UAF TCP IPv4 / MPTCP 9.8
Vulnérabilité actuelle : use-after-free dans la pile TCP IPv4, RCE root à distance. Filtrer les options IPv4 et patcher le noyau.
THREAT INTELLIGENCE
Top 10 CVE — the flaws
that made history.
Sélection non officielle des CVE les plus critiques par leur score, leur facilité d'exploitation, leur diffusion et leur impact réel. Chaque ligne rappelle la faille et le principe de remédiation.
CVE WATCH
Le journal des vulnérabilités
Avis CERT-FR et CVE critiques, mis à jour quotidiennement depuis CERT-FR, CVE.org et NVD.
Chargement du flux…
| # | CVE / nom | Année | CVSS | Type / produit | Impact | Pourquoi dans le top | Remédiation |
|---|---|---|---|---|---|---|---|
| 01 | CVE-2021-44228 Log4Shell | 2021 | 10.0 | RCE (JNDI) Apache Log4j 2 | Exécution de code à distance sans authentification, compromission massive de serveurs Java. | Exploitation triviale, surface immense (des millions d'applications), utilisé par des ransomwares et des botnets. | Mettre à jour Log4j (≥ 2.17.1), supprimer JNDI/LDAP, bloquer les sorties LDAP/RMI, scanner les dépendances. |
| 02 | CVE-2014-0160 Heartbleed | 2014 | 7.5 | Fuite mémoire TLS OpenSSL | Lecture de mémoire serveur : clés privées, sessions, mots de passe. | A touché une grande partie du web HTTPS ; la fuite de clés privées permettait d'usurper n'importe quel site. | Mettre à jour OpenSSL, révoquer et régénérer les certificats et clés, invalider les sessions. |
| 03 | CVE-2017-0144 EternalBlue | 2017 | 8.1 | RCE SMBv1 Windows SMBv1 | Exécution de code à distance sur Windows, propagation worm-like. | Base de WannaCry et NotPetya ; des dégâts de plusieurs milliards de dollars. | Désactiver SMBv1, patcher MS17-010, segmenter les réseaux, bloquer 445 en périphérie. |
| 04 | CVE-2014-6271 Shellshock | 2014 | 9.8 | RCE (variables d'environnement) GNU Bash | Exécution de commandes via des en-têtes HTTP ou variables d'environnement. | Bash présent partout (CGI, scripts, objets connectés) ; exploitation très simple. | Mettre à jour Bash, retirer les CGI hérités, valider les entrées, isoler les services exposés. |
| 05 | CVE-2019-0708 BlueKeep | 2019 | 9.8 | RCE RDP pré-auth Windows Remote Desktop | Exécution de code à distance sans authentification, ver wormable. | RDP exposé massivement sur Internet ; risque de propagation automatique. | Patcher, désactiver RDP exposé, imposer VPN/NLA, filtrer 3389, MFA. |
| 06 | CVE-2020-1472 Zerologon | 2020 | 10.0 | Élévation de privilèges Windows Netlogon | Prise de contrôle d'un contrôleur de domaine en quelques secondes. | Compromission totale d'Active Directory, sans mot de passe. | Patcher immédiatement, activer l'enforcement, surveiller les événements Netlogon, segmenter l'AD. |
| 07 | CVE-2017-5638 Struts2 S2-045 | 2017 | 10.0 | RCE Apache Struts 2 | Exécution de code via l'en-tête Content-Type. | Utilisé dans la brèche Equifax (147 M de personnes). | Mettre à jour Struts, valider les en-têtes, WAF, supprimer les versions EOL. |
| 08 | CVE-2021-26855 ProxyLogon | 2021 | 9.8 | SSRF → RCE Microsoft Exchange | Prise de contrôle de serveurs Exchange exposés, accès aux boîtes mail. | Chaîne exploitée en masse par des groupes étatiques et criminels. | Appliquer les correctifs Exchange, isoler l'OWA, MFA, chasse aux webshells. |
| 09 | CVE-2021-34527 PrintNightmare | 2021 | 8.8 | RCE / élévation Windows Print Spooler | Exécution de code avec privilèges SYSTEM via le spouleur d'impression. | Présent sur la majorité des Windows, y compris les contrôleurs de domaine. | Patcher, désactiver le spouleur sur les serveurs qui n'en ont pas besoin, restreindre les pilotes. |
| 10 | CVE-2023-34362 MOVEit Transfer | 2023 | 9.8 | Injection SQL → RCE Progress MOVEit | Exfiltration massive de données via une faille SQLi. | Campagne Cl0p : des milliers d'organisations et des millions de personnes touchées. | Patcher, isoler MOVEit, auditer les accès, rotation des secrets, surveillance des exports. |
À surveiller en 2026
Failles récentes ou à fort potentiel, à intégrer dans la veille et les campagnes de patch.
PAN-OS GlobalProtect 10.0
Injection de commandes non authentifiée dans GlobalProtect.
SMBGhost 10.0
RCE SMBv3 compressé, wormable.
Citrix Bleed 9.4
Fuite de jetons de session NetScaler, contournement MFA.
XZ Utils backdoor 10.0
Porte dérobée de chaîne d'approvisionnement dans xz/liblzma.
La leçon commune
Presque toutes ces failles partagent les mêmes causes : systèmes non patchés, services exposés inutilement, absence de segmentation, supervision tardive. La priorité n'est pas de courir après chaque CVE, mais de réduire la surface d'attaque et de rendre le patch possible en heures, pas en semaines.