Veille

L'actualité cyber qui compte pour un RSSI

L'essentiel de l'actualité réglementaire et des menaces, résumé pour les RSSI et les directions. Chaque résumé renvoie à sa source officielle.

Filtre Tous Réglementation Menaces et vulnérabilités Risques et gouvernance

Menaces et vulnérabilités 21 octobre 2026

PHP : deux failles critiques permettent l'exécution de code à distance

Le CERT-FR a publié le 21 octobre une alerte sur deux vulnérabilités de PHP (CVE-2026-109618 et CVE-2026-109619) qui permettent d’exécuter du code à distance. Des preuves de concept circulent depuis le 22 octobre. Sont touchées toutes les versions 5.x à 8.1.x, ainsi que les branches 8.2 à 8.5 avant 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les branches 5.x à 8.1.x ne sont plus maintenues : la seule issue est la migration.

Ce que cela change pour vous : Inventoriez vos serveurs PHP exposés, appliquez les correctifs en priorité et traitez les versions obsolètes comme un risque à arbitrer, pas comme une exception permanente.

Source : CERT-FR ↗

Réglementation 6 octobre 2026

NIS2 : la loi Résilience de nouveau retirée de l'ordre du jour

Le 6 octobre, la Conférence des présidents de l’Assemblée nationale a retiré des séances des 7 et 9 octobre le projet de loi qui transpose NIS2, ainsi que les directives REC et DORA. Aucune nouvelle date n’est fixée à ce jour. Adopté par le Sénat en mars 2025, le texte attend son examen en séance depuis septembre 2025, alors que la transposition devait intervenir avant le 17 octobre 2024. Tant que la loi n’est pas votée, les obligations NIS2 ne s’appliquent pas en droit français.

Ce que cela change pour vous : Le report ne change rien au fond : profitez du délai pour savoir si vous êtes entité essentielle ou importante et mesurer vos écarts, plutôt que d'attendre le texte final.

Source : Assemblée nationale ↗

Risques et gouvernance 22 septembre 2026

Menace cyber en Europe : l'ENISA pointe la fragilité des dépendances

Le rapport ENISA Threat Landscape 2026, qui couvre l’année 2025, souligne la poursuite des attaques passant par la chaîne d’approvisionnement et les prestataires, souvent à fort impact. 73 % des organisations visées sont des entités essentielles ou importantes au sens de NIS2. Plus de 48 000 CVE ont été publiées en 2025, soit 22 % de plus qu’en 2024, et 60 % des intrusions dont le vecteur est connu exploitaient une vulnérabilité.

Ce que cela change pour vous : Vos fournisseurs font partie de votre surface d'attaque : évaluez leur maturité cyber et inscrivez des exigences de sécurité dans vos contrats.

Source : ENISA ↗