CISA liste 4 failles activement exploitées, dont un Cisco noté 10 sur 10

Quatre nouvelles failles viennent d'entrer au catalogue KEV de la CISA, l'agence américaine de cybersécurité : une liste officielle des vulnérabilités piratées en ce moment même, pas des théories de chercheur. Publiée ce mercredi 9 septembre, la mise à jour concerne Fortinet, Citrix, Cisco et Google Chromium. Traduction : des attaquants exploitent déjà ces brèches, avec un Cisco noté 10 sur 10 sur l'échelle de gravité.

Le catalogue KEV, pour Known Exploited Vulnerabilities, ne recense que des failles avec preuve d'exploitation réelle. Quand une CVE y entre, ce n'est plus une alerte potentielle : c'est la confirmation que quelqu'un s'en sert quelque part pour entrer chez quelqu'un d'autre. CISA demande aux agences fédérales américaines de corriger sous des délais très courts, et c'est en général un bon indicateur d'urgence pour tout le monde.

Les quatre failles qui passent en mode urgence

Premier cas, le plus sournois : la CVE-2025-25249, identifiant officiel de la faille, touche plusieurs produits Fortinet, dont les pare-feux FortiOS et FortiSwitchManager. Un débordement de mémoire, c'est-à-dire un programme qui écrit hors de la zone qui lui est réservée, permet à un attaquant distant, sans aucun compte, d'exécuter du code arbitraire. Fortinet a publié des correctifs dès les versions 7.0.18, 7.2.12, 7.4.9 et 7.6.4, et conseille de bloquer le protocole CAPWAP en attendant.

Deuxième cas : CVE-2026-19490, le contournement d'authentification de Citrix NetScaler (CVSS 9,3). Découverte en août, elle permet à un attaquant sans compte de se faire passer pour un utilisateur légitime quand l'appliance sert de passerelle VPN ou de serveur AAA, le module qui gère les accès. Bref : ta porte d'entrée sécurisée devient un passe-partout.

Troisième cas : CVE-2026-87491, l'écriture hors limites dans le moteur JavaScript V8 de Chromium. On en parlait plus tôt aujourd'hui avec la mise à jour Chrome 153 : Google avait déjà corrigé cette faille activement exploitée, et l'entrée au catalogue KEV confirme que les attaques réelles ont bien eu lieu. Si tu n'as pas redémarré ton navigateur depuis la mise à jour, c'est le moment.

Quatrième cas, le plus inquiétant : CVE-2026-20079, notée 10.0 sur 10, touche Cisco Secure Firewall Management Center, la console d'administration centralisée des pare-feux Cisco. Le contournement d'authentification donne un accès root, le niveau de contrôle maximal sur la machine. L'équipe Talos de Cisco a documenté des campagnes réelles avec web shells, exfiltration de données et déploiement du malware Cyclops Blink par un groupe APT. Cisco a publié des hotfixes pour toutes les versions affectées.

Ce que ça change pour toi

Sois honnête avec toi-même : chez toi, tu n'as probablement ni pare-feu Cisco ni passerelle NetScaler. Ces équipements équipent surtout des entreprises, des écoles et des collectivités. Mais si tu administres le réseau d'une petite structure, si tu bosses en prestataire ou si ton serveur auto-hébergé passe par l'un de ces produits, la vérification devient prioritaire. Et si tu es simple employé, tu peux au moins relayer l'alerte au service informatique.

La marche à suivre tient en trois gestes : identifier si l'un de ces produits tourne quelque part, vérifier la version installée face aux pages d'avis officielles, appliquer le correctif sans attendre la prochaine fenêtre de maintenance. Pour le Cisco FMC, il n'existe aucun contournement officiel : le hotfix est la seule option. CISA rappelle aussi qu'une faille du catalogue KEV exige de vérifier si un système a été compromis avant même l'installation du correctif.

Et pour Chromium, la mise à jour de Chrome 153 doit simplement être appliquée et le navigateur relancé. Beaucoup d'utilisateurs laissent Chrome ouvert des semaines : la faille reste exploitable tant que le navigateur tourne sur l'ancienne version.

Pourquoi ce catalogue fait foi

Le principe du KEV est simple : CISA n'y ajoute une faille que si une preuve d'exploitation réelle existe, que ce soit par un service de renseignement, un cybercriminel ou un chercheur qui a documenté des attaques. Une CVE notée 9,8 qui reste théorique n'y entre pas, une CVE plus modeste mais réellement piratée y entre. C'est cette sélection qui rend le catalogue utile comme liste de priorités.

Concrètement, pour un administrateur, c'est un raccourci de tri : quand tu ne sais pas quoi corriger en premier, les entrées KEV passent avant tout. C'est exactement ce que demande la directive BOD 26-04 aux agences américaines, et la méthode fonctionne tout aussi bien pour un homelab ou une PME.

Ce qu'il faut retenir

Ces quatre ajouts du 9 septembre n'ont rien d'anecdotique : trois touchent des équipements de périmètre, ceux qui exposent directement une organisation à Internet, et le quatrième concerne un navigateur que des milliards de gens utilisent tous les jours. Les correctifs existent pour tout le monde, ne restent plus qu'à les appliquer. Et comme le rappelle CISA, le pire n'est pas la faille : c'est la faille déjà exploitée qu'on corrige trop tard.

Sources

L'alerte officielle CISA avec la liste des quatre CVE et le rappel de la directive BOD 26-04.

L'avis sécurité Cisco Talos sur l'exploitation active du Firewall Management Center (CVE-2026-20079, web shells et Cyclops Blink).

L'avis officiel Fortinet FG-IR-25-084 avec les versions corrigées de FortiOS et FortiSwitchManager.

Pour la faille Chromium en détail, on en parlait plus tôt aujourd'hui avec la mise à jour Chrome 153.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.