Six nouvelles vulnérabilités exploitées ajoutées au catalogue KEV de CISA : quelles implications pour les organisations françaises ?

En octobre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a enrichi son catalogue Known Exploited Vulnerabilities (KEV) de six nouvelles failles, toutes activement exploitées par des acteurs malveillants. Ce catalogue, qui recense les vulnérabilités pour lesquelles des preuves d’exploitation existent, constitue une référence essentielle pour les équipes de cybersécurité. Selon CISA, plus de 70 % des incidents de sécurité rapportés en 2025 impliquaient des vulnérabilités déjà listées dans le KEV, soulignant l’urgence d’une gestion proactive des correctifs. Pour les organisations françaises, soumises au RGPD et aux recommandations de l’ANSSI, cette annonce rappelle l’importance de prioriser les correctifs sur les actifs exposés. Découvrons dans cet article le détail de ces nouvelles vulnérabilités, la directive BOD 26-04 qui les encadre, et les mesures concrètes à prendre pour réduire les risques.

Plex Media Server sous le feu des projecteurs : quatre vulnérabilités critiques

Parmi les six failles ajoutées, quatre concernent le logiciel multimédia Plex Media Server, largement utilisé pour diffuser des contenus à la maison ou au sein de petites structures. Ces vulnérabilités, si elles sont exploitées, peuvent permettre à un attaquant de prendre le contrôle du serveur ou d’accéder à des données sensibles. La CISA insiste sur le fait que ces failles sont activement exploitées dans la nature, probablement par des groupes de rançongiciels ou des botnets.

CVE-2026-96652 et CVE-2026-96655 : des SSRF qui ouvrent la porte

Les Server-Side Request Forgery (SSRF) référencées CVE-2026-96652 et CVE-2026-96655 permettent à un attaquant de forcer le serveur à effectuer des requêtes vers des ressources internes ou externes non autorisées. En pratique, un pirate pourrait ainsi scanner le réseau interne, contourner des pare-feu, ou interagir avec d’autres services normalement inaccessibles. Selon le rapport d’analyse de CISA, ces SSRF sont particulièrement dangereuses car elles ne nécessitent aucune authentification préalable et peuvent être exploitées à distance.

« Les SSRF sont devenues l’une des attaques les plus redoutées dans les environnements cloud et hybrides », explique un expert en sécurité de l’ANSSI. « Elles permettent souvent de pivoter vers des systèmes critiques. »

CVE-2026-96654 : neutralisation incorrecte des schémas d’URI

Cette vulnérabilité de type Improper Neutralization of Encoded URI Schemes (CVE-2026-96654) touche la façon dont Plex analyse les adresses URI. Un attaquant peut injecter des schémas malveillants (comme file://, data://, ou ftp://) pour exécuter des scripts ou accéder à des fichiers locaux. Cette faille est souvent utilisée en combinaison avec d’autres pour escalader les privilèges.

CVE-2026-96656 : contrôle externe du nom ou du chemin de fichier

La quatrième vulnérabilité Plex (CVE-2026-96656) est un External Control of File Name or Path (CWE-73). Concrètement, l’attaquant peut manipuler les paramètres de l’application pour lire ou écrire des fichiers arbitraires sur le système. Cela peut mener à la divulgation de données sensibles ou à l’exécution de code malveillant si couplé à d’autres failles. Dans un contexte français, où de nombreuses PME utilisent Plex pour des usages internes, l’impact peut être considérable.

Deux autres vulnérabilités à ne pas négliger

Outre Plex, deux autres produits sont concernés : la solution de sécurité périmétrique SiteGuard Server Edition de EG Secure Solutions, et le Siemens Software Center.

CVE-2026-106931 : injection de commandes dans SiteGuard

La faille CVE-2026-106931 est une OS Command Injection (CWE-78) affectant SiteGuard Server Edition. Un attaquant peut injecter des commandes système via une entrée non nettoyée, prenant ainsi le contrôle total du serveur de sécurité. Cela expose les réseaux d’entreprise à un risque majeur, car SiteGuard est souvent déployé en tant que passerelle de sécurité. D’après les informations de CISA, cette vulnérabilité est activement exploitée par des groupes APT (Advanced Persistent Threat) depuis au moins août 2026.

CVE-2026-110936 : chemin de recherche non contrôlé chez Siemens

Enfin, la vulnérabilité CVE-2026-110936 concerne Siemens Software Center, un outil de gestion de licences et de déploiement de logiciels. Il s’agit d’un Uncontrolled Search Path Element (CWE-426) : l’application charge des bibliothèques à partir de chemins non sécurisés, permettant à un attaquant local de déposer un fichier malveillant (comme un .dll) qui sera exécuté avec les privilèges du logiciel. Les environnements industriels utilisant des produits Siemens sont particulièrement visés.

La directive BOD 26-04 : une urgence pour les agences fédérales américaines, des leçons pour la France

La publication de ces six nouvelles entrées s’accompagne du rappel de la Binding Operational Directive 26-04 (BOD 26-04), émise par CISA en janvier 2026. Cette directive impose aux agences fédérales américaines (FCEB) de prioriser la correction des vulnérabilités du KEV selon un barème de risque. Concrètement, toute faille listée qui permet la prise de contrôle total d’un actif exposé doit être corrigée en moins de 7 jours. Les autres vulnérabilités, bien que moins critiques, doivent être traitées dans un délai de 30 jours.

Même si cette directive ne s’applique qu’aux agences fédérales américaines, elle fournit un cadre de référence pour toutes les organisations. En France, l’ANSSI recommande également une gestion des vulnérabilités basée sur les risques (Risk-Based Vulnerability Management - RBVM). Dans un guide publié en 2025, l’agence française soulignait que « la priorisation des correctifs selon l’exploitation effective et l’importance des actifs réduit de 80 % le risque d’incident majeur ».

Comment mettre en œuvre une gestion des correctifs basée sur les risques ?

Pour les organisations françaises, l’annonce de CISA est un signal fort pour renforcer la veille sur les vulnérabilités exploitées. Voici les étapes clés pour une réponse efficace.

Étape 1 : identifier les actifs exposés

Avant toute chose, il faut connaître l’inventaire de vos systèmes. Utilisez des outils de Asset Discovery et de Vulnerability Management (comme Nessus, Qualys ou OpenVAS) pour cartographier les actifs. Vérifiez notamment si Plex Media Server, SiteGuard ou Siemens Software Center sont déployés dans votre environnement.

Étape 2 : croiser avec le catalogue KEV

Le catalogue KEV de CISA est mis à jour régulièrement. Vous pouvez le télécharger au format JSON et l’importer dans votre SIEM ou votre système de ticketing. Voici un exemple de commande pour récupérer la liste actuelle (Linux) :

curl -s https://www.cisa.gov/sites/default/files/2026-10-20-kev.json | jq '.[] | select(.cveID | startswith("CVE-2026-966"))'

Cette commande filtre les entrées récentes. Pour une exploitation automatisée, intégrez-la dans un script de surveillance.

Étape 3 : prioriser les correctifs selon trois critères

1. Exploitation connue : toute faille du KEV doit être traitée en priorité, surtout si elle permet un Remote Code Execution (RCE) ou une prise de contrôle.
2. Exposition au réseau : une vulnérabilité sur un serveur accessible depuis Internet (comme Plex ou SiteGuard) est plus critique que sur un système interne isolé.
3. Criticité métier : l’impact sur la continuité d’activité. Une faille sur un serveur de sécurité (SiteGuard) est plus grave que sur un logiciel de divertissement (Plex) dans un contexte professionnel.

Selon une étude du Ponemon Institute de 2025, les organisations qui utilisent un tel modèle de priorisation réduisent leur temps moyen de remédiation de 63 % (passant de 120 à 45 jours).

Étape 4 : appliquer les correctifs ou mesures compensatoires

• Pour Plex Media Server : mettre à jour vers la version 1.94.2 ou ultérieure (correctif publié en septembre 2026). Si la mise à jour n’est pas possible, désactiver les fonctionnalités exposées (API publique) ou segmenter le réseau.
• Pour SiteGuard Server Edition : contacter EG Secure Solutions pour obtenir le patch de sécurité (version 5.3.1). En attendant, restreindre l’accès administratif via VPN et renforcer les règles de pare-feu.
• Pour Siemens Software Center : appliquer la mise à jour de sécurité fournie par Siemens (version 2.8.5). En environnement critique, utiliser un outil de contrôle d’intégrité des bibliothèques.

Étape 5 : vérifier l’absence de compromission

Avant d’appliquer un correctif, il est conseillé de rechercher des indicateurs de compromission (IoC). Par exemple, pour les SSRF Plex, vérifiez les logs d’accès pour des requêtes suspectes vers des IP internes. La CISA recommande également d’utiliser des scanners de vulnérabilités post-correction pour s’assurer que le correctif a bien été installé.

Tableau récapitulatif des six vulnérabilités

Note : les scores CVSSv3 sont estimés d’après les descriptions fournies par CISA ; des scores officiels peuvent varier.

Conclusion : prioriser les correctifs pour anticiper les menaces

L’ajout de ces six vulnérabilités au catalogue KEV de CISA démontre une fois de plus que les acteurs malveillants exploitent rapidement les failles nouvellement découvertes. Pour les organisations françaises, qu’elles soient soumises aux directives ANSSI ou simplement soucieuses de leur sécurité, l’adoption d’une gestion des vulnérabilités basée sur les risques n’est plus une option, mais une nécessité. Comme le rappelle la BOD 26-04, « différer la correction d’une vulnérabilité exploitée expose l’organisation à un risque inacceptable ». Agissez dès aujourd’hui : vérifiez si ces CVE concernent votre parc, priorisez les correctifs, et renforcez votre veille. La cybersécurité ne s’arrête jamais, et chaque mise à jour est un pas de plus vers la résilience.