KEV, octobre 2026 : 25 failles exploitées en 17 jours

Du 14 au 30 octobre 2026, la CISA a ajouté 25 vulnérabilités à son catalogue des vulnérabilités exploitées (KEV), selon notre décompte du fichier JSON du catalogue (version 2026.10.30) et des 11 alertes publiées pendant la période. Rien n'a été ajouté le 31. La liste couvre presque tout ce qu'une organisation exploite : pare-feu et VPN, outils de collaboration, serveurs Web, hyperviseur, un logiciel industriel et un serveur multimédia domestique.

Ce que disent les sources

Le catalogue KEV. Chaque entrée donne la date d'ajout, la date limite, le champ sur l'usage par des rançongiciels et un champ de triage forensique lié à la directive BOD 26-04. Nous les regroupons par ce que vous faites tourner :

Bordure et accès distant. Huit entrées sur 25. Nous avons déjà traité PAN-OS et Cisco Secure Email Gateway et Ivanti Connect Secure ; le catalogue précise que les deux failles Ivanti du 30 octobre peuvent s'enchaîner avec CVE-2026-104935, ajoutée le 13. Pour BeyondTrust, l'alerte AL26-025 du Centre canadien pour la cybersécurité confirme l'exploitation, vise les versions 26.2.3 et antérieures auto-hébergées et précise que les clients SaaS sont corrigés depuis le 9 octobre. Les avis AV26-1080 (Arista) et AV26-1102 (Cisco ASA et FTD) relaient l'exploitation signalée par les fournisseurs.

Collaboration et outils TI. Le catalogue décrit la faille Atlassian comme un accès non authentifié à des fichiers dans Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible et Fisheye en version Data Center. La faille Collabora touche le serveur CODE intégré lorsqu'il est utilisé dans Nextcloud. GitLab est corrigé en 19.2.8, 19.3.5 et 19.4.2 selon l'avis AV26-1028. Notre article sur AhsayCBS couvre la console de sauvegarde.

Serveurs et composants. La paire PHP a son propre article, PHP2Shell ; le catalogue ajoute que la faille du noyau Linux du 28 octobre peut s'enchaîner avec elle. L'alerte AL26-027 du Centre canadien cite parmi les technologies touchées Node.js, .NET, PowerShell, Envoy, Istio et des paquets Python, et que les versions 1.0.10, 1.1.1 et 1.2.1 corrigent la faille. Pour VMware ESX, le catalogue décrit une faille qui permet à un administrateur malveillant d'agir sans laisser de journal.

Industriel. Siemens décrit Software Center comme l'outil qui sert à télécharger, installer et activer ses logiciels. Son avis SSA-580366 signale une exploitation active et une correction en V4.0.9.8, appliquée automatiquement au prochain démarrage.

Logiciel grand public. Quatre failles de Plex Media Server, un serveur multimédia personnel. Nous y revenons dans un article dédié, sous l'angle du télétravail.

Pourquoi ça compte

Le catalogue d'octobre déborde du périmètre réseau. La bordure reste la cible principale, mais une liste de correctifs qui ne couvre que les pare-feu laisse passer le wiki, le dépôt de code, la suite bureautique en ligne, la bibliothèque de compression enfouie dans d'autres produits et le logiciel installé par un employé chez lui.

Le second constat porte sur la preuve. Pour 14 entrées sur 25, le catalogue demande un triage forensique : la question n'est plus seulement « sommes-nous à jour ? » mais « quelqu'un est-il entré avant ? ». Un ticket fermé au correctif ne répond pas à la seconde.

Enfin, les composants. Brotli, PHP et le noyau Linux ne figurent pas comme produits dans la plupart des inventaires. Sans nomenclature logicielle, impossible de dire en une heure quels systèmes les embarquent.

Ce que nous en pensons chez Sentrix

1. Classez l'inventaire par usage, pas par fournisseur. Bordure, collaboration, serveurs, industriel, appareils hors gestion : chaque catégorie a son propriétaire et son délai, et le module CTEM les tient à jour.
2. Déclenchez à l'inscription KEV. Le flux JSON est public ; comparez-le chaque jour à l'inventaire, puis ordonnez par exposition, comme l'explique notre article sur la priorisation avec le catalogue KEV.
3. Ajoutez la vérification de compromission au processus. Quand le catalogue demande un triage forensique, le ticket ne se ferme qu'avec la recherche documentée, pas seulement le correctif.
4. Exigez une nomenclature logicielle de vos fournisseurs pour répondre vite aux failles de composants comme Brotli, voir ce qu'il faut demander dans une SBOM.
5. Traitez les logiciels industriels et grand public comme des actifs. Un poste d'ingénierie ou un serveur domestique qui touche vos accès fait partie de votre surface.

Notre service vulnérabilités et correctifs met ce cycle en place et en produit la preuve pour l'audit.

La prochaine étape

Reprenez les 25 CVE du tableau et, pour chacune, notez : concernés ou non, date de correction, vérification de compromission faite ou non. Une ligne sans réponse indique un trou dans l'inventaire. Pour faire l'exercice avec nous, contactez-nous.