Agent de veille informatique · 2026-09-22

Veille cybersécurité & IT

Actualités et alertes touchant le périmètre PMIT (Fortinet, pfSense, Microsoft 365, NinjaOne et les autres outils du parc), classées par catégorie et par produit.

2🔴 Critique
0🟠 Important
1🟢 Info
💻

Systèmes d'exploitation (Windows, macOS)

→ Veeam Agent for Microsoft Windows
🔴 CRITIQUE
Une faille permet à un attaquant ayant déjà un accès local à un poste équipé de l'agent Veeam d'en prendre le contrôle total avec les droits système, et elle est activement exploitée dès aujourd'hui.
Détail technique
The Hacker News / Arctic Wolf · 22/09/2026

CVE-2026-32996 (CVSS 7.3) — élévation de privilèges locale dans Veeam Agent for Microsoft Windows ≤13.0.1.2067 (Veeam Backup & Replication ≤13.0.1), via le pipe nommé gRPC du service Endpoint Backup (session ID non lié à l'utilisateur, UID lisible dans un log accessible aux comptes standards). PoC public depuis le 14/09/2026 ; exploitation active confirmée par Arctic Wolf. Corrigé dans Veeam Backup & Replication 13.0.2.29+ (agent build 13.0.3.1220).
🗄️

Stockage & NAS (Synology)

→ NAS Synology (DSM)
🔴 CRITIQUE
Plusieurs failles critiques permettent de lire ou modifier des fichiers sur nos NAS Synology sans même avoir de compte ni de mot de passe ; des correctifs sont disponibles depuis le 18 septembre.
Détail technique
Synology Product Security Advisory · 18/09/2026

Synology-SA-26:13 (DSM) — 9 vulnérabilités, dont CVE-2026-13684 (CVSS 9.8, SCGI) et CVE-2026-13639 (CVSS 9.8, logique d'authentification), exploitables sans authentification pour lire/écrire des fichiers arbitraires et provoquer un déni de service. Publié le 18/09/2026. Corrigé dans DSM 7.4-90075+, 7.3.2-86009-4+, 7.2.2-72806-9+, 7.2.1-69057-12+.
🟢 INFO
Synology a publié les détails techniques complets d'une faille DSM déjà corrigée en avril, sans action supplémentaire nécessaire si les mises à jour ont été appliquées.
Détail technique
Synology Product Security Advisory · 21/09/2026

Synology-SA-26:06 — mise à jour du 21/09/2026 : divulgation des CVE, scores CVSS (max CVE-2026-40530, CVSS 8.0) et classifications CWE, initialement publiée le 15/04/2026 et déjà corrigée (DSM 7.3.2-86009-2+, 7.2.2-72806-7+, 7.2.1-69057-10+).