La CISA ajoute trois vulnérabilités exploitées à son catalogue KEV

Les trois failles concernent Cisco, Windows et Metabase

La CISA a ajouté au catalogue Known Exploited Vulnerabilities (KEV) trois vulnérabilités pour lesquelles elle dispose de preuves d’exploitation active :

• CVE-2026-20349, une faille d’inspection du tas dans Cisco Secure Firewall Adaptive Security Appliance (ASA) et Firewall Threat Defense (FTD) ;
• CVE-2026-68820, une vulnérabilité de type use-after-free dans l’Ancillary Function Driver for WinSock de Microsoft Windows ;
• CVE-2026-72898, une vulnérabilité d’injection SQL dans la plateforme Metabase.

Les versions exactes des produits concernés n’ont pas été communiquées.

Pourquoi l’ajout au catalogue KEV est important

La présence dans le catalogue KEV indique que ces vulnérabilités ne sont pas seulement théoriques : des attaques réelles ou des tentatives d’exploitation ont été observées.

Le rapport ne précise pas les conséquences opérationnelles de l’exploitation de chaque CVE. En général, toutefois, la compromission de pare-feu, de systèmes Windows ou de plateformes exposées disposant d’un accès aux bases de données peut avoir des effets importants sur l’intégrité et la disponibilité des environnements concernés.

La directive BOD 26-04: Prioritizing Security Updates Based on Risk considère comme particulièrement risquées les vulnérabilités KEV affectant des actifs exposés publiquement lorsqu’elles peuvent permettre de prendre le contrôle complet du système.

Recommandations pour les organisations

Les agences fédérales du Federal Civilian Executive Branch (FCEB) doivent appliquer les exigences de gestion prévues par la BOD 26-04 et accélérer la remédiation des failles à haut risque.

Elles doivent notamment :

1. identifier les actifs exposés publiquement qui utilisent Cisco ASA, Cisco FTD, Windows ou Metabase ;
2. donner la priorité aux CVE du catalogue KEV susceptibles d’entraîner la prise de contrôle totale de l’actif ;
3. appliquer les mises à jour disponibles conformément aux recommandations des éditeurs concernés ;
4. vérifier, avant l’application des correctifs, si des acteurs malveillants ont déjà compromis les systèmes.

Les correctifs, solutions de contournement ou indicateurs de compromission propres à ces trois vulnérabilités n’ont pas été détaillés.

La CISA recommande également aux organisations qui ne relèvent pas de la FCEB d’adopter une gestion des risques fondée sur le catalogue KEV, en traitant ces vulnérabilités comme des priorités opérationnelles et non comme de simples mises à jour ordinaires.

Comment de nouvelles vulnérabilités sont proposées pour le catalogue

La CISA accepte les candidatures via le KEV Nomination Form. Chaque signalement doit contenir :

• l’identifiant CVE ;
• des preuves d’exploitation ;
• des indications de mitigation claires.

Seules les vulnérabilités accompagnées de preuves suffisantes peuvent être évaluées en vue d’une éventuelle intégration au catalogue.