Le Patch Tuesday du 11 août 2026 apporte 421 correctifs, dont un zero-day déjà exploité (CVE-2026-68820) par le groupe nord-coréen Lazarus et deux failles réseau exploitables sans authentification. Voici l’ordre de correction qui protège réellement votre parc, avant la surcharge du volume.
Le 8 août 2026, Metabase a révélé qu’une injection SQL critique (CVSS 10.0) était exploitée dans la nature avant même la publication du correctif. La faille permet à un attaquant non authentifié d’obtenir les droits administrateur et de siphonner toutes les bases de données connectées. Tout administrateur auto-hébergeant Metabase doit patcher, révoquer les sessions et pivoter les secrets immédiatement.
Cisco a divulgué le 29 juillet 2026 deux vulnérabilités zero-day dans Secure Firewall Management Center : des identifiants statiques codés en dur (CVE-2026-20316) et un bypass d’authentification CVSS 10.0 (CVE-2026-20079). Vérifiez vos logs immédiatement, les deux failles partagent le même indicateur de compromission.
CVE-2026-16723 (CVSS 9.0) permet l’exécution de code à distance sans authentification sur Fastjson 1.x, sans correctif possible. Activez SafeMode immédiatement et planifiez votre migration vers Fastjson 2.x.
De l’IA devenue arme offensive à la guerre des licences qui fracture l’open source, le premier semestre 2026 a marqué une bifurcation durable. Voici ce que chaque RSSI et responsable infrastructure doit retenir pour le second semestre.
Le 31 mars 2026, Google a corrigé en urgence CVE-2026-5281, un use-after-free dans Dawn, l’implémentation WebGPU de Chromium, déjà exploité dans la nature. C’est le quatrième zero-day Chrome de 2026 en quatre mois — et le signal que les API graphiques bas niveau sont devenues la nouvelle frontière de l’exploitation navigateur.
Le groupe a systématiquement exploité les failles CVE-2024-50623 et CVE-2024-55956 dans les produits MFT de Cleo entre octobre et décembre 2024, touchant plus de 180 organisations. Le correctif d’octobre n’a pas tenu ; un second CVE a dû être émis six semaines plus tard.
Microsoft publie un correctif d’urgence hors cycle pour CVE-2026-21509 le 26 janvier 2026. Vingt-quatre heures plus tard, APT28 l’exploite contre des institutions gouvernementales et le secteur financier : le délai de course entre divulgation et exploitation est désormais mesuré en heures.
