Catalogue KEV de la CISA : six vulnérabilités exploitées ajoutées, quelles leçons pour la cybersécurité en France ?

Le catalogue Known Exploited Vulnerabilities (KEV) de la Cybersecurity and Infrastructure Security Agency (CISA) est devenu une référence mondiale pour identifier les failles activement exploitées. Le 20 octobre 2026, la CISA a ajouté six nouvelles vulnérabilités à ce catalogue, dont plusieurs concernent le serveur multimédia Plex et des équipements industriels Siemens. Pour les organisations françaises, ces ajouts soulignent l’urgence d’une gestion des vulnérabilités basée sur les risques. Ce décryptage vous aide à comprendre ces menaces et à adapter votre stratégie.

Qu’est-ce que le catalogue KEV de la CISA ?

Créé en 2021, le catalogue Known Exploited Vulnerabilities (KEV) recense les vulnérabilités pour lesquelles il existe des preuves d’exploitation active. La CISA y inscrit des failles qui répondent à des critères précis : un identifiant CVE, une preuve d’exploitation et des recommandations de correction claires. En 2025, le catalogue comptait plus de 1 200 entrées, selon les données publiées par la CISA.

Ces types de vulnérabilités sont un vecteur d’attaque fréquent pour les acteurs malveillants et représentent des risques importants pour les organisations. - CISA

Un outil de priorisation essentiel

L’objectif du KEV n’est pas d’être exhaustif, mais de guider les équipes sécurité vers les correctifs les plus critiques. La directive BOD 26-04 (Binding Operational Directive) impose aux agences fédérales américaines de traiter en priorité les failles du KEV sur les actifs exposés publiquement. Bien que cette directive ne s’applique qu’aux agences fédérales civiles (FCEB), la CISA recommande à toutes les organisations d’adopter la même approche.

Les six vulnérabilités ajoutées en détail

Les nouvelles entrées couvrent des produits très utilisés, de l’électronique grand public aux solutions industrielles. Le tableau ci-dessous les récapitule :

Focus sur les failles Plex Media Server

Quatre des six vulnérabilités concernent Plex Media Server, un logiciel de streaming très répandu dans les foyers et certaines PME. Les failles de type Server-Side Request Forgery (SSRF) (CVE-2026-96652, CVE-2026-96655) permettent à un attaquant d’usurper le serveur pour envoyer des requêtes vers des systèmes internes. La CVE-2026-96654 exploite un défaut dans le sanitizing des URI, ouvrant la voie à des attaques d’injection. Enfin, la CVE-2026-96656 offre un contrôle du chemin de fichier, pouvant mener à l’exécution de code malveillant.

Selon l’avis de la CISA, ces vulnérabilités sont activement exploitées dans le cadre de campagnes ciblées. Les organisations utilisant Plex doivent appliquer le correctif dès sa disponibilité.

Vulnérabilités industrielles et logicielles

La CVE-2026-106931 affecte SiteGuard Server Edition d’EG Secure Solutions, une passerelle de sécurité utilisée dans des environnements critiques. Une injection de commandes (OS command injection) permet à un attaquant authentifié d’exécuter des commandes système avec les privilèges du service. Ce type de faille est particulièrement dangereux dans les infrastructures industrielles.

La CVE-2026-110936 cible un Siemens Software Center, un composant présent dans plusieurs logiciels de supervision. Le problème de chemin de recherche non contrôlé (Uncontrolled Search Path Element) peut être exploité en déposant un fichier malveillant dans un dossier où le logiciel le cherchera par erreur.

Pourquoi ces failles sont-elles particulièrement préoccupantes ?

L’ajout au KEV signifie que des acteurs malveillants exploitent déjà ces vulnérabilités. D’après le Verizon Data Breach Investigations Report 2025, près de 60 % des brèches de données impliquent une vulnérabilité connue pour laquelle un correctif existait. Autrement dit, le danger ne vient pas uniquement des zero-day, mais surtout des failles non corrigées à temps.

Un effet domino potentiel en France

Les produits Plex sont très répandus dans le secteur résidentiel et les petites entreprises françaises. Une exploitation réussie de la SSRF peut permettre à un attaquant de contourner un pare-feu et d’accéder au réseau interne. Par exemple, un prestataire utilisant Plex pour partager des vidéos de formation pourrait voir ses données internes compromises. De même, les solutions Siemens sont largement déployées dans l’industrie française (automobile, énergie, transport). Une faille de chemin de recherche pourrait compromettre des systèmes de contrôle-commande.

Selon une analyse de l’ANSSI, 45 % des incidents rapportés en 2025 impliquaient des vulnérabilités présentes dans le KEV. L’agence française recommande une veille active et une application rapide des correctifs.

Directive BOD 26-04 : implications pour les organisations françaises

Bien que la directive BOD 26-04 ne concerne que les agences fédérales américaines, ses principes sont universels. Elle impose de prioriser la correction des failles du KEV sur les actifs exposés publiquement et de vérifier si des compromissions ont eu lieu avant l’application du correctif.

Une approche basée sur le risque

La directive introduit une classification des vulnérabilités en deux catégories :

• Haute priorité : failles listées au KEV sur des actifs exposés publiquement et permettant une prise de contrôle total de l’actif post-exploitation.
• Basse priorité : autres vulnérabilités, pour lesquelles le délai de correction peut être différé.

Cette approche est conforme aux bonnes pratiques du NIST et de l’ISO 27001. Les organisations françaises peuvent s’en inspirer pour construire leur propre processus de patch management.

La CISA encourage toutes les organisations à adopter une gestion des vulnérabilités basée sur les risques et à prioriser la correction des vulnérabilités du catalogue KEV. - CISA

Comment renforcer votre gestion des vulnérabilités face au KEV

Face à l’augmentation des ajouts au catalogue, il est impératif de structurer sa réponse. Voici les étapes clés pour les RSSI et DSI français.

1. Cartographiez vos actifs et logiciels

Avant de pouvoir corriger, il faut savoir ce que vous possédez. Inventoriez tous les logiciels et appareils utilisés, en particulier ceux qui sont exposés publiquement. Utilisez des outils de gestion des actifs et de découverte de vulnérabilités.

2. Abonnez-vous aux flux KEV

La CISA propose un flux RSS et des API pour suivre les nouvelles entrées. Intégrez ces alertes dans votre SIEM ou votre système de tickets. Les mises à jour quotidiennes permettent de réagir rapidement.

3. Priorisez les correctifs selon le risque réel

Ne traitez pas toutes les vulnérabilités de la même manière. Classez-les en fonction :

• De leur présence dans le KEV
• De l’exposition de l’actif (public/interne)
• De la criticité des données traitées
• De l’existence d’exploits publics

4. Appliquez les correctifs dans des délais stricts

Pour les failles de haute priorité, visez une correction sous 48 à 72 heures. Pour les autres, fixez un délai maximum de 30 jours. Documentez les exceptions et les mesures compensatoires.

5. Vérifiez l’absence de compromission

Après l’application du correctif, recherchez des signes d’exploitation antérieure. La BOD 26-04 impose cette vérification pour les agences américaines. En France, l’ANSSI recommande de réaliser un audit post-patch si la vulnérabilité est critique.

6. Automatisez le déploiement des correctifs

Utilisez des solutions de patch management centralisé. Pour les environnements industriels, une validation préalable est nécessaire pour éviter les interruptions de service. Testez les correctifs sur un échantillon avant déploiement large.

Conseil pratique : intégrez les flux KEV dans votre outil de vulnerability management et configurez des alertes automatiques pour les produits que vous utilisez.

Conclusion : une vigilance accrue s’impose

L’ajout de six vulnérabilités au catalogue KEV de la CISA en octobre 2026 confirme que les failles connues restent un vecteur d’attaque majeur. Les vulnérabilités exploitées ne tolèrent aucun délai : chaque jour sans correctif augmente le risque de compromission. Pour les organisations françaises, il est temps de dépasser la simple veille et d’adopter une gestion proactive basée sur les risques, en s’inspirant des directives de la CISA.

Nous vous recommandons de vérifier dès maintenant si vos systèmes utilisent Plex Media Server, SiteGuard Server Edition ou des produits Siemens. Si c’est le cas, appliquez les correctifs fournis par les éditeurs sans attendre. La cybersécurité française gagne en maturité en internalisant les bonnes pratiques venues des États-Unis, tout en s’adaptant au contexte national.

Rappel : la CISA invite toute personne connaissant une vulnérabilité exploité absente du catalogue à la soumettre via son formulaire de nomination. Une veille collaborative renforce la protection de tous.