CISA ajoute deux vulnérabilités exploitées au catalogue KEV
L’Agence américaine de cybersécurité et d’infrastructure (CISA) a ajouté deux failles de sécurité à son catalogue des vulnérabilités activement exploitées (KEV Catalog) le 28 octobre 2026. Il s’agit de CVE-2026-41709, affectant Broadcom VMware ESX, et de CVE-2026-46300, touchant le noyau Linux. Ces ajouts ne sont pas de simples mises en garde ; ils confirment que des acteurs malveillants utilisent déjà ces faiblesses en production.
La vulnérabilité dans VMware ESX, qualifiée de manque de journalisation (insufficient logging), permet à un administrateur malveillant d’exécuter certaines opérations sans qu’elles soient enregistrées. CISA confirme que cette faille, CVE-2026-41709, est activement exploitée. D’ailleurs, The Hacker News rapporte que CrowdStrike avait révélé que des acteurs liés à la Chine, nommés Warp Panda, avaient déjà militarisé cette vulnérabilité contre des entités du secteur juridique américain. Broadcom avait d’ailleurs publié un avis de sécurité en juillet 2026 concernant cette faille, mais l’intégration au KEV Catalog marque le passage de la théorie à l’action menée par les attaquants.
Les enjeux techniques des failles ajoutées
Au-delà de l’incident ESX, l’ajout de CVE-2026-46300 soulève des préoccupations bien différentes, touchant au cœur du système d’exploitation Linux. Cette faille concerne un problème dans la gestion des fragments de paquets (skb) au niveau du noyau. En substance, le mécanisme de coalescence des fragments ne préserve pas un marqueur essentiel, ce qui peut conduire à ce que le protocole ESP déchiffre des fragments stockés dans le cache de pages de manière inopinée. Les données techniques indiquent que cette vulnérabilité peut être enchaînée avec CVE-2026-109618 et CVE-2026-109619 pour implanter des webshells PHP et exécuter des commandes avec les droits root.
Les exigences de CISA, renforcées par la Directive Opérationnelle Contraignante (BOD) 26-04, sont claires pour les agences fédérales américaines : elles doivent prioriser la correction de ces failles exposées publiquement. Pour CVE-2026-41709, l’échéance pour ces entités est fixée au 11 novembre 2026. Bien que la vulnérabilité ESX ait été signalée par des chercheurs, l’exploitation observée impose un changement radical dans la gestion des actifs.
Que faire maintenant
Pour les organisations qui ne sont pas sous la juridiction fédérale américaine, l’appel à l’action est tout de même pressant. CISA encourage toutes les entités à adopter une gestion des vulnérabilités basée sur le risque. Il ne suffit plus de suivre les cycles de patchs planifiés ; il faut évaluer activement l’exposition de chaque actif. En ce qui concerne VMware ESX, les utilisateurs doivent appliquer les correctifs fournis par Broadcom, tout en se conformant aux directives de CISA concernant la traçabilité post-exploitation. Pour le noyau Linux, la mise à jour des versions concernées est la voie principale, mais il faut surveiller attentivement les chaînes d’exploitation potentielles mentionnées.
La responsabilité incombe aux équipes opérationnelles de déterminer non seulement si elles possèdent ces systèmes, mais surtout si ces systèmes sont accessibles depuis l’extérieur. Surveiller les mises à jour des fournisseurs et se préparer à une réévaluation complète des surfaces d’attaque exposées semble être la seule réponse viable face à cette vague de vulnérabilités validées par l’usage réel.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-41709 | Broadcom VMware ESX | Faible (CVSS 2,7) | Oui (KEV, 28 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-46300 | Linux Kernel | Élevée (CVSS 7,8) | Oui (KEV, 28 octobre 2026) | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- CISA Adds Two Known Exploited Vulnerabilities to Catalog, CISA, 28 octobre 2026
- China-Linked Hackers Exploited VMware ESX Zero-Day to Reduce Audit Trail Visibility, The Hacker News, 29 octobre 2026
- Avis de sécurité (support.broadcom.com), support.broadcom.com, 30 juillet 2026
- GHSA-vpqj-56×2-gp9p : VMware ESX contains an insufficient logging vulnerability. A malicious administrator…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-41709, NVD (NIST)
- CVE-2026-41709 dans le catalogue KEV, CISA
- GHSA-47jg-vqrv-5f8v : In the Linux kernel, the following vulnerability has been resolved: net: skbuff: preserve…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-46300, NVD (NIST)
- CVE-2026-46300 dans le catalogue KEV, CISA