Dernière faille ajoutée le 31 oct.
Ce que les attaquants exploitent en ce moment et ce qu’il faut corriger, expliqué simplement : quel produit, quel risque, que faire. Tout le monde est concerné : choisissez ce que vous voulez protéger.
Un site WordPress, Drupal ou Joomla — celui d’une association, d’un commerce, d’une mairie, ou votre blog. Les attaquants parcourent le web entier à la recherche de versions dépassées : un site oublié est trouvé en quelques heures.
7.1.4
sortie en octobre 2026
Tableau de bord, puis Tableau de bord, puis Mises à jour.
Le cœur de WordPress s’installe tout seul en version mineure. Le vrai risque est ailleurs : l’essentiel des piratages passe par une extension ou un thème, pas par le cœur. Mettez-les à jour, et supprimez ceux que vous n’utilisez plus.
Utilisées par de vrais attaquants d’après la CISA, ces 60 derniers jours. À corriger en priorité.
Un pirate peut déposer un fichier dangereux sur le site, puis exécuter du code malveillant et prendre le contrôle du compte ou de la session d'une victime qui clique sur un lien piégé ou visite une page compromise. → Installez la dernière mise à jour d'Adobe Commerce dès que possible.
Un pirate peut prendre le contrôle à distance du serveur Nextcloud qui héberge cette application, notamment après un redémarrage du produit, et la faille est déjà exploitée. → Mettez à jour Collabora Online Built-in CODE Server (richdocumentscode) vers la version 26.4.303 ou plus récente.
Un attaquant peut découvrir les mots de passe et tokens des administrateurs, puis prendre le contrôle du système. → Mettez à jour Strapi vers la version 4.8.0 ou plus récente.
Un utilisateur autorisé peut exécuter du code malveillant sur le serveur. → Installez la dernière mise à jour de Microsoft SharePoint dès que possible.
Un pirate peut charger un fichier malveillant et prendre le contrôle du site web. → Installez la dernière mise à jour de WordPress dès que possible.
Un pirate peut accéder à des données sensibles et obtenir des droits d'administrateur sans interaction. → Installez la dernière mise à jour d'Adobe Commerce et Magento dès que possible.
Un pirate peut exécuter du code malveillant sur le serveur de la boutique sans interaction de l'utilisateur. → Installez la dernière mise à jour d'Adobe Commerce et Magento dès que possible.
Des milliers de failles sont publiées chaque mois, et la plupart ne concernent presque personne. Cette page en retient deux sortes : celles que la CISA, l’agence américaine de cybersécurité, a vu exploitées par de vrais attaquants (catalogue « Known Exploited Vulnerabilities »), et les failles graves dont parlent plusieurs des sources suivies par le Signal Clair, un avis du CERT-FR ou l’éditeur.
Les fiches sont rédigées automatiquement par une IA à partir de ces données et des articles. En cas de doute, suivez les consignes de l’éditeur du produit.
11.4.11
sortie en octobre 2026
11.2 ne reçoit plus de correctifs depuis le 1er juillet 2026.
Administration, puis Rapports, puis Mises à jour disponibles.
Encore suivies
Drupal 7 et 9 ne reçoivent plus aucun correctif. Un site resté sur ces versions doit être migré, pas seulement mis à jour.
6.2.0
sortie en octobre 2026
4 ne reçoit plus de correctifs depuis le 14 octobre 2025.
Panneau d’administration, puis Système, puis Panneau de mise à jour.
Encore suivies
14.3.10
sortie en octobre 2026
12 ne reçoit plus de correctifs depuis le 30 avril 2026.
Backend, puis Système, puis Configuration.
Encore suivies
Une branche sortie du support gratuit peut rester couverte par l’ELTS, payant. Sans ce contrat, elle ne reçoit plus rien.
2.4.9
sortie en mai 2026
Dans un terminal, à la racine du site : bin/magento --version
Trois failles d’Adobe Commerce figurent au catalogue des failles exploitées ces deux derniers mois : c’est une cible suivie de près par les attaquants.
35.0.2
sortie en octobre 2026
32 ne reçoit plus de correctifs depuis le 30 septembre 2026.
Paramètres d’administration, puis Vue d’ensemble.
Encore suivies
5.3.0
sortie en octobre 2026
5.0 ne reçoit plus de correctifs depuis le 5 octobre 2026.
Administration du site, puis Notifications.
Encore suivies
Relevé le 31 octobre 2026 auprès d’endoflife.date et de l’historique de Google. En cas de doute, le lien « Vérifier chez l’éditeur » fait foi.