Points cl\u00e9s<\/h2>\n\n- CVE-2026-40372 dans ASP.NET Core DataProtection 10.0.0 \u00e0 10.0.6 permet une \u00e9l\u00e9vation de privil\u00e8ges via des cookies d’authentification falsifi\u00e9s, CVSS 9.1.<\/li>\n
- Microsoft a corrig\u00e9 la faille via une mise \u00e0 jour hors-bande le 22 avril 2026. Correction dans DataProtection 10.0.7 ou sup\u00e9rieur.<\/li>\n
- Dans les secteurs r\u00e9glement\u00e9s par DORA, NIS2 et MaRisk, les applications internes sp\u00e9cialis\u00e9es sont souvent des syst\u00e8mes critiques avec obligation de preuve.<\/li>\n
- La r\u00e9ponse de conformit\u00e9 comprend le d\u00e9ploiement correctif, l’\u00e9valuation document\u00e9e des risques, l’\u00e9valuation d’incident et le rapport aux autorit\u00e9s de supervision.<\/li>\n
- Op\u00e9rer en 2026 sans cette discipline de documentation expose au risque de constats d\u00e9tectables lors de la prochaine inspection de routine.<\/li>\n<\/ul>\n
Ce que la faille concr\u00e8tement fait et pourquoi elle touche les secteurs r\u00e9glement\u00e9s<\/h2>\n
Qu’est-ce que CVE-2026-40372 ?<\/strong> CVE-2026-40372 est une faille d’escalade de privil\u00e8ges dans la biblioth\u00e8que ASP.NET Core DataProtection, publi\u00e9e le 22 avril 2026 avec un score CVSS de 9.1. Une r\u00e9gression dans les versions 10.0.0 \u00e0 10.0.6 affaiblit la v\u00e9rification de la signature cryptographique. Un attaquant peut utiliser un HMAC tout-z\u00e9ro pour contourner la validation et ainsi falsifier, par exemple, les cookies d’authentification et les jetons anti-falsification. Par la suite, il est possible d’obtenir des privil\u00e8ges SYSTEM sur l’h\u00f4te ASP.NET Core. Microsoft a livr\u00e9 le correctif dans la version 10.0.7.<\/p>\nLa faille affecte particuli\u00e8rement trois classes d’applications. Premi\u00e8rement, les backends web classiques sur .NET 10 qui utilisent DataProtection pour le chiffrement de cookies et de jetons. Deuxi\u00e8mement, les passerelles API et les services internes qui utilisent des chemins DataProtection pour l’anti-CSRF et les jetons de session. Troisi\u00e8mement, les applications ASP.NET Core plus anciennes qui ont \u00e9t\u00e9 migr\u00e9es vers .NET 10 au cours des 24 derniers mois, sans v\u00e9rifier \u00e0 nouveau la configuration DataProtection. Dans les trois classes, l’escalade est possible sans authentification, ce qui rend la faille particuli\u00e8rement grave.<\/p>\n
Dans les secteurs financier et de l’assurance, ces applications sont souvent class\u00e9es comme des syst\u00e8mes critiques, car elles font partie de processus m\u00e9tiers r\u00e9glement\u00e9s. Les frontends de banque en ligne, les portails de d\u00e9claration de sinistres, les outils de workflow internes pour le traitement des demandes et les plateformes de reporting de conformit\u00e9 sont des candidats typiques. Le correctif n’est donc pas une mise \u00e0 jour de routine, mais un processus document\u00e9 aupr\u00e8s des autorit\u00e9s de surveillance MaRisk ou NIS2.<\/p>\n
\nCVSS 9.1<\/div>\nEscalade de privil\u00e8ges dans ASP.NET Core DataProtection 10.0.0 \u00e0 10.0.6, correctif dans 10.0.7<\/div>\nSource : Microsoft Security Advisory, NVD, Out-of-Band-Update 22 avril 2026<\/div>\n<\/div>\nQuels cadres de conformit\u00e9 seront concern\u00e9s en 2026<\/h2>\n
Trois cadres r\u00e9glementaires fournissent le contexte dans lequel CVE-2026-40372 devient un sujet de conformit\u00e9 pour les \u00e9quipes de d\u00e9veloppement (Dev-Shops) financiers et d’assurance. Le premier est DORA, le Digital Operational Resilience Act. Entr\u00e9 en vigueur en janvier 2025, DORA exige pour les applications critiques une gestion document\u00e9e des risques ICT. Une vuln\u00e9rabilit\u00e9 critique dans une application m\u00e9tier propre est un incident au sens du r\u00e8glement. La documentation associ\u00e9e inclut l’identification, l’\u00e9valuation des risques, la mitigation, l’escalade et, le cas \u00e9ch\u00e9ant, la d\u00e9claration \u00e0 l’autorit\u00e9 de supervision comp\u00e9tente.<\/p>\n
Le deuxi\u00e8me cadre est NIS2. Pour les op\u00e9rateurs d’infrastructures essentielles (KRITIS) et les entit\u00e9s particuli\u00e8rement importantes, une faille de s\u00e9curit\u00e9 grave dans une application critique doit \u00eatre d\u00e9clar\u00e9e si elle peut avoir ou a eu des cons\u00e9quences op\u00e9rationnelles significatives. Le seuil de gravit\u00e9 et l’obligation de d\u00e9claration sont plus stricts que ce que certains responsables de conformit\u00e9 pourraient croire. Un bug non exploit\u00e9 peut, dans certains cas, \u00eatre soumis \u00e0 d\u00e9claration si la pr\u00e9paration de la mitigation prend plus de temps que le d\u00e9lai r\u00e9glementaire.<\/p>\n
Le troisi\u00e8me cadre est MaRisk et son \u00e9quivalent dans le secteur de l’assurance, le cadre VAIT. Pour les banques et assureurs en Allemagne, les applications d\u00e9velopp\u00e9es en interne sont souvent int\u00e9gr\u00e9es dans les chapitres de strat\u00e9gie informatique et de gestion des situations d’urgence. Une vuln\u00e9rabilit\u00e9 dans une telle application doit \u00eatre r\u00e9pertori\u00e9e dans l’inventaire des risques internes et incluse dans la prochaine v\u00e9rification sp\u00e9ciale de l’audit interne. Celui qui ne documente pas cela de mani\u00e8re syst\u00e9matique obtiendra des conclusions lors du prochain audit de la BaFin qui auraient pu \u00eatre \u00e9vit\u00e9es.<\/p>\n
\n\nCe que les \u00e9quipes de conformit\u00e9 devraient documenter maintenant<\/h3>\n\n- Inventaire de toutes les applications ASP.NET Core avec des chemins de protection des donn\u00e9es<\/li>\n
- \u00c9valuation des risques par application selon la criticit\u00e9 m\u00e9tier<\/li>\n
- Statut des correctifs par application avec chronologie et responsable<\/li>\n
- D\u00e9cisions d’escalade et de d\u00e9claration avec justification dans la tra\u00e7abilit\u00e9 d’audit<\/li>\n<\/ul><\/div>\n\n
Ce qui ne suffit pas, m\u00eame si cela semble bien<\/h3>\n\n- Un e-mail de correctif envoy\u00e9 aux \u00e9quipes de d\u00e9veloppement sans inventaire document\u00e9<\/li>\n
- L’hypoth\u00e8se que les applications internes ne sont pas soumises \u00e0 d\u00e9claration<\/li>\n
- Un transfert de responsabilit\u00e9 aux chefs de d\u00e9veloppement individuels sans accompagnement de la conformit\u00e9<\/li>\n
- Une documentation de d\u00e9ploiement de correctifs sans \u00e9valuation des niveaux d’escalade<\/li>\n<\/ul><\/div>\n<\/div>\n
Un plan de conformit\u00e9 de 21 jours pour les shops de d\u00e9veloppement r\u00e9glement\u00e9s<\/h2>\n
Trois semaines suffisent pour une r\u00e9ponse appropri\u00e9e \u00e0 CVE-2026-40372 lorsque la conformit\u00e9, la s\u00e9curit\u00e9 et l’ing\u00e9nierie travaillent de coordonn\u00e9e. Les jalons suivants correspondent aux exigences minimales de DORA (Digital Operational Resilience Act), NIS2 (Directive sur la s\u00e9curit\u00e9 des r\u00e9seaux et des syst\u00e8mes d’information) et MaRisk (Mindestanforderungen an das Risikomanagement) dans une vue int\u00e9gr\u00e9e.<\/p>\n
\n\nJour 1-2<\/div>\nInventaire. Quelles applications ASP.NET-Core fonctionnent en interne, dans quelle version, avec quelle configuration DataProtection ? \u00c9valuation du SBOM (Software Bill of Materials), scan d’images de conteneurs, enqu\u00eate aupr\u00e8s des \u00e9quipes de d\u00e9veloppement.<\/div>\n<\/p><\/div>\n\nJour 3-4<\/div>\nClassification des risques. Par application : critique, important ou non critique, bas\u00e9 sur la fonction m\u00e9tier, les classes de donn\u00e9es et les obligations d’audit. L’\u00e9quipe de conformit\u00e9 est responsable de la classification en collaboration avec les d\u00e9partements sp\u00e9cialis\u00e9s.<\/div>\n<\/p><\/div>\n\nJour 5-7<\/div>\nD\u00e9ploiement correctif des applications critiques. DataProtection sur la version 10.0.7 ou sup\u00e9rieure, red\u00e9ploiement, validation dans l’environnement cible. \u00c9tapes de test document\u00e9es avec tra\u00e7abilit\u00e9 d’audit.<\/div>\n<\/p><\/div>\n\nJour 8-10<\/div>\nD\u00e9ploiement correctif des applications importantes. M\u00eame discipline que pour les applications critiques, avec une cha\u00eene d’escalade adapt\u00e9e. Premiers rapports d’\u00e9tat des correctifs internes.<\/div>\n<\/p><\/div>\n\nJour 11-14<\/div>\nExamen forensique. V\u00e9rification des mod\u00e8les d’authentification inhabituels dans les journaux des 30 derniers jours, anomalies dans la fr\u00e9quence de renouvellement des cookies, escalades de privil\u00e8ges inhabituelles dans le journal d’audit.<\/div>\n<\/p><\/div>\n\nJour 15-18<\/div>\n\u00c9valuation de l’obligation de d\u00e9claration. L’\u00e9quipe de conformit\u00e9 \u00e9value si une d\u00e9claration aupr\u00e8s des autorit\u00e9s de supervision est n\u00e9cessaire pour certaines applications. Pour DORA : classification comme incident majeur ou significatif li\u00e9 aux TIC.<\/div>\n<\/p><\/div>\n\nJour 19-21<\/div>\nRapport au conseil d’administration et, le cas \u00e9ch\u00e9ant, aux autorit\u00e9s de supervision. Faire des le\u00e7ons tir\u00e9es pour l’inventaire des risques TIC. Pr\u00e9parer la documentation pour la prochaine v\u00e9rification sp\u00e9ciale de la r\u00e9vision interne.<\/div>\n<\/p><\/div>\n<\/div>\nLe\u00e7ons qui vont au-del\u00e0 du bug individuel<\/h2>\n
Le CVE est l’occasion d’aborder trois questions structurelles. Premi\u00e8rement, la discipline SBOM (Software Bill of Materials) dans les organisations r\u00e9glement\u00e9es. Celui qui dispose d’une liste logicielle compl\u00e8te et maintenue pour ses applications peut r\u00e9agir \u00e0 de tels incidents en heures plut\u00f4t qu’en jours. Squidex SSRF CVE-2026-41172<\/a> \u00e9tait un cas similaire sur la m\u00eame p\u00e9riode, posant la m\u00eame question de SBOM. Ceux qui ont d\u00fb traiter ces deux incidents simultan\u00e9ment ont une bonne occasion d’engager une discussion fondamentale avec leur cha\u00eene logicielle.<\/p>\nDeuxi\u00e8mement, l’int\u00e9gration du compliance engineering. Les r\u00e9ponses aux CVE qui ne passent que par des tickets d’ing\u00e9nierie manquent la dimension r\u00e9glementaire. En revanche, celui qui unifie l’ing\u00e9nierie, la s\u00e9curit\u00e9 et la conformit\u00e9 dans un workflow commun gagne plusieurs semaines par incident. Cette discipline est encore sous-d\u00e9velopp\u00e9e dans de nombreuses organisations en 2026. CVE-2026-40372 est une bonne occasion de la mettre en place.<\/p>\n
Troisi\u00e8mement, l’observation du cycle de vie Microsoft. Les updates hors bande sont devenus plus fr\u00e9quents au cours des derniers trimestres. Les \u00e9quipes de conformit\u00e9 devraient activement suivre le rythme des correctifs Microsoft et ne pas traiter les updates hors bande comme des exceptions, mais comme faisant partie du cadre de r\u00e9action standard. Celui qui int\u00e8gre cela dans son propre processus de gestion des correctifs sera beaucoup plus rapide lors de la prochaine vague.<\/p>\n
Les enseignements pour les dirigeants et les conseils de surveillance<\/h2>\n
Trois points devront \u00eatre abord\u00e9s lors de la prochaine r\u00e9union du conseil d’administration des \u00e9tablissements r\u00e9glement\u00e9s en 2026. Premi\u00e8rement, un \u00e9tat des lieux : l’\u00e9tablissement dispose-t-il d’un SBOM (Software Bill of Materials) complet pour toutes les applications critiques pour l’activit\u00e9 ? Si non, cela repr\u00e9sente un risque de constat lors de la prochaine inspection de surveillance. Deuxi\u00e8mement, une clarification des responsabilit\u00e9s : qui signale les CVE critiques, \u00e0 qui, dans quel d\u00e9lai, avec quelle discipline documentaire ? Celui qui n’a pas \u00e9tabli de r\u00e8gles claires rencontrera les m\u00eames pertes de friction \u00e0 chaque incident. Troisi\u00e8mement, une d\u00e9cision d’investissement : quel budget est allou\u00e9 pour les outils SBOM, l’int\u00e9gration du compliance engineering et l’automatisation des correctifs en 2026 et 2027 ?<\/p>\n
Un conseil suppl\u00e9mentaire issu de la pratique consultante : les conseils de surveillance sous-estiment souvent l’impact d’une bonne r\u00e9ponse aux CVE sur la relation avec la BaFin (Autorit\u00e9 f\u00e9d\u00e9rale de surveillance financi\u00e8re allemande). Une banque ou une assurance qui peut pr\u00e9senter une documentation de r\u00e9ponse irr\u00e9prochable pour la CVE-2026-40372 lors de la prochaine inspection sp\u00e9ciale b\u00e9n\u00e9ficie d’un avantage tangible, bien que subtil, sur les sujets de surveillance futurs. Inversement, l’absence de documentation g\u00e9n\u00e8re des frictions qui se traduisent par des exigences de suivi d\u00e9sagr\u00e9ables.<\/p>\n
Les correctifs Microsoft eux-m\u00eames entra\u00eeneront une vague de suivi dans les prochaines semaines. Les mises \u00e0 jour hors bande pour ASP.NET Core sont rares, mais signalent une situation de menace s\u00e9rieuse. Ceux qui documentent correctement leur r\u00e9ponse aux correctifs sont mieux pr\u00e9par\u00e9s pour d’autres mises \u00e0 jour. La r\u00e9activation de PaperCut dans le CISA-KEV<\/a> a montr\u00e9 que les anciennes CVE peuvent revenir. Ceux qui ont une bonne culture documentaire disposent d’un syst\u00e8me de secours pour les deux cat\u00e9gories.<\/p>\nComment les responsables d’ing\u00e9nierie dans les entreprises r\u00e9glement\u00e9es seront mieux pr\u00e9par\u00e9s en 2026<\/h2>\n
L’observation centrale des incidents d’avril est structurelle. Les responsables d’ing\u00e9nierie dans les entreprises r\u00e9glement\u00e9es auront en 2026 une mission qui va bien au-del\u00e0 de la simple gestion des correctifs. Ils devront assumer trois r\u00f4les simultan\u00e9ment : celui de responsable de la livraison de logiciels s\u00e9curis\u00e9s, d’interface de communication pour la conformit\u00e9 et de partenaire pour les op\u00e9rations de s\u00e9curit\u00e9. Ceux qui ne s\u00e9parent pas consciemment ces trois r\u00f4les tout en les int\u00e9grant seront sous pression lors de chaque CVE s\u00e9rieuse.<\/p>\n
Un mod\u00e8le pragmatique, qui a fait ses preuves dans plusieurs banques et compagnies d’assurance allemandes, repose sur une chor\u00e9graphie \u00e0 trois personnes. Le responsable d’ing\u00e9nierie supervise le d\u00e9ploiement des correctifs et documente les \u00e9tapes techniques. Le responsable de la s\u00e9curit\u00e9 \u00e9value les risques d’exploitation et g\u00e8re les couches de d\u00e9tection. Le responsable de la conformit\u00e9 v\u00e9rifie la classification, l’obligation de d\u00e9claration et les rapports. Tous trois partagent un tableau d’incidents commun avec un rythme clair. Trois coordinations en 72 heures suffisent pour adresser de mani\u00e8re coh\u00e9rente les CVE critiques.<\/p>\n
Pour les \u00e9quipes de d\u00e9veloppement dans les secteurs r\u00e9glement\u00e9s, il est \u00e9galement judicieux d’investir strat\u00e9giquement dans des outils de SBOM (Software Bill of Materials). La g\u00e9n\u00e9ration automatis\u00e9e de SBOM \u00e0 chaque build, un registre central de SBOM, des processus automatiques de comparaison avec les nouvelles CVE et des escalades bas\u00e9es sur des alertes r\u00e9duisent le temps de r\u00e9action de plusieurs jours \u00e0 quelques heures. Des fournisseurs comme Anchore, Snyk et Sysdig auront des produits matures sur le march\u00e9 en 2026. Ceux qui n’ont pas de strat\u00e9gie SBOM auront \u00e9t\u00e9 visiblement d\u00e9pass\u00e9s par les vagues d’avril 2026. L’investissement dans de meilleurs outils est modeste par rapport au risque de non-conformit\u00e9.<\/p>\n
Enfin, une derni\u00e8re remarque sur la communication externe. Ceux qui r\u00e9agissent activement et proprement aux CVE dans les secteurs r\u00e9glement\u00e9s peuvent utiliser cela dans les appels aux investisseurs et dans la communication avec les parties prenantes. Une pr\u00e9sentation calme et factuelle de leur propre cha\u00eene de r\u00e9action cr\u00e9e de la confiance et r\u00e9duit les frictions dans les discussions ult\u00e9rieures. La tentation de garder les incidents en interne est rarement b\u00e9n\u00e9fique pour les CVE critiques dans les secteurs r\u00e9glement\u00e9s. La transparence paie dans les discussions avec les autorit\u00e9s de surveillance et dans la perception des clients.<\/p>\n
Une derni\u00e8re recommandation pratique pour la prochaine retraite d’ing\u00e9nierie : \u00e9tablissez un format d’exercice de correctifs internes. Une fois par trimestre, une CVE critique fictive est simul\u00e9e dans une application propre et la cha\u00eene de r\u00e9action est test\u00e9e avec de vraies \u00e9ch\u00e9ances. Ceux qui pratiquent cela syst\u00e9matiquement gagnent plusieurs heures d’avance en cas de r\u00e9el incident, car les r\u00f4les, les chemins d’escalade et les voies de communication sont d\u00e9j\u00e0 rod\u00e9s. L’effort pour l’exercice lui-m\u00eame est modeste, avec une demi-journ\u00e9e par trimestre, mais l’effet en cas de situation r\u00e9elle est mesurable.<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n\nQuelles versions d’ASP.NET Core sont concern\u00e9es et quel correctif est disponible ?<\/strong><\/summary>\nLa biblioth\u00e8que DataProtection est concern\u00e9e dans les versions 10.0.0 \u00e0 10.0.6. Le correctif est disponible dans la version 10.0.7 ou ult\u00e9rieure et devrait \u00eatre d\u00e9ploy\u00e9 imm\u00e9diatement. Microsoft a publi\u00e9 le correctif sous forme de mise \u00e0 jour hors cycle (Out-of-Band Update).<\/p>\n<\/details>\n\nComment puis-je d\u00e9tecter si mon application est concern\u00e9e ?<\/strong><\/summary>\nVia une recherche SBOM (Software Bill of Materials) de Microsoft.AspNetCore.DataProtection dans l’une des versions mentionn\u00e9es. Alternativement, via des analyses d’images de conteneur avec Trivy, Grype ou Snyk. Les \u00e9quipes de d\u00e9veloppement peuvent g\u00e9n\u00e9ralement fournir un statut par application en quelques heures.<\/p>\n<\/details>\n\nUn correctif suffit-il ou dois-je \u00e9galement invalider les cookies ?<\/strong><\/summary>\nUn correctif ne suffit pas dans tous les cas. Si l’application a \u00e9t\u00e9 expos\u00e9e pendant une longue p\u00e9riode et qu’il existe un soup\u00e7on d’exploitation, les cookies d’authentification et les jetons Antiforgery devraient \u00eatre tourn\u00e9s (rotated). L’effort est g\u00e9rable dans les applications compatibles avec la rotation des cookies, mais non trivial dans les configurations complexes.<\/p>\n<\/details>\n\nQuelles obligations du DORA s’appliquent concr\u00e8tement ?<\/strong><\/summary>\nL’obligation de gestion des risques TIC (ICT-Risk-Management) de l’article 5 et suivants du DORA exige une r\u00e9ponse document\u00e9e \u00e0 un incident li\u00e9 aux TIC. La classification comme incident majeur (major) ou significatif (significant) ICT-related d\u00e9clenche des obligations de d\u00e9claration et de reporting. Les \u00e9quipes de conformit\u00e9 (Compliance) devraient effectuer la classification de mani\u00e8re active et document\u00e9e.<\/p>\n<\/details>\n\nQuel est l’impact de l’incident sur les inspections sp\u00e9ciales MaRisk ?<\/strong><\/summary>\nUne vuln\u00e9rabilit\u00e9 critique dans une application interne sera abord\u00e9e lors de la prochaine inspection sp\u00e9ciale de l’audit interne ou lors d’une inspection sp\u00e9ciale de la BaFin. Celui qui peut pr\u00e9senter une documentation de r\u00e9ponse propre \u00e9vite les constats. Celui qui n’en a pas obtiendra une remarque \u00e0 ce sujet.<\/p>\n<\/details>\n\n\u00c0 quelle fr\u00e9quence les mises \u00e0 jour hors cycle (Out-of-Band Updates) seront-elles fr\u00e9quentes dans l’\u00e9cosyst\u00e8me Microsoft en 2026 ?<\/strong><\/summary>\nPlus fr\u00e9quemment qu’il y a deux ans. Au cours des douze derniers mois, plusieurs mises \u00e0 jour critiques hors cycle ont \u00e9t\u00e9 d\u00e9ploy\u00e9es. Les \u00e9quipes de conformit\u00e9 devraient int\u00e9grer les bulletins du Microsoft Security Response Center \u00e0 leur routine hebdomadaire plut\u00f4t que de les traiter comme des informations ad hoc.<\/p>\n<\/details>\n
\n<\/p>\nLes choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/squidex-ssrf-px17302202-250x166.jpg\")
<\/span>\u00c0 lire<\/span>Squidex SSRF CVE-2026-41172: Pourquoi les backends de Headless-CMS sont maintenant consid\u00e9r\u00e9s comme un risque de cha\u00eene d\u2019approvisionnement dans l\u2019agenda de s\u00e9curit\u00e9<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/terrarium-sandbox-escape-px5474025-250x167.jpg\")
<\/span>\u00c0 lire<\/span>\u00c9vasion de Sandbox Terrarium CVE-2026-5752 (CVSS 9.3) : Ce que signifie le bug de Sandbox Cohere AI pour l\u2019isolation du contenu dans les piles Edge d\u2019entreprise<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/papercut-ng-mf-kev-px9301887-250x167.jpg\")
<\/span>\u00c0 lire<\/span>PaperCut NG\/MF sous le feu : Pourquoi un bug de 2023 refait son entr\u00e9e dans le catalogue CISA-KEV un an plus tard<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-claude-code-github-copilot-cursor-vergle-82100985.jpg\")
<\/span>cloudmagazin<\/span>Claude Code vs. GitHub Copilot Workspaces vs. Cursor 2026\u2026<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-ki-reskilling-2026-prompt-ops-ai-governa-44677081-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>Reskilling IA : 3 profils que les PME reconstruisent<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-managed-services-c-level-build-buy-manag-10236295-250x167.jpg\")
<\/span>Digital Chiefs<\/span>Services g\u00e9r\u00e9s dans le contexte du C-Level 2026 : Comment les dirigeants d\u00e9cident entre Build, Buy et Managed lorsque les budgets IA deviendront plus serr\u00e9s \u00e0 partir du T2<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Microsoft ASP.NET Core CVE-2026-40372 : CVSS 9.1, \u00e9l\u00e9vation de privil\u00e8ges. Cons\u00e9quences de conformit\u00e9 DORA, NIS2 et MaRisk avec un plan de 21 jours pour les ateliers de d\u00e9veloppement financiers.","protected":false},"author":50,"featured_media":12891,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Faille ASP.NET Core","_yoast_wpseo_title":"ASP.NET Core CVE-2026-40372 (CVSS 9.1) : Cons\u00e9quences de conformit\u00e9 pour les ate","_yoast_wpseo_metadesc":"ASP.NET Core CVE-2026-40372 avec CVSS 9.1 : Cons\u00e9quences de conformit\u00e9 sous DORA, NIS2 et MaRisk. Plan de 21 jours pour les ateliers de d\u00e9veloppement r\u00e9glement\u00e9s.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["die-nachricht-enthalt-zwei-widerspruchliche-instruktionen","asp-net-core-cve-2026-40372-cvss-9-1-consequences-de-conformite-pour-les-ateliers-de-developpement-financiers-et-d-assurance-sous-dora-et-nis2"],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-13026","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":15,"wpml_language":"fr","wpml_translation_of":12892,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13026","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=13026"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13026\/revisions"}],"predecessor-version":[{"id":21508,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13026\/revisions\/21508"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/12891"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=13026"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=13026"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=13026"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Ce que la faille concr\u00e8tement fait et pourquoi elle touche les secteurs r\u00e9glement\u00e9s<\/h2>\n
Qu’est-ce que CVE-2026-40372 ?<\/strong> CVE-2026-40372 est une faille d’escalade de privil\u00e8ges dans la biblioth\u00e8que ASP.NET Core DataProtection, publi\u00e9e le 22 avril 2026 avec un score CVSS de 9.1. Une r\u00e9gression dans les versions 10.0.0 \u00e0 10.0.6 affaiblit la v\u00e9rification de la signature cryptographique. Un attaquant peut utiliser un HMAC tout-z\u00e9ro pour contourner la validation et ainsi falsifier, par exemple, les cookies d’authentification et les jetons anti-falsification. Par la suite, il est possible d’obtenir des privil\u00e8ges SYSTEM sur l’h\u00f4te ASP.NET Core. Microsoft a livr\u00e9 le correctif dans la version 10.0.7.<\/p>\n La faille affecte particuli\u00e8rement trois classes d’applications. Premi\u00e8rement, les backends web classiques sur .NET 10 qui utilisent DataProtection pour le chiffrement de cookies et de jetons. Deuxi\u00e8mement, les passerelles API et les services internes qui utilisent des chemins DataProtection pour l’anti-CSRF et les jetons de session. Troisi\u00e8mement, les applications ASP.NET Core plus anciennes qui ont \u00e9t\u00e9 migr\u00e9es vers .NET 10 au cours des 24 derniers mois, sans v\u00e9rifier \u00e0 nouveau la configuration DataProtection. Dans les trois classes, l’escalade est possible sans authentification, ce qui rend la faille particuli\u00e8rement grave.<\/p>\n Dans les secteurs financier et de l’assurance, ces applications sont souvent class\u00e9es comme des syst\u00e8mes critiques, car elles font partie de processus m\u00e9tiers r\u00e9glement\u00e9s. Les frontends de banque en ligne, les portails de d\u00e9claration de sinistres, les outils de workflow internes pour le traitement des demandes et les plateformes de reporting de conformit\u00e9 sont des candidats typiques. Le correctif n’est donc pas une mise \u00e0 jour de routine, mais un processus document\u00e9 aupr\u00e8s des autorit\u00e9s de surveillance MaRisk ou NIS2.<\/p>\n Trois cadres r\u00e9glementaires fournissent le contexte dans lequel CVE-2026-40372 devient un sujet de conformit\u00e9 pour les \u00e9quipes de d\u00e9veloppement (Dev-Shops) financiers et d’assurance. Le premier est DORA, le Digital Operational Resilience Act. Entr\u00e9 en vigueur en janvier 2025, DORA exige pour les applications critiques une gestion document\u00e9e des risques ICT. Une vuln\u00e9rabilit\u00e9 critique dans une application m\u00e9tier propre est un incident au sens du r\u00e8glement. La documentation associ\u00e9e inclut l’identification, l’\u00e9valuation des risques, la mitigation, l’escalade et, le cas \u00e9ch\u00e9ant, la d\u00e9claration \u00e0 l’autorit\u00e9 de supervision comp\u00e9tente.<\/p>\n Le deuxi\u00e8me cadre est NIS2. Pour les op\u00e9rateurs d’infrastructures essentielles (KRITIS) et les entit\u00e9s particuli\u00e8rement importantes, une faille de s\u00e9curit\u00e9 grave dans une application critique doit \u00eatre d\u00e9clar\u00e9e si elle peut avoir ou a eu des cons\u00e9quences op\u00e9rationnelles significatives. Le seuil de gravit\u00e9 et l’obligation de d\u00e9claration sont plus stricts que ce que certains responsables de conformit\u00e9 pourraient croire. Un bug non exploit\u00e9 peut, dans certains cas, \u00eatre soumis \u00e0 d\u00e9claration si la pr\u00e9paration de la mitigation prend plus de temps que le d\u00e9lai r\u00e9glementaire.<\/p>\n Le troisi\u00e8me cadre est MaRisk et son \u00e9quivalent dans le secteur de l’assurance, le cadre VAIT. Pour les banques et assureurs en Allemagne, les applications d\u00e9velopp\u00e9es en interne sont souvent int\u00e9gr\u00e9es dans les chapitres de strat\u00e9gie informatique et de gestion des situations d’urgence. Une vuln\u00e9rabilit\u00e9 dans une telle application doit \u00eatre r\u00e9pertori\u00e9e dans l’inventaire des risques internes et incluse dans la prochaine v\u00e9rification sp\u00e9ciale de l’audit interne. Celui qui ne documente pas cela de mani\u00e8re syst\u00e9matique obtiendra des conclusions lors du prochain audit de la BaFin qui auraient pu \u00eatre \u00e9vit\u00e9es.<\/p>\n Trois semaines suffisent pour une r\u00e9ponse appropri\u00e9e \u00e0 CVE-2026-40372 lorsque la conformit\u00e9, la s\u00e9curit\u00e9 et l’ing\u00e9nierie travaillent de coordonn\u00e9e. Les jalons suivants correspondent aux exigences minimales de DORA (Digital Operational Resilience Act), NIS2 (Directive sur la s\u00e9curit\u00e9 des r\u00e9seaux et des syst\u00e8mes d’information) et MaRisk (Mindestanforderungen an das Risikomanagement) dans une vue int\u00e9gr\u00e9e.<\/p>\n Le CVE est l’occasion d’aborder trois questions structurelles. Premi\u00e8rement, la discipline SBOM (Software Bill of Materials) dans les organisations r\u00e9glement\u00e9es. Celui qui dispose d’une liste logicielle compl\u00e8te et maintenue pour ses applications peut r\u00e9agir \u00e0 de tels incidents en heures plut\u00f4t qu’en jours. Squidex SSRF CVE-2026-41172<\/a> \u00e9tait un cas similaire sur la m\u00eame p\u00e9riode, posant la m\u00eame question de SBOM. Ceux qui ont d\u00fb traiter ces deux incidents simultan\u00e9ment ont une bonne occasion d’engager une discussion fondamentale avec leur cha\u00eene logicielle.<\/p>\n Deuxi\u00e8mement, l’int\u00e9gration du compliance engineering. Les r\u00e9ponses aux CVE qui ne passent que par des tickets d’ing\u00e9nierie manquent la dimension r\u00e9glementaire. En revanche, celui qui unifie l’ing\u00e9nierie, la s\u00e9curit\u00e9 et la conformit\u00e9 dans un workflow commun gagne plusieurs semaines par incident. Cette discipline est encore sous-d\u00e9velopp\u00e9e dans de nombreuses organisations en 2026. CVE-2026-40372 est une bonne occasion de la mettre en place.<\/p>\n Troisi\u00e8mement, l’observation du cycle de vie Microsoft. Les updates hors bande sont devenus plus fr\u00e9quents au cours des derniers trimestres. Les \u00e9quipes de conformit\u00e9 devraient activement suivre le rythme des correctifs Microsoft et ne pas traiter les updates hors bande comme des exceptions, mais comme faisant partie du cadre de r\u00e9action standard. Celui qui int\u00e8gre cela dans son propre processus de gestion des correctifs sera beaucoup plus rapide lors de la prochaine vague.<\/p>\n Trois points devront \u00eatre abord\u00e9s lors de la prochaine r\u00e9union du conseil d’administration des \u00e9tablissements r\u00e9glement\u00e9s en 2026. Premi\u00e8rement, un \u00e9tat des lieux : l’\u00e9tablissement dispose-t-il d’un SBOM (Software Bill of Materials) complet pour toutes les applications critiques pour l’activit\u00e9 ? Si non, cela repr\u00e9sente un risque de constat lors de la prochaine inspection de surveillance. Deuxi\u00e8mement, une clarification des responsabilit\u00e9s : qui signale les CVE critiques, \u00e0 qui, dans quel d\u00e9lai, avec quelle discipline documentaire ? Celui qui n’a pas \u00e9tabli de r\u00e8gles claires rencontrera les m\u00eames pertes de friction \u00e0 chaque incident. Troisi\u00e8mement, une d\u00e9cision d’investissement : quel budget est allou\u00e9 pour les outils SBOM, l’int\u00e9gration du compliance engineering et l’automatisation des correctifs en 2026 et 2027 ?<\/p>\n Un conseil suppl\u00e9mentaire issu de la pratique consultante : les conseils de surveillance sous-estiment souvent l’impact d’une bonne r\u00e9ponse aux CVE sur la relation avec la BaFin (Autorit\u00e9 f\u00e9d\u00e9rale de surveillance financi\u00e8re allemande). Une banque ou une assurance qui peut pr\u00e9senter une documentation de r\u00e9ponse irr\u00e9prochable pour la CVE-2026-40372 lors de la prochaine inspection sp\u00e9ciale b\u00e9n\u00e9ficie d’un avantage tangible, bien que subtil, sur les sujets de surveillance futurs. Inversement, l’absence de documentation g\u00e9n\u00e8re des frictions qui se traduisent par des exigences de suivi d\u00e9sagr\u00e9ables.<\/p>\n Les correctifs Microsoft eux-m\u00eames entra\u00eeneront une vague de suivi dans les prochaines semaines. Les mises \u00e0 jour hors bande pour ASP.NET Core sont rares, mais signalent une situation de menace s\u00e9rieuse. Ceux qui documentent correctement leur r\u00e9ponse aux correctifs sont mieux pr\u00e9par\u00e9s pour d’autres mises \u00e0 jour. La r\u00e9activation de PaperCut dans le CISA-KEV<\/a> a montr\u00e9 que les anciennes CVE peuvent revenir. Ceux qui ont une bonne culture documentaire disposent d’un syst\u00e8me de secours pour les deux cat\u00e9gories.<\/p>\n L’observation centrale des incidents d’avril est structurelle. Les responsables d’ing\u00e9nierie dans les entreprises r\u00e9glement\u00e9es auront en 2026 une mission qui va bien au-del\u00e0 de la simple gestion des correctifs. Ils devront assumer trois r\u00f4les simultan\u00e9ment : celui de responsable de la livraison de logiciels s\u00e9curis\u00e9s, d’interface de communication pour la conformit\u00e9 et de partenaire pour les op\u00e9rations de s\u00e9curit\u00e9. Ceux qui ne s\u00e9parent pas consciemment ces trois r\u00f4les tout en les int\u00e9grant seront sous pression lors de chaque CVE s\u00e9rieuse.<\/p>\n Un mod\u00e8le pragmatique, qui a fait ses preuves dans plusieurs banques et compagnies d’assurance allemandes, repose sur une chor\u00e9graphie \u00e0 trois personnes. Le responsable d’ing\u00e9nierie supervise le d\u00e9ploiement des correctifs et documente les \u00e9tapes techniques. Le responsable de la s\u00e9curit\u00e9 \u00e9value les risques d’exploitation et g\u00e8re les couches de d\u00e9tection. Le responsable de la conformit\u00e9 v\u00e9rifie la classification, l’obligation de d\u00e9claration et les rapports. Tous trois partagent un tableau d’incidents commun avec un rythme clair. Trois coordinations en 72 heures suffisent pour adresser de mani\u00e8re coh\u00e9rente les CVE critiques.<\/p>\n Pour les \u00e9quipes de d\u00e9veloppement dans les secteurs r\u00e9glement\u00e9s, il est \u00e9galement judicieux d’investir strat\u00e9giquement dans des outils de SBOM (Software Bill of Materials). La g\u00e9n\u00e9ration automatis\u00e9e de SBOM \u00e0 chaque build, un registre central de SBOM, des processus automatiques de comparaison avec les nouvelles CVE et des escalades bas\u00e9es sur des alertes r\u00e9duisent le temps de r\u00e9action de plusieurs jours \u00e0 quelques heures. Des fournisseurs comme Anchore, Snyk et Sysdig auront des produits matures sur le march\u00e9 en 2026. Ceux qui n’ont pas de strat\u00e9gie SBOM auront \u00e9t\u00e9 visiblement d\u00e9pass\u00e9s par les vagues d’avril 2026. L’investissement dans de meilleurs outils est modeste par rapport au risque de non-conformit\u00e9.<\/p>\n Enfin, une derni\u00e8re remarque sur la communication externe. Ceux qui r\u00e9agissent activement et proprement aux CVE dans les secteurs r\u00e9glement\u00e9s peuvent utiliser cela dans les appels aux investisseurs et dans la communication avec les parties prenantes. Une pr\u00e9sentation calme et factuelle de leur propre cha\u00eene de r\u00e9action cr\u00e9e de la confiance et r\u00e9duit les frictions dans les discussions ult\u00e9rieures. La tentation de garder les incidents en interne est rarement b\u00e9n\u00e9fique pour les CVE critiques dans les secteurs r\u00e9glement\u00e9s. La transparence paie dans les discussions avec les autorit\u00e9s de surveillance et dans la perception des clients.<\/p>\n Une derni\u00e8re recommandation pratique pour la prochaine retraite d’ing\u00e9nierie : \u00e9tablissez un format d’exercice de correctifs internes. Une fois par trimestre, une CVE critique fictive est simul\u00e9e dans une application propre et la cha\u00eene de r\u00e9action est test\u00e9e avec de vraies \u00e9ch\u00e9ances. Ceux qui pratiquent cela syst\u00e9matiquement gagnent plusieurs heures d’avance en cas de r\u00e9el incident, car les r\u00f4les, les chemins d’escalade et les voies de communication sont d\u00e9j\u00e0 rod\u00e9s. L’effort pour l’exercice lui-m\u00eame est modeste, avec une demi-journ\u00e9e par trimestre, mais l’effet en cas de situation r\u00e9elle est mesurable.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n La biblioth\u00e8que DataProtection est concern\u00e9e dans les versions 10.0.0 \u00e0 10.0.6. Le correctif est disponible dans la version 10.0.7 ou ult\u00e9rieure et devrait \u00eatre d\u00e9ploy\u00e9 imm\u00e9diatement. Microsoft a publi\u00e9 le correctif sous forme de mise \u00e0 jour hors cycle (Out-of-Band Update).<\/p>\n<\/details>\n Via une recherche SBOM (Software Bill of Materials) de Microsoft.AspNetCore.DataProtection dans l’une des versions mentionn\u00e9es. Alternativement, via des analyses d’images de conteneur avec Trivy, Grype ou Snyk. Les \u00e9quipes de d\u00e9veloppement peuvent g\u00e9n\u00e9ralement fournir un statut par application en quelques heures.<\/p>\n<\/details>\n Un correctif ne suffit pas dans tous les cas. Si l’application a \u00e9t\u00e9 expos\u00e9e pendant une longue p\u00e9riode et qu’il existe un soup\u00e7on d’exploitation, les cookies d’authentification et les jetons Antiforgery devraient \u00eatre tourn\u00e9s (rotated). L’effort est g\u00e9rable dans les applications compatibles avec la rotation des cookies, mais non trivial dans les configurations complexes.<\/p>\n<\/details>\n L’obligation de gestion des risques TIC (ICT-Risk-Management) de l’article 5 et suivants du DORA exige une r\u00e9ponse document\u00e9e \u00e0 un incident li\u00e9 aux TIC. La classification comme incident majeur (major) ou significatif (significant) ICT-related d\u00e9clenche des obligations de d\u00e9claration et de reporting. Les \u00e9quipes de conformit\u00e9 (Compliance) devraient effectuer la classification de mani\u00e8re active et document\u00e9e.<\/p>\n<\/details>\n Une vuln\u00e9rabilit\u00e9 critique dans une application interne sera abord\u00e9e lors de la prochaine inspection sp\u00e9ciale de l’audit interne ou lors d’une inspection sp\u00e9ciale de la BaFin. Celui qui peut pr\u00e9senter une documentation de r\u00e9ponse propre \u00e9vite les constats. Celui qui n’en a pas obtiendra une remarque \u00e0 ce sujet.<\/p>\n<\/details>\n Plus fr\u00e9quemment qu’il y a deux ans. Au cours des douze derniers mois, plusieurs mises \u00e0 jour critiques hors cycle ont \u00e9t\u00e9 d\u00e9ploy\u00e9es. Les \u00e9quipes de conformit\u00e9 devraient int\u00e9grer les bulletins du Microsoft Security Response Center \u00e0 leur routine hebdomadaire plut\u00f4t que de les traiter comme des informations ad hoc.<\/p>\n<\/details>\nQuels cadres de conformit\u00e9 seront concern\u00e9s en 2026<\/h2>\n
Ce que les \u00e9quipes de conformit\u00e9 devraient documenter maintenant<\/h3>\n
\n
Ce qui ne suffit pas, m\u00eame si cela semble bien<\/h3>\n
\n
Un plan de conformit\u00e9 de 21 jours pour les shops de d\u00e9veloppement r\u00e9glement\u00e9s<\/h2>\n
Le\u00e7ons qui vont au-del\u00e0 du bug individuel<\/h2>\n
Les enseignements pour les dirigeants et les conseils de surveillance<\/h2>\n
Comment les responsables d’ing\u00e9nierie dans les entreprises r\u00e9glement\u00e9es seront mieux pr\u00e9par\u00e9s en 2026<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Quelles versions d’ASP.NET Core sont concern\u00e9es et quel correctif est disponible ?<\/strong><\/summary>\n
Comment puis-je d\u00e9tecter si mon application est concern\u00e9e ?<\/strong><\/summary>\n
Un correctif suffit-il ou dois-je \u00e9galement invalider les cookies ?<\/strong><\/summary>\n
Quelles obligations du DORA s’appliquent concr\u00e8tement ?<\/strong><\/summary>\n
Quel est l’impact de l’incident sur les inspections sp\u00e9ciales MaRisk ?<\/strong><\/summary>\n
\u00c0 quelle fr\u00e9quence les mises \u00e0 jour hors cycle (Out-of-Band Updates) seront-elles fr\u00e9quentes dans l’\u00e9cosyst\u00e8me Microsoft en 2026 ?<\/strong><\/summary>\n
Les choix de la r\u00e9daction<\/h3>\n
<\/span>\u00c0 lire<\/span>Squidex SSRF CVE-2026-41172: Pourquoi les backends de Headless-CMS sont maintenant consid\u00e9r\u00e9s comme un risque de cha\u00eene d\u2019approvisionnement dans l\u2019agenda de s\u00e9curit\u00e9<\/span><\/span><\/a><\/span>\u00c0 lire<\/span>\u00c9vasion de Sandbox Terrarium CVE-2026-5752 (CVSS 9.3) : Ce que signifie le bug de Sandbox Cohere AI pour l\u2019isolation du contenu dans les piles Edge d\u2019entreprise<\/span><\/span><\/a><\/span>\u00c0 lire<\/span>PaperCut NG\/MF sous le feu : Pourquoi un bug de 2023 refait son entr\u00e9e dans le catalogue CISA-KEV un an plus tard<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
<\/span>cloudmagazin<\/span>Claude Code vs. GitHub Copilot Workspaces vs. Cursor 2026\u2026<\/span><\/span><\/a><\/span>MyBusinessFuture<\/span>Reskilling IA : 3 profils que les PME reconstruisent<\/span><\/span><\/a><\/span>Digital Chiefs<\/span>Services g\u00e9r\u00e9s dans le contexte du C-Level 2026 : Comment les dirigeants d\u00e9cident entre Build, Buy et Managed lorsque les budgets IA deviendront plus serr\u00e9s \u00e0 partir du T2<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Microsoft ASP.NET Core CVE-2026-40372 : CVSS 9.1, \u00e9l\u00e9vation de privil\u00e8ges. Cons\u00e9quences de conformit\u00e9 DORA, NIS2 et MaRisk avec un plan de 21 jours pour les ateliers de d\u00e9veloppement financiers.","protected":false},"author":50,"featured_media":12891,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Faille ASP.NET Core","_yoast_wpseo_title":"ASP.NET Core CVE-2026-40372 (CVSS 9.1) : Cons\u00e9quences de conformit\u00e9 pour les ate","_yoast_wpseo_metadesc":"ASP.NET Core CVE-2026-40372 avec CVSS 9.1 : Cons\u00e9quences de conformit\u00e9 sous DORA, NIS2 et MaRisk. Plan de 21 jours pour les ateliers de d\u00e9veloppement r\u00e9glement\u00e9s.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["die-nachricht-enthalt-zwei-widerspruchliche-instruktionen","asp-net-core-cve-2026-40372-cvss-9-1-consequences-de-conformite-pour-les-ateliers-de-developpement-financiers-et-d-assurance-sous-dora-et-nis2"],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-13026","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":15,"wpml_language":"fr","wpml_translation_of":12892,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13026","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=13026"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13026\/revisions"}],"predecessor-version":[{"id":21508,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13026\/revisions\/21508"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/12891"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=13026"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=13026"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=13026"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}