Reprise du message précédent :
un peu
y'en a eu quelques utres "intermediaires", qui ont été corrigées à peine sorties, en meme temps que d'autres..

Vu qu'il est aussi disponible sous GNU/Linux, je pose ça là
 
Une faille de sécurité importante dans 7-Zip. Ouvrir l'archive pourrait vous causer des problèmes.
https://informaticien.be/index.ks?p [...] m&id=42882

ha oui, il existe partout
 
sinon pour ceux qui utilisent EXIM
CVE-2026-48840
https://www.exim.org/static/doc/sec [...] 5-19.1.txt
https://seclists.org/oss-sec/2026/q2/728

la vuln du jour dans SSHFS: CVE-2026-47187
 
A rogue SFTP server can return symlink targets (absolute paths or  
relative "../../../" escapes) that sshfs passes to the kernel
unchanged. The kernel resolves them on the client's local filesystem,
so an ordinary "cp" through the mountpoint can read local files back
to the server or write server-controlled bytes to local files.
transform_symlinks does not cover relative targets.
 
https://seclists.org/oss-sec/2026/q2/734

Du nouveua pour la faill CIFS switch
CVE-2026-46243
 
Impact:
  Unprivileged user -> root code exec on any system where:
  - cifs-utils is installed (with the default cifs.spnego rule)
  - CIFS kernel module is loadable/compiled-in (typically the case), and
  - unprivileged user/mount namespaces are enabled.
 
https://seclists.org/oss-sec/2026/q2/767

une petite LPE sur le kernel linux. ca faisait longtemps
pas encore de CVE
les différentes distros ont été informés ya deja 2 semaines.
https://seclists.org/oss-sec/2026/q2/786

HTTP/2 Bomb — Remote DoS Exploit Hits nginx, Apache, IIS, Envoy, and Cloudflare Pingora

https://cybersecuritynews.com/http- [...] s-exploit/
https://www.bleepingcomputer.com/ne [...] -a-minute/
https://blog.calif.io/p/codex-disco [...] http2-bomb

ya pas encore de CVE pour cette faille (meme si celles plus anciennes sur lesquelles elle s'appuie en ont un depuis.. longtemps)

edit: le CVE officiel est CVE-2026-49975 (pour apache)
edit: nginx sous debian: https://security-tracker.debian.org [...] 794-BADE22

C'est totozifiant ce topic en fait.

Ca manque de bunker en cobble

pendant ce temps, chez redis..    
1. CVE‑2026‑23479 – Use-After-Free in unblock client flow may lead to Remote Code Execution.
2. CVE‑2026‑25243 – Invalid Memory Access in Redis RESTORE Command May Lead to Remote Code Execution
3. CVE-2026-25588 - Invalid Memory Access in RESTORE Command When Used with RedisTimeSeries module May Lead to Remote Code Execution
4. CVE‑2026‑25589 – Invalid Memory Access in RESTORE Command When Used with RedisBloom module May Lead to Remote Code Execution
5. CVE-2026-23631 - Lua Use-After-Free may lead to remote code execution.
 
https://seclists.org/oss-sec/2026/q2/804

faille de type LPE sur le kernel linux
CVE-2026-23111
https://cybersecuritynews.com/linux [...] erability/
 
deja corrigée sous debian/ubuntu

"Et ça continue encore et encore, c'est que le début d'accord d'accord"  

le cve du jour: openssl (pour changer )
CVE‑2026‑45447

"an heap use‑after‑free bug in the PKCS7_verify function that can corrupt memory and, in some deployment scenarios, allow attackers to run arbitrary code on vulnerable systems."
fix deja dispo dans plusieurs distros (par exemple chez debian ou ubuntu )

mettez z'à jour !

(drapal)

C'est malin j'ai cru qu'il y avait encore une faille à patcher ce week end.

plusieurs vulnérabilités dans nginx
CVE-2026-42530
CVE-2026-42055
 
https://thehackernews.com/2026/06/f [...] -open.html
 
edit: ya aussi le CVE-2026-48142

petite ( ) faille dans le kernel linux
CVE-2026-46242
 
Epoll lets local attackers gain root on Linux and Android. The flaw was missed by AI but found by a security researcher
 
https://securityaffairs.com/194795/ [...] droid.html
plus de détails ici: https://github.com/J-jaeyoung/bad-epoll

et une autre, cette fois ci dans KVM

Januscape: Guest-to-Host Escape in KVM/x86  
CVE-2026-53359
https://thehackernews.com/2026/07/1 [...] guest.html
détails et poc: https://github.com/V4bel/Januscape

 
Faille corrigée dans le dernier kernel debian 6.12.95-1
 
- -------------------------------------------------------------------------
Debian Security Advisory DSA-6381-1                   security@debian.org
https://www.debian.org/security/                     Salvatore Bonaccorso
July 05, 2026                         https://www.debian.org/security/faq
- -------------------------------------------------------------------------
 
Package        : linux
CVE ID         : CVE-2025-23131 CVE-2026-31419 CVE-2026-31732 CVE-2026-43010
                 CVE-2026-43216 CVE-2026-43355 CVE-2026-46054 CVE-2026-46242
                 CVE-2026-46252 CVE-2026-52975 CVE-2026-53070 CVE-2026-53101
                 CVE-2026-53139 CVE-2026-53142 CVE-2026-53151 CVE-2026-53157
                 CVE-2026-53163 CVE-2026-53167 CVE-2026-53179 CVE-2026-53325
                 CVE-2026-53327 CVE-2026-53341 CVE-2026-53359 CVE-2026-53361
                 CVE-2026-53362
Debian Bug     : 1136179 1139686
 
Several vulnerabilities have been discovered in the Linux kernel that
may lead to a privilege escalation, denial of service or information
leaks.
 
For the stable distribution (trixie), these problems have been fixed in
version 6.12.95-1.

ya que trixie qui était touchée, les kernels plus anciens n'étaient pas touchés.

La v7 du kernel est elle patchée ?

c'est corrigé dans sid et forky si c'est ça la question
https://security-tracker.debian.org [...] 2026-46242

la faille openssl de l'été :

OpenSSL “HollowByte” Vulnerability Lets Hackers Crash Servers With Just 11 Bytes
https://cybersecuritynews.com/opens [...] erability/

pas de CVE
"The fix was quietly folded into OpenSSL v4.0.1, with silent backports to 3.6.3, 3.5.7, 3.4.6, and 3.0.21"

Arf...  
Sur Debian 13.5 : OpenSSL 3.5.6 7 Apr 2026
Donc pas patchée...
 
Et sur le ubuntu 24.04 : OpenSSL 3.0.13 30 Jan 2024
 
Y a moyen de savoir si ça va être patché ou si faut trouver comment installer ?

Un peu plus d'infos :
https://thehackernews.com/2026/07/o [...] e.html?m=1

Le problème c'est que ce n'est pas remonté comme un pb de secu.
 
https://security-tracker.debian.org [...] ge/openssl
 
Il n'y a rien de mentionné du coup...

c'est ca.. ça a été patché silencieusement par openssl sans déclarer de cve. pas très propre..
sous debian faut surtout regarder ici, je pense:
https://packages.debian.org/fr/trixie/openssl
Une nouvelle version devrait arriver d'ici peu

nginx du jour
 
CVE-2026-42533
Critical NGINX Vulnerability Can Crash Workers and May Allow Remote Code Execution

ça va être le festival dans les jours à venir, je pense..
400 vulnérabilités trouvées en 24h dans le noyau linux    
https://cybersecuritynews.com/linux [...] abilities/
https://lore.kernel.org/linux-cve-announce/

D'un côté c'est bien que les failles soient découvertes et comblées, mais en même temps ça devient agaçant, oui...
 
Pour Debian 13 y'a un nouveau noyau qui est sorti (6.12.96+deb13-amd64), peut-être ça corrige déjà quelque trucs.

oui, 2
https://lists.debian.org/debian-sec [...] 00304.html
 
les 10 autres c'est plus vieux.

si vous utilisez bind9..

ISC has disclosed nine vulnerabilities in BIND 9 (CVE-2026-10723, CVE-2026-10822, CVE-2026-11331, CVE-2026-11605, CVE-2026-11622, CVE-2026-11721, CVE-2026-12617, CVE-2026-13204, CVE-2026-13321)
https://seclists.org/oss-sec/2026/q3/208

edit: unbound aussi
https://seclists.org/oss-sec/2026/q3/207