Publiée le 28 octobre 2026, la version 2.0 du guide GCVE-BCP-02 décrit le traitement et la divulgation coordonnée des vulnérabilités comme un processus opérationnel complet, de la préparation au retour d’expérience, et l’articule avec les obligations de notification du règlement européen sur la cyber résilience. Elle ajoute une annexe consacrée à la coordination entre projets amont, distributions, intégrateurs et fabricants dans les écosystèmes open source.
Le 21 octobre 2026, le projet PHP corrige en urgence php2shell, deux vulnérabilités critiques du cœur du moteur, la CVE-2026-109618 et la CVE-2026-109619, qui ouvrent une exécution de code à distance sans authentification sur tous les modes de service web. Les branches hors support, de PHP 5 à PHP 8.1, sont listées comme affectées par…
Ivanti corrige la CVE-2026-104935, exploitée depuis début octobre par un acteur inconnu qui enchaîne trois zero-day pour obtenir les droits root sur Connect Secure sans authentification. Le troisième maillon, une élévation de privilèges, reste sans correctif, et l’Integrity Checker Tool d’Ivanti ne détecte pas la compromission.
Microsoft publie 1 413 CVE le 13 octobre 2026, au-dessus des 973 de septembre. Une seule est exploitée, un contournement de Mark of the Web inscrit le jour même au catalogue KEV de la CISA, et ce Patch Tuesday est le dernier prévu par les programmes ESU de Windows Server 2012, 2012 R2, Exchange Server 2016…
L’équipe gouvernementale ukrainienne de réponse aux incidents décrit une campagne ClickFix servie depuis plus de cent sites compromis et pilotée par smart contract. L’une des trois chaînes d’installation charge un pilote AMD vulnérable dont l’échantillon ne figure pas dans la copie d’avril 2026 de la liste de blocage Microsoft examinée ici.
WordPress corrige la CVE-2026-87902, une inclusion de fichier local menant à la RCE sous conditions. La CISA l’inscrit au KEV, exploitation en cours.
Trois CVE du noyau Linux entrent au catalogue KEV de la CISA avec un délai de trois jours et un triage forensique. Correctifs, périmètre et lecture des scores.
La CISA a basculé sa plateforme de divulgation coordonnée le 17 septembre. Marquages TLP, délai de 45 jours, criblage des participants : tout est écrit.
L’ANSSI publie cinq stratégies d’investigation d’incident. Le modèle de maturité SIM3 mesure lesquelles sont réellement accessibles à une équipe.
Le CSPU de septembre 2026 apporte 673 correctifs Oracle, dont 247 exploitables à distance sans authentification et six notés 10.0 sur l’échelle CVSS.
La CISA justifie sa nouvelle directive et son échéance de trois jours par l’accélération de l’exploitation liée à l’intelligence artificielle. Confrontée aux deux jeux de données publics disponibles, cette justification tient sur un point et se dérobe sur les autres.
Publiée en 1998 et jamais remplacée, la RFC 2350 décrit une équipe de réponse à incident en sept parties. Ce qu’elle exige, ce qui a vieilli, comment l’écrire.
