1 Vulnérabilité
Apache publie un correctif RCE HTTP/2
La vulnérabilité touche le module mod_http2 et permet à un attaquant non authentifié d’exécuter du code à distance sur les serveurs où HTTP/2 est activé. Les versions 2.4.55 à 2.4.70 sont concernées, corrigées en 2.4.71.
2 Cyberattaque
Des comptes GitHub détournés injectent un voleur
Des identifiants volés de 4’837 comptes ont servi à injecter un voleur de secrets dans des dépôts accessibles en écriture. Le code visait les secrets et identifiants cloud exposés aux workflows CI, actifs dans au moins 1’806 dépôts.
3 Cyberattaque
Un exploit Windows élève un compte en SYSTEM
Un exploit publié cette semaine permet à un utilisateur local d’obtenir NT AUTHORITYSYSTEM en ciblant le pilote Windows Common Log File System, clfs.sys. La preuve de concept abuse la création de fichiers compagnons via redirection de chemin.
4 Vulnérabilité
Microsoft dit Exchange 2016 et 2019 vulnérables
Microsoft indique que les correctifs de novembre ne concernent que Exchange Server Subscription Edition, et que les versions 2016 et 2019 ne sont plus testées ni mises à jour. Le support a pris fin le 14 octobre 2025.
5 Vulnérabilité
MongoDB corrige une faille critique sans authentification
L’éditeur a corrigé CVE-2026-118383, une faille use-after-free notée 9,5, exploitable à distance sans authentification. Le bug peut provoquer un crash du serveur et, selon les conditions, une exécution de code ; aucun abus n’est connu à ce stade.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions.
