In The Wild, Septembre 2026 : Citrix, WordPress, GitLab et accès distants
En septembre 2026, les équipes #Serenety ont analysé plusieurs vulnérabilités critiques ou fortement médiatisées afin d’aider les organisations à qualifier rapidement leur exposition. Parmi les sujets suivis figuraient notamment des vulnérabilités affectant Citrix NetScaler, WordPress (encore), GitLab, AdobeCommerce et Magento, N-able N-central ainsi que SonicWall SMA1000.
Cerésumé s’inscrit dans le cadre de la rubrique Nouvelles Menaces, dontl’objectif est de dépasser la simple veille en vulnérabilités. Pour chaquesujet traité, les équipes XMCO analysent les bulletins éditeurs, qualifient lesconditions d’exploitation, recherchent les technologies concernées sur lespérimètres exposés et produisent, lorsque cela est pertinent, des alertescontextualisées.
L’enjeuest simple : permettre aux RSSI, SOC et équipes techniques de savoir rapidements’ils sont concernés, de prioriser les actions de remédiation et de disposerd’éléments concrets pour engager les vérifications nécessaires.
Les vulnérabilités traitées en septembre
Plusieurs vulnérabilités ont retenu l’attention des équipes XMCO ce mois-ci :
Ces vulnérabilités ont mis en évidence des surfaces d’exposition sensibles, notamment les équipements d’accès distant, les plateformes d’administration et les applications web, tout en rappelant que la présence d’une technologie vulnérable ne signifie pas nécessairement que toutes les conditions d’exploitation sont réunies.
Citrix NetScaler ADC et Gateway — CVE-2026-88771
La vulnérabilité CVE-2026-88771 affecte NetScalerADC et NetScaler Gateway, deux solutions Citrix utilisées notamment pour la répartition de charge, les accès VPN et l’accès aux applications internes. Elle permet à un attaquant distant non authentifié d’exécuter des commandes sur un équipement vulnérable. Citrix lui attribue un score CVSS de 9,5. Les installations par défaut sont concernées, sans qu’une configuration particulière soit nécessaire.
Cette vulnérabilité provient d’un défaut de vérification des données reçues par l’équipement. Un attaquant peut ainsi transmettre des données spécialement conçues pour contourner les contrôles de sécurité et provoquer l’exécution de commandes sur le système. Citrix n’a toutefois pas publié les détails techniques précis permettant de reproduire l’exploitation.
L’exploitation de cette faille peut permettre à un attaquant de prendre le contrôle de l’équipement, d’accéder à des informations sensibles ou encore de l’utiliser pour tenter de compromettre d’autres systèmes du réseau interne.
Le 27 septembre 2026, Citrix a publié son bulletin de sécurité et confirmé l’exploitation active de cette vulnérabilité. LaCISA a ajouté la CVE-2026-88771 à son catalogue KEV le même jour.
Pour identifier les équipements potentiellement vulnérables, il est recommandé de recenser les instances NetScaler exposées et de vérifier leurs versions. L’analyse des journaux, des modifications de configuration et des connexions suspectes peut également permettre de rechercher d’éventuelles traces d’exploitation. L’absence de traces suspectes ne garantit toutefois pas qu’un équipement n’a pas été compromis.
Le 29 septembre 2026, le CERT-XMCO a recensél’ensemble des assets Citrix NetScaler afin de transmettre aux clients unaperçu de leur exposition sur Internet. Les endpoints utilisés dans le cadre decette détection sont /vpn/index.html, /logon/LogonPoint/index.htmlet /logon/LogonPoint/custom.html.
Recommandations
XMCO recommande de mettre à jour immédiatement les équipements NetScaler vers 14.1-73.37, 13.1-64.23 ou les builds FIPS et NDcPP corrigés correspondant à leur branche. Il convient également de vérifier les instances Secure Private Access Hybrid, de limiter les accès d’administration, de conserver les journaux pertinents et de rechercher les indicateurs de compromission publiés par Citrix. Une analyse d’incident doit être engagée lorsqu’un équipement a été exposé avant l’application du correctif.
WordPress Core — CVE-2026-87902
La vulnérabilité CVE-2026-87902 affecte le cœur de WordPress, plus précisément la fonction get_page_template(), chargée de sélectionner les fichiers PHP utilisés pour afficher les pages d’un site. Elle permet à un attaquant non authentifié de manipuler le chemin d’accès à ces fichiers afin de forcer WordPress à charger un fichier PHP situé en dehors des répertoires autorisés.
Cette vulnérabilité repose sur un défaut de vérification des chemins d’accès. En utilisant le paramètre pagename, un attaquant peut transmettre un chemin spécialement encodé pour contourner les contrôles de sécurité. Lors du traitement de la requête, WordPress décode ce chemin et peut alors accéder à un fichier PHP normalement inaccessible par ce mécanisme.
L’exploitation peut être réalisée à l’aide d’une requête HTTP POST contenant les paramètres page_id et pagename. Le premier désigne une page existante, tandis que le second contient le chemin malveillant. Cette manipulation peut permettre l’inclusion d’un fichierPHP présent sur le serveur et, dans certaines conditions, conduire à une exécution de code à distance.
Toutefois, l’exploitation nécessite une configuration particulière du site. Le thème WordPress utilisé doit notamment contenir un répertoire dont le nom commence par page-. Plusieurs thèmes populaires tels que Twenty Twelve, Neve, Hestia ou encoreSydney, présentent cette structure. Pour obtenir une exécution de code à distance, l’attaquant doit également disposer d’un fichier PHP exploitable sur le serveur. La présence de la vulnérabilité ne garantit donc pas, à elle seule, la possibilité d’exécuter du code.
Pour détecter d’éventuelles tentatives d’exploitation, il est recommandé de surveiller les requêtes POST contenant les paramètres page_id et pagename, notamment lorsqu’ils comportent des chemins encodés suspects. L’analyse des journaux du serveur web, des erreurs PHP et de la présence éventuelle de fichiers PHP inhabituels peuvent également permettre d’identifier une tentative d’exploitation ou une compromission.
Le 22septembre 2026, WordPress a publié son avis de sécurité et la versioncorrective 7.1.2. Le 25 septembre 2026, la CISA a ajouté la CVE-2026-87902 àson catalogue KEV.
Le même jour, leCERT-XMCO a analysé et traité la vulnérabilité afin de déterminer les instancesvulnérables de ses clients.
Recommandations
XMCO recommande d’installer WordPress 7.1.2 ou la version de sécurité corrigée correspondant à la branche utilisée, de vérifier les thèmes parents et enfants comportant des répertoires page-, et d’examiner la configuration PHP susceptible d’étendre l’impact de l’inclusion.En cas de suspicion, la revue des requêtes POST suspectes, des erreurs de résolution des modèles et de l’intégrité des fichiers PHP doit accompagner la mise à jour.
WordPress The EventsCalendar — CVE-2026-78006 et CVE-2026-78159
Les vulnérabilités CVE-2026-78006 et CVE-2026-78159 affectent The Events Calendar, un plugin de gestion d’événements WordPress comptant plus de 600 000 installations actives. Elles reposent sur deux erreurs de traitement distinctes, mais partagent une même voie d’entrée : le rendu de commentaires publiés sur des événements par le modèle V2 du plugin. Chacune peut conduire à une exécution de code à distance sans authentification lorsque les commentaires sont activés et visibles sur les contenus de type tribe_events.
Le 11 septembre 2026, Wordfence a publié les avis desécurité concernant ces deux vulnérabilités.
L’exploitation de ces deux vulnérabilités repose sur un mécanisme commun. Un attaquant peut publier un commentaire contenant un bloc WordPress wp:legacy-widget spécialement conçu. Lors de l’affichage d’un événement, le modèle V2 récupère le contenu des commentaires et le transmet à la fonction do_blocks(). Cette dernière peut alors interpréter le contenu malveillant comme un bloc WordPress à exécuter.L’attaque ne nécessite pas que le commentaire soit approuvé, car WordPress permet à son auteur de le consulter même lorsqu’il est en attente de modération.
Pour la CVE-2026-78006, la vulnérabilité provient d’un défaut de vérification des widgets dans les fonctions is_safe_widget_instance() et enable_rendering_widget_copied(). Un attaquant peut contourner ces contrôles et transmettre des données PHP malveillantes au serveur. Lors de leur traitement, certaines fonctions PHP peuvent être exécutées avant la fin des vérifications de sécurité. Cette faille peut ainsi permettre à un attaquant d’exécuter du code à distance sur le serveur.
Pour la CVE-2026-78159, la vulnérabilité repose également sur un contournement des contrôles de sécurité de la fonction is_safe_widget_instance(). Un attaquant peut utiliser un tableau PHP spécialement conçu pour contourner ces vérifications. Les données sont ensuite transmises à la fonction Element_Classes::parse_array(), qui peut interpréter certains éléments du tableau comme des fonctions PHP à exécuter. Ce comportement peut permettre à un attaquant d’exécuter du code à distance sur le serveur.
L’investigation doit porter sur les commentaires liés aux événements, y compris ceux restés en attente, et sur la présence de délimiteurs de blocs WordPress ou de structures de widgets inhabituelles. Les journaux web peuvent aider à rapprocher l’envoi de commentaires des consultations immédiates de liens de prévisualisation de modération. La désactivation temporaire des commentaires sur les événements réduit ce vecteur en attendant l’application d’une version corrigée, mais ne remplace pas la mise à jour ni la recherche d’une compromission éventuelle.
Le 16 septembre 2026, le CERT-XMCO a pu, dans le cadre de cette investigation, récupérer tous les plugins WordPress The Events Calendar exposés sur Internet et déterminer la version utilisée, via l’endpoint /wp-content/plugins/the-events-calendar/readme.txt.
Recommandations
XMCO recommande de mettre à jour The Events Calendar au minimum vers 6.17.4.1 ou une version ultérieure intégrant les deux corrections. Si la montée de version n’est pas possible, désactiver les commentaires sur les événements réduit le vecteur décrit. Il est également conseillé d’examiner les commentaires soumis, y compris ceux en attente de modération, et de rechercher les blocs wp:legacy-widget inattendus ainsi que d’éventuelles activités PHP inhabituelles.
GitLab Community Edition etEnterprise Edition — CVE-2026-85706
La vulnérabilité CVE-2026-85706 affecte l’API de gestion des commits de GitLab Community Edition et Enterprise Edition. Cette vulnérabilité permet à un attaquant distant non authentifié de contraindre GitLab à accéder à un fichier du serveur, à la place du fichier temporaire normalement attendu. Elle résulte d’un défaut de contrôle des chemins d’accès et d’authentification.
GitLab lui attribue un score CVSS v3.1 de 10,0. Le 10 septembre 2026, GitLab a publié son bulletin de sécurité et les premières versions corrigées. Le 11 septembre 2026, la CISA a ajouté la CVE-2026-85706à son catalogue KEV.
Le point d’entrée documenté est l’API POST /api/v4/projects/:id/repository/commits. Certains paramètres liés aux fichiers téléversés, notamment file.path et metadata.path, peuvent contenir un chemin contrôlé par l’attaquant. En l’absence de validation suffisante et de confinement dans la zone de téléversement autorisée, le composant serveur ouvre le chemin désigné, même lorsqu’il sort du répertoire temporaire /uploads/tmp/. L’exploitation peut reposer sur une requête HTTP classique sans corps multipart, ce qui élargit les formes observables dans les journaux.
Un aspect technique important est la distinction entre la lecture d’un fichier par le serveur et sa divulgation effective au client.Selon les observations détaillées par l’équipe GitLab, le contenu ouvert est réinterprété comme une donnée de formulaire. Si son décodage des caractères pourcentage échoue, un message d’erreur peut intégrer un fragment du fichier et le renvoyer dans la réponse. Certains fichiers ne provoquent pas cette erreur et ne sont donc pas nécessairement divulgués, même s’ils ont été lus.
Les cibles potentielles comprennent les fichiers de configuration de GitLab, tels que /etc/gitlab/gitlab.rb, /etc/gitlab/gitlab-secrets.jsonet gitlab.yml, ainsi que d’autres fichiers lisibles par le service. Une divulgation effective de secrets applicatifs, de clés ou de jetons peut faciliter la compromission de projets, de pipelines CI/CD et d’intégrations tierces. L’impact réel dépend du type de contenu accessible et de la quantité de données effectivement reçue par l’attaquant.
Pour la recherche d’exploitation, GitLab recommande d’examiner api_json.log et d’identifier les appels à l’API des commits comportant file.path ou metadata.path, y compris les noms de paramètres ou les chemins partiellement encodés. Les valeurs doivent être normalisées avant de vérifier si elles sortent du répertoire temporaire. Les identifiants correlation_id permettent ensuite de rapprocher ces événements du journal GitLab Workhorse, où written_bytes renseigne sur le volume transmis au client. Le champ api_error peut contenir la portion du fichier effectivement renvoyée lors d’une erreur de décodage. Les copies de ces journaux doivent être protégées comme des données potentiellement sensibles.
Lorsqu’une tentative d’accès à un fichier sensible est détectée, il est nécessaire d’analyser la réponse de GitLab, notamment le code HTTP, la taille de la réponse et les éventuels messages d’erreur. Ces éléments permettent d’identifier un comportement anormal, mais ne suffisent pas à confirmer une fuite d’informations. Seule la récupération effective du contenu du fichier permet de confirmer son exploitation. Si des informations sensibles, comme des identifiants ou des mots de passe, ont été divulguées, il est recommandé de les renouveler et de rechercher d’éventuels accès frauduleux, en complément de l’application du correctif.
Afin d’identifier rapidement les actifs potentiellement concernés, le CERT-XMCO a procédé, le 14septembre 2026, à la détection des instances GitLab exposées au sein des périmètres de ses clients via la détection des endpoints /api/v4/projects/, /explore et /users/sign_in. L’analyse d’un code d’exploitation disponible publiquement a ensuite permis de réaliser des vérifications ciblées et d’identifier les instances effectivement vulnérables.
Recommandations
XMCO recommande d’appliquer les versions de sécurité GitLab adaptées à chaque branche, de conserver les journaux api_json.loget GitLab Workhorse nécessaires aux investigations, et d’examiner les paramètres file.path et metadata.path susceptibles de viser des chemins extérieurs au répertoire de téléversement. Lorsque des fragments de configuration ou des secrets ont été divulgués, les identifiants concernés doivent être renouvelés et les actions réalisées avec ces secrets doivent être examinées.
Adobe Commerce et MagentoOpen Source — CVE-2026-75650
La vulnérabilité CVE-2026-75650, connue sous le nom de“StyleSmuggler”, touche le traitement des modèles dans Adobe Commerce, Adobe Commerce B2B et Magento Open Source. Cette faille d’injection dans un moteur de templates permet d’atteindre une exécution de code arbitraire sans authentification. Adobe lui attribue un score CVSS v3.1 de 10,0. Les chercheurs de Sansec ont observé des exploitations dès le 4 septembre 2026, avant la publication du bulletin de sécurité APSB26-146 et la diffusion du correctif d’urgence par Adobe le 7 septembre 2026. Le 8 septembre 2026, laCISA a ajouté la CVE-2026-75650 à son catalogue KEV.
Le mécanisme repose sur l’arrivée de données non fiables dans le système de filtrage des templates de Magento. Des propriétés de type styles peuvent être utilisées pour contourner des contrôles normalement appliqués au texte rendu. Au lieu de rester de simples informations de présentation, certains champs deviennent des entrées d’une chaîne d’objets susceptible d’aboutir à l’inclusion d’un fichier contenant du code PHP choisi ou préparé par l’attaquant.
Les recherches publiées décrivent notamment une exploitation en deux étapes. Dans un premier temps, l’attaquant provoque l’enregistrement d’un contenu PHP contrôlé dans un fichier susceptible d’être relu par l’application. Dans un second temps, il fait traiter une donnée de template contenant des propriétés styles détournées afin d’amener le moteur à référencer puis inclure ce fichier. Une variante observée utilisait un courrier de notification d’échec de paiement comme déclencheur du rendu, tandis que d’autres s’appuyaient sur des fichiers de var/report ou var/log. Le caractère différé du déclenchement rend l’analyse plus complexe : la requête à l’origine de la pollution et la requête qui provoque l’exécution peuvent être distinctes.
Les conséquences d’une exploitation réussie dépassent la modification d’une page de boutique. Sansec a observé des processus malveillants cherchant à se dissimuler sous des noms ressemblant à des composants système, notamment kworker, fc-cache ou chronyd, ainsi que des mécanismes de persistance et des portes dérobées PHP. Les données accessibles peuvent inclure les secrets de configuration de Magento, desidentifiants d’administration, des jetons d’intégration et des informations liées aux flux de paiement.
Le 9 septembre 2026, le CERT-XMCO a ainsi procédé à l’identification de l’ensemble des instances Magento et Adobe Commerce exposées au sein des périmètres de ses clients, au travers de scans exécutés sur les endpoints /admin,/magento_version et /skin/frontend/default/default/css/styles.css, ainsi qu’en utilisant des matchers liés à Magento et Adobe Commerce.
Recommandations
XMCO recommande d’installer le hotfix Adobe VULN-39341 ou son correctif officiellement intégré, de confirmer son état d’application, puis de rechercher les indices de pollution de fichiers de rapports et de journaux, de processus persistants et de portes dérobées. En cas de compromission, la rotation de la clé de chiffrement Magento et des identifiants protégés par cette clé doit être accompagnée d’une réponse à incident complète.
N-able N-central — CVE-2026-86218
La vulnérabilité CVE-2026-86218 affecte N-able N-central, principalement utilisée pour centraliser la gestion d’environnements informatiques. Le bulletin publié par N-able le 6 septembre 2026 décrit une exécution de code à distance avant authentification dans les versions antérieures à la build 2026.3.1.14. Le score CVSS v4.0 publié atteint 10,0.
La vulnérabilité est liée à la catégorie CWE-96, relative à la neutralisation insuffisante de directives dans du code sauvegardé statiquement. Cette classification indique qu’une donnée non fiable peut, dans certaines circonstances, être interprétée comme une instruction plutôt que conservée comme donnée. Elle ne permet cependant pas à elle seule de déterminer le point d’entrée exact, le composant source, le format de la requête ou le fichier concerné.
L’exposition est particulièrement sensible compte tenu du rôle de N-central. Un serveur de supervision peut conserver des comptes techniques, des accès à distance, des informations sur les actifs et des capacités d’exécution d’actions d’administration. La compromission du serveur pourrait donc ouvrir des possibilités d’actions sur les systèmes gérés. Cet impact indirect dépend néanmoins des fonctionnalités activées, des comptes réellement disponibles et des opérations entreprises par l’attaquant.
Le 8 septembre 2026, la CISA a inscrit la vulnérabilité référencée CVE-2026-86218 au catalogue des vulnérabilités connues comme exploitées, ce qui justifie une priorité élevée pour les instances non corrigées.
Malgré le manque de détails techniques, le CERT-XMCO a tout de même recensé l’ensemble des produits N-central afin que les clients concernés puissent vérifier leurs configurations.
Pour ce faire, nous avons détecté les interfaces surl’endpoint /login tout en identifiant des matchers N-central au sein du code source de ces pages.
Recommandations
XMCO recommande de mettre à niveau toutes les installations N-central auto-hébergées vers la build 2026.3.1.14 ou une build ultérieure corrigée, et de restreindre autant que possible l’exposition du serveur aux réseaux non fiables. Les journaux applicatifs, les activités d’administration, l’exécution des scripts et les interactions avec les agents doivent être examinés, notamment lorsque la plateforme a été accessible avant sa correction.
SonicWall SMA1000 — CVE-2026-83548
La vulnérabilité CVE-2026-83548 touche la gamme SonicWall SMA1000, notamment les appliances SMA 6210, SMA 7210 et SMA 8200v. Elle concerne l’interface web WorkPlace, utilisée pour donner aux utilisateurs distants accès aux applications et ressources de l’organisation. SonicWall décrit une faille de type Server-SideRequest Forgery (SSRF) exploitable avant authentification, à laquelle il attribue un score CVSS de 10,0. Le 1er septembre 2026, SonicWall a publié son bulletin de sécurité et confirmé l’exploitation active de cette vulnérabilité. Le 2 septembre 2026, la CISA a ajouté la CVE-2026-83548 à son catalogue KEV.
Dans le cas de cette vulnérabilité, un chemin alternatif non prévu de l’interface Work Place permet à l’attaquant de détourner l’équipement comme un proxy de transfert de requêtes. Le système sollicité traite alors des connexions provenant de l’équipement lui-même, alors que l’attaquant ne possède pas les autorisations nécessaires pour accéder directement aux fonctionnalités visées.
Selon les services exposés localement ou dans l’environnement interne, la fonction de proxy détournée peut donner accès à des interfaces normalement protégées et permettre des opérations non autorisées. La présence d’un contrôle d’authentification peut ainsi être contournée lorsque le composant lui-même relaie la requête. L’ampleur de l’impact dépend des cibles accessibles depuis l’équipement et des protections supplémentaires appliquées à chaque service.
Dans le cadre de l’analyse de cette vulnérabilité, le CERT-XMCO a procédé, le 3 septembre 2026, à l’identification des équipements SonicWall SMA1000 exposés sur Internet au sein des périmètres de ses clients, afin de déterminer les systèmes potentiellement concernés. L’endpoint workplace/home.action a notamment été utilisé dans le cadre de la détection des instances SonicWall.
Par ailleurs, la disponibilité publique d’un code d’exploitation a permis au CERT-XMCO d’en étudier le fonctionnement et del’utiliser dans le cadre de vérifications ciblées, afin d’évaluer l’exposition des équipements identifiés et de confirmer, lorsque cela était possible, leurvulnérabilité.
Recommandations
XMCO recommande de mettre à niveau les équipements SMA1000 vers les versions 12.4.3-03526 ou 12.5.0-02952, de faire vérifier les indicateurs de compromission avec le support SonicWall et d’étudier les accès inattendus aux fonctionnalités internes. En présence de signes de compromission, il convient de redéployer ou réinstaller l’équipement et de renouveler les identifiants et les jetons TOTP conformément aux recommandations de l’éditeur.
De la veille à l’alerte contextualisée
L’activité Nouvelles Menaces ne consiste pas uniquement à publier une liste de vulnérabilités critiques. L’objectif est de transformer une information de veille en alerte contextualisée.
Pour chaque vulnérabilité retenue, les équipes Serenety suivent une démarche opérationnelle :
1. Identification d’une vulnérabilité critique, médiatisée ou exploitée ;
2. Analyse du bulletin éditeur et des sources complémentaires ;
3. Qualification des prérequis d’exploitation ;
4. Identification des technologies concernées sur les périmètres exposés ;
5. Vérification des versions lorsque cela est possible ;
6. Analyse ou validation encadrée d’un code d’exploitation public lorsque le test ne présente pas de risque pour la disponibilité et l’intégrité des systèmes ;
7. Classification du niveau de risque pour chaque client ;
8. Génération d’une alerte adaptée au contexte observé.
Cette qualification progressive permet aux organisations de mieux comprendre leur niveau d’exposition : simple détection d’une technologie, incertitude sur la version utilisée, vulnérabilité confirmée ou exploitabilité démontrée de manière encadrée.
Références
· Citrix — Security Bulletin for NetScalerADC and NetScaler Gateway (CTX697096)
https://support.citrix.com/external/article/697096
· CERT-FR — Multiples vulnérabilités dansCitrix NetScaler ADC et Gateway (CERTFR-2026-ALE-011)
https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-011/
· WordPress — Avis de sécuritéGHSA-7hp8-65ch-5whp (CVE-2026-87902)
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
· WordPress — WordPress 7.1.2 Release
https://wordpress.org/news/2026/09/wordpress-7-1-2-release/
· Wordfence — The Events Calendar :CVE-2026-78006, PHP Object Injection to Remote Code Execution
· Wordfence — The Events Calendar :CVE-2026-78159, Code Injection to Remote Code Execution
· The Events Calendar — Historique desversions du plugin WordPress
https://wordpress.org/plugins/the-events-calendar/
· GitLab — Critical Patch Release: 19.3.2,19.2.6, 19.1.8 (CVE-2026-85706)
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/
· GitLab — Critical Patch Release: 19.0.9,18.11.12
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-0-9-released/
· Adobe — Security update available forAdobe Commerce (APSB26-146)
https://www.adobe.com/trust/security/products/commerce/apsb26-146.html
· Adobe Commerce — Instructionsd’application du correctif et de rotation des identifiants (APSB26-146)
· Sansec — StyleSmuggler: Magento and AdobeCommerce 0-day RCE (CVE-2026-75650) under active attack
https://sansec.io/research/stylesmuggler-0day
· N-able — N-central 2026.3 Hotfix 4(CVE-2026-86218)
https://status.n-able.com/2026/09/06/n-central-2026-3-hotfix-4-cve-2026-86218/
· CISA — Known Exploited VulnerabilitiesCatalog (KEV)
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
· SonicWall — Product Notice: SMA 1000Series affected by Multiple Vulnerabilities (SNWLID-2026-0016)
· GitLab Support — Validating whether a filewas actually exfiltrated via CVE-2026-85706 using Workhorse written_bytes
· Wordfence — Wordfence Argus Identifies TwoCritical Unauthenticated Vulnerability Chains in The Events Calendar Plugin