# Récap du week-end de veille CVE web : Récap du week-end, 9 – 11 octobre 2026 - Page canonique : https://kreomnisvigie.com/bulletins/2026-10-12-weekend - Établi le 12 octobre 2026 · fenêtre du 9 octobre 2026 au 11 octobre 2026 - 3 advisory, 4 CVE, 1 au CISA KEV, 1 exploitée(s) ## 1. Citrix : Vulnérabilité critique dans Citrix NetScaler ADC et Gateway (CVE-2026-107406) Une vulnérabilité critique dans Citrix NetScaler ADC et Gateway permet une exécution de code à distance et un déni de service à distance. - Statut : exploitation observée · CISA KEV (ajoutée le 9 octobre 2026, échéance 9 novembre 2026) · priorité - Vecteur : exploitation distante sans authentification sur les appliances NetScaler ADC/ Gateway - CVE-2026-107406 (Citrix NetScaler ADC/ Gateway) · CVSS 9.5 · exploitée : Exécution arbitraire de code à distance (RCE) et déni de service à distance (DoS) · https://www.cve.org/CVERecord?id=CVE-2026-107406 Systèmes impactés : - Citrix NetScaler Gateway : Versions antérieures à 14.1-73.46 ; Versions antérieures à 13.1-NDcPP 13.1.37.283 ; Versions antérieures à 13.1-64.29 - Citrix NetScaler ADC : Versions antérieures à 14.1-73.46 ; Versions antérieures à 13.1-64.29 Correctif : Correctifs non renseignés dans l’entrée (voir avis Cert-FR et bulletin Citrix). Action : Appliquez immédiatement les correctifs fournis par l’éditeur et vérifiez les versions affectées. Recommandations : - Appliquer les correctifs fournis par Citrix pour les versions affectées. - Réviser les règles de pare-feu et les politiques d’accès externes vers NetScaler ADC/Gateway. - Mettre en place une surveillance renforcée des activités sur les appliances Citrix. Sources : - [CERT-FR — avis: Vulnérabilité Citrix NetScaler ADC et Gateway](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1285/) - [CVE Details](https://www.cve.org/CVERecord?id=CVE-2026-107406) ## 2. Nextcloud : Multiples vulnérabilités dans Nextcloud Vulnérabilités multiples dans les produits Nextcloud permettant élévation de privilèges, DoS et atteinte à la confidentialité. - Statut : priorité - Vecteur : surface web/app Nextcloud; exploitation locale sur serveur Nextcloud - CVE-2026-82985 (Nextcloud Server) · Élevée : Élévation de privilèges / confidentialité · https://www.cve.org/CVERecord?id=CVE-2026-82985 Systèmes impactés : - Nextcloud Server : 21.x antérieures à 21.0.8 ; 33.0.x antérieures à 33.0.6 ; 34.0.x antérieures à 34.0.1 - Nextcloud Team Folders / Collectives : versions antérieures à 4.4.1 ; 14.x antérieures à 14.0.12 ; 15.x antérieures à 15.3.13 Correctif : voir l'avis de l’éditeur Action : Mettre à jour Nextcloud Server et les composants concernés dès publication des correctifs. Recommandations : - Appliquer les mises à jour dès publication par l’éditeur Nextcloud. - Réviser les permissions et les contrôles d’accès sur les fichiers sensibles et les dossiers. - Scanner et auditer les comptes et activités suspectes sur Nextcloud. Sources : - [CERT-FR — avis: Nextcloud](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1283/) - [Nextcloud Security Advisories](https://github.com/nextcloud/security-advisories) ## 3. WordPress : Consolidation des vulnérabilités WordPress liées à des plugins étendus Exploitation critique dans de nombreux plugins WordPress exposés sur le web (authentification, contrôle d’accès, XSS, exécution de code, etc.). - Statut : priorité - Vecteur : plugins WordPress vulnérables via des actions AJAX non protégées, endpoints REST non sécurisés, ou écriture de fichiers malveillants - CVE-2026-108107 (PHPNuxBill) · CVSS 9.8 : Injection SQL non authentifiée · https://www.cve.org/CVERecord?id=CVE-2026-108107 - CVE-2026-108261 (TinaCMS / WordPress) · CVSS 9.3 : Clickjacking/Origin framing · https://www.cve.org/CVERecord?id=CVE-2026-108261 Systèmes impactés : - WordPress Core / Plugins (WordPress) : Multiple plugins listés ci-dessous Correctif : voir l'avis de l'éditeur Action : Étant donné l’étendue, privilégier la mise à jour des plugins identifiés comme vulnérables et la révision des droits des utilisateurs. Recommandations : - Mettre à jour les plugins listés comme vulnérables et vérifier les endpoints REST et AJAX. - Désactiver ou désinstaller les extensions non utilisées et durcir les permissions des API. - Mettre en place WAF et règles spécifiques pour bloquer les patterns connus. Sources : - [CERT-FR — avis: vulnérabilités WordPress et plugins](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1283/) - [GHSA — WordPress Advisories](https://github.com/advisories) ## À surveiller - Éléments à surveiller : Plusieurs advisories WordPress et plugins exposent des chaînes critiques d’authentification et des injections PHP/SQL. Surveillez les publications de CERT-FR, NVD et GHSA pour des mises à jour et des correctifs spécifiques. - [Vulnérabilité critique Nextcloud](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1283/) : Multiples CVEs détaillés sur Nextcloud pouvant impacter la confidentialité et l’intégrité des données. Suivre les bulletins éditeurs pour les versions à mettre à jour. ## Sources du bulletin - [CERT-FR — avis et alertes](https://www.cert.ssi.gouv.fr/avis/) - [NIST — National Vulnerability Database](https://nvd.nist.gov/vuln/search) - [GitHub — Security Advisories](https://github.com/advisories) - [CISA — Known Exploited Vulnerabilities](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) Source : Kreomnis Vigie, https://kreomnisvigie.com/bulletins/2026-10-12-weekend. Bulletin établi depuis CERT-FR, NVD, GitHub Security Advisories et CISA KEV.