Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
Les 4 vulnérabilités de la semaine dernière présentant les preuves les plus solides d’attaques dans le monde réel, classées d’abord par ces preuves, puis par la probabilité d’exploitation. 2 d’entre elles sont confirmées ou signalées comme exploitées dans la nature.
-
CVE-2026-111357 Vulnérabilité d’absence d’authentification pour une fonction critique dans Ivanti Connect Secure
Ivanti Connect Secure contient une vulnérabilité d’absence d’authentification pour une fonction critique qui pourrait permettre à un attaquant local authentifié d’élever ses privilèges. Cette vulnérabilité peut être chaînée avec CVE-2026-104935 et CVE-2026-118527. (CISA)
- Exploitée dans la nature : répertoriée par la CISA le 30 oct. ; les agences fédérales américaines doivent la corriger d’ici le 2 nov.
- VulnCheck KEV : signalée comme exploitée (répertoriée le 13 oct.), 6 rapports. 17 jours avant la CISA. Premier rapport : hub.ivanti.com.
- Probabilité (EPSS) : 0,53 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 45 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; contrôle total du système affecté.
Que faire (CISA) : Appliquez les atténuations conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA « Prioritizing Security Updates Based on Risk » et les « Forensics Triage Requirements » de la CISA. Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correction de la BOD 26-04.
Notre analyse : ce que c’est et comment la corriger · Fiche NVD et liens du fournisseur
-
CVE-2026-118527 Vulnérabilité de génération de nombres ou d’identifiants prévisibles dans Ivanti Connect Secure
Ivanti Connect Secure contient une vulnérabilité de génération de nombres ou d’identifiants prévisibles qui permet à un attaquant distant authentifié de télécharger des fichiers contenant un contenu contrôlé par l’attaquant vers un emplacement connu sur le disque. Cette vulnérabilité peut être chaînée avec CVE-2026-104935 et CVE-2026-111357. (CISA)
- Exploitée dans la nature : répertoriée par la CISA le 30 oct. ; les agences fédérales américaines doivent la corriger d’ici le 13 nov.
- VulnCheck KEV : signalée comme exploitée (répertoriée le 13 oct.), 5 rapports. 17 jours avant la CISA. Premier rapport : hub.ivanti.com.
- Probabilité (EPSS) : 0,82 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 57 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; impact partiel.
Que faire (CISA) : Appliquez les atténuations conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA « Prioritizing Security Updates Based on Risk » et les « Forensics Triage Requirements » de la CISA. Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correction de la BOD 26-04.
Notre analyse : ce que c’est et comment la corriger · Fiche NVD et liens du fournisseur
-
CVE-2026-121953
FreeRDP avant la version 3.32.2 présente une utilisation de mémoire après libération (use-after-free) dans le canal virtuel dynamique rdpgfx du client : un canal à nom dupliqué doté d’un nouvel identifiant de canal (ChannelId) écrase le slot de rappel unique de l’écouteur, que rdpgfx_on_close libère sans effacer. Un serveur RDP malveillant peut ouvrir et fermer un tel canal, puis envoyer une PDU sur le canal d’origine pour faire planter le client ou poten… (NVD, CVSS 9.8)
- Probabilité (EPSS) : 0,56 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 47 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : preuve de concept publique ; les attaques peuvent être automatisées ; contrôle total du système affecté.
Notre analyse : ce que c’est et comment la corriger · Fiche NVD et liens du fournisseur
-
CVE-2026-121952
FreeRDP avant la version 3.32.2 présente une écriture hors limites dans le proxy, car rdp_read_bitmap_cache_v2_capability_set rejette uniquement les valeurs numCellCaches supérieures à 5, alors que le tableau de cellules du cache de bitmaps v2 est consulté ultérieurement à des indices fixes de 0 à 4. Un client se connectant au proxy peut déclarer moins de cinq caches de cellules dans son message Confirm Active, provoquant une corruption de tas, il… (NVD, CVSS 9.8)
- Probabilité (EPSS) : 0,50 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 43 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : preuve de concept publique ; les attaques peuvent être automatisées ; contrôle total du système affecté.
Notre analyse : ce que c’est et comment la corriger · Fiche NVD et liens du fournisseur
Notre méthode de classement
Les preuves indiquant que des attaquants exploitent une faille viennent en premier : le catalogue des vulnérabilités activement exploitées (Known Exploited Vulnerabilities) de la CISA, VulnCheck KEV et la propre évaluation SSVC de la CISA. Viennent ensuite la probabilité d’attaque au cours des 30 prochains jours selon le système d’évaluation prédictive des exploits (EPSS) de FIRST, puis la sévérité. Un score de sévérité élevé ne suffit pas à lui seul pour figurer sur la liste. Les failles dans les systèmes d’IA et les outils d’agents bénéficient d’une pondération plus élevée car ils constituent une cible en croissance rapide. Tout ici provient directement de ces sources ; rien n’est estimé par nos soins.
Les scores EPSS proviennent de FIRST.org. Les signalements d’exploitation marqués VulnCheck KEV proviennent du catalogue des vulnérabilités exploitées de VulnCheck (données © VulnCheck). Confirmez toujours la version corrigée dans l’avis du fournisseur.
