Threat Advisories

Une vulnérabilité critique, CVE-2026-76969, a été identifiée dans le SAP Cloud Application Programming Model (CAP). Cette vulnérabilité affecte la bibliothèque @sap/cds-mtxs utilisée dans les applications CAP multi-locataires dont l’extensibilité est activée et pourrait permettre à un attaquant non authentifié d’obtenir des identifiants sensibles, puis de manipuler les données des locataires. Selon certaines sources, ce problème résulterait d’une validation insuffisante de certaines fonctionnalités au sein des applications concernées.

SonicWall a publié des mises à jour de sécurité d'urgence pour deux vulnérabilités affectant ses appliances Secure Mobile Access (SMA) de la série 1000, après avoir confirmé l'existence d'une exploitation active dans la nature. Ces vulnérabilités peuvent potentiellement être combinées pour permettre l'exécution de code à distance sur les systèmes vulnérables.

Citrix a publié un avis urgent avertissant ses clients de corriger deux vulnérabilités récemment révélées affectant les appliances NetScaler ADC et NetScaler Gateway. La vulnérabilité la plus grave, CVE-2026-19490, permet de contourner l'authentification sans authentification préalable dans certaines configurations spécifiques, ce qui pourrait permettre à des attaquants distants d'obtenir un accès non autorisé aux services exposés. Une deuxième vulnérabilité, CVE-2026-19489, pourrait permettre à des attaquants non authentifiés de provoquer des conditions de déni de service (DoS).

Une vulnérabilité de gravité maximale affectant SAP Commerce Cloud, référencée sous le numéro CVE-2026-58231, fait l'objet de tentatives d'exploitation quelques jours seulement après la publication d'une mise à jour de sécurité par SAP.

CloudSek, fournisseur de solutions de gestion des risques numériques, a publié une liste des organisations touchées par une campagne très médiatisée menée par TeamPCP.

Cisco a publié des mises à jour de sécurité corrigeant 24 vulnérabilités affectant plusieurs produits d'entreprise, dont plusieurs failles de gravité critique touchant Catalyst SD-WAN, IOS XE et Secure Firewall Management Center (FMC). La vulnérabilité la plus grave, CVE-2026-20079, affecte le FMC et présente un score CVSS de 10,0. Elle permet à des attaquants distants non authentifiés de contourner l'authentification et d'obtenir un accès de niveau root. Cisco a également révélé des failles critiques dans IOS XE et Catalyst SD-WAN qui pourraient permettre l'injection de commandes, l'élévation de privilèges et l'accès non autorisé.

Le 4 août 2026, une attaque sophistiquée visant la chaîne d’approvisionnement logicielle, baptisée « ChainDrop », a frappé l’écosystème npm après le piratage du compte GitHub d’un responsable de maintenance des paquets open source Keyv et Cacheable, largement utilisés . Le ver auto-propagateur qui en a résulté s’est propagé à plus de 2 251 versions de 452 paquets distincts , totalisant environ 2 milliards de téléchargements mensuels, affectant des organisations telles que Deliveroo, Ornikar, OneReach, Picsart, Qlik et ServiceTitan.

Une vulnérabilité critique a été découverte par N-Able dans son produit N-Central, un dispositif de gestion à distance utilisé pour l'administration informatique.

La chaîne d'exploitation « wp2shell » constitue un incident de sécurité critique visant l'architecture fondamentale de l'écosystème WordPress. Il s'agit d'une vulnérabilité d'exécution de code à distance (RCE) avant authentification, résidant entièrement au sein du cœur de WordPress. Son exploitation ne nécessite ni plugin tiers, ni thème, ni accès authentifié. Une simple requête HTTP spécialement conçue, envoyée à une installation par défaut « standard », peut permettre à un attaquant non authentifié de prendre le contrôle total du système.

Des chercheurs en sécurité ont constaté une recrudescence de l'activité liée à ACR Stealer, une famille de logiciels malveillants destinés au vol d'informations et associée à l'écosystème Amatera Stealer. Cette activité a été particulièrement intense de fin avril à mi-juin 2026 et a permis de compromettre avec succès des environnements d'entreprise.