Le 16 septembre 2026, les experts ont recensé une série d’exploits RCE critiques qui menacent les environnements Windows, Android, macOS et les plateformes web. Au menu aujourd’hui : dix failles actives, leurs vecteurs d’attaque et les correctifs à déployer sans tarder.
Nous analysons les vulnérabilités les plus dangereuses, puis nous détaillons les mises à jour indispensables pour protéger vos systèmes.
Exploits RCE critiques observés le 16 septembre 2026
Issabel Framework expose une faille CVE‑2026‑89026 avec un score CVSS de 9,8. Un attaquant non authentifié peut exécuter des commandes OS sur le serveur PBX. The Hacker News confirme que la vulnérabilité est déjà exploitée en production.
Un plugin tiers de WooCommerce permet l’upload de webshells PHP sur les sites WordPress. Les attaquants utilisent cette faille pour exécuter du code arbitraire. Infosecurity Magazine indique que le problème reste actif et que la mise à jour du plugin est impérative.
Le plugin WordPress The Events Calendar comporte une vulnérabilité d’exécution de code non authentifiée. Plus de 200 000 sites pourraient être compromis si les administrateurs n’appliquent pas le correctif. SecurityWeek souligne l’impact potentiel sur l’écosystème WordPress.
ConnectWise ScreenConnect, outil de support à distance, présente une faille critique qui autorise l’exécution de code à distance sur les machines connectées. La CISA a confirmé l’exploitation active. BleepingComputer recommande d’appliquer immédiatement les correctifs fournis par le fournisseur.
Parallels Desktop sur macOS souffre de la vulnérabilité CVE‑2026‑90894, nommée ParaShells. Un utilisateur local peut obtenir les privilèges root sur l’hôte en exécutant une formule Homebrew corrompue ou un script npm malveillant. Help Net Security publie un PoC démontrant l’exploitation.
Oracle a publié son Critical Security Patch Update de septembre 2026, couvrant 673 vulnérabilités dont 153 pour Fusion Middleware. Cinq failles critiques – dont CVE‑2026‑71133 et CVE‑2026‑83099 – atteignent un score CVSS de 10,0 et permettent une exploitation distante sans authentification. CSO Online insiste sur la nécessité d’appliquer ces correctifs immédiatement.
Le modem Pixel a été ciblé par une zero‑day CVE‑2026‑58704. Cette vulnérabilité d’escalade de privilèges a été exploitée dans des attaques ciblées. Google a publié le correctif le 15 septembre. SecurityWeek détaille le mécanisme d’attaque.
Google Pixel phones subissent une attaque zero‑click qui ne nécessite aucune interaction de l’utilisateur. La faille affecte les versions récentes d’Android sur les appareils Pixel. La CISA a accordé aux agences fédérales trois jours pour installer les correctifs OTA. The Register alerte sur la rapidité de déploiement requise.
Windows 11 KB5124008, correctif de sécurité, casse les relations de confiance de domaine pour certains utilisateurs. Les ordinateurs d’entreprise ne reconnaissent plus les identifiants de domaine valides, bloquant ainsi l’accès aux ressources internes. BleepingComputer indique que Microsoft enquête sur l’incident.
Les frappes iraniennes sur les centres de données AWS ont entraîné une perte permanente de données clients. L’incident dépasse les capacités de résilience prévues par Amazon et montre les limites de la protection physique des infrastructures cloud. Ars Technica recommande de revoir les stratégies de sauvegarde et de redondance.
Mises à jour et correctifs urgents
Google a publié le correctif du modem Pixel le 15 septembre. Les administrateurs doivent pousser la mise à jour via les canaux OTA pour éliminer le risque d’escalade de privilèges.
Google a également diffusé le correctif contre la zero‑click attack. Les organisations doivent appliquer le correctif dans les trois jours impartis par la CISA pour éviter toute compromission.
Microsoft doit publier un correctif de rechange pour le KB5124008 afin de restaurer la confiance de domaine. En attendant, les équipes IT peuvent désactiver temporairement le correctif ou rétablir les relations de confiance via des scripts de restauration.
Oracle recommande d’installer immédiatement les 153 correctifs Fusion Middleware, notamment les cinq critiques avec CVSS 10,0. Les clients doivent planifier une fenêtre de maintenance pour éviter toute interruption de service.
Parallels Desktop publie un correctif qui neutralise ParaShells. Les développeurs doivent mettre à jour leurs machines via le gestionnaire de paquets Homebrew ou télécharger le patch depuis le site officiel.
ConnectWise ScreenConnect fournit un correctif qui bloque l’exécution de code à distance. Les administrateurs doivent redéployer les agents mis à jour sur tous les terminaux connectés.
Les mainteneurs du plugin WooCommerce ont publié une version corrigée qui désactive l’upload de fichiers exécutables. Les sites WordPress doivent installer la mise à jour immédiatement et vérifier les répertoires upload pour d’éventuels webshells.
Les développeurs du plugin The Events Calendar ont publié un correctif qui ajoute une validation stricte des entrées. Les administrateurs WordPress doivent appliquer la mise à jour et surveiller les journaux d’accès pour détecter toute activité suspecte.
Issabel Framework propose un patch qui restreint l’exécution de commandes OS aux utilisateurs authentifiés. Les opérateurs de PBX doivent installer la mise à jour et redémarrer les services pour activer la protection.
En complément, les équipes de sécurité doivent renforcer les sauvegardes des environnements AWS. L’article sur les exploits zero‑day Windows rappelle l’importance d’une stratégie de sauvegarde multi‑région.
Pour les organisations qui utilisent déjà des solutions de gestion de vulnérabilités, l’exploitation massive de la faille GitLab critique offre un exemple de réponse rapide à un incident RCE. Les leçons tirées de ces incidents peuvent guider la priorisation des correctifs aujourd’hui.
Ce qu’il faut retenir
Le panorama du 16 septembre 2026 montre que les exploits RCE critiques touchent un large éventail de technologies, des serveurs PBX aux plateformes cloud en passant par les appareils mobiles. Chaque faille offre un vecteur d’attaque distinct, mais toutes partagent la même exigence : appliquer les correctifs dès leur disponibilité.
Les équipes doivent surveiller les bulletins de sécurité, tester les correctifs dans un environnement contrôlé, puis les déployer rapidement. Ignorer ces alertes expose les organisations à des compromissions massives, comme le démontrent les incidents sur les serveurs WordPress et les modems Pixel.
En résumé, la vigilance, la rapidité de mise à jour et la mise en place de sauvegardes robustes constituent la meilleure défense contre les exploits RCE critiques qui continuent de menacer l’infrastructure informatique mondiale.