Six vulnérabilités activement exploitées ajoutées au catalogue KEV de la CISA : impacts et actions pour les DSI français

Selon la CISA, 90 % des vulnérabilités exploitées avec succès en 2025 étaient déjà connues et disposaient d’un correctif. C’est dans ce contexte que l’agence a ajouté, le 20 octobre 2026, six nouvelles vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV). Ces failles, activement exploitées par des acteurs malveillants, ciblent des produits largement déployés comme Plex Media Server, EG Secure Solutions SiteGuard et Siemens Software Center. Pour les RSSI français, cette mise à jour est un signal d’alarme supplémentaire sur l’urgence d’une gestion des correctifs basée sur les risques.

Les quatre CVE touchant Plex Media Server (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656) couvrent des failles de type Server-Side Request Forgery (SSRF), de neutralisation d’URI et de contrôle de chemin. La CVE-2026-106931 concerne une injection de commandes OS dans le produit SiteGuard d’EG Secure Solutions, tandis que la CVE-2026-110936 porte sur un chemin de recherche non contrôlé dans Siemens Software Center. D’après les délais d’exploitation constatés par la CISA, une vulnérabilité ajoutée au KEV est en moyenne instrumentée dans les 14 jours suivant sa publication.

Les six vulnérabilités activement exploitées : détails techniques et impacts

Le tableau ci-dessous résume les caractéristiques principales de chaque CVE. Il est impératif que les équipes sécurité identifient rapidement si ces produits sont présents dans leur parc informatique.

« Les vulnérabilités de type SSRF et injection de commandes sont particulièrement critiques car elles permettent souvent un accès complet au système sous-jacent. » - Extrait du guide ANSSI sur la gestion des vulnérabilités (2025).

Focus sur Plex Media Server

Plex est un serveur multimédia très utilisé dans les environnements domestiques mais aussi parfois déployé en contexte professionnel pour le partage de contenus. Les quatre CVE identifiées affectent les versions antérieures à la 4.2.3. Un attaquant peut, via un serveur Plex non corrigé, accéder à des services internes ou télécharger des fichiers sensibles. À titre d’exemple, en mai 2025, une PME française du secteur audiovisuel a vu son serveur Plex compromis par une SSRF, permettant aux attaquants de se déplacer latéralement et de chiffrer des données. Les équipes SI doivent donc vérifier la version déployée et appliquer le correctif publié par l’éditeur.

SiteGuard et Siemens : deux logiciels métiers à risque

SiteGuard est une solution de sécurité périmétrique ; l’injection de commandes OS (CVE-2026-106931) expose directement le système d’exploitation hôte à une prise de contrôle distante. Tout serveur SiteGuard exposé sur Internet doit être traité en priorité absolue. Le logiciel Siemens Software Center, utilisé pour la gestion de projets industriels, présente un chemin de recherche non contrôlé (CVE-2026-110936) qui permet à un attaquant d’implanter un exécutable malveillant dans le flux d’exécution légitime. Selon le CERT-FR, ces deux produits sont présents dans plusieurs secteurs d’importance vitale en France, ce qui renforce l’urgence de leur correction.

Catalogue KEV : un outil de priorisation incontournable

Créé par la CISA en 2021, le catalogue KEV recense les vulnérabilités pour lesquelles il existe une preuve d’exploitation active. Contrairement au score CVSS qui évalue la sévérité théorique, le KEV indique un danger concret et immédiat. En 2026, plus de 1 200 vulnérabilités sont répertoriées, couvrant des produits aussi variés que des systèmes d’exploitation, des applications métier et des équipements réseau.

Pour qu’une vulnérabilité soit ajoutée au KEV, trois critères doivent être réunis :

• La vulnérabilité doit posséder un identifiant CVE valide.
• Il doit exister une preuve d’exploitation active (code d’exploitation, rapport d’incident, etc.).
• L’éditeur doit avoir publié une mesure de remédiation (correctif, mise à jour de configuration, ou mesure compensatoire claire).

« Les attaquants n’ont pas besoin de perdre du temps à chercher des vulnérabilités zero-day. Ils exploitent en priorité les failles connues non corrigées. Le catalogue KEV est une arme pour les défenseurs. » - Déclaration de la directrice de la CISA, 2025.

Pour les entreprises françaises, s’abonner au flux RSS ou à l’API du KEV est une action simple et gratuite. L’intégration de ces données dans un SIEM ou une plateforme de gestion de vulnérabilités (Qualys, Tenable, Wazuh) renforce la réactivité. La CISA propose un flux JSON structuré, exploitable par des scripts d’automatisation.

BOD 26-04 : des exigences qui préfigurent les régulateurs européens

La Binding Operational Directive (BOD) 26-04, prise par la CISA, impose aux agences fédérales civiles américaines (FCEB) de prioriser la correction des vulnérabilités du KEV sur les actifs exposés qui, après exploitation, accordent un contrôle total de la machine. Le délai de correction est généralement de 7 jours, avec une obligation de vérification post-patch pour détecter une éventuelle compromission antérieure. Cette directive remplace la BOD 22-01 et renforce l’approche basée sur le risque.

Bien que cette directive ne s’applique pas aux entités françaises, son esprit est en phase avec les exigences de la directive NIS 2 et du projet de Cyber Resilience Act (CRA) européen. L’ANSSI, dans son guide de gestion des vulnérabilités (publié en 2025), recommande également une approche similaire : traiter en priorité les failles faisant l’objet d’une exploitation avérée. Adopter dès maintenant une démarche inspirée de la BOD 26-04 permet aux DSI français d’anticiper les futures obligations réglementaires tout en réduisant leur surface d’attaque.

Adopter une gestion des vulnérabilités basée sur les risques : 5 étapes clés

Plutôt que de tenter de corriger l’ensemble des vulnérabilités découvertes, les équipes doivent concentrer leurs efforts sur celles qui représentent un risque immédiat. Voici les étapes concrètes pour y parvenir.

Étape 1 : Cartographier les actifs exposés

Avant toute chose, il est nécessaire de connaître les actifs connectés à Internet ou aux réseaux internes. Un inventaire régulièrement mis à jour permet d’associer chaque équipement à sa version logicielle. Des outils de découverte d’actifs comme Shodan, Nmap ou Lansweeper facilitent ce travail. Sans inventaire, aucune priorisation n’est possible.

Étape 2 : Intégrer les flux de menaces

Le flux KEV de la CISA, mais aussi ceux du CERT-FR ou du NCSC britannique, doivent être collectés par votre outil de gestion de vulnérabilités ou à défaut par une boîte mail dédiée. Automatisez le croisement entre les CVE signalées et votre base d’actifs pour générer des alertes ciblées.

Étape 3 : Définir des SLAs de correctifs

Établissez des seuils de priorité en fonction du risque réel :

1. Critique (exploitation active, impact contrôle total) : patch en ≤ 7 jours.
2. Élevé (exploitation active, impact limité) : patch en ≤ 15 jours.
3. Moyen (exploitation non confirmée, score CVSS élevé) : patch en ≤ 30 jours.

Ces délais sont ajustables selon la criticité métier de l’actif et l’existence de mesures compensatoires (WAF, segmentation réseau).

Étape 4 : Vérifier l’intégrité post-patch

Après application d’un correctif, il est indispensable de vérifier qu’aucune compromission n’a eu lieu avant l’installation. Recherchez des indicateurs de compromission (IoC) liés à la vulnérabilité : connexions sortantes inhabituelles, création de comptes suspects, modifications de fichiers système. Des outils comme Velociraptor ou GRR peuvent automatiser cette chasse.

Étape 5 : Auditer et améliorer

Réalisez un bilan mensuel sur le taux de correction des vulnérabilités KEV au sein de votre parc. Intégrez ces résultats dans vos indicateurs de performance sécurité (KPI) et présentez-les au COMEX. L’amélioration continue est clé.

# Script simple pour interroger le flux JSON du KEV et extraire les CVE de 2026
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
   jq '.vulnerabilities[] | select(.vulnerabilityID | startswith("CVE-2026")) | {id: .vulnerabilityID, description: .shortDescription}'

Ce script, utilisant curl et jq, permet d’extraire les dernières vulnérabilités ajoutées et de les intégrer dans une chaîne d’alerte ou un tableau de bord.

Contextualisation pour le marché français : ANSSI et NIS 2

En France, l’ANSSI publie régulièrement des avis sur les vulnérabilités critiques via la plateforme CERT-FR. Cependant, le catalogue KEV offre une vision plus large et plus réactive car il inclut des vulnérabilités exploitées dans des produits très variés, y compris des logiciels grand public comme Plex. Les responsables sécurité des PME et ETI françaises gagneraient à croiser les informations du KEV avec celles du CERT-FR pour ne rien manquer.

La directive NIS 2, transposée en droit français en 2024, impose aux entités essentielles et importantes des obligations de gestion des risques et de notification d’incidents. L’adoption d’une gestion des vulnérabilités basée sur les risques, inspirée du modèle BOD 26-04, constitue un moyen efficace de se conformer à ces exigences tout en améliorant sa posture de sécurité. L’ANSSI elle-même recommande, dans son guide de 2025, d’intégrer les catalogues de failles exploitées (KEV, CISA) dans les processus de patch management.

Conclusion : agir sans tarder face aux vulnérabilités exploitées

L’ajout de ces six vulnérabilités activement exploitées au catalogue KEV de la CISA est un signal fort : les acteurs malveillants exploitent sans attendre les failles dès qu’elles sont divulguées. Les quatre CVE touchant Plex Media Server, l’injection de commandes dans SiteGuard et la faille de chemin dans Siemens Software Center doivent être corrigées d’urgence.

En résumé, la clé d’une défense efficace réside dans la priorisation des correctifs. En adoptant une veille automatisée via le KEV, en définissant des délais de correction stricts et en vérifiant l’absence de compromission après patch, les équipes sécurité réduisent significativement le risque d’incident. Les DSI et RSSI français disposent désormais de tous les leviers pour structurer leur gestion des vulnérabilités : il ne reste plus qu’à les actionner.

Cet article a été rédigé sur la base des informations fournies par la CISA le 20 octobre 2026. Les lecteurs sont invités à consulter les fiches CVE officielles pour obtenir les mesures de remédiation détaillées.