Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
Les 4 vulnérabilités de la semaine dernière présentant les preuves les plus solides d’une attaque réelle, classées d’abord par ces preuves et ensuite par la probabilité d’exploitation. 2 sont confirmées ou signalées comme exploitées dans la nature.
-
CVE-2026-111497 Vulnérabilité de valeur de retour non vérifiée de Google Brotli
Google Brotli contient une vulnérabilité de valeur de retour non vérifiée qui permet à un attaquant distant non authentifié de corrompre la mémoire d’état du décodeur adjacent, de divulguer du contenu mémoriel sensible, de provoquer un déni de service ou potentiellement d’exécuter du code arbitraire à l’aide d’un flux compressé Brotli malveillant. (CISA)
- Exploité dans la nature : répertorié par la CISA le 27 oct. ; les agences fédérales américaines doivent le corriger d’ici le 10 nov.
- VulnCheck KEV : signalé comme exploité (répertorié le 26 oct.), 4 rapports. 1 jour avant la CISA. Premier rapport : ellio.tech.
- Code d’exploit public : 18 exploits connus (VulnCheck KEV).
- Probabilité (EPSS) : 82,6 % de chance d’activité d’exploitation dans les 30 prochains jours, dans le top 1 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : exploitation constatée ; non facilement automatisable ; contrôle total du système affecté.
Que faire (CISA) : Appliquer les mesures d’atténuation conformément aux instructions du fournisseur, en veillant à respecter les directives de la BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction des risques (« Prioritizing Security Updates Based on Risk ») et les exigences de triage médico-légal (« Forensics Triage Requirements ») de la CISA. Suivre les directives applicables de la BOD 26-04 pour les services cloud ou cesser d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition à Internet de chaque actif et de garantir le respect des directives de correction de la BOD 26-04.
Notre analyse : ce que c’est et comment y remédier · Notice NVD et liens du fournisseur
-
CVE-2026-48356 Vulnérabilité de téléversement non restreint de fichiers de type dangereux pour Adobe Commerce et Magento
Adobe Commerce et Magento contiennent une vulnérabilité de téléversement non restreint de fichiers de type dangereux qui pourrait entraîner l’exécution de code arbitraire dans le contexte de l’utilisateur actuel, permettant potentiellement d’obtenir des privilèges élevés ou le contrôle du compte ou de la session de la victime. (CISA)
- Exploité dans la nature : répertorié par la CISA le 27 oct. ; les agences fédérales américaines doivent le corriger d’ici le 10 nov.
- VulnCheck KEV : signalé comme exploité (répertorié le 24 oct.), 2 rapports. 3 jours avant la CISA. Premier rapport : sansec.io.
- Code d’exploit public : 1 exploit connu (VulnCheck KEV).
- Probabilité (EPSS) : 44,6 % de chance d’activité d’exploitation dans les 30 prochains jours, supérieur à 99 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : exploitation constatée ; non facilement automatisable ; contrôle total du système affecté.
Que faire (CISA) : Appliquer les mesures d’atténuation conformément aux instructions du fournisseur, en veillant à respecter les directives de la BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction des risques (« Prioritizing Security Updates Based on Risk ») et les exigences de triage médico-légal (« Forensics Triage Requirements ») de la CISA. Suivre les directives applicables de la BOD 26-04 pour les services cloud ou cesser d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition à Internet de chaque actif et de garantir le respect des directives de correction de la BOD 26-04.
Notre analyse : ce que c’est et comment y remédier · Notice NVD et liens du fournisseur
-
CVE-2026-120198
Une vulnérabilité a été découverte dans WAVLINK WL-WN530BE1-A V251117. La fonction con_check_read_finish du fichier /protocol.csp est concernée. Une telle manipulation de l’argument group_name/IP-FROM entraîne une injection de commandes. Il est possible de lancer l’attaque à distance. L’exploit a été divulgué au public et peut être utilisé. Le fournisseur a été contacté en amont… (NVD, CVSS 10.0)
- Probabilité (EPSS) : 2,1 % de chance d’activité d’exploitation dans les 30 prochains jours, supérieur à 81 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : preuve de concept publique ; les attaques peuvent être automatisées ; contrôle total du système affecté.
Notre analyse : ce que c’est et comment y remédier · Notice NVD et liens du fournisseur
-
CVE-2026-120279
Une faille a été découverte dans WAVLINK WN536AX6-A V260507. L’élément concerné est une fonction inconnue du fichier /protocol.csp du composant openvpn_cli Handler. L’exécution d’une manipulation de l’argument file_id peut entraîner une injection de commandes OS. L’attaque peut être lancée à distance. L’exploit a été publié et peut être utilisé. Le fournisseur a été contacté en amont… (NVD, CVSS 10.0)
- Évaluation de la CISA (SSVC) : preuve de concept publique ; les attaques peuvent être automatisées ; contrôle total du système affecté.
Notre analyse : ce que c’est et comment y remédier · Notice NVD et liens du fournisseur
Notre méthode de classement
Les preuves que des attaquants exploitent une faille passent en premier : le catalogue des vulnérabilités connues exploitées de la CISA (Known Exploited Vulnerabilities), VulnCheck KEV et la propre évaluation SSVC de la CISA. Viennent ensuite la probabilité d’une attaque dans les 30 prochains jours selon le système de prédiction d’exploitation EPSS (Exploit Prediction Scoring System) du FIRST, puis la criticité. Un score de criticité élevé ne suffit pas à lui seul pour figurer sur la liste. Les failles dans les systèmes d’IA et les outils d’agents bénéficient d’une pondération plus élevée car ils constituent une cible en expansion rapide. Tout ce qui se trouve ici provient directement de ces sources ; rien n’est estimé par nos soins.
Les scores EPSS proviennent de FIRST.org. Les rapports d’exploitation marqués VulnCheck KEV proviennent du catalogue des vulnérabilités connues exploitées de VulnCheck (données © VulnCheck). Confirmez toujours la version corrigée dans l’avis du fournisseur.
