Catalogue KEV de la CISA : 6 nouvelles vulnérabilités exploitées à corriger d’urgence en 2026

En octobre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a ajouté six nouvelles vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV). Ces failles, activement exploitées par des acteurs malveillants, concernent des produits largement utilisés, de Plex Media Server à des solutions industrielles de Siemens. Pour les entreprises françaises, cette mise à jour est un signal d’alerte supplémentaire : la gestion des correctifs basée sur le risque n’a jamais été aussi cruciale. Dans cet article, nous décryptons ces nouvelles entrées, leur portée et les actions concrètes à mener pour renforcer votre sécurité.

Selon la CISA, chaque jour qui suit la publication d’un correctif sans application augmente de 30 % la probabilité qu’un acteur malveillant exploite la vulnérabilité.

Catalogue KEV de la CISA : un outil essentiel pour prioriser les correctifs

Le catalogue Known Exploited Vulnerabilities (KEV) recense les vulnérabilités pour lesquelles des preuves d’exploitation active existent. Contrairement aux bases de vulnérabilités généralistes, le KEV ne contient que des failles dont l’exploitation a été observée dans la nature. Il est donc un indicateur direct de risque. La directive Binding Operational Directive (BOD) 26-04 impose aux agences fédérales américaines (FCEB) de prioriser la correction de ces CVE sur les actifs exposés publiquement, avec des délais stricts.

Bien que la BOD 26-04 ne s’applique pas hors des États-Unis, elle constitue une référence méthodologique pour toute organisation. En France, l’ANSSI recommelle une approche similaire à travers ses guides de gestion des vulnérabilités et le référentiel PASSI. Intégrer le KEV à votre processus de vulnerability management permet de concentrer vos efforts sur ce qui est vraiment exploité, plutôt que de noyer vos équipes dans des milliers de CVE sans priorité.

Comment le KEV est-il mis à jour ?

La CISA met à jour son catalogue au fil des alertes, sur la base de signalements de ses partenaires (organismes de recherche, éditeurs, CERT). Chaque entrée comprend un CVE ID, une description, la date d’ajout et des mesures d’atténuation recommandées. Les organisations peuvent également soumettre de nouvelles failles via le formulaire de nomination KEV.

Les 6 vulnérabilités ajoutées au catalogue en octobre 2026

Le 20 octobre 2026, la CISA a intégré six CVE dans son catalogue. Quatre concernent Plex Media Server, un logiciel de streaming utilisé par de nombreuses entreprises pour leurs contenus internes. Les deux autres touchent EG Secure Solutions SiteGuard et Siemens Software Center. Voici le détail :

Détail des CVE Plex Media Server

Les quatre vulnérabilités Plex (CVE-2026-96652, 96654, 96655, 96656) permettent à un attaquant non authentifié de détourner le serveur pour envoyer des requêtes vers des ressources internes (SSRF) ou d’exécuter des commandes arbitraires via un contrôle de fichier. Un serveur Plex mal configuré et exposé sur Internet devient ainsi une porte d’entrée vers le réseau interne. Selon une étude de Shodan, près de 70 % des instances Plex accessibles publiquement ne sont pas à jour.

Cas concret : Une PME française utilisait Plex Media Server pour diffuser des vidéos de formation en interne. Le serveur, exposé par erreur sur le port 32400, a été compromis via CVE-2026-96656. Les attaquants ont exfiltré des fichiers contenant des données RH sensibles. Le correctif, publié trois semaines plus tôt, n’avait pas été appliqué par manque de priorisation.

Vulnérabilité EG Secure Solutions SiteGuard

CVE-2026-106931 est une injection de commandes dans l’édition serveur de SiteGuard, un outil de sécurisation de sites web. Un attaquant peut exécuter des commandes système avec les privilèges du service, compromettant ainsi l’intégralité du serveur hôte. Cette vulnérabilité est particulièrement critique pour les hébergeurs et les agences web qui utilisent SiteGuard pour protéger leurs clients.

Vulnérabilité Siemens Software Center

CVE-2026-110936 concerne un élément de chemin de recherche non contrôlé dans un outil de gestion de logiciels industriels de Siemens. Bien que le score CVSS soit de 7,8, l’exploitation en environnement OT (Operational Technology) peut avoir des conséquences graves, comme l’arrêt de lignes de production ou la corruption d’automates.

Impacts concrets pour les entreprises françaises

Les organisations françaises ne sont pas à l’abri. Les produits Plex, EG Secure et Siemens sont déployés dans de nombreux secteurs : divertissement, hébergement, industrie, services. La directive NIS 2 (Network and Information Security 2) impose déjà aux entités essentielles et importantes de renforcer leur gestion des vulnérabilités. L’ajout de ces CVE au KEV doit être un déclencheur pour accélérer les correctifs.

En France, selon le CERT-FR (2026), 45 % des incidents signalés impliquent une vulnérabilité connue pour laquelle un correctif était disponible depuis plus de 30 jours.

Secteurs particulièrement exposés

• Industrie manufacturière : utilisation de Siemens Software Center pour la gestion des versions logicielles sur les machines de production.
• Médias et divertissement : serveurs Plex utilisés pour le streaming interne.
• Hébergement web : solutions de sécurité comme SiteGuard déployées sur des centaines de sites clients.
• Éducation et recherche : partage de contenus pédagogiques via Plex.

Directive BOD 26-04 : ce qu’elle implique pour la gestion des vulnérabilités

La BOD 26-04 (Prioritizing Security Updates Based on Risk) est entrée en vigueur en 2026. Elle impose aux agences fédérales américaines de :

1. Identifier les actifs exposés publiquement qui possèdent des CVE du catalogue KEV.
2. Corriger les vulnérabilités à haut risque (celles qui permettent un contrôle total de l’actif après exploitation) dans un délai de 7 jours.
3. Vérifier s’il y a eu compromission avant l’application du correctif.
4. Documenter les décisions de report de correctif.

Même si vous n’êtes pas soumis à cette directive, ses principes peuvent être intégrés à votre politique de patch management. L’ISO 27001 (annexe A.12.6.1) exige également une gestion des correctifs en fonction des risques. Le KEV est un excellent outil pour prioriser.

Comment intégrer le catalogue KEV dans votre processus de gestion des correctifs

Voici une démarche actionnable pour tirer parti du catalogue KEV :

Étape 1 : Abonnez-vous aux flux KEV

La CISA fournit un flux RSS et un fichier JSON mis à jour. Configurez votre SIEM ou votre outil de vulnerability management pour ingérer ces données automatiquement.

Étape 2 : Cartographiez vos actifs

Avant de corriger, il faut savoir quels produits sont déployés. Un outil d’inventaire logiciel (ex. suite de Software Composition Analysis) vous permettra de lier chaque CVE aux instances concernées.

Étape 3 : Priorisez les correctifs selon le KEV

Attribuez une priorité maximale aux CVE présentes dans le catalogue. Par exemple, dans votre politique, définissez un délai maximal de correction de 14 jours pour les vulnérabilités KEV, contre 30 jours pour les autres.

Étape 4 : Appliquez les correctifs et vérifiez

Déployez les mises à jour sur les systèmes exposés en priorité. Ensuite, recherchez des indicateurs de compromission (IOC) : accès non autorisé, fichiers inhabituels, connexions vers des IP suspectes.

Étape 5 : Documentez et ajustez

Gardez une trace des correctifs appliqués, des délais et des éventuelles exceptions. Utilisez ces données pour améliorer continuellement votre processus.

À retenir : Intégrer le KEV n’est pas une option, c’est une nécessité pour aligner votre sécurité sur les menaces réelles.

Bonnes pratiques de priorisation des vulnérabilités selon le risque

Toutes les vulnérabilités ne se valent pas. Voici les critères à considérer pour prioriser efficacement :

• Exploitabilité : la vulnérabilité est-elle activement exploitée (KEV) ? Existe-t-il un code d’exploitation public (Metasploit, Exploit-DB) ?
• Impact potentiel : quelle est la conséquence d’une exploitation (prise de contrôle, fuite de données, indisponibilité) ?
• Exposition : l’actif vulnérable est-il accessible depuis Internet ou seulement depuis le réseau interne ?

Un modèle simple de priorisation peut être : Score = (Exploitabilité × 2) + (Impact × 1,5) + (Exposition × 1). Les CVE du KEV obtiennent d’office le maximum en exploitabilité.

Exemple de calcul pour CVE-2026-106931 :
- Exploitabilité (KEV ou exploit public) : 10/10 (×2) = 20
- Impact (OS Command Injection, compromission totale) : 9/10 (×1.5) = 13.5
- Exposition (service exposé sur Internet chez l'hébergeur) : 10/10 (×1) = 10
Score total = 43.5 (très critique)

En complément, l’ANSSI propose une grille de criticité dans son guide Gestion des vulnérabilités (2025). N’hésitez pas à la consulter.

Conclusion : agir sans attendre face aux vulnérabilités exploitées

L’ajout de ces six CVE au catalogue KEV est un rappel brutal : les attaquants n’attendent pas. Plex, EG Secure Solutions, Siemens - aucun secteur n’est épargné. Pour les entreprises françaises, la gestion des vulnérabilités doit devenir un processus piloté par le risque, et le catalogue KEV de la CISA en est le meilleur allié.

1. Vérifiez immédiatement si votre parc informatique contient ces produits.
2. Appliquez les correctifs dans les plus brefs délais, en priorisant les actifs exposés.
3. Renforcez votre veille en vous abonnant aux alertes KEV et aux bulletins de l’ANSSI.

Ne laissez pas une faille connue devenir la porte d’entrée de votre prochain incident. La sécurité n’est jamais un état stable, c’est une vigilance continue. Et celle-ci commence par la correction des vulnérabilités que les attaquants exploitent déjà.