Faits marquants de la semaine
- Microsoft a publié les correctifs Patch Tuesday d’octobre 2026 avec un record de 1 415 vulnérabilités. Parmi elles, un zero-day Windows Shell activement exploité permet de contourner Mark of the Web.
- Un exploit d’escalade de privilèges local permet d’obtenir les droits « root » sur OpenBSD 7.9. Il enchaîne un bug de mémoire partagée vieux d’environ 37 ans avec une faille du noyau, malgré plusieurs protections.
- GitLab a alerté sur une vulnérabilité de sévérité maximale dans son moteur de compilation d’expressions régulières du CI/CD. Le défaut pourrait permettre à des attaquants distants d’exécuter du code arbitraire sur des instances visées.
- La CISA a ajouté une faille Ivanti Connect Secure (ICS) à son catalogue Known Exploited Vulnerabilities, confirmée comme exploitée. Le contournement d’authentification affecte ICS avant 25.1.3.0, avec une échéance au 16 octobre 2026.
Microsoft a établi un record en octobre 2026 avec 1 415 vulnérabilités corrigées lors du Patch Tuesday, dont un zero-day Windows Shell activement exploité permettant de contourner Mark of the Web. Dans le même temps, plusieurs alertes ciblent des composants clés d’infrastructure et de développement : GitLab appelle à corriger immédiatement une faille de sévérité maximale dans le compilateur d’expressions régulières de son CI/CD, tandis que la CISA a inscrit Ivanti Connect Secure au catalogue KEV après confirmation d’une exploitation « dans la nature », avec une date limite fixée au 16 octobre 2026. Enfin, une démonstration technique montre une prise de contrôle « root » sur OpenBSD 7.9 via un enchaînement de failles.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
La sélection des 16 actualités à retenir cette semaine
Le Patch Tuesday de Microsoft établit un nouveau record avec 1 415 CVE dans les mises à jour d'octobre 2026.
Le Patch Tuesday de Microsoft établit un nouveau record avec 1 415 CVE corrigées en octobre 2026 Les mises à jour de sécurité du Patch Tuesday d'octobre 2026 corrigent un nombre record de 1 415 vulnérabilités. La priorité est… Lire la suite
Des chercheurs démontrent l'exploitation en chaîne d'une faille de sécurité root dans OpenBSD vieille de 37 ans, liée à une vulnérabilité de mémoire partagée.
Une faille d'élévation de privilèges locale, publiée aujourd'hui, permet d'obtenir les droits root sur OpenBSD 7.9 en combinant un dépassement d'entier vieux d'environ 37 ans avec une autre faille du noyau. Cette faille contourne la randomisation des… Lire la suite
GitLab met en garde contre une vulnérabilité d'exécution de code de gravité maximale
GitLab a averti aujourd'hui ses utilisateurs de corriger immédiatement une vulnérabilité de gravité maximale dans le compilateur d'expressions régulières CI/CD, qui pourrait permettre à des attaquants distants d'exécuter du code arbitraire sur les instances ciblées. […] Lire la suite
L'agence américaine CISA ajoute la faille d'Ivanti Connect Secure à son catalogue de vulnérabilités exploitées connues.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ajoute une faille d'Ivanti Connect Secure à son catalogue de vulnérabilités exploitées connues. La CISA a ajouté une faille d'Ivanti Connect Secure FortiMail, référencée CVE-2026-104935 (score CVSS… Lire la suite
Des pirates exploitent des failles zero-day de Citrix NetScaler pour déployer une porte dérobée Platypus modifiée.
Des acteurs malveillants exploitent deux vulnérabilités critiques zero-day dans Citrix NetScaler pour déployer une version modifiée du framework d'administration à distance open source Platypus sur des appliances ADC (Application Delivery Controller) et Gateway compromises. Les solutions Analysis… Lire la suite
Des chercheurs découvrent 253 failles de sécurité dans 343 outils d'agents d'IA sur les serveurs MCP.
Des chercheurs ont identifié 253 failles de sécurité avérées affectant 343 outils d'agents d'IA sur 118 serveurs MCP (Model Context Protocol). Ces vulnérabilités révèlent des faiblesses dans le traitement des arguments générés par les grands modèles de… Lire la suite
Une vulnérabilité critique du noyau Linux exploitée par PwnEscape permet aux machines virtuelles invitées de lire la mémoire de l'hôte.
Une faille critique récemment découverte dans le noyau Linux permet à du code exécuté dans une machine virtuelle de lire la mémoire de l'ordinateur hôte. Un chercheur a démontré l'existence de cette fuite sur les environnements de… Lire la suite
Cisco exhorte ses clients à corriger une faille de sécurité dans leur passerelle de messagerie et à vérifier si leur système est compromis.
Des attaquants exploitent une faille critique dans la passerelle de messagerie Cisco pour obtenir un accès root. Cisco recommande vivement à ses clients de mettre à jour leurs outils d'analyse et de vérifier la présence d'une compromission…. Lire la suite
Google verse une prime de 250 000 $ pour une faille de sécurité Chrome exploitée par l'IA et développée en six jours.
XBOW a révélé une faille de sécurité dans Chrome, exploitée grâce à l'intelligence artificielle, qui permettait à des attaquants d'exécuter du code malveillant sur un ordinateur Windows en incitant simplement l'utilisateur à visiter une page web malveillante…. Lire la suite
Une faille critique dans Google DevSite permettait à des attaquants d'exécuter du code à distance sans authentification.
Une faille de sécurité critique dans la plateforme partagée DevSite de Google aurait pu permettre à des attaquants non authentifiés d'exécuter du code arbitraire sur les services hébergés par Google en falsifiant les cookies de session Flask… Lire la suite
Drupal corrige des failles critiques d'exécution de code à distance et prévient que des exploits pourraient bientôt apparaître.
Drupal a corrigé deux vulnérabilités critiques qui auraient pu permettre à des attaquants d'exécuter du code à distance sur des sites web utilisant n'importe quelle version prise en charge du système de gestion de contenu. […] Lire la suite
F5 a corrigé des failles critiques d'exécution de code à distance (RCE) dans NGINX.
F5 a corrigé plusieurs vulnérabilités, dont des failles critiques d'exécution de code à distance (RCE) dans NGINX, exploitables sans authentification. La société F5, spécialisée dans la sécurité et la distribution d'applications, a annoncé la correction de onze… Lire la suite
SAP met en garde contre une faille de sécurité SSRF OAuth2 de gravité maximale
SAP a corrigé 20 failles de sécurité dans plusieurs produits dans ses mises à jour de sécurité d'octobre 2026, dont une vulnérabilité de gravité maximale dans le SDK Cloud pour Python. […] Lire la suite
L'agence américaine CISA ajoute une faille d'Atlassian à son catalogue de vulnérabilités exploitées connues.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ajoute une faille Atlassian à son catalogue de vulnérabilités exploitées connues. La CISA a ajouté une faille Atlassian, référencée CVE-2026-21589 (score CVSS de 9,3), à sa liste… Lire la suite
NGINX corrige 5 failles, dont une possible exécution de code à distance et un bug TLS pouvant entraîner l'omission des vérifications de certificat client.
NGINX a publié les versions 1.30.6 et 1.31.7 le 14 octobre afin de corriger cinq vulnérabilités, dont l'une était présente dans toutes les versions depuis mai 2005. Par ailleurs, trois failles de mémoire, identifiées par F5 (l'entreprise… Lire la suite
Adobe corrige 140 vulnérabilités dans 10 produits
Ces failles affectent des produits tels que Commerce, Photoshop, ColdFusion, Substance 3D, Dimension, FrameMaker et Bridge. Cet article « Adobe corrige 140 vulnérabilités dans 10 produits » a été initialement publié sur SecurityWeek. Lire la suite
