Le 5 août 2026, la CISA (U.S. Cybersecurity and Infrastructure Security Agency) a ajouté trois vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV). Le point clé : la présence de failles activement exploitées par des attaquants dans des environnements réels, avec des impacts potentiellement lourds pour les organisations concernées.
Dans cet article, nous passons en revue les trois CVE inscrites à la liste KEV, ce qu’elles permettent de faire concrètement, et ce que les équipes sécurité et IT peuvent faire dès maintenant pour réduire le risque.
Trois vulnérabilités ajoutées à la liste KEV de la CISA
La CISA indique avoir des éléments attestant d’une exploitation en conditions réelles. Pour les administrations et entreprises, l’inscription au catalogue KEV est généralement un signal d’alerte fort : il faut prioriser la remédiation et vérifier l’exposition.
Langflow : injection de code menant à une exécution à distance
La première vulnérabilité concerne Langflow : CVE-2026-9198, avec un score CVSS de 9.8. La faille est décrite comme une vulnérabilité d’injection de code qui peut permettre à des attaquants sans authentification d’atteindre une exécution de code à distance complète sur des déploiements Langflow par défaut.
Bonne nouvelle côté correction : la CISA précise que le correctif a été publié en juillet 2026, via la version 1.10.1. La priorité pratique consiste à mettre à jour immédiatement les instances concernées et à vérifier si des configurations “par défaut” sont toujours en place.
Apache Tomcat : chiffrement manquant et contournement de la sécurité inter-nœuds
La deuxième entrée KEV vise Apache Tomcat : CVE-2026-34486, avec un score CVSS de 7.5. Ici, le problème est un chiffrement absent de données sensibles. En conséquence, un attaquant peut contourner l’EncryptInterceptor, un composant de cluster chargé d’ajouter un chiffrement basé sur une clé partagée (pré-shared key) entre les nœuds du cluster.
La CISA mentionne une correction disponible depuis avril 2026, avec des versions corrigées 11.0.21, 10.1.54 et 9.0.117. Autrement dit, l’action recommandée est double : mettre à jour Tomcat et confirmer que le cluster est configuré conformément aux attentes de sécurité.
N-able N-central : contournement d’authentification et nécessité d’un nouveau patch
La troisième vulnérabilité ajoutée au catalogue KEV concerne N-able N-central : CVE-2026-18556 (CVSS 8.2). Cette faille est décrite comme un contournement d’authentification.
La CISA apporte un détail important : un correctif incomplet aurait conduit N-able à publier un patch supplémentaire. Celui-ci fait l’objet d’un suivi sous la référence CVE-2026-18577 (CVSS 8.2). Dans les faits, cela signifie que les équipes doivent éviter de se contenter d’un “premier” patch : il faut s’assurer que la version déployée correspond à la remédiation la plus récente.
Ce que l’on sait de l’exploitation : sans détails pour Langflow, campagnes documentées ailleurs
La CISA indique que, pour la vulnérabilité Langflow (CVE-2026-9198), il n’existe pas encore de détails publics sur la manière exacte dont la faille est exploitée. Cependant, les vulnérabilités affectant des plateformes open-source d’applications basées sur l’IA ont déjà, ces derniers mois, été converties en vecteurs d’attaque.
Pour Tomcat (CVE-2026-34486), l’exploitation est attribuée à une campagne de piratage assistée par IA et décrite comme autonome. D’après les informations relayées, l’acteur serait parlant chinois et connu sous les alias knaithe et KnYuan, basé à Zhuhai en Chine.
Une campagne assistée par IA contre des cibles exposées sur Internet
Selon les éléments rapportés, l’acteur aurait utilisé DeepSeek via un cadre appelé Hermes Agent afin d’agir comme “opérateur” offensif. L’objectif : cibler des systèmes exposés à Internet.
Le récit rapporté met aussi en lumière une adaptation dynamique. Lorsque des tentatives initiales d’exploitation d’une autre faille Langflow (CVE-2026-33017, CVSS 9.8) auraient échoué à cause de configurations restrictives de la cible, l’agent aurait effectué une recherche autonome pour repérer d’autres vulnérabilités jugées plus “rentables”. Parmi les options, des failles de n8n auraient été explorées pour trouver une voie d’accès.
Dans un second temps, l’acteur serait également passé par des actions manuelles s’appuyant sur des vulnérabilités connues contre différents produits, notamment :
- Citrix NetScaler (CVE-2026-3055)
- Marimo (CVE-2026-39987)
- Apache Tomcat (CVE-2026-34486)
- IKE VPN (CVE-2026-33824)
Des centaines de cibles et un ciblage “affiné” pour économiser du calcul
Les informations relayées indiquent que l’acteur aurait tenté d’exploiter plus de 460 cibles, en combinant des techniques autonomes et des opérations manuelles. L’analyse souligne un point de méthode : l’acteur aurait permis à DeepSeek de réduire le périmètre de ciblage, vraisemblablement afin de préserver les ressources de calcul utilisées par l’IA.
Autrement dit, l’approche décrite n’est pas seulement “automatisée”. Elle semble aussi conçue pour sélectionner plus efficacement les cibles, en limitant les efforts sur des machines moins prometteuses.
Délais de remédiation pour les administrations FCEB
La CISA précise que les agences de l’exécutif fédéral civil (FCEB) disposent jusqu’au 7 août 2026 pour appliquer les correctifs nécessaires et mieux protéger leurs réseaux contre des menaces déjà observées en exploitation.
Même si votre organisation ne relève pas du périmètre FCEB, le message reste le même : quand des failles activement exploitées figurent dans KEV, le “temps de latence” entre patch et déploiement devient un facteur de risque majeur.
Checklist : que faire concrètement dès maintenant
Pour réduire rapidement l’exposition, vous pouvez structurer votre action autour de trois axes : identification, mise à jour, vérification de configuration.
1) Identifier les installations exposées
Commencez par dresser une cartographie des environnements où Langflow, Apache Tomcat et N-able N-central sont déployés. Vérifiez aussi l’exposition Internet (ou l’accès réseau depuis des zones moins fiables), car l’exploitation “sans authentification” mentionnée pour Langflow rend le risque particulièrement sensible.
2) Mettre à jour avec les versions corrigées
Appliquez les versions citées par la CISA : Langflow 1.10.1, les versions corrigées d’Apache Tomcat (11.0.21 / 10.1.54 / 9.0.117) et le patch correspondant à la remédiation la plus récente pour N-able (en tenant compte du suivi via CVE-2026-18577).
3) Valider la sécurité des composants de cluster et des contrôles d’accès
Pour Tomcat, un point de vigilance concerne le chiffrement inter-nœuds et l’intercepteur associé au cluster. Pour N-central, l’élément central est l’authentification : vérifiez que les contrôles fonctionnent comme attendu et que les journaux ne montrent pas d’activité anormale.
Conclusion
Le 5 août 2026, la CISA a renforcé son catalogue KEV avec trois entrées liées à des failles activement exploitées : CVE-2026-9198 (Langflow), CVE-2026-34486 (Apache Tomcat) et CVE-2026-18556 (N-able N-central, avec correction suivie via CVE-2026-18577). Les correctifs existent, mais la clé est leur déploiement rapide et la vérification des configurations, notamment pour les environnements exposés à Internet et les systèmes en cluster.
Source: https://thehackernews.com/2026/08/cisa-flags-langflow-rce-tomcat-and-n.html
