CISA : six nouvelles vulnérabilités exploitées ajoutées au catalogue KEV - Ce que les entreprises françaises doivent savoir

Plus de 40 % des failles de sécurité utilisées par des cybercriminels en 2025 figuraient déjà dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA avant leur exploitation massive. Ce chiffre, issu d’un rapport de l’Agence européenne pour la cybersécurité (ENISA), illustre l’urgence d’une veille active sur ces références. Le 20 octobre 2026, la CISA a ajouté six vulnérabilités supplémentaires à ce catalogue, dont quatre concernent Plex Media Server, une autre un dispositif de sécurité périmétrique d’EG Secure Solutions, et la dernière un composant logiciel de Siemens. Pour les entreprises françaises, ces annonces ne sont pas anodines : les failles listées sont activement exploitées par des acteurs malveillants, et leur correction doit être priorisée sans délai. Cet article vous explique la portée de ces nouvelles inscriptions, les risques associés et les mesures concrètes à adopter pour protéger vos systèmes.

Catalogue KEV de la CISA : un outil central pour la gestion des vulnérabilités exploitées

Le Known Exploited Vulnerabilities Catalog (catalogue des vulnérabilités connues exploitées), géré par la Cybersecurity and Infrastructure Security Agency (CISA), recense les failles de sécurité pour lesquelles il existe des preuves d’exploitation active par des cyberacteurs malveillants. Il ne s’agit pas d’un simple listing : la CISA y inscrit uniquement les vulnérabilités qui répondent à des critères stricts - existence d’un identifiant CVE, preuve d’exploitation dans la nature, et disponibilité de correctifs ou de mesures d’atténuation claires.

Ce catalogue constitue une source de référence pour toute stratégie de gestion des vulnérabilités basée sur le risque. En France, l’ANSSI encourage les organismes à s’aligner sur ces listes pour prioriser le déploiement des correctifs de sécurité, notamment dans le cadre de la directive NIS 2 et du référentiel ISO 27001. Ne pas tenir compte des inscriptions au KEV expose les entreprises à des risques accrus de compromission, car ces failles sont connues des attaquants et régulièrement utilisées dans des campagnes à grande échelle.

« La rapidité de correction des vulnérabilités exploitées est un des facteurs clés de résilience. Le catalogue KEV offre une visibilité immédiate sur les failles les plus dangereuses du moment. » - Extrait du rapport de l’ENISA sur la gestion des vulnérabilités, 2025.

Détail des six vulnérabilités ajoutées au catalogue KEV en octobre 2026

Tableau récapitulatif des CVE, produits concernés et types de failles

Analyse par produit

Plex Media Server - Ce logiciel de serveur multimédia très répandu, notamment dans les environnements domestiques et les petites structures, cumule quatre vulnérabilités distinctes. Les deux failles de type Server-Side Request Forgery (CVE-2026-96652 et CVE-2026-96655) permettent à un attaquant non authentifié de forcer le serveur à effectuer des requêtes vers des ressources internes, contournant ainsi les pare-feux et accédant à des services normalement isolés. La faille Cross-Site Scripting (CVE-2026-96654) pourrait être utilisée pour exécuter du code arbitraire dans le navigateur d’un utilisateur, tandis que le Path Traversal (CVE-2026-96656) offre un accès en lecture ou écriture à des fichiers en dehors du répertoire autorisé. Toutes ces failles sont exploitées activement, vraisemblablement dans le cadre de campagnes ciblant les serveurs Plex exposés sur Internet.

EG Secure Solutions SiteGuard Server Edition - Ce produit est conçu pour sécuriser les sites web en agissant comme un pare-feu applicatif (WAF). La vulnérabilité d’injection de commandes système (CVE-2026-106931) est particulièrement critique : elle permet à un attaquant d’exécuter des commandes arbitraires sur le serveur hôte avec les privilèges du service. Selon les analyses de l’éditeur, l’exploitation ne nécessite aucune authentification préalable, ce qui en fait une menace directe pour toute instance exposée. Le score CVSS de 9,1 confirme le niveau de risque maximal.

Siemens Software Center - Utilisé dans les environnements industriels et les infrastructures critiques, ce logiciel de gestion centralisée de logiciels est vulnérable à un contrôle non sécurisé du chemin de recherche (CVE-2026-110936). Un attaquant capable de placer un fichier malveillant sur un partage réseau ou un lecteur accessible peut détourner le chargement de bibliothèques (DLL hijacking) et exécuter du code arbitraire dans le contexte de l’application.

« Les vulnérabilités de type path traversal et command injection figurent parmi les plus exploitées dans les attaques ciblant les entreprises françaises, selon le dernier panorama du CERT-FR. »

Pourquoi ces six vulnérabilités sont-elles particulièrement dangereuses ?

Le simple fait que la CISA les ait inscrites dans son catalogue KEV est un signal fort : ces failles sont exploitées actuellement par des cybercriminels, parfois dans des opérations à grande échelle. Plusieurs facteurs aggravent leur criticité :

• Absence de correctif complet : pour certaines de ces failles (notamment CVE-2026-96652 et CVE-2026-96655), les éditeurs n’avaient pas encore publié de correctif au moment de l’inscription, laissant les organisations dépendre de mesures d’atténuation temporaires.
• Exposition par défaut : Plex Media Server et SiteGuard Server Edition sont souvent configurés avec une interface d’administration accessible depuis Internet, augmentant la surface d’attaque.
• Chaîne d’exploitation possible : les chercheurs en sécurité ont démontré que les deux SSRF sur Plex pouvaient être enchaînées avec le path traversal pour obtenir un accès complet aux fichiers du système, puis escalader les privilèges.

Un contexte d’exploitation déjà documenté

Selon les informations partagées par VulnCheck et Shadowserver, des balayages massifs d’adresses IP ciblant les serveurs Plex non corrigés ont été observés dès septembre 2026. Des preuves de compromission post-exploitation ont été rapportées sur des forums clandestins, avec des téléchargements de bases de données locales. Pour le produit d’EG Secure Solutions, une campagne d’injection de commandes visant les WAF non patchés a été attribuée à un groupe de ransomware opérant depuis l’Europe de l’Est.

BOD 26-04 : la directive qui renforce l’urgence pour les agences fédérales… et au-delà

La Binding Operational Directive 26-04 (BOD 26-04), publiée par la CISA en 2026, établit des exigences strictes en matière de gestion des vulnérabilités pour les agences fédérales civiles américaines (FCEB). Elle impose :

• Une correction sous 7 jours pour les vulnérabilités KEV identifiées sur des actifs exposés publiquement et permettant une prise de contrôle totale post-exploitation.
• Une vérification systématique de l’absence de compromission antérieure à l’application du correctif.
• Un reporting obligatoire des délais de patch et des éventuels incidents.

Même si cette directive ne s’applique qu’aux agences fédérales américaines, la CISA elle-même recommande à toutes les organisations d’adopter une gestion des vulnérabilités basée sur le risque. En France, l’ANSSI intègre désormais le catalogue KEV dans ses recommandations pour les opérateurs d’importance vitale (OIV) et les entités soumises à NIS 2.

Comment les entreprises françaises peuvent-elles se protéger ?

Étape 1 : inventorier et identifier les actifs vulnérables

La première étape consiste à vérifier si votre parc informatique inclut les produits listés :

• Plex Media Server : vérifiez toutes les versions installées, y compris sur les postes personnels utilisés à des fins professionnelles (télétravail, serveurs domestiques).
• EG Secure Solutions SiteGuard Server Edition : identifiez les serveurs web protégés par ce WAF.
• Siemens Software Center : faites un inventaire des postes industriels ou de gestion technique centralisée.

Utilisez un outil de gestion des vulnérabilités (ex. : Nessus, Qualys, OpenVAS) pour scanner ces actifs et déterminer s’ils sont vulnérables aux CVE listées.

Étape 2 : appliquer les correctifs ou les mesures d’atténuation

• Plex Media Server : mettez à jour vers la version 1.72.0 (ou ultérieure) dès sa disponibilité. En attendant, désactivez l’accès distant si inutile, et limitez les requêtes entrantes via un pare-feu applicatif.
• SiteGuard Server Edition : l’éditeur a diffusé un correctif le 18 octobre 2026 (version 5.8.4). Appliquez-le immédiatement. Si impossible, désactivez le module d’administration publique et filtrez les requêtes entrantes suspectes (patterns d’injection de commandes).
• Siemens Software Center : installez le correctif fourni dans l’avis SSC-2026-110936. En complément, durcissez les permissions de recherche de bibliothèques (configuration des variables d’environnement PATH) et auditez les partages réseau accessibles.

Étape 3 : renforcer la veille et la gouvernance

Au-delà du correctif immédiat, intégrez le catalogue KEV dans votre cycle de veille technologique. Abonnez-vous aux flux RSS de la CISA, de l’ANSSI et du CERT-FR. Lors de votre prochaine revue de conformité ISO 27001, vérifiez que votre processus de gestion des vulnérabilités inclut une étape de priorisation basée sur l’exploitation active.

Exemple de commande pour rechercher les serveurs Plex exposés sur votre réseau :
nmap -p 32400 --open -oG - 192.168.1.0/24 | grep 32400

Étape 4 : tester l’absence de compromission

La BOD 26-04 impose de vérifier si le système a été compromis avant le patch. Bien que cette exigence soit fédérale, c’est une bonne pratique à généraliser. Recherchez dans les logs :

• Des requêtes inhabituelles vers des adresses IP internes (SSRF sur Plex).
• Des tentatives d’accès à des fichiers en dehors des répertoires autorisés (Path Traversal).
• Des commandes système non autorisées (Command Injection).
• Des chargements de DLL depuis des partages non sécurisés (DLL Hijacking).

L’importance d’une gestion des vulnérabilités basée sur le risque

Les six inscriptions de ce mois d’octobre 2026 rappellent une vérité fondamentale : il est impossible de tout patcher en même temps. Une gestion des vulnérabilités efficace repose sur la priorisation des failles qui présentent le plus grand risque pour votre organisation. Le catalogue KEV est un excellent indicateur de risque, puisqu’il signale des failles déjà exploitées. Cependant, il ne doit pas être votre seul guide. Combinez-le avec :

• La criticité des actifs concernés (serveur exposé, base de données, poste de travail).
• Les menaces spécifiques à votre secteur (santé, industrie, finance).
• Les rapports de Threat Intelligence (MISP, FIRST).

En pratique, de nombreuses entreprises françaises adoptent désormais un patch cycle hebdomadaire pour les vulnérabilités KEV et mensuel pour les autres. Cette approche, recommandée par l’ENISA, réduit considérablement la fenêtre d’exposition.

L’apport des cadres normatifs français

L’ANSSI, dans son guide de gestion des vulnérabilités publié en 2025, insiste sur la nécessité d’une veille automatisée : « La détection des vulnérabilités exploitées doit être aussi rapide que leur exploitation par les attaquants. » Le référentiel ISO 27001 (contrôle A.12.6.1) demande explicitement la mise en place d’un processus de gestion des correctifs cohérent avec les risques. Enfin, la directive NIS 2 impose aux entités essentielles de notifier sans délai les incidents majeurs ; ne pas corriger une vulnérabilité KEV connue pourrait être considéré comme un manquement grave.

Conclusion : une action immédiate pour réduire les risques

Les six nouvelles vulnérabilités exploitées ajoutées au catalogue KEV par la CISA ne sont pas une simple nouvelle d’actualité : elles représentent une menace tangible pour toute organisation utilisant les produits concernés. Les entreprises françaises, qu’elles soient soumises à NIS 2 ou non, ont tout intérêt à intégrer ces inscriptions dans leur processus de priorisation des correctifs. N’attendez pas qu’une compromission se produise : vérifiez dès aujourd’hui votre exposition, appliquez les correctifs disponibles, et renforcez votre veille sur le catalogue KEV. La gestion des vulnérabilités n’est pas un exercice ponctuel, mais une discipline continue qui, couplée à une bonne compréhension des risques, fait la différence entre une infrastructure résiliente et une cible facile pour les cybercriminels.