Numéro de série : AV26-746
Date : 24 juillet 2026

Le 23 juillet 2026, Progress a publié des bulletins de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• MOVEit Transfer – versions antérieures à 2025.1.5;
• ProgressMOVEit Transfer – versions antérieures à 2026.0.3.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• MOVEit Transfer 2026 Release Notes - Fixed Issues in 2026.0.3 (en anglais seulement)
• Progress Trust Center (en anglais seulement)

Numéro de série : AV26-745
Date : 24 juillet 2026

Le 24 juillet 2026, HPE a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• HPE Unified Correlation Analyzer (UCA) – versions 4.4.11 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• HPESBNW05085 rev.1 - HPE Unified Correlation Analyzer (UCA), Multiple Vulnerabilities
• HPE Security Bulletin Library (en anglais seulement)

Numéro de série : AV26-744
Date : 24 juillet 2026

Le 22 juillet 2026, MongoDB a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• MongoDB Compass – versions antérieures à 1.49.7;
• MongoDB Server – versions antérieures à 7.0.39;
• MongoDB Server – versions antérieures à 8.0.28;
• MongoDB Server – versions antérieures à 8.2.12;
• MongoDB Server – versions antérieures à 8.3.7.

Le Centre pour la cybersécurité recommande aux utilisateurs et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Security Related: Common Vulnerabilities and Exposures (CVEs) (en anglais seulement)
• MongoDB Alerts (en anglais seulement)

Numéro de série : AV26-743
Date : 24 juillet 2026

Le 24 juillet 2026, Ericsson a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Packet Core Controller (PCC) – versions antérieures à 1.38;
• Packet Core Controller (PCC) – versions antérieures à 1.39.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Security Bulletin – Ericsson Packet Core Controller (PCC), July 2026 (en anglais seulement)
• Ericsson Security Advisories (en anglais seulement)

Numéro de série : AV26-742
Date : 24 juillet 2026

Le 24 juillet 2026, Moxa a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Moxa UC Series – multiples versions et modèles;
• Moxa V Series – multiples versions et modèles;
• Moxa VM-1220 Series – version MIL3 v1.1.0 et versions antérieures;
• Moxa ioThinx 4530 Series – version MIL3 v2.1 et versions antérieures;
• Moxa AIG Series – multiples versions et modèles;
• Moxa BXP Series – multiples versions et modèles;
• Moxa DRP-A100 Series / DRP-C100Series – version Debian 11 V1.0;
• Moxa RKP Series – multiples versions et modèles.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• CVE-2026-46333: ssh-keysign-pwn Vulnerability in Linux Kernel (en anglais seulement)
• Moxa Security Advisories (en anglais seulement)

Numéro de série : AV26-741
Date : 24 juillet 2026

Le 23 juillet 2026, Google a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Stable Channel Chrome for Desktop – versions antérieures à 150.0.7871.186/.187 (Windows/Mac), et 150.0.7871.186 (Linux).

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Google Chrome Security Advisory (en anglais seulement)

Numéro de série : AV26-740
Date : 24 juillet 2026

Le 23 juillet 2026, Microsoft a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Microsoft Edge Stable Channel – versions antérieures à 150.0.4078.80.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer la mise à jour nécessaire.

• Microsoft Edge Stable Channel Release Notes (en anglais seulement)

Numéro de série : AV26-739
Date : 23 juillet 2026

Le 23 juillet 2026, JetBrains a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• JetBrains GoLand - versions antérieures à 2026.2;
• JetBrains IntelliJ IDEA - versions antérieures à 2026.2;
• JetBrains PhpStorm - versions antérieures à 2026.2;
• JetBrains PyCharm – versions antérieures à 2026.1.4 et 2026.2;
• JetBrains TeamCity – versions antérieures à 2026.1.2 et 2025.11.6;
• JetBrains WebStorm – versions antérieures à 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• JetBrains – Fixed security issues (en anglais seulement)

Numéro de série : AV26-698
Date : 14 juillet 2026
Mise à jour : 23 juillet 2026

Le 14 juillet 2026, Microsoft a publié des bulletins de sécurité visant à faire état de vulnérabilités liées à de multiples produits. Ces bulletins comprennent des mises à jour critiques pour les produits suivants :

• .NET 10.0 installed on Linux;
• .NET 10.0 installed on Mac OS;
• .NET 10.0 installed on Windows;
• .NET 8.0 installed on Linux;
• .NET 8.0 installed on Mac OS;
• .NET 8.0 installed on Windows;
• .NET 9.0 installed on Linux;
• .NET 9.0 installed on Mac OS;
• .NET 9.0 installed on Windows;
• Age of Empires II: Definitive Edition Game;
• Azure Active Directory;
• Azure CycleCloud 8.9.1;
• Azure Monitor Agent Metrics Extension;
• Azure Open AI;
• Azure Spring Apps;
• Azure Synapse;
• Fabric Data Warehouse;
• GitHub Copilot Plugin for JetBrains IDEs;
• Microsoft .NET Framework;
• Microsoft .NET Framework 3.5;
• Microsoft .NET Framework 4.8.1;
• Microsoft 365 Apps;
• Microsoft 365 Apps for Enterprise
• Microsoft 365 Copilot;
• Microsoft 365 Copilot for Android;
• Microsoft 365 Copilot for iOS;
• Microsoft Bing Search for iOS;
• Microsoft Defender for Endpoint for Mac;
• Microsoft Dynamics NAV 2018;
• Microsoft Edge (Chromium-based);
• Microsoft Entra Provisioning Service;
• Microsoft Excel 2016;
• Microsoft Exchange Online;
• Microsoft Exchange Server 2016;
• Microsoft Exchange Server 2019;
• Microsoft Exchange Server Subscription Edition RTM;
• Microsoft Malware Protection Engine;
• Microsoft Office 2016;
• Microsoft Office 2019;
• Microsoft Office 365 for Mac;
• Microsoft Office LTSC 2021;
• Microsoft Office LTSC 2024;
• Microsoft Office LTSC for Mac 2021;
• Microsoft Office LTSC for Mac 2024;
• Microsoft Office for Android;
• Microsoft PC Manager;
• Microsoft PowerPoint 2016;
• Microsoft SQL Server 2016;
• Microsoft SQL Server 2017;
• Microsoft SQL Server 2019;
• Microsoft SQL Server 2022;
• Microsoft SQL Server 2025;
• Microsoft SharePoint Enterprise Server 2016;
• Microsoft SharePoint Server 2019;
• Microsoft SharePoint Server Subscription Edition;
• Microsoft Surface Go 2;
• Microsoft Surface Go 3;
• Microsoft Surface Hub;
• Microsoft Surface Hub 2S;
• Microsoft Surface Hub 3;
• Microsoft Surface Laptop Go;
• Microsoft Surface Laptop Go 2;
• Microsoft Surface Laptop Go 3;
• Microsoft Surface Pro 7+;
• Microsoft Surface Pro 8;
• Microsoft Visual Studio 2022;
• Microsoft Visual Studio 2026;
• Microsoft Word 2016;
• AspNet.OData;
• AspNetCore.OData;
• Minecraft Bedrock Dedicated Server;
• Office Online Server;
• Power BI Report Server;
• Surface Laptop 4 with AMD Processor;
• Surface Laptop 4 with Intel Processor;
• Surface Windows Dev Kit;
• Visual Studio Code;
• Windows 10;
• Windows 11;
• Windows 11 Version;
• Windows Admin Center;
• Windows Remote Help;
• Windows Server 2012;
• Windows Server 2012 R2;
• Windows Server 2016;
• Windows Server 2019;
• Windows Server 2022;
• Windows Server 2025;
• Windows Subsystem for Linux (WSL2);
• Windows Terminal for Windows 10;
• Windows Terminal for Windows 11.

Microsoft a indiqué que les vulnérabilités CVE-2026-56164 et CVE-2026-56155 sont exploitées.

Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté les vulnérabilités CVE-2026-56164 et CVE-2026-56155 à son catalogue de vulnérabilités exploitées connues (KEV) le 14 juillet 2026.

Mise à jour 1

La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-58644 à son catalogue de vulnérabilités exploitées connues (KEV) le 16 juillet 2026.

Mise à jour 2

Des rapports de sources ouvertes indiquent que la vulnérabilité CVE-2026-50522 est exploitée dans la nature.

Mise à jour 3

La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-50522 à son catalogue de vulnérabilités exploitées connues (KEV) le 22 juillet 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• May 2026 Security Updates
• Guide des mises à jour de sécurité
• CISA KEV: CVE-2026-56164 (en anglais seulement)
• CISA KEV: CVE-2026-56155 (en anglais seulement)
• CISA KEV: CVE-2026-58644 (en anglais seulement)
• CISA KEV: CVE-2026-50522 (en anglais seulement)

Numéro de série : AV26-735
Date : 22 juillet 2026
Mise à jour : 23 juillet 2026

Le 22 juillet 2026, Check Point a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient un correctif critique pour les produits suivant :

• Security Management, Multi-Domain Management – multiples versions;
• Firewall, Multi-Domain Management, Multi-Domain Log Server – multiples versions.

Check Point est au courant que la vulnérabilité CVE-2026-16232 est exploitée dans la nature.

Mise à jour 1

La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-16232 à son catalogue de vulnérabilités exploitées connues (KEV) le 22 juillet 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web et de suivre les mesures d'atténuation recommandées.

• Security Advisory – Action Required – July 2026 Security Update (en anglais seulement)
• Check Point Security (en anglais seulement)
• CISA KEV: CVE-2026-16232 (en anglais seulement)

Numéro de série : AV26-738
Date : 22 juillet 2026

Le 22 juillet 2026, Drupal a publié des bulletins de sécurité visant à corriger une vulnérabilité liée au produit suivant. Ces mises à jour de sécurité comprenaient un correctif critique pour le produit suivant :

• Internationalization Single Sign-On – versions antérieures à 1.8.0.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires ou de suivre les mesures d'atténuation recommandées.

• Internationalization Single Sign-On - Critical - Access bypass - SA-CONTRIB-2026-081 (en anglais seulement)
• Drupal Security Advisories (en anglais seulement)

Numéro de série : AV26-737
Date : 22 juillet 2026

Le 22 juillet 2026, Exim a publié un bulletin de sécurité visant à corriger une vulnérabilité liée au produit suivant :

• Exim – de la version 4.88 à 4.99.4.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous, de suivre les mesures d’atténuation recommandées et d’appliquer les mises à jour nécessaires.

• Exim Security Advisory for EXIM-Security-2026-06-22.1 / GCVE-25-2026-07-45-1 (en anglais seulement)
• Exim Internet Mailer (en anglais seulement)

Numéro de série : AV26-736
Date : 22 juillet 2026

Le 21 juillet 2026, Mitel a publié des bulletins de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• ShareFile Storage Zones Controller v5 – versions antérieures à 5.12.4;
• ShareFile Storage Zones Controller v6 – versions antérieures à 6.0.1.;

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• ShareFile Storage Zones Controller (SZC) Service Disruption Guidance, Login Issues, and Access Information (en anglais seulement)
• Progress Trust Center (en anglais seulement)

Numéro de série : AV26-734
Date : 22 juillet 2026

Le 22 juillet 2026, Mitel a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• MiCollab – multiples versions;
• OpenScape UC – multiples versions.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Mitel Product Security Advisory MISA-2026-0006 - MiCollab Command Injection Vulnerability (en anglais seulement)
• Mitel Product Security Advisory MISA-2026-0007 - OpenScape UC Cross Reflected Site Scripting (XSS) Vulnerability (en anglais seulement)
• Mitel Security Bulletins (en anglais seulement)

Numéro de série : AV26-732
Date : 22 juillet 2026

Le 22 juillet 2026, n8n a publié des bulletins de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• n8n – versions antérieures à 1.123.67;
• n8n – versions antérieures à 2.32.1;
• n8n – versions antérieures à 2.31.5.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Authenticated code execution in the n8n Git node (en anglais seulement)
• n8n Security (en anglais seulement)

Numéro de série : AV26-732
Date : 22 juillet 2026

Le 22 juillet 2026, ISC a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• ISC BIND 9 – de la versions 9.11.0 à 9.18.50;
• ISC BIND 9 – de la version 9.20.0 à 9.20.24;
• ISC BIND 9 – de la version 9.21.0 à 9.21.23;
• BIND Supported Preview Edition – de la version 9.11.3-S1 à 9.18.50-S1;
• BIND Supported Preview Edition – de la version 9.16.8-S1 à 9.18.50-S1;
• BIND Supported Preview Edition – de la version 9.18.11-S1 à 9.18.50-S1;
• BIND Supported Preview Edition – de la version 9.20.9-S1 à 9.20.24-S1.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• BIND 9 Security Vulnerability Matrix (en anglais seulement)

Numéro de série : AV26-731
Date : 22 juillet 2026

Le 21 juin 2026, Atlassian a publié un avis de sécurité concernant des vulnérabilités, dont certaines critiques, dans les produits suivants :

• Bamboo Data Center and Server – multiples versions;
• Bitbucket Data Center and Server – multiples versions;
• Confluence Data Center and Server – multiples versions;
• Crowd Data Center and Server – multiple versions;
• Fisheye/Crucible – versions 4.9.0 à 4.9.11;
• Jira Data Center and Server – multiples versions;
• Jira Service Management Data Center and Server – multiples versions;
• Sourcetree for Mac – toutes les versions de 3.4.11 à 3.4.12;
• Sourcetree for Windows – toutes les versions de 3.4.11 à 3.4.12.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Security Bulletin - July 21 2026 (en anglais seulement)
• Bulletin et avis de sécurité Atlassian (en anglais seulement)

Numéro de série : AV26-730
Date : 22 juillet 2026

Le 21 juillet 2026, Google a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Stable Channel Chrome for Desktop – versions antérieures à 150.0.7871.181/.182 (Windows/Mac), et 150.0.7871.181 (Linux).

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Google Chrome Security Advisory (en anglais seulement)

Numéro de série : AV26-729
Date : 22 juillet 2026

Le 21 juillet 2026, Oracle a publié un bulletin de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• Oracle Database Server;
• Oracle APEX;
• Oracle Autonomous Health Framework;
• Oracle Essbase;
• Oracle Global Lifecycle Management;
• Oracle GoldenGate;
• Oracle NoSQL Database;
• Oracle Spatial Studio;
• Oracle SQL Developer;
• Oracle TimesTen In-Memory Database;
• Oracle Application Testing Suite;
• Oracle Commerce;
• Oracle Communications;
• Oracle Construction and Engineering;
• Oracle E-Business Suite;
• Oracle Enterprise Manager;
• Oracle Financial Services Applications;
• Oracle Food and Beverage Applications;
• Oracle Fusion Middleware;
• Oracle Analytics;
• Oracle HealthCare Applications;
• Oracle Hospitality Applications;
• Oracle Java SE;
• Oracle JD Edwards;
• Oracle MySQ;
• Oracle PeopleSoft;
• Oracle Retail Applications;
• Oracle Siebel CRM;
• Oracle Supply Chain;
• Oracle Systems;
• Oracle Utilities Applications;
• Oracle Virtualization.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous, de suivre les mesures d’atténuation recommandées et d’appliquer les mises à jour nécessaires.

• Oracle Critical Patch Update Advisory – July 2026 (en anglais seulement)

Numéro de série : AV26-728
Date : 22 juillet 2026

Le 21 juillet 2026, SolarWinds a publié des bulletins de sécurité visant à corriger des vulnérabilités critiques liées au produit suivant :

• SolarWinds Serv-U – version 15.5.4 HF1 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires.

• SolarWinds Security Vulnerabilities (en anglais seulement)

Numéro de série : AV26-727
Date : 22 juillet 2026

Le 21 juillet 2026, HPE a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient un correctif critique pour les produits suivants :

• HPE Aruba Networking Private 5G Core – version 1.26.1.1 et versions antérieures;
• HPE Aruba Networking EdgeConnect SD-WAN Gateways – multiples versions et plateformes.
• HPE Aruba Networking AOS-CX – multiples versions et plateformes.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• HPESBNW05083 rev.1 - Private 5G Core, Traefik StripPrefix Route-Level Auth Bypass via Path Normalization (CVE-2026-48020) (en anglais seulement)
• HPESBNW05013 rev.1 - HPE Aruba Networking EdgeConnect SD-WAN Gateways, Multiple Vulnerabilities (en anglais seulement)
• HPESBNW05081 rev.1 - Multiple Vulnerabilities in HPE Aruba Networking AOS-CX (en anglais seulement)
• HPE Security Bulletin Library (en anglais seulement)

Numéro de série : AV26-723
Date : 20 juillet 2026
Date : 21 juillet 2026

Le 17 juillet 2026, WordPress a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• WordPress 7.0 – versions antérieures à 7.0.2;
• WordPress 6.9 – versions antérieures à 6.9.5;
• WordPress 6.8 – versions antérieures à 6.8.6;
• WordPress 7.1 beta – versions antérieures à 7.1 beta2.

Des rapports de sources ouvertes indiquent que les vulnérabilités CVE-2026-60137 et CVE-2026-63030 sont exploitées dans la nature.

Mise à jour 1

Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté les vulnérabilités CVE-2026-60137 et CVE-2026-63030 à son catalogue de vulnérabilités exploitées connues (KEV) le 21 juillet 2026

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Facilitated SQL injection vulnerability in the `author__not_in` parameter of `WP_Query` (en anglais seulement)
• REST API batch-route confusion and SQL injection issue leading to Remote Code Execution (en anglais seulement)
• WordPress 7.0.2 Release (en anglais seulement)
• WordPress Releases (en anglais seulement)
• CISA KEV: CVE-2026-60137 (en anglais seulement)
• CISA KEV: CVE-2026-63030 (en anglais seulement)

Numéro de série : AV26-726
Date : 21 juillet 2026

Le 21 juillet 2026, Mozilla a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• Firefox ESR – versions antérieures à 140.13;
• Firefox ESR – versions antérieures à 115.38;
• Firefox – versions antérieures à 153.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d’appliquer les mises à jour nécessaires.

• Mozilla Foundation Security Advisory 2026-70 (en anglais seulement)
• Mozilla Foundation Security Advisory 2026-69 (en anglais seulement)
• Mozilla Foundation Security Advisory 2026-68 (en anglais seulement)
• Mozilla Security Advisories (en anglais seulement)

Numéro de série : AV26-725
Date : 21 juillet 2026

Le 21 juillet 2026, Zyxel a publié un bulletin de sécurité visant à corriger une vulnérabilité liée aux produits suivants :

• DSL/Ethernet CPE – multiples versions et modèles;
• Fiber ONTs – multiples versions et modèles;
• Wireless Extenders – multiples versions et modèles.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• Zyxel security advisory for post-authentication command injection vulnerability in certain DSL/Ethernet CPE, Fiber ONTs, and Wireless Extenders (en anglais seulement)
• Zyxel Advisories (en anglais seulement)

Numéro de série : AV26-724
Date : 21 juillet 2026

Le 20 juillet 2026, Tenable a publié un bulletin de sécurité visant à corriger des vulnérabilités critiques liées au produit suivant :

• Tenable Security Center – de la version 6.6.0 à 6.8.0.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• [R1] Stand-alone Security Patch Available for Tenable Security Center Versions 6.6.0, 6.7.2 and 6.8.0: SC202607.1 (en anglais seulement)
• Tenable Product Security Advisories (en anglais seulement)

Numéro de série : AV26-722
Date : 20 juillet 2026

Le 20 juillet 2026, HPE a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• HPE Telco Automated Assurance – version v1.4 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• HPESBNW05082 rev.1 - HPE Telco Automated Assurance, Multiple Vulnerabilities (en anglais seulement)
• HPE Security Bulletin Library (en anglais seulement)

Numéro de série : AV26-693
Date : 14 juillet 2026
Mise à jour : 20 juillet 2026

Le 13 July 2026, ServiceNow a publié un bulletin de sécurité visant à corriger une vulnérabilité critique liée aux produits suivants :

• Brazil - versions antérieures à Brazil EA et Brazil GA;
• Australia - versions antérieures à Australia Patch 2;
• Zurich - versions antérieures à Zurich Patch 7b et Zurich Patch 9;
• Yokohama - versions antérieures à Yokohama Patch 12 Hot Fix 1b et Yokohama Patch 13.

Mise à jour 1

Des rapports de sources ouvertes indiquent que la vulnérabilité CVE-2026-6875 est exploitée dans la nature.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d'appliquer les mises à jour nécessaires.

• [Security Advisory] CVE-2026-6875 - Sandbox Escape in ServiceNow AI Platform (en anglais seulement)
• ServiceNow security advisories (en anglais seulement)

Numéro de série : AV26-720
Date : 20 juillet 2026

Le 16 juillet 2026, GitHub a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• GitHub Enterprise Server – version 3.21.x antérieures à 3.21.3;
• GitHub Enterprise Server – version 3.20.x antérieures à 3.20.5;
• GitHub Enterprise Server – version 3.19.x antérieures à 3.19.9;
• GitHub Enterprise Server – version 3.18.x antérieures à 3.18.12;
• GitHub Enterprise Server – version 3.17.x antérieures à 3.17.18.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les page Web ci-dessous et d'appliquer les mises à jour nécessaires.

• Enterprise Server 3.21.3 (en anglais seulement)
• Enterprise Server 3.20.5 (en anglais seulement)
• Enterprise Server 3.19.9 (en anglais seulement)
• Enterprise Server 3.18.12 (en anglais seulement)
• Enterprise Server 3.17.18 (en anglais seulement)

Numéro de série : AV26-721
Date : 20 juillet 2026

Le 20 juillet 2026, Zimbra a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Zimbra Collaboration Suite (ZCS) Classic Web Client – versions antérieures à v10.1.20.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• Patch Release Update: Zimbra 10.1.20 (en anglais seulement)
• Zimbra Patch Release Updates (en anglais seulement)

Numéro de série : AV26-719
Date : 20 juillet 2026

Du 13 au 19 juillet 2026, Red Hat a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces bulletins comprennent des mises à jour pour corriger des vulnérabilités liées au noyau Linux dans les produits suivants :

• Red Hat CodeReady Linux Builder – multiples versions et plateformes;
• Red Hat Enterprise Linux – multiples versions et plateformes;
• Red Hat Enterprise Linux Server – multiples versions et plateformes;
• Red Hat Enterprise Linux for Real Time – multiples versions et plateformes.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d'appliquer les mises à jour nécessaires.

• Bulletin de securité Red Hat (en anglais seulement)

Numéro de série : AV26–718
Date : 20 juillet 2026

Du 13 au 19 juillet 2026, CISA a publié des bulletins de sécurité SCI visant à corriger des vulnérabilités liées aux produits suivants :

• ABB 800xA for Advant Master – multiples versions;
• ABB Ability Edgenius – multiples versions et models;
• ABB Control Builder A – version 1.4/4 et versions antérieures;
• ABB T-MAC Plus – version 4.0-24;
• AutomationDirect Productivity Suite – version v4.6.2.2 et versions antérieures;
• NASA Core Flight System (cFS) Health & Safety (HS) Application – versions antérieures à v7.0.1;
• Rockwell Automation 1715-AENTR EtherNet/IP Adapter – version 3.003 et versions antérieures;
• Rockwell Automation 1756-EN2 – version V12.001 et versions antérieures;
• Rockwell Automation 1756-EN3 – versions V12.001 et versions antérieures;
• Rockwell Automation 1756-ENBT – version V6.006;
• Rockwell Automation Arena – version V17.00.00 et versions antérieures;
• Rockwell Automation CompactLogix, ControlLogix, Compact GuardLogix and GuardLogix – multiple versions et modèles;
• Rockwell Automation FactoryTalk DataMosaix Private Cloud – version 8.02 et versions antérieures;
• Rockwell Automation Flex 5000 Adapter – version 6.011;
• SALTO ProAccess Space – versions antérieures à 6.13;
• Siemens SICAM 8 CPCI85 Central Processing/Communication – versions antérieures à 26.20;
• Siemens SICAM 8 SICORE Base system – versions antérieures à 26.20.0.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous, de suivre les mesures d'atténuation recommandées et si disponible, appliquer les mises à jour nécessaires.

• CISA ICS Advisories (en anglais seulement)

Numéro de série : AV26-717
Date : 20 juillet 2026

Du 13 au 19 juillet 2026, Ubuntu a publié des avis de sécurité visant à corriger des vulnérabilités de noyau Linux liée aux produits suivants :

• Ubuntu 14.04 LTS;
• Ubuntu 16.04 LTS;
• Ubuntu 20.04 LTS;
• Ubuntu 24.04 LTS;
• Ubuntu 25.10.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d'appliquer les mises à jour nécessaires.

• Ubuntu Security Notices (en anglais seulement)

Numéro de série : AV26-716
Date : 20 juillet 2026

Du 13 au 19 juillet 2026, Dell a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits :

• Dell DRAC9 – versions antérieures à 7.00.00.184;
• Dell PowerEdge Server – multiples versions et models;
• Dell PowerProtect Data Manager – versions antérieures à 20.2.0.0;
• Dell SmartFabric Manager – versions antérieures à 2.2.1;
• Dell Storage Monitoring and Reporting – versions antérieures à 6.1.1.0;
• Dell Storage Resource Manager – versions antérieures à 6.1.1.0;
• Dell ThinOS 10 – multiples versions et models;
• Dell iDRAC9 – versions antérieures à 7.30.30.51.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d'appliquer les mises à jour nécessaires.

• Avis, notifications et ressources de sécurité Dell

Numéro de série : AV26-715
Date : 20 juillet 2026

Du 13 au 19 juillet 2026, IBM a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• IBM API Connect V12 OnPrem – de la version v12.1.0.0 à v12.1.1.0;
• IBM Automation Decision Services – versions 24.0.0, 24.0.1 et 25.0.0;
• IBM CICS Transaction Gateway Desktop Edition – versions antérieures à 10.1;
• IBM CICS Transaction Gateway for Multiplatforms – versions antérieures à 10.1;
• IBM Cloud Object Storage System – de la version 3.20.0.0 à 3.20.1.66;
• IBM Cloud Object Storage System – de la version 3.8.1.54 à 3.19.5.56;
• IBM Datacap Navigator – versions 9.1.7, 9.1.8 et 9.1.9;
• IBM Datacap – versions 9.1.7, 9.1.8 et 9.1.9;
• IBM Engineering AI Hub – versions 1.0.0, 1.1.0 et 1.2.0;
• IBM Guardium Data Protection – version 12.1 et 12.2;
• IBM Guardium Unified Discovery and Classification (GUDC) – de la version 1.0.0 à 1.2.0;
• IBM Installation Manager – versions antérieures à 1.10.1.4;
• IBM Jazz Reporting Service – multiples versions;
• IBM Packaging Utility – versions antérieures à 1.10.1.4;
• IBM Process Automation Manager Open Edition Starter Kit for Banking – de la version 9.3.1 à 9.4.1;
• IBM QRadar Data Synchronization App – de la version 1.0.0 à 3.3.0;
• IBM QRadar User Behavior Analytics – de la version 1.0.0 à 5.1.0;
• IBM Rapid Network Automation – versions antérieures à 1.1.4 et 1.1.5;
• IBM Sterling Secure Proxy – de la version 6.1.0.0 à 6.1.0.4;
• IBM Sterling Secure Proxy – de la version 6.2.1.0 à 6.2.1.2 iFix01;
• IBM Tivoli Netcool Configuration Manager – de la version 6.4.2 GA à 6.4.2.24;
• IBM WebSphere Service Registry and Repository – versions antérieures à 8.5;
• IBM i – versions 7.6, 7.5, 7.4 et 7.3;
• IBM watsonx Orchestrate Cartridge for IBM Cloud Pak for Data – de la version 4.8.4 à 4.8.5;
• IBM watsonx Orchestrate Cartridge for IBM Cloud Pak for Data – de la version 5.0.0 à 5.3.3.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d'appliquer les mises à jour nécessaires.

• IBM Product Security Incident Response (en anglais seulement)

Numéro de série : AV26-714
Date : 17 juillet 2026

Le 16 juillet 2026, Microsoft a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Microsoft Edge Stable Channel – versions antérieures à 150.0.4078.80.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer la mise à jour nécessaire.

• Microsoft Edge Stable Channel Release Notes (en anglais seulement)

Numéro de série : AV26-713
Date : 17 juillet 2026

Le 16 juillet 2026, Google a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Stable Channel Chrome for Desktop – versions antérieures à 150.0.7871.128/.129 (Windows/Mac), et 150.0.7871.128 (Linux).

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Google Chrome Security Advisory (en anglais seulement)

Numéro de série : AV26-712
Date : 17 juillet 2026

Le 14 juillet 2026, Broadcom a publié une bulletin de sécurité visant à corriger des vulnérabilités dans le produit suivant. Ces mises à jour de sécurité comprenaient un correctif critique pour le produit suivant :

• VMware Avi Load Balancer – multiples versions.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• VMSA-2026-0005: VMware Avi Load Balancer addresses multiple vulnerabilities (CVE-2026-47865, CVE-2026-47866, CVE-2026-47867, CVE-2026-47868, CVE-2026-47869, CVE-2026-47870, CVE-2026-47871) (en anglais seulement)
• Security Advisories - Application Networking and Security (en anglais seulement)

Numéro de série : AV26-711
Date : 17 juillet 2026

Le 17 juillet 2026, FreePBX a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• FreePBX Security-Reporting ucp (FreePBX 17) – versions antérieures à 17.0.9;
• FreePBX Security-Reporting missedcall (FreePBX 16) – versions antérieures à 16.0.11;
• FreePBX Security-Reporting missedcall (FreePBX 16) – versions antérieures à 17.0.6;
• FreePBX Security-Reporting tts (FreePBX 17) – versions antérieures à 17.0.6;
• FreePBX Security-Reporting tts (FreePBX 16) – versions antérieures à 16.0.6;
• FreePBX Security-Reporting music (FreePBX 17) – versions antérieures à 17.0.7;
• FreePBX Security-Reporting framework (FreePBX 16) – versions antérieures à 16.0.47;
• FreePBX Security-Reporting framework (FreePBX 17) – versions antérieures à 17.0.30.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous, appliquer les mises à jour nécessaires et de suivre les mesures d’atténuation recommandées.

• Unauthenticated remote code execution in FreePBX UCP via socket.io namespace auth bypass and AMI action injection (en anglais seulement)
• Unauthenticated SQL injection in FreePBX missedcall via inbound Caller ID name leads to administrator takeover (en anglais seulement)
• Authenticated TTS AGI Command Injection Through TTS Name (en anglais seulement)
• Authenticated FreePBX Music RCE via mpg123 and Asterisk Call Files (en anglais seulement)
• Authenticated Framework AUTHTYPE Can Be Restored From a Crafted Backup (en anglais seulement)
• FreePBX Security Advisories (en anglais seulement)

Numéro de série : AV26-351
Date : 14 avril 2026
Mise à jour : 16 juillet 2026

Le 14 avril 2026, Fortinet a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• FortiSandbox 4.4 – de la version 4.4.0 à 4.4.8;
• FortiSandbox 5.0 – de la version 5.0.0 à 5.0.5;
• FortiAnalyzer Cloud 7.6 – de la version 7.6.2 à 7.6.4;
• FortiManager Cloud 7.6 – de la version 7.6.2 à 7.6.4;
• FortiDDoS-F 7.2 – de la version 7.2.1 à 7.2.2.

Mise à jour 1

Des rapports de sources ouvertes indiquent que les vulnérabilités CVE-2026-39813, CVE-2026-39808 et CVE-2026-25089 ont été exploitées.

Mise à jour 2

Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-39808 à son catalogue de vulnérabilités exploitées connues (KEV) le 16 juillet 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• OS Command Injection through API endpoint (en anglais seulement)
• Unauthenticated Authentication bypass and Privilege escalation in FortiSandbox (en anglais seulement)
• Heap-based buffer overflow in oftpd daemon (en anglais seulement)
• SQL Injection via API (en anglais seulement)
• Fortinet PSIRT Advisories (en anglais seulement)
• CISA KEV : CVE-2026-39808 (en anglais seulement)

Numéro de série : AV26-568
Date : 9 juin 2026
Mise à jour : 16 juillet 2026

Le 9 juin 2026, Fortinet a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• FortiSandbox 5.0 – de la version 5.0.0 à 5.0.5;
• FortiSandbox 4.4 – de la version 4.4.0 à 4.4.8;
• FortiSandbox Cloud 5.0 – de la version 5.0.4 à 5.0.5;
• FortiSandbox PaaS 5.0 – de la version 5.0.4 à 5.0.5.

Mise à jour 1

Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-25089 à son catalogue de vulnérabilités exploitées connues (KEV) le 16 juillet 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• Second-Order OS Command Injection via JSON Input on start vnc feature (en anglais seulement)
• Fortinet PSIRT Advisories (en anglais seulement)
• CISA KEV : CVE-2026-25089 (en anglais seulement)

Numéro de série : AV26-710
Date : 16 juillet 2026

Le 15 juillet 2026, Grafana a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Grafana MCP Server – version 0.17.1 et versions antérieures;
• Grafana Loki – version 3.7.0 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Grafana MCP server-side request forgery via X-Grafana-URL header (en anglais seulement)
• Loki detected_fields query limits results in unbounded memory allocation (en anglais seulement)
• Grafana Blog (en anglais seulement)

Numéro de série : AV26-709
Date : 16 juillet 2026

Le 14 juillet 2026, JetBrains a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à multiple produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• JetBrains TeamCity – versions antérieures à 2026.1.2;
• JetBrains YouTrack – multiples versions;
• JetBrains IntelliJ IDEA – versions antérieures à 2026.1.4 and 2026.2.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• JetBrains – Fixed security issues (en anglais seulement)

Numéro de série : AV26-708
Date : 16 juillet 2026

Le 15 juillet 2026, Splunk a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• Splunk Enterprise – multiples versions et plateformes;
• Splunk Cloud Platform – multiples versions et plateformes.;

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• SPL Command Safeguards Bypass through Cross-Site Request Forgery (CSRF) in Deployment Server in Splunk Enterprise (en anglais seulement)
• Path Traversal through 'explicit_appname' in the App Install REST Endpoint in Splunk Enterprise (en anglais seulement)
• Third-Party Package Updates in Splunk Enterprise - July 2026 (en anglais seulement)
• Splunk Security Advisories (en anglais seulement)

Numéro de série : AV26-707
Date : 16 juillet 2026

Le 14 juillet 2026, Zoom a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Remote Control for Zoom Contact Center for Windows – versions antérieures à 7.0.0;
• Zoom Meeting SDK for Windows – versions antérieures à 6.6.11;
• Zoom Rooms for Windows – versions antérieures à 7.1.0;
• Zoom Workplace for Windows – versions antérieures à 7.0.0;
• Zoom Workplace VDI Client for Windows – versions antérieures à 7.0.10, 6.5.18 et 6.6.15;
• Zoom Workplace VDI Client for Windows – versions antérieures à 6.5.17 et 6.6.14.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous, de suivre les recommandations et d’appliquer les mises à jour nécessaires selon la disponibilité.

• Zoom Workplace for Windows - Improper Input Validation (en anglais seulement)
• Zoom Rooms for Windows - Improper Privilege Management (en anglais seulement)
• Zoom Workplace VDI Plugin for Windows - Improper Input Validation (en anglais seulement)
• Zoom Clients for Windows - Race Condition (en anglais seulement)
• Zoom Security Bulletins (en anglais seulement)

Numéro de série : AV26-706
Date : 15 juillet 2026

Le 15 juillet 2026, Cisco a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Cisco RoomOS Release 11 and earlier On-Premises Operation – versions antérieures à 32.6.0;
• Cisco RoomOS Release 11 and earlier Cloud-Aware Operation – versions antérieures à RoomOS 11.39.1.1;
• Cisco RoomOS Release 26 On-Premises Operation – versions antérieures à 5.2.2;
• Cisco RoomOS Release 26 Cloud-Aware Operation – versions antérieures à RoomOS June 2026 (26.7.1.7).

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Cisco RoomOS Security Hardening Release: July 2026 (en anglais seulement)
• Cisco Security Advisories (en anglais seulement)

Numéro de série : AV26-526
Date : 29 mai 2026
Mise à jour : 15 juillet 2026

Le 28 mai 2026, Oracle a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Oracle Communications Unified Assurance - de la version 6.1.1 à 7.0.0;
• Oracle Database Server - de la version 23.4.0 à 23.26.2;
• Oracle E-Business Suite - de la version 12.2.3 à 12.2.15;
• Oracle Hospitality OPERA 5 Property Services - versions 5.6.19.24, 5.6.22, 5.6.25.19, 5.6.27.6 et 5.6.28;
• Oracle REST Data Services - de la version 24.2.0 à 26.1.0.

Mise à jour 1

Des rapports de sources ouvertes indiquent que la vulnérabilité CVE-2026-46817 est exploitée.

Mise à jour 2

Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-46817 à son catalogue de vulnérabilités exploitées connues (KEV) le 15 juillet 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web suivantes et de suivre les mesures d'atténuation recommandées.

• Oracle Critical Security Patch Update Advisory - May 2026 (en anglais seulement)
• Oracle Critical Patch Updates, Security Alerts and Bulletins (en anglais seulement)
• CISA KEV: CVE-2026-46817 (en anglais seulement)

Numéro : AL26-017
Date : 15 juillet 2026

Auditoire

La présente alerte s'adresse aux professionnelles et professionnels des TI et aux gestionnaires.

Objet

Une alerte vise à sensibiliser les destinataires à une cybermenace récemment relevée pouvant toucher les biens d'information électroniques et à fournir des conseils supplémentaires en matière de détection et d'atténuation. Le Centre canadien pour la cybersécurité (ou Centre pour la cybersécurité) peut offrir une assistance supplémentaire aux destinataires qui en font la demande.

Détails

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) est au courant des vulnérabilités critiques touchant Microsoft SharePoint Server. En réponse au bulletin de sécurité de Microsoft communiqué le 14 juillet 2026^{Note de bas de page 1}, le Centre pour la cybersécurité a publié le bulletin de sécurité AV26-698^{Note de bas de page 2} le 14 juillet 2026.

Publiée sous le numéro CVE-2026-55164^{Note de bas de page 3}, cette vulnérabilité d'authentification manquante pour fonction critique (CWE-306)^{Note de bas de page 4} touche plusieurs versions de Microsoft SharePoint Server et pourrait permettre à un attaquant non autorisé d'élever des privilèges sur un réseau.

Publiée sous le numéro CVE-2026-55040^{Note de bas de page 5Note de bas de page 6}, cette vulnérabilité d'authentification faible (CWE-1390)^{Note de bas de page 7} touche plusieurs versions de Microsoft SharePoint Server et pourrait permettre à un attaquant non autorisé de contourner une fonctionnalité de sécurité sur un réseau.

Publiée sous le numéro CVE-2026-58644^{Note de bas de page 8}, cette vulnérabilité de désérialisation de données non fiables (CWE-502)^{Note de bas de page 9} touche plusieurs versions de Microsoft SharePoint Server et pourrait permettre à un attaquant non autorisé d'exécuter du code sur un réseau.

Microsoft est au courant de l'exploitation de la vulnérabilité CVE-2026-56164 et des autres vulnérabilités liées à SharePoint précédemment publiées. La vulnérabilité CVE-2026-56164 a été ajoutée au catalogue des vulnérabilités exploitées connues (KEV pour Known Exploited Vulnerabilities)^{Note de bas de page 10} de la Cybersecurity and Infrastructure Security Agency (CISA) le 14 juillet 2026.

Mesures recommandées

Le Centre pour la cybersécurité recommande aux organisations de mettre à niveau les instances de Microsoft SharePoint touchées à une version corrigée :

Le Centre pour la cybersécurité recommande aux organisations de prendre les mesures suivantes :

• Identifier toutes les instances locales de SharePoint Server, en particulier celles qui sont connectées à Internet.
• Utiliser les versions locales de Microsoft SharePoint Server qui sont prises en charge ou procéder aux mises à niveau nécessaires pour déployer ces versions.
• Appliquer les dernières mises à jour de sécurité de Microsoft sur toutes les versions SharePoint Server touchées, y compris Édition abonnement, 2019 et 2016.
• Surveiller les serveurs SharePoint pour détecter toute activité suspecte, y compris les demandes inhabituelles, les codes encoquillés, les processus malveillants, les tentatives d'accès non autorisées et les indicateurs de compromission de clés machine.
• Renforcer les déploiements SharePoint :
  • Activer l'intégration de l'interface d'analyse anti-programme malveillant (AMSI) dans les applications Web SharePoint.
  • Configurer le mode Analyse du corps de la requête AMSI (AMSI Request Body Scan Mode) à Mode complet (Full Mode), dans la mesure du possible sur le plan opérationnel.
  • Restreindre ou éliminer l'exposition directe à Internet des serveurs SharePoint, dans la mesure du possible.
  • Limiter l'accès aux interfaces de gestion et à l'Administration centrale de SharePoint.
• Surveiller l'environnement pour détecter des indicateurs de compromission :
  • Les organisations devraient surveiller de près les environnements SharePoint afin de détecter ce qui suit :
    • Activités d'élévation des privilèges imprévues.
    • Tentatives d'authentification non autorisées.
    • Activités suspectes liées à l'accès aux clés machine IIS.
    • Preuve d'attaque par désérialisation ou de déploiement de code encoquillé.
    • Détections de Microsoft Defender et AMSI liées à l'activité d'exploitation de SharePoint.

Remarque importante : Microsoft SharePoint Enterprise Server 2016^{Note de bas de page 11} et SharePoint Server 2019^{Note de bas de page 12} sont en fin de vie depuis le 14 juillet 2026. Les organisations sont priées de migrer vers une version qui est prise en charge.

De plus, le Centre pour la cybersécurité recommande fortement aux organisations de passer en revue et de mettre en œuvre ses 10 mesures de sécurité des TI, en mettant l'accent sur ce qui suit^{Note de bas de page 13} :

• appliquer des correctifs aux applications et aux systèmes d'exploitation;
• renforcer les systèmes d'exploitation et les applications;
• isoler les applications Web.

Si les destinataires relèvent des activités semblables aux informations fournies dans la présente alerte, elles et ils sont invités à le signaler par l'entremise de Mon cyberportail ou par courriel à contact@cyber.gc.ca.

Références

Numéro de série : AV26-705
Date : 15 juillet 2026

Le 14 juillet 2026, Tenable a publié un bulletin de sécurité visant à corriger une vulnérabilité critique liée au produit suivant :

• Nessus Agent – version 11.2.0 et versions antérieures;
• Nessus Agent – version 11.1.3 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• [R1] Tenable Agent Versions 11.2.1 and 11.1.4 Fix a Path Traversal Vulnerability (en anglais seulement)
• Tenable Product Security Advisories (en anglais seulement)

Numéro de série : AV26-704
Date : 15 juillet 2026

Le 15 juillet 2026, F5 a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• NGINX Agent – de la version 2.37.0 à46.5;
• NGINX Instance Manager – de la version 2.17.1 à22.1;
• NGINX Plus – de la version 37.0.0.1 à0.2.1;
• NGINX Plus – de la version R33 à R36;
• NGINX Open Source – multiples versions;
• NGINX Instance Manager – de la version 2.17.0 à22.1;
• F5 WAF pour NGINX – de la version 5.9.0 à13.3;
• NGINX App Protect WAF – de la version 5.2.0 à8.0;
• NGINX App Protect WAF – de la version 4.11.0 à16.0;
• NGINX Gateway Fabric – de la version 2.0.0 à6.6;
• NGINX Gateway Fabric – de la version 1.3.0 à6.2;
• NGINX Ingress Controller – multiples versions;
• BIG-IP Next SPK – multiples versions;
• BIG-IP Next CNF – multiples versions;
• BIG-IP Next for Kubernetes – de la versions 2.0.0 à3.1;
• BIG-IP (all modules) – multiples versions.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• K000161837: Out-of-band Security Notification (July 15, 2026) (en anglais seulement)
• MyF5 (en anglais seulement)

Numéro de série : AV26-703
Date : 15 juillet 2026

Le 14 juillet 2026, Notepad++ a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :  

• Notepad++ – versions antérieures à v8.9.7.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Notepad++ v8.9.7 release (en anglais seulement)
• Notepad++ community (en anglais seulement)