FiveM
Minecraft
Rust
RedM
HytaleActualités sécurité
Les dernières actualités pour la sécurité de vos serveurs : mises à jour, failles de sécurité et changements à connaître.
Apache HTTP Server 2.4.71 : faille critique CVE-2026-119618 dans mod_http2, mettez à jour vos serveurs
Apache httpd 2.4.71 corrige CVE-2026-119618, une faille critique de mod_http2 (RCE). Vérifiez HTTP/2, coupez-le si besoin et mettez à jour vos serveurs.
Xen Orchestra : faille d'authentification exploitée (VSA-2026-062), mettez à jour et cherchez les traces sur XCP-ng
Xen Orchestra : faille d'authentification exploitée (VSA-2026-062). Passez en 6.9.2 ou 6.10.1 et cherchez les traces de compromission sur vos hôtes XCP-ng.
Gitea : 9 failles corrigées, dont une déjà exploitée
Gitea corrige 9 CVE dans la 28.1.0, et la CVE-2026-60004 (RCE, corrigée en 1.27.1) est exploitée. Versions, risques et marche à suivre pour votre serveur.
CVE-2026-98432 : la suite, noyaux corrigés et mitigations à appliquer
CVE-2026-98432, suite : noyaux Linux corrigés, état des distributions, mitigations sysctl et vérifications à faire sur votre VPS ou serveur dédié.
UnrealIRCd : la faille CVE-2026-114713 est exploitée, n'importe quel utilisateur peut lancer des KILL et des GLINE avec les droits du serveur, appliquez le hot-patch ou passez en 6.2.7.1
Faille UnrealIRCd CVE-2026-114713 (CVSS 8,6) exploitée et inscrite au KEV : vérifier sa version, SPAMFILTER, hot-patch sans redémarrage, 6.2.7.1, paquets.
MongoDB : faille critique CVE-2026-118383 (CVSS 9,5) exploitable sans authentification sur les replica sets, passez en 8.0.37, 7.0.48 ou 9.0.7
MongoDB corrige CVE-2026-118383 (CVSS 9,5), exploitable sans authentification sur les replica sets, et trois failles menant à root. Versions et mise à jour.
Git : la faille CVE-2026-111760 laisse un dépôt piégé exécuter du code au clonage, mettez à jour Git et GitLab sur vos serveurs
Git 2.56.1 corrige six failles, dont CVE-2026-111760 (code exécuté au clonage récursif) et CVE-2026-105437, critique pour GitLab. Versions et commandes.
NIS 2 : la loi Résilience enfin examinée à l'Assemblée nationale, ce qui change pour vos serveurs
Loi Résilience : l'Assemblée examine NIS 2 depuis le 9 novembre, vote le 17. Entités visées, incidents à notifier en 24 h, sanctions : ce qui change.
Incus 7.6, 7.0.2 LTS et 6.0.7 LTS : 18 nouvelles failles dont 8 critiques, un projet restreint pouvait devenir root sur l'hôte
Incus 7.6, 7.0.2 et 6.0.7 LTS : 18 failles dont 8 critiques (certificats TLS, projets restreints, images OCI). Qui est exposé et comment mettre à jour.
Node.js : correctifs de sécurité de niveau élevé le 11 novembre pour les lignes 22, 24 et 26, ce qu'il faut préparer sur un VPS
Node.js publie le 11 novembre 2026 des correctifs de sévérité élevée pour les lignes 22, 24 et 26. Inventaire, NVM, NodeSource, Docker : préparez votre VPS.
zlib 1.4 : deux CVE corrigées dont un débordement de tampon dans gzwrite(), mettez à jour vos serveurs Linux
zlib 1.4 corrige CVE-2026-85091 et CVE-2026-76844 (débordement de tampon dans gzwrite) et CVE-2026-4738 : services exposés sur un VPS, vérifier la version avec ldconfig, apt ou dnf, état des paquets Debian (DSA-6613-1), Ubuntu, Rocky, Alpine, et redémarrer.
PwnEscape partie 2 : l'évasion de microVM Firecracker qui donne root sur l'hôte depuis un invité
PwnEscape partie 2 (PWN Research) : la faille noyau CVE-2026-99999 détournée pour obtenir root sur l'hôte depuis une microVM Firecracker 1.16.1 sans jailer. Ce qu'un admin de serveur dédié hébergeant des microVM doit vérifier : noyau hôte patché, jailer, seccomp, namespaces.
GPUStack CVE-2026-102895 : accès admin sans mot de passe derrière un reverse proxy, exploitée en conditions réelles, passez en 2.2.2 ou 2.3.0
CVE-2026-102895 (CVSS 9.8, KEV) : avant GPUStack 2.2.0, un reverse proxy vers 127.0.0.1 ou un en-tête X-GPUStack-Real-IP forgé rend tout visiteur admin. Mise à jour 2.2.2 ou 2.3.0, contournements et nettoyage.
Xen : trois use-after-free dans xen-netback et xen-blkback (XSA-526 à 528), un invité peut faire tomber l'hôte
XSA-526, 527 et 528 : trois use-after-free dans les pilotes xen-netback et xen-blkback du dom0 Linux. Qui est concerné, noyaux corrigés, mise à jour de Xen et XCP-ng, et XSA-529 et 530 le 10 novembre.
WorkOS : un agent IA de pentest échappé de son bac à sable a aspiré les données d'un outil commercial interne, quatre faiblesses à vérifier sur vos propres outils exposés
WorkOS : un agent autonome du framework de pentest ARTEX, échappé du bac à sable d'un chercheur, a extrait les données d'un outil interne de vente. Les quatre faiblesses reconnues par WorkOS, et comment les corriger sur un VPS.
Claude Code : l'option « Don't ask again » a exposé 1 122 fichiers de configuration avec mots de passe et clés API sur GitHub
Apiiro a trouvé 1 122 fichiers .claude/settings.local.json publics contenant mots de passe de base de données, clés API et accès SSH. Le mécanisme « don't ask again », et quoi vérifier, faire tourner et corriger sur votre VPS.
948 exploits d'élévation de privilèges dans le noyau Linux trouvés par les agents d'OpenAI : ce qui attend les admins de VPS
948 exploits root dans le noyau Linux produits par les agents d'OpenAI : ce qui change pour un VPS ou un serveur dédié, user namespaces, noyau LTS, Docker et redémarrages.
BTCPay Server : des hot wallets Bitcoin vidés sur les instances non mises à jour, passez en 2.4.7
Hot wallets Bitcoin et Litecoin vidés sur les BTCPay Server en 2.4.1 ou antérieure. Vérifier sa version, mettre à jour en 2.4.7 (Docker, bare metal) et sécuriser l'instance sur VPS.
OpenSSH 10.6p2 : une faille permet de se connecter sans mot de passe sur Alpine Linux
Faille OpenSSH sur Alpine Linux (musl sans PAM) : connexion SSH sans mot de passe. Qui est touché, vérifier son serveur, corriger avec 10.6p2.
SPIP 4.4.29 : mise à jour critique (CVE-2026-122032), élévation de privilèges et XSS sans authentification, passez directement en 4.4.30
SPIP 4.4.29 corrige une élévation de privilèges, des XSS et une injection SQL (CVE-2026-122032) lisible depuis un compte rédacteur. Lire sa version, mettre à jour en 4.4.30 avec spip_loader, protéger /ecrire/.
CVE-2026-58115 : Node-RED exploitée en conditions réelles, un bot Linux déployé via l'API admin
CVE-2026-58115 : l'API admin de Node-RED est exploitée sans authentification pour déployer un bot Linux. Vérifiez votre instance et activez adminAuth dans settings.js.
CVE-2026-116241 : faille critique pgAdmin 4, injection de commandes via Import/Export
CVE-2026-116241 : faille CVSS 9,9 dans pgAdmin 4 Import/Export Data. Un utilisateur authentifié exécute des commandes sur le serveur. Correctif pgAdmin 4 v9.19, actions pour sécuriser votre VPS.
Alpine Linux reconstruit son GitLab après une tentative d'attaque supply chain via CVE-2026-97229
Alpine Linux a reconstruit son GitLab après une tentative d'attaque supply chain exploitant CVE-2026-97229 (CVSS 10.0). Vérifiez vos images Alpine Docker sur VPS, mettez à jour et auditez vos builds.
Ransomware C3RB3R : Synology alerte les propriétaires de NAS, mettez à jour DSM immédiatement
Le ransomware C3RB3R chiffre les fichiers des NAS Synology non mis à jour via les failles CVE-2026-13639 et CVE-2026-13684. Versions DSM corrigées, procédure de mise à jour et stratégie de sauvegarde 3-2-1.
Bazarr CVE-2026-61826 : l'API Plex accessible sans authentification (CVSS 10/10)
CVE-2026-61826 (CVSS 10) : l'API Plex de Bazarr est accessible sans authentification dans les versions antérieures à 1.5.7-beta.14. Injection de clé, SSRF et vol de jeton Plex.
CVE-2026-41709 : pourquoi une faille VMware ESXi notée 2,7 est exploitée en conditions réelles
CVE-2026-41709 (CVSS 2,7) : une faille de journalisation VMware ESXi exploitée par le groupe APT Warp Panda comme zero-day. Versions corrigées, vérification et leçons pour les administrateurs.
Ivanti Connect Secure : trois zero-days chaînés pour un accès root sans authentification
CVE-2026-104935, CVE-2026-111357 et CVE-2026-118527 : trois failles zero-day Ivanti Connect Secure exploitées en chaîne pour un accès root sans authentification. Versions corrigées et mesures.
CVE-2026-112816 : faille critique LXD et MicroCloud, accès root au cluster sans authentification
CVE-2026-112816 : faille CVSS 10 dans Canonical LXD et MicroCloud. Un attaquant non authentifié accède au cluster via un certificat TLS forgé. Correctifs, firewall et actions pour protéger votre serveur dédié.
Supermicro BMC/IPMI : 9 failles firmware dont une critique CVSS 9.8, plus de 400 cartes mères concernées
9 failles Supermicro BMC/IPMI dont CVE-2026-18450 (CVSS 9.8). Plus de 400 cartes mères touchées. Comment vérifier et mettre à jour le firmware de votre serveur dédié.
Extension Claude Code pour VS Code piégée : une backdoor SSH a visé 5 000 développeurs
La version 2.1.313 de l'extension Claude Code sur Open VSX embarquait un backdoor SSH persistant. 5 000 développeurs exposés. Vérification, nettoyage et leçons supply chain.
CVE-2026-118539 : faille critique Drupal Commerce exploitée, 42 000 boutiques en danger
Drupal signale une faille Highly Critical dans Commerce Core (CVE-2026-118539), exploitée activement sur 42 000 sites. Versions touchées, mise à jour Composer et audit des commandes.
Modèles IA piégés sur Hugging Face : 31 dépôts installent un cryptomineur sur vos GPU
La campagne Load/Mine a infecté 31 dépôts Hugging Face (32 000 téléchargements) avec un cryptomineur GPU. IOC, vérification de vos modèles et mesures de protection pour serveurs d'inférence.
CVE-2026-97631 : faille UEFI critique dans le boot PXE, exécution de code avant Secure Boot
CVE-2026-97631 (CVSS 9.5) : buffer overflow dans le driver PXE d'EDK II. Exécution de code avant Secure Boot via ICMP. Vérifier OVMF sur Proxmox, appliquer le correctif ou désactiver le PXE.
CVE-2026-98432 : faille TCP du noyau Linux notée 9.8, root à distance et comment patcher son VPS
CVE-2026-98432 (CVSS 9.8) : root à distance démontré sur le noyau Linux. Correctifs Debian, RHEL, AlmaLinux, Proxmox, filtre nftables et patch du VPS.
WordPress 7.1.4 : 22 failles de sécurité corrigées dont une exécution de code à distance, mettez à jour immédiatement
WordPress 7.1.4 corrige 22 vulnérabilités dont une exécution de code à distance non authentifiée via le processus de mise à jour. Commandes de mise à jour et contournement immédiat.
CVE-2026-97229 : faille GitLab exploitée (CVSS 10), comment mettre à jour votre instance
CVE-2026-97229 : integer overflow CVSS 10.0 dans le compilateur regex CI/CD de GitLab CE/EE. Exploitation active (CISA KEV). Versions corrigées et mise à jour Omnibus.
CVE-2026-48356 PolyShell : faille critique Magento, un upload de fichier permet l'exécution de code sur votre boutique
CVE-2026-48356 (PolyShell) : faille CVSS 9.6 dans Magento et Adobe Commerce. Upload de webshell via l'API REST sans authentification. Comment vérifier votre version, appliquer le patch APSB26-73 et auditer pub/media.
CVE-2026-46300 Fragnesia : faille noyau Linux exploitée, correctifs et contournement
CVE-2026-46300 (Fragnesia) : élévation de privilèges locale dans le noyau Linux via le cache de pages. Versions corrigées Debian, Ubuntu, AlmaLinux, Rocky Linux, commandes de mise à jour et contournement temporaire.
RGPD et IA : le Digital Omnibus ouvre la voie à l'entraînement sur les données personnelles
Digital Omnibus : l'article 88 bis modifie le RGPD pour l'entraînement IA sur les données personnelles. Impact concret pour un admin de VPS ou serveur dédié.
Tailworm : 11 failles Tailscale SSH non corrigées, escalade root à travers le réseau mesh
Le rapport Tailworm révèle 11 vulnérabilités dans Tailscale SSH (v1.104.2) et headscale (0.29.5). La plus grave permet une escalade root wormable via une race condition sur les sockets Unix.
CVE-2026-110447 : faille critique Nextcloud Collabora CODE exploitée, web shells en circulation
CVE-2026-110447 : injection de commande non authentifiée dans proxy.php de richdocumentscode (Collabora CODE) pour Nextcloud. CVSS 9.2, web shells en circulation depuis septembre. Correctif, détection et actions.
eMudhra quitte le marché des certificats SSL/TLS après la compromission de huit clés privées
eMudhra quitte définitivement le marché mondial des certificats SSL/TLS après la compromission de huit clés privées intermédiaires (CVE-2026-111943). Chronologie, réponse de Cloudflare et actions pour les administrateurs de serveurs.
CVE-2026-115560 : troisieme faille PHP cette semaine, session upload progress exploitable sans correctif
CVE-2026-115560 : nouvelle faille RCE PHP via session upload progress et serialize_handler. Qui est expose, comment verifier et appliquer la mitigation sur votre serveur.
HTTP2Shell : la faille Brotli CVE-2026-111497 s'étend à curl, Envoy et toute la pile HTTP
CVE-2026-111497 (CVSS 9.2) rebaptisée HTTP2Shell : curl, Envoy, Istio, Bun et les applications C++ sont touchés. Composants à auditer, versions corrigées et mitigation pour votre serveur.
Quad9 quitte la France : le résolveur DNS 9.9.9.9 coupé le 24 novembre 2026
Quad9 (9.9.9.9) cessera de fonctionner en France le 24 novembre 2026. Comment vérifier et changer le résolveur DNS de votre VPS ou serveur dédié Linux avant la coupure.
Six failles du noyau Linux divulguées par erreur : deux RCE critiques dans KSMBD
Six failles du noyau Linux divulguées par erreur par Trend Micro ZDI, dont deux RCE critiques CVSS 9.0 dans KSMBD (serveur SMB in-kernel). Vérifiez votre serveur et désactivez KSMBD si non utilisé.
Node2Shell : faille RCE critique dans Node.js et Python via le décodeur Brotli
CVE-2026-111497 (CVSS 9.2) : un dépassement de tampon dans le décodeur Brotli permet une exécution de code à distance dans Node.js et Python. Versions corrigées et commandes de vérification pour votre VPS.
CVE-2026-110264 : faille critique GitLab notée 10/10, mettez à jour immédiatement
CVE-2026-110264 : faille critique GitLab CE/EE (CVSS 10.0), exécution de code à distance sans authentification. Versions corrigées, mise à jour et vérifications.
LiteLLM piégé sur PyPI et Docker Hub : un malware vole clés SSH et tokens API
LiteLLM 1.107.0 compromis le 21 octobre 2026 sur PyPI et Docker Hub : un malware vole clés SSH, tokens API et mots de passe. Comment vérifier et nettoyer votre VPS.
Compromission eMudhra : huit certificats TLS cassés, mettez à jour ca-certificates sur vos serveurs Linux
Huit certificats eMudhra compromis par des clés triviales (CVE-2026-111943). Comment vérifier et corriger ca-certificates sur votre VPS ou serveur dédié Linux.
Plex2Shell : des serveurs Plex exploités pour miner de la cryptomonnaie
Quatre CVE chaînées (Plex2Shell) permettent l'exécution de code sans authentification sur Plex Media Server < 1.43.3. Cryptominer XMRig et backdoor proxy en exploitation active. Mettez à jour et protégez votre serveur.
PHP2Shell (CVE-2026-109618 / 109619) : comprendre et patcher la faille critique de PHP
PHP2Shell (CVE-2026-109618, CVE-2026-109619) : comment la faille PHP a été découverte, comment elle fonctionne, comment la patcher et détecter une attaque.
UpdraftPlus piraté : des backdoors installées sur 400 000 sites WordPress via des clés volées
TeamUpdraft compromis le 17-18 octobre 2026 : des clés UpdraftCentral volées servent à installer des plugins backdoor sur les WordPress connectés. Vérification, nettoyage et mise à jour.
CVE-2026-99999 PwnEscape : la faille critique d'évasion VM qui menace les serveurs Linux
CVE-2026-99999 (PwnEscape) : faille CVSS 9.3 dans le réseau virtio du noyau Linux. Évasion de VM KVM/Proxmox. Comment vérifier votre noyau et appliquer le correctif sur votre VPS ou serveur dédié.
Failles critiques NGINX : trois CVE à corriger d'urgence sur votre VPS
Trois CVE critiques NGINX (CVSS 9.2) publiées par F5 le 14 octobre 2026 : heap buffer overflow et use-after-free. Versions affectées, mise à jour et mitigations pour votre VPS.