CVEs importants du 29 octobre 2026 : 3 à corriger en priorité, 3 exploités

Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais

Les 3 vulnérabilités de la semaine dernière présentant les preuves les plus solides d’attaques réelles, classées d’abord par ces preuves, puis par la probabilité d’exploitation. 3 sont confirmées ou signalées comme exploitées dans la nature.

1. CVE-2026-46300 Vulnérabilité d’initialisation manquante d’une variable du noyau Linux

   Le noyau Linux contient une vulnérabilité d’initialisation manquante d’une variable qui pourrait permettre une modification non intentionnelle des données sauvegardées dans le cache de pages en raison d’un échec de préservation du marqueur de fragment partagé lors de la fusion des tampons de sockets, provoquant le déchiffrement des fragments partagés sur place par le traitement des entrées ESP. Cette vulnérabilité peut être chaînée avec CVE-2026-109618 et CVE… (CISA)

   • Exploité dans la nature : répertorié par la CISA le 28 oct. ; les agences fédérales américaines doivent le corriger d’ici le 31 oct.
   • VulnCheck KEV : signalé exploité (répertorié le 3 août), 5 rapports. 86 jours avant la CISA. Premier rapport : go.crowdstrike.com.
   • Code d’exploit public : 4 exploits connus (VulnCheck KEV).
   • Probabilité (EPSS) : 10,2 % de chance d’activité d’exploitation dans les 30 prochains jours, supérieur à 96 % de tous les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; non facilement automatisable ; contrôle total du système affecté.

   Que faire (CISA) : Appliquer les atténuations conformément aux instructions du fournisseur, en garantissant la conformité avec les directives de la CISA BOD 26-04 Prioritizing Security Updates Based on Risk et les exigences de triage médico-légal (« Forensics Triage Requirements ») de la CISA. Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de veiller au respect des directives de correctif BOD 26-04.

   Fiche NVD et liens du fournisseur

2. CVE-2026-41709 Vulnérabilité de journalisation insuffisante dans Broadcom VMWare ESX

   Broadcom VMWare ESX contient une vulnérabilité de journalisation insuffisante qui pourrait permettre à un acteur malveillant disposant d’un accès administrateur d’effectuer certaines opérations sans être enregistré. (CISA)

   • Exploité dans la nature : répertorié par la CISA le 28 oct. ; les agences fédérales américaines doivent le corriger d’ici le 11 nov.
   • VulnCheck KEV : signalé exploité (répertorié le 27 oct.), 2 rapports. 1 jour avant la CISA. Premier rapport : www.crowdstrike.com.
   • Probabilité (EPSS) : 0,30 % de chance d’activité d’exploitation dans les 30 prochains jours, supérieur à 22 % de tous les CVE.
   • Évaluation de la CISA (SSVC) : exploitation constatée ; non facilement automatisable ; impact partiel.

   Que faire (CISA) : Appliquer les atténuations conformément aux instructions du fournisseur, en garantissant la conformité avec les directives de la CISA BOD 26-04 Prioritizing Security Updates Based on Risk et les exigences de triage médico-légal (« Forensics Triage Requirements ») de la CISA. Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de veiller au respect des directives de correctif BOD 26-04.

   Fiche NVD et liens du fournisseur

3. CVE-2026-84999 Téléchargement non restreint de fichier de type dangereux

   Le plugin Pie Register Premium pour WordPress est vulnérable au téléchargement non restreint de type de fichier dans toutes les versions jusqu’à la version 3.8.4.0 incluse, via la fonction piereg_file_upload. Cela est dû au fait que le plugin effectue la validation du type de fichier via wp_check_filetype et wp_check_filetype_and_ext, mais ne vérifie jamais si ces appels de validation ont produit des erreurs avant… (NVD, CVSS 9.8)

   • VulnCheck KEV : signalé exploité (répertorié le 27 oct.), 1 rapport. Premier rapport : patchstack.com. Pas encore dans le catalogue de la CISA.
   • Probabilité (EPSS) : 0,48 % de chance d’activité d’exploitation dans les 30 prochains jours, supérieur à 42 % de tous les CVE.
   • Évaluation de la CISA (SSVC) : aucune exploitation connue ; les attaques peuvent être automatisées ; contrôle total du système affecté.

   Notre analyse : de quoi il s’agit et comment y remédier · Fiche NVD et liens du fournisseur

Comment nous classons

Les preuves que des attaquants exploitent une faille passent en premier : le catalogue des vulnérabilités connues exploitées de la CISA, VulnCheck KEV et la propre évaluation SSVC de la CISA. Viennent ensuite la probabilité d’une attaque dans les 30 prochains jours selon le système EPSS du FIRST, puis la sévérité. Un score de sévérité élevé ne suffit pas à lui seul pour intégrer la liste. Les failles dans les systèmes d’IA et les outils d’agents bénéficient d’une pondération plus élevée car ils constituent une cible en expansion rapide. Tout ce qui figure ici provient directement de ces sources ; rien n’est estimé par nous.

Les scores EPSS proviennent de FIRST.org. Les rapports d’exploitation marqués VulnCheck KEV proviennent du catalogue des vulnérabilités connues exploitées de VulnCheck (données © VulnCheck). Confirmez toujours la version corrigée dans l’avis du fournisseur.