La CISA a ajouté le 28 octobre 2026 des vulnérabilités du noyau Linux et de VMware ESX de Broadcom à son catalogue des vulnérabilités connues exploitées (KEV), en s'appuyant sur des preuves d'exploitation active. Les deux failles n'ont pas le même effet : celle de Linux peut permettre à un attaquant disposant d'un accès local d'obtenir les privilèges root, tandis que celle de VMware permet à une personne disposant déjà de privilèges administrateur d'effectuer certaines opérations sans que celles-ci apparaissent dans les journaux.
L'annonce de l'agence identifie ces failles comme la CVE-2026-46300, une vulnérabilité de Linux liée à une initialisation manquante du noyau, et la CVE-2026-41709, une faiblesse de journalisation insuffisante dans VMware ESX.
Prérequis et conséquences différents
La CVE-2026-46300, aussi appelée Fragnesia, touche le sous-système XFRM ESP-in-TCP du noyau Linux. Selon Security Affairs, qui cite une analyse technique de Wiz, un attaquant local sans privilèges peut modifier des contenus de fichiers en lecture seule dans le cache de pages du noyau (la mémoire qui conserve les données de fichiers mises en cache) et exploiter cette altération pour obtenir les privilèges root.
Le rapport attribue la découverte de la vulnérabilité à William Bowling, de l'équipe de sécurité V12. Il décrit l'exploitation comme déterministe, sans nécessiter de conditions de course ni d'attaques complexes fondées sur le timing. Le prérequis est un accès local : il s'agit d'une faille d'élévation de privilèges.
Pour la CVE-2026-41709, l'attaquant doit déjà disposer de privilèges administrateur. Security Affairs indique que la faiblesse de journalisation peut dissimuler certaines opérations, ce qui réduit les éléments disponibles pour les défenseurs qui enquêtent sur une activité suspecte. Elle ne fournit pas elle-même un accès administrateur.
Security Affairs cite également le rapport 2026 Legal Threat Landscape de CrowdStrike, selon lequel l'acteur lié à la Chine Warp Panda a exploité la faille VMware comme zero-day au début de 2026 afin de réduire la visibilité dans les journaux d'audit. Cette exploitation est antérieure à l'ajout au catalogue en octobre.
L'article mentionne des scores CVSS de 7,6 pour la faille VMware et de 2,7 pour la faille Linux. Ces scores de gravité sont distincts de la constatation de la CISA selon laquelle les deux vulnérabilités ont fait l'objet d'une exploitation active.
Correctifs et exigences fédérales
Security Affairs indique que Broadcom a publié en juillet des correctifs pour la CVE-2026-41709. Le site mentionne des délais de correction fixés au 11 novembre 2026 pour la faille VMware et au 31 octobre 2026 pour la faille Linux, pour les agences civiles du pouvoir exécutif fédéral américain (FCEB).
L'annonce de la CISA identifie la directive BOD 26-04 comme la directive de gestion des vulnérabilités applicable. Elle demande aux agences concernées de donner la priorité à la correction rapide des vulnérabilités KEV à haut risque affectant des actifs exposés publiquement, qui accordent un contrôle total après exploitation. Elle fixe aussi des attentes en matière de vérification de compromission des systèmes avant l'application des correctifs.
Ces exigences fédérales s'appliquent aux agences concernées. La CISA encourage par ailleurs toutes les organisations à prioriser les vulnérabilités KEV dans le cadre d'une gestion des vulnérabilités fondée sur les risques.
