Le 24 septembre 2026, la CISA a inscrit au catalogue KEV la faille de traversal de chemin CVE-2026-5430 chez WSO2 et l’autorisation défaillante CVE-2026-71362 chez Adobe Commerce et Magento, toutes deux exploitées en conditions réelles. Les agences fédérales américaines doivent corriger avant le 27 septembre, et toute organisation qui expose ces produits doit faire de même sans attendre.

Corrigée en mai 2026, l’injection SQL pré-authentification CVE-2026-48842 du plugin virtuser_query de Roundcube Webmail est désormais exploitée en conditions réelles, selon le Centre canadien pour la cybersécurité. Les administrateurs doivent passer en version 1.6.16 ou 1.7.1, ou désactiver le plugin virtuser_query sans attendre.