La CISA a ajouté au catalogue des vulnérabilités connues exploitées (Known Exploited Vulnerabilities, KEV) des failles touchant WordPress Core, des produits Apple et SonicWall SonicOS SSLVPN, du 2 au 8 novembre. WordPress expose une fenêtre de mise à jour permettant une exécution de code non authentifiée, tandis que la faille SonicWall peut contourner l'authentification SAML ainsi que l'authentification multifacteur imposée via SAML. L'entrée Apple concerne un contournement de Pointer Authentication, corrigé dans plusieurs gammes de produits.
Aucune des trois entrées n'est signalée par la CISA comme connue pour être utilisée dans des campagnes de ransomware. Leur inscription dans KEV atteste d'une exploitation, tandis que leurs scores CVSS décrivent la gravité, et non la probabilité d'une attaque.
Les trois ajouts de la semaine se comparent à une moyenne de 8,7 par semaine sur les 12 semaines précédentes. Deux sont entrées dans KEV moins de sept jours après leur publication dans NVD ; la vulnérabilité Apple figurait dans NVD depuis plus d'un an. L'intervalle médian était de trois jours. Ces intervalles mesurent le calendrier d'inscription au catalogue, et non le moment où l'exploitation a commencé.
WordPress Core : exécution de code lors des mises à jour complètes
CVE-2026-119977 touche les versions 4.7 à 7.1.3 de WordPress Core, selon la description NVD. Il s'agit d'une condition de concurrence de type time-of-check/time-of-use impliquant des chemins de staging prévisibles, accessibles via le web pendant les mises à jour complètes du cœur.
Un attaquant non authentifié peut exploiter cette fenêtre de mise à jour pour exécuter du code sur le serveur. L'exposition dépend donc du processus de mise à jour, et non simplement de la présence d'une installation affectée. NVD attribue un score CVSS v3 de 8,1.
La CISA a ajouté la vulnérabilité le 3 novembre, trois jours après sa publication dans NVD et quatre jours après son inscription dans VulnCheck KEV. L'échéance fédérale de correction était fixée au 6 novembre, date déjà dépassée à la date du 9 novembre.
SonicWall : des identifiants alternatifs peuvent contourner les contrôles SAML
CVE-2026-19868 concerne l'application de l'authentification dans le service SSLVPN de SonicOS. Un utilisateur disposant d'identifiants valides pour une autre méthode d'authentification peut contourner les contrôles d'authentification SAML. Une exploitation réussie peut aussi contourner l'authentification multifacteur imposée via SAML.
Ce prérequis d'identifiants a son importance : l'attaque décrite exige des identifiants valides pour une autre méthode d'authentification. Le score CVSS v3 de NVD est de 7,5.
La CISA a ajouté la faille le 6 novembre, au plus tard à la date de sa publication dans NVD. L'échéance fédérale de correction est fixée au 20 novembre.
Apple : contournement de Pointer Authentication avec correctifs publiés
CVE-2024-27834 pourrait permettre à un attaquant disposant déjà de capacités de lecture et d'écriture arbitraires de contourner Pointer Authentication. NVD lui attribue un score CVSS v3 de 5,5. Ce score plus bas ne remet pas en cause la preuve d'exploitation que représente son inscription dans KEV.
Selon la description NVD, des vérifications renforcées corrigent le problème dans les versions suivantes :
- Safari 17.5.
- iOS 16.7.8 et iPadOS 16.7.8.
- iOS 17.5 et iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
La CISA a ajouté la vulnérabilité le 4 novembre, 904 jours après sa publication dans NVD, et a fixé au 18 novembre l'échéance fédérale de correction.
Ce que les défenseurs doivent faire cette semaine
Vérifiez l'exposition aux trois familles de produits, en accordant une attention immédiate aux entrées récentes concernant WordPress et SonicWall. Pour les déploiements Apple, vérifiez la correction par rapport aux versions corrigées ci-dessus. Aucune des entrées de la semaine ne porte l'indicateur de la CISA sur l'usage connu dans des ransomwares.
Pour les trois vulnérabilités, la CISA demande aux organisations d'appliquer les mesures d'atténuation prescrites par l'éditeur conformément à la BOD 26-04 et à ses « Forensics Triage Requirements », d'évaluer l'exposition sur Internet de chaque actif et de suivre les consignes applicables de la BOD 26-04 pour les services cloud. La CISA demande de cesser d'utiliser le composant concerné si aucune mesure d'atténuation n'est disponible.
Les échéances KEV s'imposent aux agences civiles fédérales américaines concernées au titre de la BOD 22-01. Les autres organisations devraient les utiliser comme indicateurs de priorisation : l'échéance WordPress du 6 novembre est dépassée, suivie de celle d'Apple, le 18 novembre, puis de celle de SonicWall, le 20 novembre.
