticipée pour les avis de sécurité du 5 août 2026 — Cisco publiera le 5 août des avis concernant Catalyst SD-WAN IMC, IOS, IOS XE, RoomOS et Terminal Services Agent. Source

Cisco: advance notice for the August 5, 2026 security advisories — Cisco will publish advisories on August 5 covering Catalyst SD-WAN IMC, IOS, IOS XE, RoomOS and Terminal Services Agent. Source

➜ À faire : Surveiller la publication des avis le 5/08 et planifier l'application des correctifs sur les équipements Catalyst SD-WAN, IOS/IOS XE présents sur le parc.

➜ To do: Watch for the advisories on 8/5 and plan patching for the Catalyst SD-WAN, IOS/IOS XE devices in the fleet.

Cisco Secure FMC : identifiants statiques exploités activement (CVE-2026-20316) — Vulnérabilité zero-day activement exploitée, hotfix disponible ; ajoutée au catalogue CISA KEV. Source

Cisco Secure FMC: static credentials actively exploited (CVE-2026-20316) — Actively exploited zero-day vulnerability, hotfix available; added to the CISA KEV catalog. Source

➜ À faire : Vérifier si un Cisco Secure FMC est présent sur le parc, appliquer le hotfix immédiatement et changer les identifiants statiques concernés.

➜ To do: Check whether a Cisco Secure FMC is present in the fleet, apply the hotfix immediately, and change the affected static credentials.

Cisco ISE / ISE-PIC : deux failles corrigées (CVE-2026-20181, CVSS 9.1 ; CVE-2026-20190, CVSS 7.5) — Injection de commande et divulgation d'information, correctifs disponibles. Source

Cisco ISE / ISE-PIC: two flaws fixed (CVE-2026-20181, CVSS 9.1; CVE-2026-20190, CVSS 7.5) — Command injection and information disclosure, patches available. Source

➜ À faire : Vérifier la version d'ISE/ISE-PIC déployée et appliquer le correctif en priorité sur CVE-2026-20181 (CVSS 9.1).

➜ To do: Check the deployed ISE/ISE-PIC version and prioritize patching CVE-2026-20181 (CVSS 9.1).

Faille noyau Linux « Copy Fail » (CVE-2026-31431, CVSS 7,8) — Bug logique dans le template cryptographique du noyau permettant à un utilisateur local non privilégié d'obtenir un accès root. Affecte toutes les distributions majeures. Source

Linux kernel flaw "Copy Fail" (CVE-2026-31431, CVSS 7.8) — A logic bug in the kernel's cryptographic template lets an unprivileged local user gain root access. Affects all major distributions. Source

➜ À faire : Vérifier la version de noyau sur les serveurs Linux du parc, appliquer le correctif correspondant, et restreindre les accès shell locaux non nécessaires en attendant.

➜ To do: Check the kernel version on Linux servers in the fleet, apply the relevant patch, and restrict unnecessary local shell access in the meantime.

Faille KVM « Januscape » (CVE-2026-53359) — Use-after-free dans l'hyperviseur KVM déclenchable depuis une VM invitée, pouvant corrompre l'état de l'hôte. Source

KVM flaw "Januscape" (CVE-2026-53359) — A use-after-free in the KVM hypervisor, triggerable from a guest VM, which can corrupt host state. Source

➜ À faire : Sur les hyperviseurs Linux/KVM (Proxmox inclus), vérifier la version du noyau hôte et planifier la mise à jour ; isoler les VM non fiables des hôtes critiques en attendant.

➜ To do: On Linux/KVM hypervisors (including Proxmox), check the host kernel version and plan the update; isolate untrusted VMs from critical hosts in the meantime.

Cisco Secure FMC — bypass d'authentification critique (CVE-2026-20079, CVSS 10.0), activement exploitée — Accès non authentifié via identifiants statiques. Source

Cisco Secure FMC — critical authentication bypass (CVE-2026-20079, CVSS 10.0), actively exploited — Unauthenticated access via static credentials. Source

➜ À faire : Si un FMC est présent sur le parc, appliquer immédiatement le correctif Cisco et vérifier les journaux d'accès pour toute connexion suspecte.

➜ To do: If an FMC is present in the fleet, apply the Cisco patch immediately and check access logs for suspicious connections.

Broadcom corrige 3 failles critiques VMware ESXi/vCenter — VM escape VMXNET3 (CVE-2026-47876, CVSS 9.3), bypass d'authentification vCenter (CVE-2026-59309, CVSS 9.8) et RCE vCenter (CVE-2026-59310, CVSS 9.8). Source

Broadcom fixes 3 critical VMware ESXi/vCenter flaws — VM escape via VMXNET3 (CVE-2026-47876, CVSS 9.3), vCenter authentication bypass (CVE-2026-59309, CVSS 9.8) and vCenter RCE (CVE-2026-59310, CVSS 9.8). Source

➜ À faire : Identifier tous les hôtes ESXi et instances vCenter du parc, vérifier leur version, et appliquer les correctifs Broadcom en priorité sur les vCenter exposés.

➜ To do: Identify all ESXi hosts and vCenter instances in the fleet, check their version, and apply the Broadcom patches as a priority on exposed vCenter instances.

Proxmox VE 8.x — fin de support fin août 2026 — La branche 8.4 arrive en fin de vie, la version stable actuelle est la 9.2. Source

Proxmox VE 8.x — end of support late August 2026 — The 8.4 branch is reaching end of life; the current stable release is 9.2. Source

➜ À faire : Si des hôtes Proxmox VE 8 sont encore en production, planifier la migration vers la 9.x avant fin août 2026.

➜ To do: If Proxmox VE 8 hosts are still in production, plan the migration to 9.x before the end of August 2026.