L’Agence américaine de cybersécurité et d’infrastructure (CISA) a ajouté la CVE-2026-123218 à son catalogue des vulnérabilités connues pour être exploitées activement. Cette faille touche les systèmes IBM Aspera Faspex. Selon les données techniques, elle permet à un utilisateur déjà authentifié de créer un message spécifique pour contourner les mécanismes d’autorisation, ce qui entraîne une escalade de privilèges complète. Le score CVSS de cette vulnérabilité est critique, atteignant 9,8.

L’inscription au KEV Catalog signale une menace concrète et immédiate. Bien que CISA n’ait pas indiqué que des rançongiciels utilisaient cette faille, le fait qu’elle soit activement exploitée est un signal d’alarme majeur. Les versions affectées, allant de 5.0.0 à 5.0.19, permettent à un attaquant connecté de se propulser en administrateur, un scénario particulièrement redouté en sécurité des systèmes d’information.

Ce qui est touché et la gravité réelle

Cette vulnérabilité se distingue d’autres alertes récentes. Par exemple, CISA a récemment mis en lumière CVE-2026-19868, une faille de SonicWall SonicOS. Celle-ci permet potentiellement de contourner l’authentification multifacteur (MFA) via des méthodes d’authentification alternatives, un vecteur d’attaque fréquemment utilisé par les acteurs malveillants, comme l’indique The Hacker News.

Pour l’Aspera Faspex, la gravité réside dans le fait que l’attaquant doit déjà être authentifié. Il s’agit d’une vulnérabilité d’autorisation, pas d’une porte ouverte au hasard. Néanmoins, une fois à l’intérieur, la capacité d’escalader les droits à niveau administratif est dévastatrice pour la posture de sécurité de l’entreprise. Les responsables des actifs doivent évaluer précisément l’exposition de chaque instance à Internet, ce qui va au-delà d’un simple scan de port.

Qui doit agir et comment

Les directives de CISA sont claires et exigent une réaction rapide. Pour les agences fédérales américaines, une échéance serrée est fixée au 12 novembre 2026 pour appliquer les mesures d’atténuation fournies par le fournisseur. Pour les autres organisations, l’appel est moins contraignant en termes de date ferme, mais l’adoption d’une gestion des risques basée sur l’exploitation active, comme préconisé par CISA, est fortement encouragée. Il faut suivre scrupuleusement les instructions du vendeur pour appliquer les correctifs.

Si les mesures d’atténuation ne sont pas disponibles, les organisations sont incitées à envisager la désactivation pure et simple du produit, conformément aux recommandations du BOD 26-04 concernant les services cloud.

Que faire maintenant

Si vous utilisez des systèmes IBM Aspera Faspex dans les versions concernées, la priorité absolue est de vérifier l’application des correctifs fournis par IBM. En attendant, l’isolement du service, si cela est techniquement possible sans impacter l’activité critique, pourrait servir de mesure palliative. Il est aussi nécessaire de surveiller attentivement les rapports de menaces, car l’inscription au KEV Catalog signifie que des acteurs de la menace ont déjà trouvé un moyen d’exploiter cette brèche dans la nature.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• CISA Adds One Known Exploited Vulnerability to Catalog, CISA, 6 novembre 2026
• CISA Flags SonicWall SonicOS MFA Bypass Flaw Amid Reports of Possible Exploitation, The Hacker News, 9 novembre 2026
• GHSA-29m7-hw74-2gwc : IBM Aspera Faspex 5.0.0 through 5.0.19 could allow an authorized user to craft a specific…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-123218, NVD (NIST)