Sécurité IT 2026-10-28

Niveau Critique — 100/100 — 2026-10-28

Journée « Critique » : 30 sujets classés, 6 des 10 premiers signalés comme activement exploités, 4 failles ajoutées au catalogue des vulnérabilités exploitées de la CISA. En tête : PHP out-of-memory flaw can allow remote code execution (94/100).

1. PHP : exécution de code à distance liée à l’épuisement mémoire — 94/100 (CVE-2026-109618)
2. Exploitation de la faille d'état de requête interne obsolète de PHP (CVE-2026-109619) et ajout au CISA KEV — 90/100 (CVE-2026-109619)
3. Une vulnérabilité du décodeur Google Brotli exploitée peut corrompre la mémoire et potentiellement exécuter du code — 89/100 (CVE-2026-111497)
4. La vulnérabilité de téléchargement de fichiers d'Adobe Commerce et Magento est activement exploitée — 84/100 (CVE-2026-48356)
5. Apple rétroporte les correctifs d'une vulnérabilité CoreGraphics exploitée vers d'anciens iPhones et iPads — 82/100 (CVE-2026-86950)
6. La campagne Gheist utilise des jetons GitHub volés pour implanter des workflows qui exfiltrent des secrets de dépôts privés — 70/100
7. Les mises à jour de sécurité Node.js affectent l'exécution de code à distance (RCE) et l'interception de trafic — 65/100
8. HPE corrige des vulnérabilités réseau présentant des risques d'exécution de code et de contournement d'authentification — 65/100
9. Tailscale prépare des correctifs pour des failles SSH impliquant le vol d'identifiants et l'accès root — 63/100
10. Microsoft publie des mises à jour Windows hors bande pour ne plus faire confiance aux certificats liés aux clés compromises de l'autorité de certification eMudhra — 60/100