NGINX : deux failles critiques corrigées ⚡, correctifs Splunk et Atlassian 🔐, exécution de commandes sur Cisco ISE 💻

Bonjour, voici ta veille Cybere du 19 juin 2026 !

Journée de correctifs préventifs : trois éditeurs majeurs comblent des failles critiques avant toute exploitation connue, sur fond de validations défaillantes et de configurations à risque.

Retrouve les trois articles à la une du jour :

• F5 corrige deux failles critiques dans NGINX Open Source permettant l’exécution de code à distance
• Splunk et Atlassian publient des correctifs pour des failles critiques et majeures dans leurs produits
• Cisco corrige une faille critique d’exécution de commandes dans Identity Services Engine

F5 corrige deux failles critiques dans NGINX Open Source

F5 a publié des correctifs pour deux failles critiques affectant NGINX Open Source, toutes deux permettant l'exécution de code à distance lorsque l'ASLR (Address Space Layout Randomization) est désactivé ou contournable.

La CVE-2026-42530 (CVSS v4 9.2) concerne une vulnérabilité de type use-after-free dans le module HTTP/3 QUIC, exploitable par un attaquant distant non authentifié. La CVE-2026-42055 (CVSS v4 9.2) est un débordement de tampon dans les modules proxy HTTP/2 et gRPC, déclenché sous conditions de configuration spécifiques. Au-delà de NGINX Open Source, plusieurs produits sont concernés, dont NGINX Plus.

Points d'attention

• La CVE-2026-42530 peut être atténuée en désactivant HTTP/3 jusqu'au déploiement du correctif.
• La CVE-2026-42055 requiert une configuration particulière avec proxy HTTP/2 et buffers surdimensionnés.
• Une faille NGINX antérieure (CVE-2026-42945, « NGINX Rift ») a été exploitée activement dans les jours suivant sa divulgation publique.

→ Lire la source

Splunk et Atlassian corrigent des failles critiques

Splunk a publié un correctif pour la CVE-2026-20266, une faille critique dans AI Toolkit permettant l'exécution de commandes système arbitraires par les administrateurs authentifiés, avec un score CVSS de 9.1.

Atlassian a déployé 100 bulletins de sécurité couvrant des dizaines de failles dans ses suites logicielles, toutes liées à des dépendances tierces. Les failles critiques identifiées affectent Axios (CVE-2026-42043, CVE-2026-40175, CVE-2026-42264), Apache Tomcat (CVE-2026-41293, CVE-2026-43512, CVE-2026-43515) et Netty (CVE-2026-42584). Splunk recommande également de corriger la CVE-2026-20265, une faille de divulgation d'informations de sévérité moyenne liée à une liste d'autorisation de domaine par défaut non sécurisée.

Points d'attention

• La CVE-2026-20266, corrigée dans AI Toolkit 5.7.4, repose sur un motif d'exécution shell non sécurisé dans btool.
• La désinstallation d'AI Toolkit constitue une mesure de contournement si la mise à jour s'avère impossible.
• Les vulnérabilités Atlassian semblent toutes résider dans des composants tiers utilisés par ses produits.

→ Lire la source

Cisco corrige une faille critique d’exécution de commandes

Cisco a publié des correctifs pour la CVE-2026-20181, une faille critique affectant Identity Services Engine et ISE Passive Identity Connector, notée CVSS 9,1.

La vulnérabilité repose sur une validation insuffisante des entrées utilisateur. Un attaquant distant disposant d’identifiants administrateur valides peut envoyer une requête HTTP malveillante pour exécuter des commandes arbitraires avec accès utilisateur, puis élever ses privilèges au niveau root. Sur des déploiements à nœud unique, l’exploitation provoque une indisponibilité de service empêchant les nouveaux accès au réseau.

Points d'attention

• Les versions 3.3 Patch 11 et 3.4 Patch 6 corrigent la faille. Pour la 3.5, un hotfix est disponible, le correctif complet étant attendu en août.
• La CVE-2026-20190, une faille de haute sévérité, expose des données sensibles comme les identifiants hachés à des attaquants non authentifiés.
• Cisco déclare ignorer toute exploitation en conditions réelles de ces vulnérabilités.

→ Lire la source

Autres actus importantes

• Les vols de données Salesforce se poursuivent via la compromission de l'application Klue
• Apple corrige une faille dans les écouteurs Beats Studio Buds permettant aux pirates d'espionner les conversations
• La violation de données chez Novo Nordisk expose les risques liés à la chaîne de développement logiciel
• La Bulgarie aurait autorisé une entreprise de technologies de surveillance à vendre ses produits à des régimes répressifs, selon un rapport

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere