Six vulnérabilités activement exploitées ajoutées au catalogue KEV de CISA : quelles actions pour les entreprises françaises ?

D’après le rapport 2025 de Verizon sur les violations de données, 55 % des brèches de cybersécurité exploitent une vulnérabilité connue pour laquelle un correctif existait déjà. Ce constat illustre l’écart persistant entre la publication d’un patch et son application effective. Le 20 octobre 2026, l’agence américaine CISA (Cybersecurity and Infrastructure Security Agency) a ajouté six nouvelles vulnérabilités à son catalogue KEV (Known Exploited Vulnerabilities), officialisant leur exploitation active dans la nature. Si cette directive concerne en premier lieu les agences fédérales américaines, les organisations françaises - qu’elles soient PME, ETI ou grandes entreprises - ont tout intérêt à intégrer ce référentiel dans leur propre gestion des vulnérabilités. Nous décryptons ces six failles, leur impact potentiel et les bonnes pratiques pour ne pas figurer au rang des victimes.

Des vulnérabilités activement exploitées ciblant des logiciels courants

Les six CVE ajoutées au catalogue KEV concernent des produits très répandus : le serveur multimédia Plex, un logiciel de sécurisation périmétrique (SiteGuard) et un outil de gestion industrielle (Siemens). Leur détail technique montre la diversité des vecteurs d’attaque.

Plex Media Server : quatre failles critiques

Plex Media Server est utilisé par des millions de particuliers et d’entreprises pour diffuser leurs contenus multimédias. À lui seul, il concentre quatre des six nouvelles entrées :

• CVE-2026-96652 : Server-Side Request Forgery (SSRF) - permet à un attaquant de forcer le serveur à effectuer des requêtes vers des ressources internes non exposées.
• CVE-2026-96654 : Improper Neutralization of Encoded URI Schemes - une faille de type cross-site scripting (XSS) permettant d’injecter du code malveillant dans une page web du serveur.
• CVE-2026-96655 : autre SSRF, légèrement différente dans sa méthode d’exploitation.
• CVE-2026-96656 : External Control of File Name or Path - un attaquant peut manipuler le chemin d’accès à un fichier, ouvrant la voie à une lecture ou écriture non autorisée.

« Les vulnérabilités SSRF sont souvent sous-estimées, car elles ne compromettent pas directement le serveur lui-même, mais fournissent un point d’entrée vers des services internes vulnérables », explique un rapport du SANS Institute (2025).

En pratique, un serveur Plex exposé sur Internet et non patché peut être transformé en passerelle vers le réseau local de l’entreprise, rendant possible l’exfiltration de données ou le déploiement de ransomwares.

SiteGuard et Siemens : des équipements périphériques vulnérables

Les deux autres CVE élargissent la surface d’attaque :

• CVE-2026-106931 (EG Secure Solutions SiteGuard Server Edition) : injection de commandes système (OS Command Injection). Un attaquant authentifié peut exécuter des commandes arbitraires sur le serveur de sécurité périmétrique, compromettant l’ensemble de la passerelle.
• CVE-2026-110936 (Siemens Software Center) : Uncontrolled Search Path Element. Lors de l’exécution d’un programme, le système cherche une bibliothèque dans des répertoires non maîtrisés ; l’attaquant peut y placer une version malveillante, prenant ainsi le contrôle du processus.

Ces deux failles illustrent le risque lié aux équipements de sécurité eux-mêmes : un pare-feu, un proxy ou un logiciel de gestion de flotte peuvent devenir le maillon faible s’ils ne sont pas maintenus à jour.

Le catalogue KEV : un outil de priorisation indispensable

Le catalogue KEV (Known Exploited Vulnerabilities) recense les vulnérabilités pour lesquelles une exploitation active a été confirmée. Contrairement au CVE traditionnel, qui peut référencer des failles non exploitées ou purement théoriques, l’inscription au KEV est un signal fort : des cybercriminels ou des États les utilisent en ce moment même.

Pourquoi les entreprises françaises doivent s’y intéresser

Bien que la directive BOD 26-04 ne s’applique qu’aux agences fédérales américaines, sa philosophie - prioriser les correctifs des vulnérabilités exploitées - est universelle. En France, l’ANSSI encourage les organisations à adopter une approche similaire via son guide de la gestion des vulnérabilités (2025).

« Toute vulnérabilité connue et exploitée doit être corrigée dans les plus brefs délais, même si son score CVSS n’est pas maximal. »

• Extrait du guide ANSSI sur la gestion des correctifs (2025).

Les attaquants n’attendent pas : une fois qu’une CVE est rendue publique, le temps entre la publication de l’exploit et son utilisation massive se compte souvent en heures. Ne pas surveiller le catalogue KEV, c’est laisser délibérément des portes ouvertes aux intrusions.

BOD 26-04 : une directive qui fait référence

La Binding Operational Directive 26-04 impose aux agences américaines de corriger sous 7 jours les vulnérabilités KEV qui, après exploitation, offrent le contrôle total de l’actif cible. Elle exige également de vérifier si un système a déjà été compromis avant l’application du patch. Cette rigueur peut inspirer les responsables sécurité français dans la rédaction de leur politique de patch management.

Sur le plan technique, le KEV est intégré à de nombreux scanners de vulnérabilités (Qualys, Tenable, OpenVAS) et peut être interrogé via une API publique. Il devient ainsi un flux de priorisation automatisable.

Comment adopter une gestion des vulnérabilités basée sur les risques ?

Loin de se limiter à l’application mécanique de correctifs, une gestion efficace des vulnérabilités s’appuie sur la contextualisation des risques. Voici les trois étapes recommandées par les experts.

Étape 1 : Inventorier et classifier les actifs exposés

Avant de corriger, encore faut-il savoir ce que l’on possède. Un inventaire exhaustif - incluant les serveurs, les postes de travail, les équipements réseau et les applications web - est le socle de toute démarche. L’utilisation d’un outil de découverte d’actifs (CMDB, scanner réseau) permet de maintenir cette cartographie à jour.

Conseil pratique : classez vos actifs selon leur criticité métier (systèmes contenant des données personnelles, serveurs exposés à Internet, etc.). Cela vous aidera à prioriser les correctifs même sans disposer d’un flux KEV.

Étape 2 : Prioriser les correctifs selon la criticité réelle

Ne vous fiez pas uniquement au score CVSS. Une faille avec un score de 5.5 peut être exploitée en masse, tandis qu’une faille de 9.8 peut concerner un équipement isolé. Utilisez des sources complémentaires :

• Le catalogue KEV pour les vulnérabilités exploitées en ce moment.
• Les bulletins de l’ANSSI (CERT-FR) pour les contextes français.
• Les rapports des éditeurs (Cisco, Microsoft, etc.) pour les environnements spécifiques.

Étape 3 : Automatiser le déploiement des patches

La fenêtre d’exposition doit être réduite au maximum. Les correctifs peuvent être automatisés via des outils de gestion de configuration (Ansible, Puppet) ou des solutions de patch management dédiées. Pour les systèmes critiques, un déploiement en plusieurs vagues (tests d’abord sur un sous-ensemble, puis généralisation) limite les risques d’impact métier.

« Dans la pratique, nous observons que les entreprises qui automatisent leurs correctifs réduisent de 75 % leur délai moyen de remédiation. »

• Extrait d’une étude de l’ISC 2025 sur la cybersécurité des PME.

Exemple : une société de services françaises utilisant Plex pour la diffusion de contenus internes a découvert la faille CVE-2026-96652 le 21 octobre 2026. Grâce à un script automatisé déclenché par une alerte du flux KEV, le patch a été déployé sur l’ensemble des serveurs en moins de 24 heures, évitant une compromission massive.

Conclusion : anticiper plutôt que subir

L’ajout de six nouvelles vulnérabilités exploitées au catalogue KEV par CISA n’est pas un événement anodin. Il rappelle que la menace n’est pas théorique : les attaquants exploitent ces failles activement. Pour les entreprises françaises, intégrer la veille sur le catalogue KEV dans leur processus de gestion des vulnérabilités est aujourd’hui une nécessité, non une option. En croisant cet indicateur avec une cartographie des actifs et une automatisation des correctifs, vous réduisez drastiquement votre exposition. Ne laissez pas une faille connue devenir votre point d’entrée.

Prochaine action : dès maintenant, abonnez-vous au flux RSS du KEV, vérifiez si l’une des six CVE ci-dessus est présente dans votre parc, et appliquez les patches dans un délai de 7 jours. Et si vous découvrez une vulnérabilité exploitée non référencée, contribuez au dispositif en la soumettant via le formulaire CISA - la solidarité numérique est l’affaire de tous.