Escalade de privilèges administrateur sans authentification (CVSS 8.9) dans MyTube. Publiée et mise à jour le 27/03/2026. Plateforme potentiellement déployée dans des environnements européens.
Le 25 mars 2026, la Commission a lancé une enquête sur Snapchat pour non-respect des règles de protection des mineurs sous le Digital Services Act. Focus sur les mesures de sécurité pour les utilisateurs vulnérables. Surveillance accrue pour les plateformes opérant au Luxembourg.
BIND 9 versions 9.20.0-9.20.20 et 9.21.0-9.21.19 contiennent une fuite mémoire exploitable via requête DNS malveillante sur domaines spécialement conçus. Affecte les serveurs DNS critiques d'infrastructure.
Routeur Tenda AC5 affecté par quatre vulnérabilités de débordement de pile et dépassement de mémoire (CVSS 8.7-8.8) via requêtes POST malveillantes. Bien que produit grand public, risque pour les réseaux d'entreprise utilisant cette infrastructure.
Microsoft SharePoint Server (Subscription Edition, 2019, 2016) contient une vulnérabilité de désérialisation de données non fiables permettant l'exécution de code à distance sans authentification (CVSS 9.8). Ajoutée au catalogue KEV CISA le 18 mars 2026, elle est activement exploitée. CERT-EU recommande une mise à jour immédiate des serveurs internet-facing.
La CSSF a publié sa newsletter mensuelle n° 302 le 24 mars 2026, recensant les dernières publications et statistiques du secteur financier luxembourgeois. Elle inclut des mises à jour réglementaires et des données sectorielles pertinentes pour la cybersécurité et la conformité. Outil essentiel pour la veille des acteurs financiers.
Vulnérabilité à exploitation distante sans authentification (CVSS 3.1 9.8) dans Oracle Identity Manager et Web Services Manager, menant à une exécution de code à distance. Bulletin Oracle relayé par CIRCL.lu le 23/03/2026. Application immédiate des patches recommandée.
Oracle Identity Manager et Oracle Web Services Manager contiennent une vulnérabilité d'exécution de code à distance exploitable sans authentification. Affecte les systèmes de gestion d'identité critiques en environnement d'entreprise.
Les écosystèmes Trivy ont été compromis via des credentials volés (19-22 mars 2026). Des versions malveillantes (v0.69.4, v0.69.5, v0.69.6) distribuées via GHCR, ECR, Docker Hub et packages deb/rpm contiennent des malwares volant secrets, clés SSH, credentials cloud/Kubernetes et tokens. Risque critique pour les pipelines CI/CD d'entreprise.
La CSSF a communiqué le 17 mars 2026 sur la soumission obligatoire du registre d'informations DORA au plus tard le 31 mars 2026 pour les entités financières soumises à la directive. Cela concerne les exigences de résilience opérationnelle et de gestion des risques TIC. Priorité pour les CISOs en matière de conformité DORA.
La CSSF lance un recensement des montants de dépôts garantis au 31 mars 2026 via la circulaire CSSF-CPDI 26/50. Cette mesure renforce la supervision des garanties de dépôts, avec lien indirect à la résilience opérationnelle et cyber via DORA. Échéance critique pour les banques luxembourgeoises.
Publiée le 16 mars 2026 et listée par la CSSF, cette réglementation met à jour les sanctions UE relatives aux actions menaçant l'intégrité territoriale de l'Ukraine. Les entités luxembourgeoises doivent vérifier la conformité. Lien avec les exigences AML/CFT en cybersécurité.
VMware Aria Operations contient une vulnérabilité d'injection de commande permettant l'exécution de code arbitraire sans authentification lors de migrations assistées. Ajoutée au catalogue KEV CISA le 3 mars 2026 avec date limite de remédiation au 24 mars 2026 (dépassée). Affecte les infrastructures de virtualisation critiques.