Selon l’annonce de CISA KEV, la vulnérabilité CVE-2026-111793, qui touche le Webtop Media Transcoder d’Openwave Messaging Limited, est exploitée activement. Il s’agit d’une faille d’« incorrect resource transfer between spheres » qui permet à un utilisateur déjà authentifié de traiter et de convertir des types de documents non prévus, en contournant l’interface Webmail. Bien que le niveau de criticité CVSS 4.3 la classe en moyenne, son inscription au catalogue KEV modifie radicalement la donne pour les équipes de sécurité.

Cette faiblesse provient du fait que le Transcoder ne vérifie pas correctement les restrictions de types de fichiers définies par l’administrateur. En clair, il y a une mauvaise gestion des transferts entre différents domaines de confiance au sein du logiciel. CISA rappelle que les responsables des actifs doivent évaluer l’exposition de chaque composant à Internet et respecter les directives de correction. Si des correctifs ne sont pas disponibles, l’utilisation du produit doit être envisagée comme obsolète.

Ce qui est touché concrètement

Cette faille ne se trouve pas en naviguant sur un site tiers ; elle cible spécifiquement l’environnement d’un utilisateur déjà connecté. D’après la documentation technique, l’exploitation passe par le contournement de l’expérience Webmail pour déclencher le processus de conversion de documents non autorisés. Pour l’heure, CISA n’indique pas que ce vecteur soit utilisé par des rançongiciels, ce qui est un soulagement, mais cela ne signifie pas que le risque est nul.

L’inclusion de la CVE-2026-111793 dans le catalogue KEV de CISA, qui répertorie six vulnérabilités exploitées activement, signale sans ambiguïté que les acteurs malveillants ont trouvé une méthode pour en tirer parti. D’autres failles, comme celle de Microsoft Office Outlook (CVE-2026-111309), montrent un potentiel de code d’exécution à distance, mais la vulnérabilité Openwave nécessite une authentification préalable, ce qui change la nature de l’attaque.

Qui doit agir et comment

Pour les agences fédérales américaines, l’échéance pour appliquer les mesures d’atténuation est fixée au 24 novembre 2026. Cependant, CISA encourage toutes les organisations à adopter une gestion des risques proactive. Si vous utilisez ce composant, la première étape est de suivre les instructions du fournisseur pour appliquer les mesures de mitigation appropriées. Si ces correctifs sont impossibles à déployer, la décision de désaffecter le produit devient une nécessité opérationnelle.

Il ne suffit pas de lire l’alerte ; il faut cartographier où ce Transcoder est exposé et s’il est accessible depuis un réseau non sécurisé. L’approche risque-basée, promue par la directive BOD 26-04 de CISA, doit guider la priorisation de la correction.

Face à ces alertes, on se demande toujours si le signal KEV est synonyme de catastrophe immédiate ou juste un avertissement. Ici, le signal est clair : l’exploitation est prouvée. Les organisations doivent donc se concentrer sur le patch et, en attendant, segmenter le réseau pour isoler les instances vulnérables.

Que faire maintenant

La priorité absolue reste l’application des correctifs fournis par Openwave. Si l’organisation ne peut pas patcher rapidement, il faut évaluer la possibilité de désactiver l’accès Internet au composant ou d’en isoler l’usage aux seuls utilisateurs dont le rôle ne nécessite pas de traitement de documents externes. Il faut surveiller attentivement si de nouvelles informations émergent concernant l’utilisation de cette faille par des groupes de rançongiciels, car cela ferait passer la gravité d’un niveau moyen à critique en une fraction de seconde.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• CISA Adds Six Known Exploited Vulnerabilities to Catalog, CISA, 10 novembre 2026
• CVE-2026-111309 Microsoft Office Outlook Remote Code Execution Vulnerability, Microsoft, 10 novembre 2026
• GHSA-5353-r4qc-2252 : Openwave Webtop Media Transcoder does not enforce administrator-defined file type…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-111793, NVD (NIST)