Vulnérabilités

📰 Source : Medium / Tal Be’ery — publié le 7 octobre 2026. Article d’analyse de tendances CTI rédigé par un chercheur en sécurité. Contexte Depuis le 7 avril 2026, la mise à disposition de Claude Mythos Preview (Anthropic) à des chercheurs en sécurité a déclenché une hausse massive des CVE critiques et élevés (plusieurs fois le volume habituel). Ce phénomène est qualifié de “Vulnpocalypse”. Pourtant, les déclarations de brèches matérielles (via les dépôts SEC Form 8-K, obligatoires depuis décembre 2023) n’affichent qu’une hausse modérée en Q2 et Q3 2026. ...

📊 Contexte Publié le 30 septembre 2026 par le Google Threat Intelligence Group (GTIG), cet article analyse les tendances de divulgation et d’exploitation des vulnérabilités sur la période janvier 2025 – août 2026, en évaluant spécifiquement l’impact de l’intelligence artificielle sur ce paysage. 📈 Chiffres clés Divulgations doublées : de 5 045 CVE/mois en janvier 2026 à 10 740 en août 2026 Exploitation quasi-doublée : de 10,5/mois en 2025 à 18/mois en 2026 Zero-days : légère hausse de 8/mois (2025) à 11/mois en 2026, avec un pic à 22 en août 2026 141 vulnérabilités exploitées de janvier à août 2026, dépassant les 127 de toute l’année 2025 Seulement 0,23% des CVE divulguées sont observées en exploitation active 🤖 Impact de l’IA sur la découverte de vulnérabilités Les vulnérabilités découvertes par des agents IA présentent une distribution inversée par rapport aux découvertes conventionnelles : ...

📅 Source : Blog Sucuri — publié le 1er octobre 2026. Récapitulatif mensuel des correctifs de sécurité pour l’écosystème WordPress (plugins et thèmes). Contexte Sucuri compile chaque mois les vulnérabilités découvertes et corrigées dans les plugins et thèmes WordPress. Ce bulletin de septembre 2026 couvre un volume exceptionnel de failles, touchant des plugins parmi les plus installés au monde, avec des bases d’installation allant de 50 000 à plus de 7 000 000 sites. ...

🗓️ Contexte Article publié le 25 septembre 2026 sur Hackread, synthétisant plusieurs rapports sectoriels majeurs (Verizon, Automox, Beazley Security, IBM, Sophos, TrendAI) sur l’état de la gestion des vulnérabilités et de la remédiation en 2026. 📉 Dégradation des indicateurs de remédiation Selon le rapport Verizon, seulement 26% des vulnérabilités détectées figurant au catalogue KEV de la CISA ont été entièrement corrigées, contre 38% l’année précédente. Le délai médian de résolution est passé de 32 à 43 jours. La charge de vulnérabilités critiques portée par l’organisation médiane a augmenté de 50% en un an. ...

📅 Source : Sucuri Blog — publié le 31 juillet 2026. Cet article constitue le récapitulatif mensuel de sécurité WordPress de Sucuri pour juillet 2026, couvrant l’ensemble des vulnérabilités divulguées et des correctifs disponibles pour les plugins de l’écosystème WordPress. 🔴 Vulnérabilités critiques (sans authentification requise) : Kirki ≤ 6.0.12 — Injection SQL non authentifiée (CVE-2026-57726, 500 000+ installations) Appointment Booking Plugin ≤ 5.6.3 — Injection SQL non authentifiée (CVE-2026-57714, 100 000+ installations) Events Manager ≤ 7.3.6 — Injection SQL non authentifiée (CVE-2026-12987, 70 000+ installations) Amelia ≤ 2.4.2 — Injection SQL non authentifiée (CVE-2026-57702, 90 000+ installations) Bookly ≤ 27.5 — Injection SQL non authentifiée (CVE-2026-14516, 60 000+ installations, sans correctif) Bookly ≤ 27.7 — Injection SQL non authentifiée (CVE-2026-61949, correctif : 27.8) 🟠 Vulnérabilités à risque élevé notables : ...

📅 Source : SecurityWeek, publié le 22 juillet 2026 par Eduard Kovacs. 🔍 Contexte général Oracle a publié son Critical Patch Update (CPU) trimestriel de juillet 2026, l’une des plus importantes mises à jour de sécurité jamais diffusées par l’éditeur. Ce CPU comprend 1 449 correctifs de sécurité couvrant 1 434 CVE uniques répartis sur 334 produits. 📦 Produits concernés Les correctifs couvrent notamment : E-Business Suite (410 vulnérabilités corrigées) Fusion Middleware (355 vulnérabilités) Communications (168 vulnérabilités) PeopleSoft (84 vulnérabilités) Database Server, APEX, GoldenGate, Java SE, MySQL, Siebel CRM, JD Edwards, Retail Applications, Virtualization, et de nombreux autres produits. ⚠️ Criticité ...

📋 Contexte Le 10 juin 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a publié la Binding Operational Directive 26-04 (BOD 26-04) intitulée Prioritizing Security Updates Based on Risk. Cette directive est contraignante pour l’ensemble des agences fédérales civiles américaines (Federal Civilian Executive Branch — FCEB). Elle est publiée sur le site officiel cisa.gov. 🎯 Objectif et portée La directive vise à moderniser la gestion des vulnérabilités au sein du gouvernement fédéral américain en priorisant la remédiation selon le niveau de risque réel plutôt qu’en traitant toutes les vulnérabilités de manière uniforme. Elle s’applique à tous les systèmes d’information fédéraux (Federal Information Systems), y compris ceux hébergés dans des environnements tiers (FedRAMP, cloud). ...

📰 Contexte Source : blog.sucuri.net — Publication du 1er juin 2026. Il s’agit du récapitulatif mensuel de Sucuri listant les vulnérabilités de sécurité découvertes et patchées dans l’écosystème WordPress (plugins et thèmes) au cours du mois de mai 2026. 🔴 Vulnérabilités critiques Trois vulnérabilités sont classées Critical : Advanced Custom Fields: Extended (≤ 0.9.2.5) — Privilege Escalation sans authentification — CVE-2026-8809 — patché en 0.9.2.6 Avada (Fusion) Builder (≤ 3.15.2) — Remote Code Execution sans authentification — CVE-2026-6279 — patché en 3.15.3 Gravity Forms (≤ 2.10.0.1) — Arbitrary File Deletion sans authentification — CVE-2026-48866 — patché en 2.10.1 🟠 Vulnérabilités High sans authentification (sélection) LiteSpeed Cache (≤ 7.7) — XSS — CVE-2026-3375 — 7M+ installations WooCommerce PayPal Payments (≤ 4.0.1) — Broken Access Control — CVE-2026-9284 Forminator Forms (≤ 1.52.1) — Arbitrary File Read — CVE-2026-5192 ManageWP Worker (≤ 4.9.31) — XSS — CVE-2026-3718 Database Backup for WordPress (≤ 2.5.2) — Arbitrary File Read + Broken Access Control (x2) — CVE-2026-4030, CVE-2026-4029, CVE-2026-4031 Kirki (≤ 6.0.6) — Arbitrary File Read — CVE-2026-8073 Post SMTP (≤ 3.6.2) — XSS — CVE-2026-48838 Appointment Booking Calendar (≤ 1.6.11.8) — SQL Injection — CVE-2026-7797 Email Marketing for WooCommerce by Omnisend (≤ 1.18.0) — Broken Authentication — CVE-2026-42668 PixelYourSite Pro (≤ 12.5.0.1) — SSRF — CVE-2026-7049 Avada (Fusion) Builder (≤ 3.15.1) — SQL Injection — CVE-2026-4798 Slider Revolution — Arbitrary File Upload — CVE-2026-6692 Betheme (≤ 28.4) — Remote Code Execution — CVE-2026-6261 Roneous (≤ 2.1.5) — Local File Inclusion sans authentification — CVE-2025-69177 — pas de patch disponible 🟡 Plugins sans patch disponible au moment de la publication Meta for WooCommerce (≤ 3.7.0) — Open Redirect — CVE-2026-49059 Adminimize (≤ 1.11.11) — Broken Access Control — CVE-2026-49045 Duplicate Page and Post (≤ 2.9.5) — SQL Injection — CVE-2026-49046 The Post Grid (≤ 7.9.2) — Broken Access Control — CVE-2026-49054 Roneous (≤ 2.1.5) — Local File Inclusion — CVE-2025-69177 📊 Périmètre global L’article couvre plus de 100 entrées CVE réparties sur des dizaines de plugins et thèmes WordPress, avec des bases d’installation allant de 90 000 à plus de 10 millions (Yoast SEO). Les types de vulnérabilités incluent : XSS, Broken Access Control, SQL Injection, RCE, Privilege Escalation, Arbitrary File Read/Upload/Deletion, IDOR, SSRF, Path Traversal, Local File Inclusion, Information Disclosure, Open Redirect, Broken Authentication, Denial of Service, Content Injection. ...

🗓️ Contexte Article publié le 22 avril 2026 sur le blog personnel de Daniel Stenberg, mainteneur principal du projet curl. Il s’agit d’une analyse de tendance basée sur l’observation directe des soumissions au programme de bug bounty de curl sur HackerOne, ainsi que d’un sondage informel auprès d’autres mainteneurs de projets open source. 📈 Tendance principale : volume et qualité en hausse simultanée Depuis le retour de curl sur HackerOne en mars 2026 (après une fermeture temporaire le 1er février 2026 due aux soumissions de faible qualité générées par IA), la nature des rapports a radicalement changé : ...

Source et contexte: ANSSI — Le « Panorama de la cybermenace 2025 » (publication ANSSI) présente les tendances observées en France et en Europe : menaces persistantes, brouillage entre acteurs étatiques et cybercriminels, et forte pression sur secteurs publics et privés. Niveau de menace et secteurs touchés. En 2025, 3 586 événements de sécurité traités (−18% vs 2024) dont 1 366 incidents (stable). Quatre secteurs concentrent 76% des incidents: éducation & recherche (34%), ministères & collectivités (24%), santé (10%), télécoms (9%). Les frontières entre acteurs étatiques et cybercriminels s’érodent, complexifiant l’imputation et la détection. ...