CVE importants, 27 octobre 2026 : 10 à corriger en premier, 10 exploités

Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais

Les 10 vulnérabilités de la semaine dernière présentant les preuves les plus solides d’une attaque réelle, classées d’abord par ces preuves et ensuite par la probabilité d’exploitation. 10 sont confirmées ou signalées comme exploitées dans la nature.

1. CVE-2026-109619 PHP Stale Internal Request-State Vulnerability

   PHP contient une vulnérabilité d’état de requête interne obsolète qui permet l’exécution de code à distance sans authentification. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 26 oct. ; les agences fédérales américaines doivent le corriger d’ici le 29 oct.
   • VulnCheck KEV : signalé comme exploité (répertorié le 21 oct.), 17 rapports publics.
   • Code d’exploitation public : 49 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : >99,9 % de chance d’activité d’exploitation au cours des 30 prochains jours, dans le top 1 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; contrôle total du système concerné.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

2. CVE-2026-109618 PHP Memory Corruption Vulnerability

   PHP contient une vulnérabilité de corruption de mémoire hors limites qui permet l’exécution de code à distance sans authentification. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 26 oct. ; les agences fédérales américaines doivent le corriger d’ici le 29 oct.
   • VulnCheck KEV : signalé comme exploité (répertorié le 21 oct.), 18 rapports publics.
   • Code d’exploitation public : 68 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : >99,9 % de chance d’activité d’exploitation au cours des 30 prochains jours, dans le top 1 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; contrôle total du système concerné.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

3. CVE-2026-111497 Google Brotli Unchecked Return Value Vulnerability

   Google Brotli contient une vulnérabilité de valeur de retour non vérifiée qui permet à un attaquant distant non authentifié de corrompre la mémoire d’état du décodeur adjacent, de divulguer du contenu mémoire sensible, de provoquer un déni de service ou potentiellement d’exécuter du code arbitraire à l’aide d’un flux compressé Brotli spécialement conçu. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 27 oct. ; les agences fédérales américaines doivent le corriger d’ici le 10 nov.
   • VulnCheck KEV : signalé comme exploité (répertorié le 26 oct.), 3 rapports publics. Premier rapport : ellio.tech.
   • Code d’exploitation public : 9 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : 55,5 % de chance d’activité d’exploitation au cours des 30 prochains jours, dans le top 1 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; contrôle total du système concerné.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Fiche NVD et liens du fournisseur

4. CVE-2026-48356 Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability

   Adobe Commerce et Magento contiennent une vulnérabilité de téléchargement non restreint de fichier de type dangereux qui pourrait entraîner l’exécution de code arbitraire dans le contexte de l’utilisateur actuel, permettant potentiellement d’obtenir un accès ou un contrôle élevé sur le compte ou la session de la victime. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 27 oct. ; les agences fédérales américaines doivent le corriger d’ici le 10 nov.
   • VulnCheck KEV : signalé comme exploité (répertorié le 24 oct.), 2 rapports publics. Premier rapport : sansec.io.
   • Code d’exploitation public : 1 exploit connu (VulnCheck KEV).
   • Probabilité (EPSS) : 30,6 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 98 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; contrôle total du système concerné.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Fiche NVD et liens du fournisseur

5. CVE-2026-110447 Collabora Online – Built-in CODE Server OS Command Injection Vulnerability

   Collabora Collabora Online – Serveur CODE intégré, lorsqu’il est utilisé au sein de la plateforme NextCloud, contient une vulnérabilité d’injection de commande OS qui permet l’exécution de code à distance lorsque le serveur CODE ne s’exécute pas. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 23 oct. ; les agences fédérales américaines doivent le corriger d’ici le 26 oct.
   • VulnCheck KEV : signalé comme exploité (répertorié le 14 oct.), 5 rapports publics. Premier rapport : github.com.
   • Probabilité (EPSS) : 11,6 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 96 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; les attaques peuvent être automatisées ; contrôle total du système concerné.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

6. CVE-2026-96654 Plex Media Server Improper Neutralization of Encoded URI Schemes in a Web Page Vulnerability

   Plex Media Server contient une vulnérabilité de neutralisation incorrecte des schémas URI encodés dans une page Web qui pourrait permettre à un attaquant d’appeler les fonctions d’autres plugins et de fournir ses propres paramètres. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96655 et CVE-2026-96656. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 20 oct. ; les agences fédérales américaines doivent le corriger d’ici le 23 oct.
   • VulnCheck KEV : signalé comme exploité (répertorié le 18 oct.), 2 rapports publics. Premier rapport : www.boredhackerblog.info.
   • Code d’exploitation public : 3 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : 1,9 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 80 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; les attaques peuvent être automatisées ; impact partiel.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

7. CVE-2026-96656 Plex Media Server External Control of File Name or Path Vulnerability

   Plex Media Server contient une vulnérabilité de contrôle externe du nom de fichier ou du chemin qui peut permettre à un utilisateur administrateur d’écrire des fichiers arbitraires pouvant être exécutés au chargement. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96654 et CVE-2026-96655. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 20 oct. ; les agences fédérales américaines doivent le corriger d’ici le 23 oct.
   • VulnCheck KEV : signalé comme exploité (répertorié le 18 oct.), 2 rapports publics. Premier rapport : www.boredhackerblog.info.
   • Code d’exploitation public : 3 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : 1,8 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 78 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; contrôle total du système concerné.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

8. CVE-2026-96652 Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability

   Plex Media Server contient une vulnérabilité de falsification de requête côté serveur (SSRF) qui pourrait permettre à un attaquant utilisant n’aide valeur X-Plex-Token d’inclure une URL complète dans le paramètre 'protocol' et de forcer le serveur Plex à effectuer une requête POST vers la destination choisie par l’attaquant. Cette vulnérabilité peut être chaînée avec CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 20 oct. ; les agences fédérales américaines doivent le corriger d’ici le 3 nov.
   • VulnCheck KEV : signalé comme exploité (répertorié le 18 oct.), 3 rapports publics. Premier rapport : www.boredhackerblog.info.
   • Code d’exploitation public : 4 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : 1,8 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 79 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; impact partiel.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

9. CVE-2026-96655 Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability

   Plex Media Server contient une vulnérabilité de falsification de requête côté serveur (SSRF) qui pourrait permettre à un utilisateur authentifié de demander des adresses internes ou externes arbitraires via le paramètre de chemin '/video/:/transcode/universal'. Cette vulnérabilité peut être chaînée avec CVE-2026-96652, CVE-2026-96654 et CVE-2026-96656. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 20 oct. ; les agences fédérales américaines doivent le corriger d’ici le 3 nov.
   • VulnCheck KEV : signalé comme exploité (répertorié le 18 oct.), 2 rapports publics. Premier rapport : www.boredhackerblog.info.
   • Code d’exploitation public : 3 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : 1,6 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 76 % de toutes les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; impact partiel.

   Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

   Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

10. CVE-2026-106931 EG Secure Solutions SiteGuard Server Edition OS Command Injection Vulnerability

    EG Secure Solutions SiteGuard Server Edition contient une vulnérabilité d’injection de commande OS qui peut permettre à un attaquant d’exécuter des commandes OS arbitraires avec des privilèges root ou SYSTEM sur le système exécutant le produit concerné. (CISA)

    • Exploité dans la nature : répertorié par la CISA le 20 oct. ; les agences fédérales américaines doivent le corriger d’ici le 23 oct.
    • VulnCheck KEV : signalé comme exploité (répertorié le 14 oct.), 2 rapports publics. Premier rapport : www.eg-secure.co.jp.
    • Probabilité (EPSS) : 2,5 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 85 % de toutes les CVE.
    • Évaluation de la CISA (SSVC) : exploitation constatée ; difficilement automatisable ; contrôle total du système concerné.

    Que faire (CISA) : appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA relative à la priorisation des mises à jour de sécurité basées sur les risques et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements »). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.

    Notre analyse : de quoi il s’agit et comment le corriger · Fiche NVD et liens du fournisseur

Notre méthode de classement

Les preuves que des attaquants exploitent une faille viennent en premier : le catalogue des vulnérabilités exploitées connues de la CISA (Known Exploited Vulnerabilities), VulnCheck KEV et la propre évaluation SSVC de la CISA. Viennent ensuite la probabilité d’attaque dans les 30 prochains jours selon le système de notation de prédiction d’exploitation de FIRST (EPSS), puis la sévérité. Un score de sévérité élevé ne suffit pas à lui seul pour figurer sur la liste. Les failles dans les systèmes d’IA et les outils d’agents bénéficient d’une pondération supérieure car ils constituent une cible en forte croissance. Tout ce qui se trouve ici provient directement de ces sources ; rien n’est estimé par nos soins.

Les scores EPSS proviennent de FIRST.org. Les rapports d’exploitation marqués VulnCheck KEV proviennent du catalogue des vulnérabilités exploitées connues de VulnCheck (données © VulnCheck). Confirmez toujours la version corrigée dans l’avis du fournisseur.