Catalogue KEV CISA : six vulnérabilités exploitées ajoutées en octobre 2025 - Quels risques pour votre organisation ?

Le 20 octobre 2025, la CISA a enrichi son catalogue Known Exploited Vulnerabilities (KEV) de six nouvelles entrées, dont quatre concernent le logiciel Plex Media Server. Selon le dernier rapport de l’ANSSI, 60 % des incidents de cybersécurité recensés en France exploitent des vulnérabilités connues mais non corrigées. Face à cette menace, la maîtrise du catalogue KEV de la CISA devient un levier essentiel pour prioriser efficacement les correctifs et réduire la surface d’attaque. Cet article décrypte les CVE ajoutées, explique le fonctionnement du catalogue et propose une démarche concrète pour les équipes de sécurité.

Six vulnérabilités exploitées récemment ajoutées au catalogue KEV

Voici le détail des six vulnérabilités intégrées dans le catalogue KEV le 20 octobre 2025 :

Détail des failles Plex Media Server

Les quatre vulnérabilités affectant Plex Media Server illustrent la diversité des vecteurs d’attaque possibles sur un même produit. Les failles SSRF (CVE-2026-96652 et CVE-2026-96655) permettent à un attaquant de faire effectuer des requêtes à partir du serveur vers des ressources internes, contournant ainsi les pare-feux. La CVE-2026-96654, quant à elle, exploite une mauvaise neutralisation d’URI, ouvrant la voie à des injections de contenu malveillant. Enfin, la CVE-2026-96656 offre un contrôle sur le système de fichiers, pouvant mener à une exécution de code. Ensemble, ces failles rendent un serveur Plex vulnérable à une compromission complète.

Failles EG Secure Solutions et Siemens

Au-delà de Plex, deux autres vulnérabilités méritent une attention particulière. CVE-2026-106931 affecte SiteGuard Server Edition d’EG Secure Solutions, un produit utilisé pour la gestion de la sécurité physique (contrôle d’accès, vidéosurveillance). Une injection de commandes OS permet à un attaquant non authentifié de prendre le contrôle du serveur. De son côté, CVE-2026-110936 concerne Siemens Software Center, un outil de gestion des licences dans les environnements industriels. Le défaut de contrôle du chemin de recherche permet un détournement de DLL, compromettant l’intégrité des processus.

CISA précise : « Ces types de vulnérabilités sont un vecteur d’attaque fréquent pour les cyberacteurs malveillants et posent des risques significatifs pour les entreprises fédérales. »

Comprendre le catalogue KEV et son importance stratégique

Le catalogue Known Exploited Vulnerabilities (KEV) est une liste officielle tenue par la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis. Elle recense les vulnérabilités pour lesquelles il existe des preuves d’exploitation active dans la nature. Contrairement à une simple base CVE, le KEV agit comme un filtre de priorité : seules les failles réellement utilisées par des attaquants y figurent. Cela en fait un outil précieux pour les équipes de sécurité qui doivent gérer des centaines de correctifs chaque mois.

Inclure le catalogue KEV dans son processus de gestion des vulnérabilités présente plusieurs avantages :

• Source fiable et actualisée : CISA met à jour le catalogue régulièrement, souvent plusieurs fois par semaine.
• Exploitation confirmée : chaque entrée est accompagnée d’une preuve d’exploitation (date, référence).
• Gratuit et accessible : le catalogue est disponible en téléchargement au format JSON ou CSV.
• Directive BOD 26-04 : pour le secteur fédéral américain, la correction des KEV sur les actifs exposés est obligatoire à court terme.

Le mécanisme du catalogue KEV

Le KEV est alimenté par la surveillance des menaces, les rapports des organismes de cybersécurité et les contributions externes via un formulaire de nomination. Pour qu’une vulnérabilité soit ajoutée, elle doit remplir trois critères : avoir un identifiant CVE, une preuve d’exploitation dans la nature, et des mesures de correction ou d’atténuation claires. Ce processus garantit un haut niveau de confiance dans les données publiées.

La directive BOD 26-04 : priorisation des correctifs

La directive BOD 26-04, intitulée Prioritisation des mises à jour de sécurité basée sur les risques, renforce l’importance du catalogue KEV. Elle impose aux agences fédérales civiles américaines de corriger les vulnérabilités KEV sur les actifs exposés publiquement dans des délais stricts (par exemple, 7 jours pour les vulnérabilités critiques). Bien que cette directive ne s’applique qu’aux États-Unis, son approche de priorisation basée sur l’exploitation réelle est adoptée par de nombreuses organisations privées dans le monde, y compris en France.

Pourquoi ces vulnérabilités doivent vous alerter, même en France

L’ajout de ces six vulnérabilités au catalogue KEV n’est pas anodin. Il signifie que des cybercriminels (ou des États) les utilisent activement pour compromettre des systèmes. Les éditeurs Plex, EG Secure Solutions et Siemens ont peut-être déjà publié des correctifs, mais le délai entre la publication et l’exploitation est souvent très court.

Selon le rapport Data Breach Investigations 2025 de Verizon, 34 % des brèches de sécurité impliquent l’exploitation d’une vulnérabilité connue. En France, l’ANSSI souligne que les correctifs ne sont appliqués que sur 50 % des actifs critiques dans le mois suivant leur publication. Une étude de Ponemon estime le coût moyen d’une brèche due à une vulnérabilité non corrigée à 4,5 millions d’euros en 2025.

Exemple concret : Prenons le cas d’une PME française utilisant Plex Media Server pour partager des fichiers multimédia entre ses bureaux. Le serveur est accessible depuis Internet pour les collaborateurs en déplacement. Un attaquant scanne les ports, identifie une version vulnérable et exploite la CVE-2026-96652 (SSRF). Grâce à cette faille, il interroge des adresses IP internes et découvre une base de données MySQL non patchée. En quelques heures, les données clients sont exfiltrées.

De même, un site industriel utilisant Siemens Software Center peut voir son environnement SCADA compromis via l’exploitation de CVE-2026-110936, permettant une escalade de privilèges et potentiellement une perturbation des opérations.

Comme le rappelle l’ANSSI dans son guide de gestion des vulnérabilités : « La priorisation doit reposer sur des critères objectifs tels que l’existence d’une exploitation active, le niveau de criticité et l’exposition réelle de l’actif. »

Adopter une gestion des vulnérabilités basée sur les risques

Face à l’ampleur des correctifs à déployer, une approche systématique est nécessaire. Le catalogue KEV peut servir de référence pour identifier les correctifs les plus urgents. Voici trois étapes pour mettre en place une gestion des vulnérabilités basée sur les risques, conforme aux recommandations de l’ANSSI et de l’ISO 27001.

Étape 1 : Cartographier son patrimoine numérique

Avant de pouvoir prioriser, il faut connaître précisément l’ensemble des actifs : serveurs, postes de travail, applications, équipements réseau, systèmes industriels. Un inventaire exhaustif, idéalement maintenu via un outil de CMDB (Configuration Management Database) ou un scanner d’actifs, est la base. Pour chaque actif, il est important de connaître la version du logiciel, l’exposition réseau (interne/externe), et le propriétaire métier.

Étape 2 : Prioriser les correctifs avec le KEV

Utilisez le catalogue KEV comme filtre prioritaire. Croisez votre inventaire avec la liste des CVE du KEV (disponible en JSON à l’adresse https://www.cisa.gov/known-exploited-vulnerabilities-catalog.json). Les actifs qui présentent une correspondance doivent être traités en premier. Complétez cette approche avec le score CVSS, mais gardez à l’esprit que le KEV indique une exploitation réelle, ce qui est souvent plus critique qu’un simple score élevé sans preuve d’attaque.

Voici un exemple de script pour interroger l’API KEV :

curl -s https://www.cisa.gov/known-exploited-vulnerabilities-catalog.json | \
  jq -r '.vulnerabilities[] | {cveID, vendorProject, product, vulnerabilityName, dateAdded}' | \
  head -10

Étape 3 : Automatiser et superviser

Mettez en place des processus automatisés de scan de vulnérabilités (exemple : Qualys, Tenable, OpenVAS) qui intègrent en entrée la liste KEV. Les correctifs identifiés doivent être déployés via un gestionnaire de correctifs (exemple : WSUS, Ansible) dans des fenêtres de maintenance définies. Assurez-vous également de superviser les nouveaux ajouts au KEV via une veille RSS ou des alertes Twitter (compte @CISAKev).

Pour une mise en œuvre structurée, suivez ce processus en quatre étapes :

1. Téléchargez le catalogue KEV en JSON automatiquement chaque jour.
2. Comparez avec votre inventaire d’actifs à l’aide d’un script ou d’un outil.
3. Générez une liste de correctifs prioritaires classés par urgence.
4. Déployez dans les délais recommandés (7 jours pour les vulnérabilités critiques exposées).

Conclusion : agir sans attendre

L’ajout de six vulnérabilités au catalogue KEV de la CISA en octobre 2025 rappelle une réalité incontournable : les attaquants exploitent rapidement les failles nouvellement découvertes, et les organisations qui tardent à corriger s’exposent à des conséquences graves. En adoptant une gestion des vulnérabilités basée sur les risques et en utilisant des ressources fiables comme le catalogue KEV, vous pouvez réduire significativement votre surface d’attaque.

Pour les entreprises françaises, il est recommandé de s’appuyer sur les guides de l’ANSSI et de suivre les évolutions du KEV. Ne laissez pas une vulnérabilité connue compromettre votre sécurité : intégrez dès maintenant le catalogue KEV dans votre processus de priorisation.