CISA KEV

🗓️ Contexte Le 2 novembre 2026, Rapid7 publie une analyse d’urgence suite à la mise à jour de l’advisory sécurité d’Ivanti du 29 octobre 2026, concernant Ivanti Connect Secure (ICS), solution VPN d’entreprise déployée en bordure de réseau. 🔍 Vulnérabilités identifiées Trois CVE sont impliquées dans une chaîne d’exploitation active : CVE-2026-104935 (CVSS 8.6, CWE-290) : Contournement d’authentification par spoofing permettant une exécution de commandes à distance non authentifiée CVE-2026-111357 (CVSS 8.8 selon Ivanti, 7.0 selon CVE record, CWE-306/862/345) : Élévation de privilèges locale pour un attaquant authentifié CVE-2026-118527 (CVSS 4.3, CWE-340) : Upload de fichier contrôlé par l’attaquant vers un chemin connu sur le disque, pour un attaquant authentifié à distance Les deux nouvelles CVE ont été ajoutées au catalogue KEV de la CISA le 30 octobre 2026. ...

📰 Source : The Hacker News (Ravie Lakshmanan) — Date : 5 octobre 2026 🔍 Contexte Citrix a publié des mises à jour de sécurité pour corriger une vulnérabilité de haute sévérité affectant NetScaler ADC et NetScaler Gateway, activement exploitée dans le cadre d’attaques zero-day ciblées. ⚠️ Vulnérabilité CVE-2026-88779 : vulnérabilité de type memory overflow (débordement mémoire) Score CVSS : 8.7 / 10.0 Impact : déni de service (DoS) pouvant rendre le service indisponible de manière prolongée si la condition est déclenchée de façon répétée Précondition : le déploiement NetScaler doit être configuré en tant que SAML Service Provider (SP) ou SAML Identity Provider (IdP) 🔎 Indicateurs de configuration vulnérable ...

🔍 Contexte Source : BleepingComputer — Publié le 4 octobre 2026. Citrix a publié des mises à jour d’urgence pour corriger une vulnérabilité zero-day identifiée comme CVE-2026-88779, affectant les appliances NetScaler ADC et NetScaler Gateway configurées avec l’authentification SAML (en mode SP ou IdP). 🛡️ Détails de la vulnérabilité Type : Faille de buffer mémoire (memory buffer overflow) Score CVSS : 8.7 Impact déclaré : Déni de service (DoS) — disponibilité du service affectée Préconditions : Appliance configurée avec add authentication samlAction (SAML SP) ou add authentication samlIdPProfile (SAML IdP) Versions corrigées : NetScaler ADC et Gateway 14.1-73.41 et 13.1-64.28 FIPS : 14.1-73.41 FIPS et 13.1-37.282 ⚠️ Exploitation observée Des administrateurs NetScaler ont signalé des redémarrages forcés répétés sur des appliances pourtant patchées (version 14.1-73.37). Le processus nsaaad crashait de manière répétée jusqu’à ce que le processus Pitboss atteigne sa limite de redémarrage et redémarre l’appliance. ...

🛡️ Contexte Le 21 septembre 2026, BleepingComputer rapporte que la CISA (Cybersecurity and Infrastructure Security Agency) a émis une alerte concernant l’exploitation active de trois vulnérabilités du noyau Linux, ajoutées séparément à son catalogue KEV (Known Exploited Vulnerabilities) la semaine précédente. Les agences fédérales américaines ont reçu l’ordre d’appliquer les correctifs disponibles avant la fin de la journée même. 🔍 Vulnérabilités concernées CVE-2025-39964 (critique) : Race condition dans l’interface de socket cryptographique AF_ALG du noyau Linux. Permet des écritures concurrentes corrompant l’état par socket, pouvant provoquer des crashs ou altérer des résultats cryptographiques. Cette faille existait dans le noyau depuis 14 ans. Découverte par la société STAR Labs, qui a démontré une élévation de privilèges et une évasion de conteneur dans le programme kernelCTF de Google. ...

🗓️ Contexte Article publié le 25 septembre 2026 sur Hackread, synthétisant plusieurs rapports sectoriels majeurs (Verizon, Automox, Beazley Security, IBM, Sophos, TrendAI) sur l’état de la gestion des vulnérabilités et de la remédiation en 2026. 📉 Dégradation des indicateurs de remédiation Selon le rapport Verizon, seulement 26% des vulnérabilités détectées figurant au catalogue KEV de la CISA ont été entièrement corrigées, contre 38% l’année précédente. Le délai médian de résolution est passé de 32 à 43 jours. La charge de vulnérabilités critiques portée par l’organisation médiane a augmenté de 50% en un an. ...

📰 Contexte Source : SecurityWeek, publié le 23 septembre 2026 par Ionut Arghire. Check Point a annoncé des correctifs d’urgence pour deux vulnérabilités critiques activement exploitées dans plusieurs de ses produits de sécurité réseau. 🔴 CVE-2026-93616 — Directory Traversal & File Upload (CVSS 9.8) Produits affectés : Security Management Server Multi-Domain Security Management Server Log Server Multi-Domain Log Server SmartEvent Cette faille de type directory traversal et upload de fichier permet à des attaquants non authentifiés d’uploader et d’exécuter des scripts arbitraires sur le Management Server. Check Point confirme une exploitation active contre un nombre limité de clients. ...

🔍 Contexte Source : SecurityWeek, article de Ionut Arghire publié le 23 septembre 2026. F5 et la CISA ont émis conjointement une alerte concernant l’exploitation active d’une vulnérabilité critique dans le composant BIG-IP Access Policy Manager (APM). 🚨 Vulnérabilité CVE : CVE-2026-94127 Score CVSS : 9.8 (critique) Type : Exécution de code à distance (RCE) sans authentification Condition d’exploitation : La vulnérabilité est déclenchable uniquement lorsque BIG-IP APM est configuré comme OAuth Authorization Server (non exploitable en mode OAuth Client/Resource Server) Vecteur : Envoi de trafic malveillant vers l’appliance lorsqu’une politique d’accès APM et un profil OAuth sont configurés sur un serveur virtuel Mode Appliance : Également vulnérable Exposition : Plan de données uniquement, pas d’exposition du plan de contrôle 📦 Versions affectées BIG-IP APM 21.1.0 BIG-IP APM 17.5.0 à 17.5.1 BIG-IP APM 17.1.0 à 17.1.3 🛠️ Correctifs F5 a publié des hotfixes pour les versions affectées. Aucun autre produit F5 n’est concerné selon l’éditeur. ...

🔍 Contexte Publié le 15 septembre 2026 sur SecurityWeek par Eduard Kovacs, cet article rapporte l’alerte émise par Cisco concernant l’exploitation active d’une vulnérabilité zero-day critique affectant ses appliances Cisco Secure Email Gateway (versions physiques et virtuelles, toutes configurations). 🚨 Vulnérabilité CVE-2026-76461 — Score CVSS : 9.8 (critique) Type : problème de parsing d’e-mail dans le logiciel AsyncOS Exploitable à distance et sans authentification Permet l’exécution de commandes arbitraires avec privilèges root sur le système d’exploitation sous-jacent Vecteur d’exploitation : envoi d’un e-mail spécialement conçu contenant des instructions SQL malveillantes à l’utilisateur ciblé 🎯 Périmètre d’impact Affecté : Cisco Secure Email Gateway (physique et virtuel, toute configuration) Non affecté : Secure Email and Web Manager, Secure Web Appliance 📅 Chronologie Cisco PSIRT a pris connaissance de l’exploitation en septembre 2026 CISA a ajouté CVE-2026-76461 au catalogue KEV (Known Exploited Vulnerabilities) le même jour Délai imposé aux organisations fédérales américaines pour remédiation : 17 septembre 2026 ⚠️ Éléments notables Cisco a publié des indicateurs de compromission (IoC), mais avertit que les attaquants disposant de privilèges root peuvent supprimer ou masquer ces IoC Aucun détail sur les attaquants ni sur les victimes n’a été communiqué Il s’agit seulement de la deuxième vulnérabilité Cisco Secure Email Gateway inscrite au catalogue KEV, après CVE-2025-20393 exploitée par des acteurs liés à la Chine fin 2025 Cette alerte survient peu après des avertissements concernant CVE-2026-20079 et CVE-2026-20316 (Cisco Secure Firewall Management Center), exploitées par des hackers russes étatiques et des cybercriminels à but lucratif 📰 Nature de l’article Article de presse spécialisée à visée informationnelle, destiné à alerter les équipes de sécurité et les administrateurs sur une menace active nécessitant une action corrective urgente. ...

🔍 Contexte Source : BleepingComputer, publié le 9 septembre 2026. Cisco a officiellement confirmé l’exploitation active de CVE-2026-20079, une vulnérabilité d’authentification bypass de sévérité maximale (CVSS 10.0) affectant son logiciel Cisco Secure Firewall Management Center (FMC). 🚨 Nature de la vulnérabilité Type : Contournement d’authentification (Authentication Bypass) Cause : Processus système impropre créé au démarrage (boot time) Vecteur d’exploitation : Envoi de requêtes HTTP craftées vers l’interface web du dispositif Impact : Exécution de scripts et commandes avec privilèges root par un attaquant non authentifié à distance Produits affectés : Cisco Secure FMC Software et Cisco Security Cloud Control Firewall Management 📅 Chronologie Mars 2026 : Divulgation initiale de CVE-2026-20079 par Cisco, sans preuve d’exploitation 23 juillet 2026 : Entrée de log suspecte identifiée comme IOC potentiel d’exploitation 29 juillet 2026 : Cisco divulgue CVE-2026-20316 (credentials statiques, compte faible privilège), confirme son exploitation active, et met à jour l’advisory CVE-2026-20079 avec les mêmes IOCs Août 2026 : Le Cisco PSIRT prend connaissance de l’exploitation active de CVE-2026-20079 9 septembre 2026 : Cisco confirme officiellement l’exploitation ; la CISA ajoute CVE-2026-20079 au catalogue KEV avec deadline au 12 septembre 2026 pour les agences FCEB 🔗 Lien entre CVE-2026-20079 et CVE-2026-20316 Les deux vulnérabilités partagent : ...

🔍 Contexte Source : GBHackers, publié le 25 août 2026. La CISA (U.S. Cybersecurity and Infrastructure Security Agency) a officiellement ajouté CVE-2026-21962 à son catalogue Known Exploited Vulnerabilities (KEV), confirmant une exploitation active dans la nature. 🛡️ Vulnérabilité concernée CVE : CVE-2026-21962 Produits affectés : Oracle HTTP Server et Oracle WebLogic Server Proxy Plug-in Type de faille : Contrôle d’accès inapproprié (Improper Access Control) Impact : Contournement des contrôles d’autorisation permettant l’accès, la modification ou la manipulation de données sensibles traitées par les services web affectés ⚠️ Risques identifiés Compromission d’applications web Vol de données Modifications de configuration non autorisées Établissement d’un point d’ancrage pour des intrusions ultérieures Prise de contrôle totale des actifs exposés 🏛️ Cadre réglementaire Les agences fédérales civiles américaines (FCEB) sont tenues de remédier à cette vulnérabilité en vertu de la Binding Operational Directive 26-04, qui impose une gestion accélérée des vulnérabilités KEV sur les systèmes exposés publiquement. ...