La CISA a ajouté cinq vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV) le 8 octobre 2026, avec une échéance de remédiation fédérale fixée au 11 octobre 2026, soit aujourd'hui. Cette échéance s'applique aux agences de l'exécutif civil fédéral américain. Pour les autres, il s'agit d'un signal de priorisation, et non d'une obligation.
SecurityAffairs rapporte que la mise à jour coïncide avec un avis conjoint de l'Australie, du Canada, du Japon, de la Nouvelle-Zélande, de l'Espagne, du Royaume-Uni et des États-Unis. L'article relie ces inscriptions à une campagne liée à la Chine, attribuée à des acteurs associés à Integrity Technology Group, une entreprise chinoise de cybersécurité. Une couverture connexe de l'ajout dans KEV est également disponible.
Les cinq entrées et leurs versions affectées
Les détails de version ci-dessous proviennent des fiches NVD.
| CVE | Produit et périmètre | CVSS v3 (NVD) | Faiblesse |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD 1.3.5, module mod_copy |
10,0 | CWE-284 |
| CVE-2021-3199 | ONLYOFFICE Document Server avant 5.6.3, lorsque JWT est utilisé | 9,8 | CWE-22 |
| CVE-2016-3081 | Apache Struts, avec Dynamic Method Invocation activé | 8,1 | CWE-77 |
| CVE-2015-5477 | ISC BIND | 7,5 | CWE-19, CWE-617 |
| CVE-2023-22894 | Strapi | 4,9 | CWE-312 |
ProFTPD. Des attaquants distants peuvent lire et écrire des fichiers arbitraires via les commandes site cpfr et site cpto. Le vecteur CVSS est CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, donc aucune authentification ni aucune interaction de l'utilisateur n'est requise.
ONLYOFFICE Document Server. Une séquence /.. dans un paramètre d'envoi d'image du point de terminaison /upload permet un parcours de répertoires et l'exécution de code à distance lorsque JWT est utilisé. La seule référence côté éditeur de la fiche CVE est une entrée du changelog d'ONLYOFFICE. Elle répertorie aussi deux dépôts tiers hébergeant des scripts de preuve de concept.
Apache Struts. La description NVD mentionne trois plages : de 2.3.19 à 2.3.20.2, de 2.3.21 à 2.3.24.1 et de 2.3.25 à 2.3.28. Toutes exigent que Dynamic Method Invocation soit activé. L'exploitation utilise le préfixe method: avec des expressions enchaînées pour atteindre l'exécution de code. La complexité d'attaque est notée élevée (AC:H).
ISC BIND. Une requête TKEY forgée déclenche un échec d'assertion REQUIRE et le démon s'arrête, ce qui constitue un déni de service. La description NVD couvre les versions 9.x antérieures à 9.9.7-P2 et 9.10.x antérieures à 9.10.2-P3. Les données de configuration NVD listent en revanche les versions jusqu'à 9.9.7 incluse, et les deux périmètres ne sont pas identiques.
Strapi. Un utilisateur authentifié du panneau d'administration peut filtrer les utilisateurs selon des colonnes sensibles et déduire des valeurs à partir des réponses de l'API. Avec un accès super administrateur, la NVD indique que les hachages de mot de passe et les jetons de réinitialisation de tous les utilisateurs peuvent être découverts. La description indique « jusqu'à 4.5.5 », alors que les données CPE utilisent < 4.8.0. SecurityAffairs indique un score CVSS de 7,2, mais la fiche NVD donne 4,9 et exige des privilèges élevés (PR:H).
Les plages ci-dessus sont des plages affectées, et non des versions correctives. Consultez l'avis de chaque éditeur pour connaître le build corrigé.
La gravité ne se confond pas avec l'exploitation
L'entrée Strapi l'illustre. Son score NVD est le plus bas des cinq, pourtant elle figure dans KEV aux côtés d'une faille notée 10,0. L'inscription dans KEV reflète des preuves d'exploitation, alors que le CVSS ne reflète que la gravité technique. La plupart de ces failles datent par ailleurs de plusieurs années.
Ce que dit l'article sur la campagne
Selon SecurityAffairs, la campagne a exploité huit vulnérabilités, dont ces cinq, pour obtenir un accès initial et voler des informations sensibles. L'article ne nomme pas les trois autres.
Selon l'article, le ministère américain de la Justice et le FBI auraient saisi deux outils qui, d'après ce dernier, auraient été exploités par l'entreprise chinoise :
- Microscan, qui aurait servi à scanner les réseaux à la recherche de systèmes vulnérables.
- FishHub, qui aurait servi à envoyer des courriels de spear-phishing porteurs de logiciels malveillants, à donner un accès à distance et à voler des fichiers.
Le même rapport indique que les opérateurs ont utilisé des outils de scan, du cross-site scripting et de la pulvérisation de mots de passe contre des serveurs Microsoft Exchange. Ils auraient eu recours à des logiciels VPN pour conserver leur accès, et utilisé des scripts pour extraire courriels et identifiants. Selon l'article, l'avis conjoint met en garde contre des outils associant scan à grande échelle et exploitation manuelle.
Ce que doivent faire les défenseurs
Le texte d'action de la CISA dans les fiches NVD demande aux opérateurs d'appliquer les mesures d'atténuation selon les instructions de chaque éditeur. Il renvoie aussi à la BOD 26-04 et à ses « Forensics Triage Requirements ». Pour les services cloud, il demande de suivre les directives applicables de la BOD 26-04 ou de cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. SecurityAffairs cite à la place la BOD 22-01 pour l'échéance fédérale.
Premières mesures concrètes :
- Inventorier les instances exposées de ProFTPD 1.3.5, ONLYOFFICE Document Server, Struts, BIND et Strapi.
- Sur Struts, vérifier si Dynamic Method Invocation est activé.
- Sur ONLYOFFICE, vérifier si JWT est utilisé.
- Examiner les journaux à la recherche des types d'activité décrits plus haut.
SecurityAffairs recommande aussi aux organisations privées d'examiner le catalogue et de corriger les failles listées dans leur propre infrastructure.
Une série, et non un événement isolé
Au cours des 90 derniers jours, KEV a intégré d'autres entrées concernant des éditeurs en partie communs : CVE-2015-5287 (26 août 2026), CVE-2026-21962 (24 août 2026), CVE-2026-34486 (4 août 2026) et CVE-2026-46817 (15 juillet 2026), liées à Oracle, Apache et Huawei.
