CISA ajoute quatre nouvelles failles exploitées à son catalogue KEV, dont une zero-day de Google Chrome

Le 10 septembre 2026, l’agence américaine chargée de la cybersécurité, CISA, a mis à jour son catalogue des vulnérabilités connues comme exploitées (KEV), en y ajoutant quatre nouvelles failles critiques. Ce catalogue, établi dans le cadre de la directive opérationnelle BOD 22-01, oblige les agences du gouvernement fédéral à corriger ces vulnérabilités dans les délais impartis pour se protéger contre les attaques actives.

Les quatre failles ajoutées

Cette faille critique concerne l’interface web de Cisco Secure FMC. Elle permet à un attaquant non authentifié d’effectuer un contournement d’authentification et d’envoyer des requêtes HTTP malveillantes, pouvant mener à l’exécution de scripts et à une élévation de privilèges pouvant aller jusqu’à la prise complète du système. Cisco a récemment mis à jour son avis de sécurité pour indiquer qu’elle avait été informée d’activités d’exploitation active dès août 2026, sans toutefois détailler les incidents.

CVE-2026-87491 – Google Chromium V8 (CVSS : 8,8)

Il s’agit de la septième zero-day de Chrome exploitée en 2026. Cette vulnérabilité d’écriture hors limites dans le moteur JavaScript V8 peut être déclenchée via une page HTML malveillante, permettant l’exécution de code arbitraire dans la sandbox de Chrome. Google a corrigé le problème dans les versions 153.0.8010.36 et ultérieures, et a confirmé que des preuves d’exploitation existaient dans la nature.

CVE-2025-25249 – Fortinet FortiOS et FortiSwitchManager (CVSS : 8,1)

Cette faille de type débordement de tampon dans le tas affecte le démon cw_acd de Fortinet. Elle permet à un attaquant non authentifié d’exécuter des commandes arbitraires via des paquets spécialement conçus. Selon les rapports de SOCRadar, cette vulnérabilité est utilisée dans une campagne active visant plus de 3 000 adresses IP, ayant infecté 178 appareils FortiGate avec le trojan PivotC2. Ce dernier établit une connexion TLS persistante vers un serveur de commande et contrôle, offrant des fonctionnalités comme les shells interactifs, le tunneling SOCKS5/HTTP, le scan réseau et le vol de configurations spécifiques aux appareils FortiGate.

CVE-2026-19490 – Citrix NetScaler ADC/Gateway (CVSS : 9,3)

Cette faille de contournement d’authentification affecte les produits Citrix NetScaler ADC et NetScaler Gateway. Elle exploite une vulnérabilité dans le liage HTTP-Redirect du protocole SAML, permettant à un attaquant non authentifié d’accéder non autorisé aux services protégés. Les premières preuves d’exploitation remontent à septembre 2026, avec un pic d’activité observé le 8 septembre, où 36 tentatives ont été enregistrées en une seule journée.

Réactions et recommandations

La CISA exige que les agences fédérales corrigent ces vulnérabilités d’ici le 12 septembre 2026, conformément à la BOD 22-01. Les experts recommandent également aux organisations privées d’appliquer ces correctifs en urgence, en particulier celles utilisant des équipements réseau exposés comme des routeurs Cisco ou des passerelles Fortinet.

SOCRadar conseille aux utilisateurs de produits Fortinet de restreindre l’accès internet, de rechercher des indicateurs de compromission, de faire tourner les identifiants et d’appliquer les derniers correctifs. Le rapport de Sygnia sur le groupe d’espionnage « Fire Ant », lié à la Chine, souligne l’importance croissante des attaques ciblant les routeurs, qui deviennent des plateformes d’observation stratégiques une fois compromises.

Implications

Ces ajouts au catalogue KEV reflètent une tendance inquiétante : les acteurs malveillants ciblent de plus en plus les dispositifs périmetraux exposés, souvent sous-équipés en termes de surveillance et de journalisation. Les failles critiques dans des produits aussi répandus que ceux de Cisco, Google, Fortinet et Citrix représentent des risques systémiques pour la sécurité nationale et les infrastructures critiques.

Les agences fédérales et les grandes entreprises doivent accélérer leurs processus de mise à jour pour faire face à une menace qui ne cesse de s’intensifier, comme le montrent les campagnes récentes utilisant des frameworks post-exploitation sophistiqués comme PivotC2.