Le Patch Tuesday du 11 août 2026 apporte 421 correctifs, dont un zero-day déjà exploité (CVE-2026-68820) par le groupe nord-coréen Lazarus et deux failles réseau exploitables sans authentification. Voici l’ordre de correction qui protège réellement votre parc, avant la surcharge du volume.

Une copie non chiffrée de la clé GPG qui signe les téléchargements Linux de Firefox et Thunderbird a atterri par erreur dans un dépôt Git interne. Mozilla a immédiatement révoqué la clé et engagé une procédure de rotation complète — les distributions Linux doivent reconstruire leurs paquets.

De TanStack à Trellix en passant par GitHub Megalodon, les cinq plus grandes attaques de la chaîne d’approvisionnement de 2026 démontrent que votre surface d’attaque s’étend jusqu’au moindre npm install. La gestion du risque tiers doit devenir continue.

Le 8 août 2026, Metabase a révélé qu’une injection SQL critique (CVSS 10.0) était exploitée dans la nature avant même la publication du correctif. La faille permet à un attaquant non authentifié d’obtenir les droits administrateur et de siphonner toutes les bases de données connectées. Tout administrateur auto-hébergeant Metabase doit patcher, révoquer les sessions et pivoter les secrets immédiatement.

Le 10 août 2026, OpenAI a lancé GPT-5.6-Cyber, une variante de son modèle phare avec des refus de sécurité considérablement réduits, destinée aux équipes de cybersécurité offensive. Le programme Daybreak, initialement un partenariat de recherche, devient un outil opérationnel. Voici ce que ça signifie pour les red teams et les défenseurs.

CVE-2026-65667 est une élévation de privilèges non authentifiée dans Microsoft Teams, classée CVSS 10.0, publiée le 6 août 2026 hors cycle Patch Tuesday. L’avis ne précise ni le composant affecté ni la build corrigée — ce que les RSSI doivent faire en attendant.

Le 6 août 2026, des chercheurs du MIT CSAIL ont présenté à Black Hat USA une nouvelle attaque CPU qui contourne les correctifs Spectre v2 sur Intel et AMD. TONTOU exploite la fenêtre entre la neutralisation du prédicteur de branche et son utilisation pour extraire `/etc/shadow` à 5,47 octets par seconde. Les distributions Linux doivent intégrer les nouveaux correctifs noyau sans délai.

Une chaîne de vulnérabilités dans WordPress Core, baptisée XSS2Shell, permet à un attaquant non authentifié de transformer une simple tentative de connexion échouée en exécution de code PHP sur le serveur. Le correctif 7.0.3 est sorti le 6 août 2026 — 43 % du web doit l’appliquer maintenant.

Une campagne de ransomware automatisée baptisée RedLocker exploite des instances Redis exposées sans mot de passe pour chiffrer les données et exfiltrer les clés. Le 4 août 2026, 3 200 serveurs avaient déjà été touchés. Fermez votre port 6379 ou activez l’authentification Redis dès maintenant.

Une nouvelle variante du malware XCSSET compromet les projets Xcode partagés pour infecter les applications macOS compilées. Si vous clonez un dépôt provenant d’un développeur infecté, votre application finale embarque le malware sans que vous le sachiez.

Forescout Vedere Labs a présenté à Black Hat USA 15 vulnérabilités dans le mécanisme ZTP d’Omada, dont 11 CVE. Les PME qui déploient leurs équipements réseau en ZTP doivent patcher immédiatement.

Le 5 août 2026, la CISA a inscrit trois vulnérabilités critiques au catalogue KEV : CVE-2026-9198 dans IBM Langflow (CVSS 9.8), CVE-2026-18576 dans N-able N-central, et CVE-2026-34486 dans Apache Tomcat. Les agences fédérales doivent patcher immédiatement.

Le 3 août 2026, SOCRadar a documenté DOUBLECUP, un loader-as-a-service russe actif depuis juin qui dissimule du code malveillant dans des PNG mis en cache par le navigateur. La chaîne d'attaque ClickFix livre CountLoader sur Windows et macOS ainsi qu'un nouveau RAT DeviceManager piloté par smart contract.

Le règlement européen 2024/2847, dit Cyber Resilience Act, entre en application progressive à partir de 2026. Il impose à tout éditeur commercialisant un produit logiciel dans l’UE de produire un SBOM complet, de corriger les vulnérabilités connues sous cinq jours ouvrés et de notifier les incidents critiques à l’ENISA sous 24 heures. Voici ce que votre organisation doit faire avant la première échéance contraignante.

Le 1er août 2026, N-able a détecté l'exploitation active d'une faille d'authentification (CVE-2026-18577) dans sa plateforme RMM N-central. Le correctif de CVE-2026-18576 était incomplet, et les attaquants l'ont contourné en moins de trente jours. Voici ce que les MSP doivent faire et pourquoi la supply chain RMM reste le maillon faible de la cybersécurité.

Le 28 juillet 2026, le chercheur Håkon Måløy a publié la première démonstration publique d’un ver IA document-borne capable d’altérer des rapports financiers et de s’auto-propager dans Copilot pour Word. Après 144 jours de divulgation coordonnée et deux tentatives de correction — dont une montée de version vers GPT-5.6 — la classe de vulnérabilité reste exploitable.

Cisco a divulgué le 29 juillet 2026 deux vulnérabilités zero-day dans Secure Firewall Management Center : des identifiants statiques codés en dur (CVE-2026-20316) et un bypass d’authentification CVSS 10.0 (CVE-2026-20079). Vérifiez vos logs immédiatement, les deux failles partagent le même indicateur de compromission.

Le 14 juillet 2026, Microsoft corrigeait une faille dans AD CS permettant à un utilisateur authentifié d’usurper un contrôleur de domaine. Le 27 juillet, le PoC est public — tout domaine non patché est prenable en quelques commandes.

CVE-2026-16723 (CVSS 9.0) permet l’exécution de code à distance sans authentification sur Fastjson 1.x, sans correctif possible. Activez SafeMode immédiatement et planifiez votre migration vers Fastjson 2.x.

CVE-2026-61511 permet l’exécution de code PHP sans authentification via le rendu de templates vBulletin 5.x et 6.x. Un exploit public est disponible et la branche 5.x ne recevra aucun correctif.

Broadcom a dévoilé le 29 juillet 2026 trois vulnérabilités critiques dans VMware vCenter et ESXi, dont une VM escape et deux RCE sans authentification sur vCenter. Appliquez les correctifs sans délai : la compromission de vCenter équivaut au contrôle total de l’infrastructure virtualisée.

De l’IA devenue arme offensive à la guerre des licences qui fracture l’open source, le premier semestre 2026 a marqué une bifurcation durable. Voici ce que chaque RSSI et responsable infrastructure doit retenir pour le second semestre.

99 % des organisations ont subi un incident de sécurité API en 2025. Les APIs représentent désormais 43 % des vulnérabilités activement exploitées recensées par la CISA. Votre API gateway est votre nouveau firewall — et vous ne l’avez probablement pas configuré.

Microsoft publie son plus gros Patch Tuesday, 24 milliards de credentials atterrissent sur un cluster Elasticsearch exposé, et 721 victimes ransomware sont recensées. Trois records simultanés qui ne sont pas des coïncidences — ce sont les symptômes d’une menace qui a définitivement changé de dimension.

Mediaworks perd 8,5 To de données internes, Instructure paie une rançon pour Canvas, et les brèches de mai 2026 s’empilent sans bruit. Quand la fuite de données devient un bruit de fond, le vrai risque n’est plus technique — il est dans l’indifférence.

En mai 2026, Check Point Research recense 698 attaques par ransomware dans le monde, soit 48 % de plus qu’en mai 2025, alors même que le volume d’attaques globales baisse de 7 %. Le message est clair : les cybercriminels visent moins, mais frappent mieux — et la surface à défendre s’élargit plus vite que les capacités des équipes.

Le 31 mars 2026, Google a corrigé en urgence CVE-2026-5281, un use-after-free dans Dawn, l’implémentation WebGPU de Chromium, déjà exploité dans la nature. C’est le quatrième zero-day Chrome de 2026 en quatre mois — et le signal que les API graphiques bas niveau sont devenues la nouvelle frontière de l’exploitation navigateur.

Le 20 janvier 2026, la Commission européenne dévoile un Cybersecurity Act remanié qui rend obligatoire le retrait des fournisseurs à haut risque des réseaux télécoms et des chaînes d’approvisionnement ICT critiques. Les opérateurs ont trois ans pour s’exécuter, et les sanctions peuvent atteindre 7 % du chiffre d’affaires mondial.

Le groupe a systématiquement exploité les failles CVE-2024-50623 et CVE-2024-55956 dans les produits MFT de Cleo entre octobre et décembre 2024, touchant plus de 180 organisations. Le correctif d’octobre n’a pas tenu ; un second CVE a dû être émis six semaines plus tard.

Le 10 janvier 2026, le forum cybercriminel BreachForums subit une brèche de données massive : 324 000 comptes avec adresses IP, pseudonymes et la clé PGP officielle du forum sont publiés en ligne. Cette fuite est une mine d’or pour les enquêteurs et un désastre opérationnel pour les membres dont l’anonymat vient de s’effondrer du jour au lendemain.

Microsoft publie un correctif d’urgence hors cycle pour CVE-2026-21509 le 26 janvier 2026. Vingt-quatre heures plus tard, APT28 l’exploite contre des institutions gouvernementales et le secteur financier : le délai de course entre divulgation et exploitation est désormais mesuré en heures.

Le groupe ransomware SafePay a exfiltré 8,5 téraoctets de données chez le prestataire de services Conduent entre octobre 2024 et janvier 2025, exposant plus de 25 millions de personnes. C’est la brèche supply chain la plus coûteuse de l’année pour les gouvernements américains — et un signal d’alarme pour tout RSSI qui dépend d’un tiers critique.

Les attaquants utilisent désormais des agents IA pour automatiser la reconnaissance, le phishing et l’exfiltration, réduisant le temps entre compromission initiale et vol de données à 72 minutes dans les cas les plus rapides. Les équipes SOC doivent intégrer l’automatisation de la détection et de la réponse avant que la fenêtre d’intervention ne disparaisse complètement.