Failles réelles dans les frameworks et les applications web : comment elles arrivent, comment les corriger.
Dans le rapport annuel de Verizon, l'exploitation de vulnérabilités explique 31 % des intrusions, devant le phishing et les identifiants volés. Dans le même temps, les entreprises n'ont entièrement corrigé que 26 % des failles activement exploitées, en 43 jours médians. Ce que ça implique pour une application web exposée.
Depuis le 15 mars 2026, un certificat public ne peut plus dépasser 200 jours. Ce sera 100 jours en 2027 et 47 jours en 2029, et Let's Encrypt descendra à 45 jours dès 2028. Le calendrier, les raisons, et ce qu'il faut automatiser pour qu'un certificat expiré ne coupe plus jamais votre site.
En mai, l'équipe de recherche Microsoft Defender a publié deux CVE critiques dans Semantic Kernel, où une injection de prompt pouvait aboutir à une exécution de code sur la machine hôte. Le problème ne se limite pas à un framework.
Le crawl de juin 2026 de Scott Helme sur le top 1 million mesure dix ans de progrès : CSP multiplié par 125 depuis 2015, HSTS sur 31 % des sites. Mais près d'une politique CSP sur deux autorise encore unsafe-inline. Ce que disent les chiffres, et la configuration qui tient la route.
CVE-2025-55182 permettait d'exécuter du code sur n'importe quel serveur Next.js 15 ou 16 en App Router, sans authentification, même sans une seule Server Function déclarée. Anatomie du protocole Flight, de la faille, et de ce qu'il faut encore vérifier huit mois plus tard.
Quatre ans après l'édition 2021, l'OWASP a publié son nouveau classement à partir des données de 2,8 millions d'applications. Le contrôle d'accès reste premier, la mauvaise configuration grimpe à la deuxième place, la supply chain et la gestion des erreurs font leur entrée. Lecture détaillée, catégorie par catégorie.
