La Cybersecurity and Infrastructure Security Agency (CISA) vient de renforcer son catalogue Known Exploited Vulnerabilities en y ajoutant six vulnérabilités qui font déjà l’objet d’une exploitation active. L’annonce concerne notamment des systèmes exposés à Internet, avec des impacts allant du déni de service à l’exécution de code et à l’escalade de privilèges. Cette mise à jour est particulièrement importante pour les équipes sécurité qui doivent prioriser leurs correctifs : la CISA associe en effet des échéances précises de remédiation.
Dans cet article, nous passons en revue les six failles, ce que l’on sait (et ce que l’on ne sait pas encore) sur l’exploitation, ainsi que les actions concrètes que les organisations peuvent lancer dès maintenant pour réduire le risque.
Qu’est-ce que la liste KEV et pourquoi ces ajouts comptent
La base KEV recense des vulnérabilités pour lesquelles la CISA dispose d’éléments indiquant une exploitation réelle. Autrement dit, il ne s’agit pas seulement de failles théoriques ou récemment découvertes : l’objectif est d’aider les organismes à corriger plus vite ce qui est déjà utilisé par des attaquants.
Avec ces six nouveaux entrées, la CISA met l’accent sur un point récurrent dans les analyses : les acteurs profitent d’une combinaison de vulnérabilités “connues” et de systèmes restés exposés. Cela s’inscrit aussi dans un contexte plus large où des signaux d’automatisation et d’accélération des attaques sont observés.
Les 6 vulnérabilités ajoutées à la base KEV
La mise à jour inclut des failles touchant des environnements variés : équipements Citrix, noyau Linux, composants liés à des logiciels Red Hat, et une vulnérabilité dans un produit .NET.
CVE-2019-1068 : exécution de code à distance sur Microsoft SQL Server
La CVE-2019-1068 est une vulnérabilité d’exécution de code à distance dans Microsoft SQL Server. Elle pourrait permettre à un attaquant d’exécuter du code dans le contexte du compte de service du moteur de base de données.
La CISA indique qu’il n’existe pas, à ce stade, d’informations publiques détaillant la manière dont cette faille serait exploitée dans la nature. Néanmoins, sa présence en KEV signifie qu’elle fait partie des priorités à corriger.
CVE-2026-8452 : faille Citrix NetScaler (DoS) et preuve d’exploitation active
La CVE-2026-8452 concerne les produits Citrix NetScaler ADC et Citrix NetScaler Gateway. Il s’agit d’un problème lié à une mauvaise restriction des opérations dans les limites d’un tampon mémoire, pouvant conduire à un déni de service.
Cette entrée s’accompagne de signaux d’exploitation. Des avertissements provenant de la communauté sécurité mentionnent que des attaquants déposeraient des fichiers de type web shell (notamment nommés x.php et z.php) puis réaliseraient des commandes d’exploration comme id et echo.
CVE-2022-0995 : écriture mémoire hors limites dans le noyau Linux
La CVE-2022-0995 est décrite comme une écriture mémoire hors limites dans le noyau Linux. Selon les informations fournies, elle pourrait permettre à un utilisateur local d’obtenir des privilèges ou de déclencher un déni de service.
Le risque ici est double : d’une part, une éventuelle élévation de privilèges ; d’autre part, une déstabilisation du système, susceptible d’entraîner des indisponibilités.
CVE-2015-5287 : escalade de privilèges via une attaque par lien symbolique (ABRT)
La CVE-2015-5287 concerne Red Hat Automatic Bug Reporting Tool (ABRT). La vulnérabilité permet une escalade de privilèges à partir de certains droits, grâce à une attaque par lien symbolique sur un fichier portant un nom prévisible.
Ce type de faille illustre un scénario classique : des privilèges supposés “faibles” peuvent devenir une passerelle vers des actions plus sensibles si des contrôles appropriés ne sont pas en place.
CVE-2015-3246 : condition de course dans libuser (risque sur /etc/passwd)
La CVE-2015-3246 décrit une condition de course dans Red Hat libuser. Un utilisateur local authentifié pourrait corrompre le fichier /etc/passwd, provoquant soit un déni de service, soit une escalade de privilèges.
Dans ce cas, l’impact dépendra de la manière dont la corruption du fichier est exploitée et des mécanismes de défense présents sur le système.
CVE-2021-23758 : désérialisation de données non fiables dans Ajax.NET Professional
Enfin, la CVE-2021-23758 porte sur une désérialisation de données non fiables dans Ajax.NET Professional (AjaxPro). La description indique un risque de exécution de code à distance via des classes .NET arbitraires.
Cette vulnérabilité met en avant l’importance de la validation et de la sûreté dans les mécanismes de traitement des entrées, notamment dans les couches applicatives.
Ce que les signaux indiquent sur l’exploitation en cours
La CISA rapporte que des signaux d’exploitation ont été observés pour une partie des vulnérabilités ajoutées. Un acteur de la veille, Previdian (anciennement KEVIntel), indique des efforts orientés vers la CVE-2026-8452.
Par ailleurs, des données de télémétrie mentionnent 36 tentatives d’exploitation détectées sur une période de 12 jours, en provenance de 12 adresses IP uniques réparties entre plusieurs pays, dont Suisse, Allemagne, Hong Kong, Japon, Pays-Bas, Russie, Singapour, Turquie, États-Unis et Vietnam.
Même si les chiffres restent à interpréter avec prudence (télémétrie = une partie du phénomène réel), ils renforcent l’idée que ces vulnérabilités ne sont pas uniquement “sur la liste” : elles sont utilisées.
Qui est ciblé et dans quels secteurs
La CISA relie également plusieurs ajouts à une campagne décrite par Cisco Talos. Le rapport évoque un groupe de cybercriminalité connu comme UAT-10147 ciblant des serveurs web Windows et Linux à l’échelle internationale.
Selon les éléments fournis, les secteurs visés incluent l’éducation, les médias, la technologie et le gaming. Le point commun de ces environnements est souvent la présence de services exposés et d’applications qui, malgré des correctifs disponibles, peuvent rester vulnérables par manque de mise à jour rapide.
Délais de remédiation : les dates à connaître
Un élément crucial de la notification CISA concerne les échéances à respecter pour les organismes relevant du Federal Civilian Executive Branch (FCEB).
-
CVE-2019-1068 et CVE-2026-8452 : appliquer les correctifs avant le 29 août 2026.
-
Les autres vulnérabilités de cette mise à jour : corriger avant le 9 septembre 2026.
Pour les équipes hors périmètre FCEB, ces dates peuvent servir de repère de priorisation : elles reflètent des risques jugés suffisamment réels pour exiger une action rapide.
Pourquoi CISA insiste sur les causes racines (et pas uniquement les patchs)
En parallèle de l’ajout des failles, la CISA a aussi communiqué sur une nouvelle analyse relative aux causes de l’insécurité logicielle. Le message est clair : corriger un bug isolé aide, mais traiter les faiblesses structurelles réduit la probabilité de voir de nouvelles vulnérabilités exploitées apparaître.
L’agence rapporte notamment que, dans les analyses de dossiers CVE pour 2024 et 2025, les faiblesses de type injection constituent la catégorie la plus dominante. Elle indique aussi que les failles liées à la sécurité mémoire et à la validation inappropriée des entrées apparaissent de façon disproportionnée dans les entrées KEV par rapport à l’ensemble des CVE observées.
Pour les éditeurs, cela signifie qu’investir dans la prévention à la source peut limiter le nombre de vulnérabilités qui deviennent ensuite des cibles évidentes pour des acteurs malveillants.
Comment agir dès maintenant contre les KEV failles exploitées
Si votre organisation utilise des produits concernés ou héberge des services exposés, voici une approche pragmatique pour réduire le risque, basée sur les éléments annoncés.
1) Identifier les systèmes exposés et vulnérables
Commencez par vérifier où les applications et composants mentionnés sont déployés (Citrix NetScaler, SQL Server, noyau Linux, composants Red Hat, frameworks .NET et modules associés). Sans inventaire exact, le correctif risque d’arriver trop tard ou de ne pas couvrir toute la surface.
2) Prioriser selon l’exploitation documentée et les délais
La présence dans KEV et les indications d’exploitation active doivent guider l’ordre des actions. Les deux vulnérabilités citées avec une échéance plus rapprochée devraient typiquement être traitées en priorité.
3) Mettre en place une validation après correctif
Une correction n’est pas seulement un téléchargement de correctif : contrôlez ensuite que le service fonctionne correctement, que les changements n’introduisent pas de régressions, et que la configuration reste conforme.
4) Renforcer la surveillance
Les signaux mentionnés incluent des schémas d’exploration et des tentatives d’exploitation. Renforcez la journalisation et les alertes sur les activités suspectes, surtout sur les endpoints et interfaces exposés.
Conclusion
Avec l’ajout de six vulnérabilités à sa base KEV failles exploitées, la CISA souligne une fois de plus que le risque ne se limite pas aux “nouvelles” failles : des problèmes connus continuent d’être activement utilisés dès lors qu’ils restent accessibles. Les organisations doivent donc accélérer l’identification des impacts, corriger selon les échéances annoncées et renforcer la démarche de prévention, en s’attaquant aux causes racines de l’insécurité logicielle.
Source: https://thehackernews.com/2026/08/cisa-adds-six-exploited-flaws-to-kev.html
