La CISA a ajouté 10 vulnérabilités à son catalogue des vulnérabilités connues exploitées entre le 26 octobre et le 1er novembre 2026. Parmi elles figurent deux failles PHP permettant l'exécution de code à distance, une vulnérabilité du décodeur Brotli et une faille du serveur GitLab notée CVSS 10,0. Les deux entrées PHP et l'entrée Brotli ont rejoint le KEV cinq jours après leur publication dans NVD. Pour les agences civiles fédérales américaines concernées, plusieurs échéances de correction sont déjà dépassées ; une échéance Ivanti Connect Secure tombe le 2 novembre.
Aucune des 10 entrées n'est marquée par la CISA comme connue pour être utilisée dans des campagnes de rançongiciels. Cette mention est distincte de leur inscription au KEV, qui recense les vulnérabilités pour lesquelles une exploitation est avérée. Le score CVSS mesure la gravité, et non la probabilité d'exploitation.
Les ajouts de la semaine ont dépassé la moyenne de 8,3 observée sur les 12 semaines précédentes. L'intervalle médian entre la publication dans NVD et l'ajout au KEV était de 15,5 jours, et trois entrées ont été ajoutées dans les sept jours. Ces intervalles ne permettent pas de déterminer à quel moment l'exploitation a commencé.
PHP, Brotli et GitLab : exécution de code et cibles de mise à jour concrètes
Les deux failles PHP ont été intégrées au KEV le 26 octobre, avec une échéance de correction fédérale fixée au 29 octobre. Toutes deux peuvent mener à l'exécution de code à distance, mais elles résultent de défaillances différentes dans le traitement des requêtes.
Pour CVE-2026-109618, l'utilisation de longjmp() par PHP pour quitter une requête après une erreur de mémoire insuffisante peut laisser la mémoire de la requête non initialisée. Le nettoyage qui suit peut alors lire cette mémoire ou l'utiliser pour déterminer le déroulement du programme. NVD attribue à cette faille un score CVSS de 9,8.
CVE-2026-109619 concerne un état global qui conserve des références vers une mémoire de requête déjà libérée. Des requêtes ultérieures peuvent rencontrer ces références obsolètes avant la fin de l'initialisation. Son score CVSS est de 8,1, avec une complexité d'attaque plus élevée que celle de la première faille PHP. Des informations connexes évoquent des attaques PHP2Shell impliquant un accès root.
La CVE-2026-111497 de Google Brotli touche le décodeur situé dans c/dec/decode.c. Selon la description de NVD, un flux compressé forgé peut corrompre l'état du décodeur voisin, exposer de la mémoire, interrompre le service ou potentiellement exécuter du code sans authentification. Cette entrée porte un score CVSS de 9,8 et une échéance fédérale fixée au 10 novembre.
La formulation relative aux versions de Brotli demande de la prudence. NVD décrit une plage affectée allant de 1.0.3 à 1.2.0 sur toutes les plateformes, tout en identifiant 1.0.10, 1.1.1 et 1.2.1 comme cibles de mise à jour. Les deux premières cibles se situent dans la plage indiquée. Ces informations ne doivent pas être considérées comme une liste cohérente et continue des versions vulnérables : il faut appliquer la version corrective correspondant à la branche de publication déployée. Des articles antérieurs traitent des correctifs du décodeur Brotli et des tentatives d'exploitation.
La CVE-2026-97229 de GitLab touche les éditions Community Edition et Enterprise Edition dans les plages de versions suivantes :
- 19.2 avant 19.2.8 : passer à 19.2.8.
- 19.3 avant 19.3.5 : passer à 19.3.5.
- 19.4 avant 19.4.2 : passer à 19.4.2.
Dans certaines conditions, une validation insuffisante d'une expression régulière dans la configuration CI/CD peut permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur. Son score CVSS de 10,0 décrit la gravité potentielle, tandis que la confirmation par la CISA d'une exploitation active établit l'urgence opérationnelle. L'échéance fédérale était fixée au 1er novembre.
Les 10 ajouts et leurs échéances fédérales
Les échéances ci-dessous s'appliquent aux agences civiles fédérales américaines concernées, au titre de la directive BOD 22-01. Pour les autres organisations, il s'agit d'indicateurs de priorisation et non d'échéances légales. Toutes les dates sont en 2026 ; les scores correspondent aux valeurs NVD CVSS v3 lorsqu'elles sont disponibles.
| Vulnérabilité | Produit et faiblesse | CVSS v3 | Ajout au KEV | Échéance fédérale |
|---|---|---|---|---|
| CVE-2026-109618 | PHP — corruption de mémoire | 9,8 | 26 oct. | 29 oct. |
| CVE-2026-109619 | PHP — état interne de requête obsolète | 8,1 | 26 oct. | 29 oct. |
| CVE-2026-111497 | Google Brotli — valeur de retour non vérifiée | 9,8 | 27 oct. | 10 nov. |
| CVE-2026-48356 | Adobe Commerce et Magento — téléversement de fichiers dangereux | 9,3 | 27 oct. | 10 nov. |
| CVE-2026-41709 | Broadcom VMware ESX — journalisation insuffisante | 2,7 | 28 oct. | 11 nov. |
| CVE-2026-46300 | Noyau Linux — initialisation de variable manquante | 7,8 | 28 oct. | 31 oct. |
| CVE-2026-76418 | Cisco Secure Firewall ASA et FTD — valeur de retour non vérifiée entraînant un déréférencement de pointeur NULL | 8,6 | 29 oct. | 1er nov. |
| CVE-2026-97229 | GitLab CE/EE — dépassement d'entier ou rebouclage | 10,0 | 29 oct. | 1er nov. |
| CVE-2026-111357 | Ivanti Connect Secure — absence d'authentification pour une fonction critique | 7,0 | 30 oct. | 2 nov. |
| CVE-2026-118527 | Ivanti Connect Secure — numéros ou identifiants prévisibles | — | 30 oct. | 13 nov. |
Le tiret indique que le catalogue ne répertorie aucun score NVD CVSS v3 pour cette entrée.
Disponibilité des VPN, exposition des plateformes de commerce et intégrité du noyau
La CVE-2026-76418 de Cisco concerne le service VPN SSL d'accès distant sur ASA et FTD. La condition déterminante est une authentification secondaire configurée sur un groupe de tunnels. Un attaquant distant non authentifié peut provoquer un redémarrage inattendu de l'appareil au moyen d'une requête de connexion forgée, ce qui entraîne un déni de service.
Ivanti Connect Secure représente deux ajouts assortis d'échéances différentes. La CVE-2026-111357, qui concerne l'absence d'authentification pour une fonction critique, doit être corrigée au plus tard le 2 novembre au titre de l'obligation fédérale. La CVE-2026-118527, qui concerne des numéros ou identifiants prévisibles, a une échéance fixée au 13 novembre. Des articles antérieurs évoquent l'ajout par la CISA de deux failles Ivanti utilisées dans des attaques visant l'accès root.
La CVE-2026-48356 d'Adobe Commerce et Magento permet le téléversement de fichiers dangereux et peut conduire à l'exécution de code dans le contexte de l'utilisateur courant, ce qui peut potentiellement accroître le contrôle sur un compte ou une session. L'exploitation nécessite une interaction de l'utilisateur : la victime doit visiter une URL malveillante ou interagir avec une page compromise. Elle porte un score CVSS de 9,3 et a été ajoutée au KEV 105 jours après sa publication dans NVD.
L'entrée VMware ESX montre pourquoi le seul score CVSS ne permet pas de déterminer la priorité de correction. La CVE-2026-41709 obtient un score de 2,7, mais la CISA la répertorie comme exploitée. NVD décrit un administrateur malveillant effectuant certaines opérations sans que celles-ci soient journalisées. La condition préalable est un accès administrateur ; la conséquence est une visibilité réduite sur l'activité.
La CVE-2026-46300 du noyau Linux concerne un marqueur de fragment partagé perdu lors de la fusion des tampons réseau. Lorsque skb_try_coalesce() transfère des fragments paginés sans préserver SKBFL_SHARED_FRAG, le traitement ESP ultérieur peut considérer à tort le tampon résultant comme sûr pour un déchiffrement sur place, y compris sur des fragments adossés au cache de pages. La correction conserve le marqueur lors du transfert des fragments. L'évaluation CVSS de 7,8 suppose un accès local et des privilèges faibles. Son échéance fédérale du 31 octobre est dépassée.
Priorités défensives de la semaine
Vérifiez l'exposition de tous les produits listés, y compris les bibliothèques et binaires Brotli. Traitez en priorité les entrées PHP et Brotli récemment divulguées, ainsi que le risque d'exécution de code non authentifiée sur GitLab, et examinez les VPN Cisco pour la condition d'authentification secondaire documentée. Aucune entrée de l'ensemble de cette semaine ne porte l'indicateur de la CISA concernant l'usage dans des rançongiciels.
Appliquez les versions correctives GitLab indiquées ainsi que la cible de mise à jour Brotli appropriée. La CISA demande aux organisations d'appliquer les mesures d'atténuation des éditeurs, d'évaluer l'exposition sur internet de chaque actif et de suivre les consignes applicables de la directive BOD 26-04 et de Forensics Triage Requirements. Son instruction d'arrêter l'utilisation du produit s'applique si les mesures d'atténuation ne sont pas disponibles. Les agences fédérales concernées doivent en outre traiter immédiatement les échéances dépassées et l'échéance Ivanti du 2 novembre.
