Alertes de sécurité
Ce qu'il faut corriger maintenant.
Des alertes courtes quand une faille grave touche des sites comme le vôtre : ce qui se passe, qui est concerné, comment vérifier votre site et quoi faire. Les failles importantes de l'année passée y sont aussi, au cas où vous les auriez manquées. Chaque alerte cite ses sources officielles.
Alertes de sécurité
octobre 2026
PHP2Shell : deux failles critiques de PHP attaquées, mettez à jour
Deux failles de PHP permettent de prendre le contrôle d'un serveur sans connexion. Corrigées le 21 octobre 2026. Qui est touché, quoi faire.
Clés UpdraftCentral volées pour installer des extensions malveillantes : vérifiez
Des clés UpdraftCentral volées ont servi à créer des administrateurs et à installer des extensions malveillantes sur des sites.
Des copies de Rank Math SEO PRO 3.0.123 contenaient un logiciel malveillant : vérifiez
Des copies de Rank Math SEO PRO 3.0.123 téléchargées les 15 et 16 octobre 2026 étaient piégées. L'extension gratuite n'est pas touchée.
Next.js : failles critiques corrigées en 2026, passez à 15.5.28 ou 16.4.1
Les mises à jour de sécurité de Next.js depuis août 2026 corrigent plusieurs failles d'exécution de code à distance sans connexion.
septembre 2026
Faille d'inclusion de fichiers WordPress exploitée : passez à 7.1.2 ou version corrigée
Une faille du cœur de WordPress permet à n'importe qui de charger des fichiers du serveur, voire d'exécuter du code.
Failles de Ninja Forms et WPC Product Bundles utilisées pour cacher des administrateurs
Des attaquants ont exploité Ninja Forms et WPC Product Bundles pour créer des comptes administrateurs cachés.
Faille zero-day de Magento et Adobe Commerce exploitée : appliquez le correctif
Une faille exploitée de Magento permettait d'exécuter du code sur des boutiques sans connexion. Adobe demande de corriger et de changer les clés.
août 2026
Faille d'envoi de fichiers d'Elementor Pro exploitée : passez à la version 4.2.2 ou plus
Une faille dans les formulaires d'Elementor Pro permettait d'envoyer un fichier malveillant et de prendre le contrôle du site.
Le ver Shai-Hulud frappe keyv et des paquets de cache npm : vérifiez et changez vos clés
En août 2026, plus de 1 300 versions de paquets npm, dont keyv, ont été piégées par un ver qui vole les identifiants des développeurs.
juillet 2026
Failles wp2shell dans WordPress exploitées : vérifiez la version 7.0.2, 6.9.5 ou 6.8.6
Deux failles du cœur de WordPress permettent de prendre le contrôle d'un site sans compte. Attaques dès le jour du correctif.
juin 2026
L'éditeur JCE pour Joomla permettait de déposer du code : mettez à jour et vérifiez
Une faille critique de JCE, éditeur très répandu sur Joomla, a servi à déposer des scripts sur des sites sans connexion. Mettez à jour et vérifiez.
mai 2026
Failles du plugin cPanel de LiteSpeed donnant un accès root : interrogez votre hébergeur
Deux failles exploitées du plugin cPanel de LiteSpeed permettaient à un compte d'hébergement de prendre le contrôle du serveur.
Faille du serveur de courriel Exim exploitable sans connexion : mettez Exim à jour
Une faille critique d'Exim pouvait permettre à quiconque se connecte au serveur de courriel d'y exécuter du code. Corrigée en mai 2026.
avril 2026
Faille de connexion cPanel et WHM exploitée par un rançongiciel : vérifiez votre serveur
Une faille critique de cPanel & WHM permettait d'entrer dans le panneau sans mot de passe. Exploitée en masse. Vérifiez que votre hébergeur a corrigé.
mars 2026
Versions piégées d'axios sur npm : vérifiez vos projets et changez vos clés
Le 31 mars 2026, axios 1.14.1 et 0.30.4 ont été publiées avec un logiciel malveillant. Les machines touchées sont compromises.
janvier 2026
n8n Ni8mare : faille critique sans connexion, mettez à jour n8n auto-hébergé
La faille CVE-2026-21858, notée 10 sur 10, permet de lire des fichiers du serveur via les formulaires n8n, sans connexion.