Ressources · 23
Prioriser les vulnérabilités et vérifier les correctifs
Relier exploitation connue, actifs exposés, effet métier et preuve de remédiation.
· 10 min
Ce que ce guide permet
- Relier les alertes aux actifs
- Classer l’urgence réelle
- Déployer sans perdre le service
- Vérifier et clôturer
Contrôle express
- Le produit et sa version sont-ils réellement présents ?
- L’actif est-il accessible et critique ?
- Une exploitation active est-elle documentée ?
- Quelle mesure protège avant le correctif ?
- Le contrôle confirme-t-il la disparition du problème sur l’actif ?
Méthode pas à pas
- 01
Consolider l’inventaire
Associer services, produits, versions, environnement, exposition et responsable. Une alerte de composant ne prouve pas à elle seule que l’instance vulnérable est déployée.
Livrable : liste datée des actifs concernés et incertitudes.
- 02
Qualifier la vulnérabilité
Rapprocher l’avis du fournisseur, l’identifiant CVE, les conditions d’exploitation et, le cas échéant, le catalogue CISA des vulnérabilités exploitées. Noter la date de vérification.
Livrable : fiche de qualification avec liens primaires.
- 03
Décider de la priorité
Combiner exploitation connue, accessibilité de l’actif, privilèges requis, données traitées, effet sur le service et possibilité de remédiation. Fixer un propriétaire et une échéance adaptés au contexte.
Livrable : décision de priorité motivée.
- 04
Préparer la modification
Identifier dépendances, fenêtre de changement, sauvegarde et retour arrière. Si la mise à jour ne peut pas être appliquée immédiatement, documenter la mesure temporaire et sa durée.
Livrable : plan de déploiement et exception limitée.
- 05
Déployer et tester
Installer le correctif ou la mitigation suivant la procédure du fournisseur. Tester la version obtenue, le parcours métier et les intégrations qui pourraient régresser.
Livrable : trace de déploiement et résultat fonctionnel.
- 06
Confirmer la fermeture
Contrôler l’actif réel avec une méthode adaptée, traiter les instances oubliées et réexaminer les exceptions. Ne pas fermer un ticket sur la seule intention de mise à jour.
Livrable : preuve de validation et registre actualisé.
Indicateurs de pilotage
| Indicateur | Ce qu’il mesure | Première action |
|---|---|---|
| Couverture | Actifs critiques avec version et responsable connus | Compléter l’inventaire |
| Délai | Temps entre qualification et correction validée | Lever les blocages récurrents |
| Validation | Correctifs retestés sur l’actif réel | Rouvrir les fermetures sans preuve |
| Exceptions | Dérogations avec mesure, propriétaire et fin | Supprimer les exceptions périmées |
Erreurs fréquentes
- Classer uniquement selon un score générique sans vérifier l’actif
- Assimiler présence dans KEV à présence dans son propre parc
- Déployer sans tester le service rendu
- Laisser une mesure compensatoire sans date de révision
Questions fréquentes
Une CVE élevée doit-elle toujours passer en premier ?
Le score renseigne une gravité technique, mais l’exploitation connue, l’exposition et l’effet sur vos services orientent la décision locale.
Que faire si aucun correctif n’est disponible ?
Suivre les mesures du fournisseur, réduire l’exposition lorsque possible et consigner un responsable, une échéance de réexamen et le risque résiduel.
Quand clôturer ?
Après validation de la version ou mitigation sur les instances concernées et test du fonctionnement critique.
Références : données, usages et limites
Documentation consultée le .
| Source et objet | Donnée ou repère vérifié | Comment l’utiliser | Limite à conserver |
|---|---|---|---|
| FIRST · CVSS Décrire la gravité technique d’une vulnérabilité avec une méthode et un vecteur explicites. |
CVSS 4.0 produit des scores de 0,0 à 10,0. Les groupes Base, Threat, Environmental et Supplemental n’ont pas tous la même fonction. | Conservez la version, le vecteur et la date du score. Rapprochez le résultat de la version installée, des chemins d’accès et des conséquences métier avant d’ordonner les correctifs. | Un score élevé n’est pas une preuve d’exploitation ; un score faible ne signifie pas que le service ne présente aucun risque. |
| FIRST · EPSS Estimer la probabilité d’exploitation d’une CVE publiée. |
L’horizon du modèle est de 30 jours. Le score exprime une probabilité ; le percentile situe le score par rapport aux autres CVE. | Notez la date des données et distinguez probabilité et percentile. Complétez avec l’exposition de l’actif et les informations d’exploitation confirmée. | Le modèle ne prédit pas le préjudice pour votre organisation. Une probabilité basse n’annule pas une exposition critique. |
| CISA · Known Exploited Vulnerabilities Repérer les vulnérabilités recensées par CISA comme exploitées. |
Le catalogue relie notamment CVE, produit, date d’ajout et action requise. Son dépôt officiel propose aussi le schéma des données. | Vérifiez l’applicabilité à vos produits et conservez la date de consultation. Examinez la mesure demandée et le bulletin du fournisseur avant de conclure à la correction. | L’absence d’une CVE dans le catalogue n’établit pas son innocuité. Les échéances administratives du catalogue ne sont pas automatiquement une obligation pour toute organisation. |
CVSS, EPSS, KEV et VEX
Priorisation des vulnérabilités : quatre signaux à rapprocher de l’actif
Une file de vulnérabilités mélange souvent des informations qui répondent à des questions différentes. CVSS décrit la gravité technique, EPSS estime une probabilité d’exploitation observée, KEV recense une exploitation connue et VEX porte une déclaration d’applicabilité à un produit. La décision locale doit encore établir quelle version est déployée, comment elle est accessible et quelles conséquences aurait son exploitation.
Les repères ci-dessous sont documentaires. Les exemples EPSS, les situations et le produit VEX sont fictifs ; aucun score courant de CVE, inventaire réel ou résultat de scan n’est présenté. Cette fiche ne calcule ni CVSS, ni risque organisationnel, ni priorité automatique. Les propositions de preuves et de décision sont une méthode éditoriale locale.
Quatre panneaux indépendants : CVSS décrit la gravité ; EPSS estime l’exploitation observée à trente jours ; KEV renseigne l’exploitation connue ; VEX précise une applicabilité déclarée. Ils sont rapprochés du produit déployé et de son contexte, sans addition en un score unique.
Quatre questions, quatre types d’information
| Source | Question utile | Ce qu’elle ne permet pas de conclure seule |
|---|---|---|
| CVSS 4.0 | Quelle est la gravité technique selon les métriques retenues ? | Le score ne prouve pas une exploitation et ne remplace pas l’analyse des conséquences pour votre service. |
| EPSS | Quelle est la probabilité estimée d’observer une exploitation de cette CVE dans les trente prochains jours ? | La probabilité ne décrit pas la compromission de votre instance, ses protections ou son préjudice métier. |
| CISA KEV | Cette vulnérabilité figure-t-elle parmi celles recensées comme exploitées ? | L’inscription ne prouve pas que le produit existe dans votre parc ; l’absence ne prouve pas l’innocuité. |
| VEX | Que déclare un émetteur sur une vulnérabilité pour des produits identifiés à une date donnée ? | Une déclaration ne prouve pas à elle seule que la bonne version est déployée ni que l’émetteur est digne de confiance. |
CVSS 4.0 : conserver les groupes, le vecteur et l’auteur
Un nombre de 0 à 10 perd une partie de son sens si sa version, son vecteur et les groupes évalués disparaissent. FIRST distingue quatre nomenclatures de score : CVSS-B, CVSS-BT, CVSS-BE et CVSS-BTE. Les métriques Threat et Environmental non définies prennent des valeurs par défaut ; elles ne sont pas supprimées du calcul.
| Groupe | Rôle | Point de lecture |
|---|---|---|
| Base | Caractéristiques intrinsèques de la vulnérabilité. | Un CVSS-B publié par un fournisseur n’est pas votre décision de priorité. |
| Threat | Caractéristiques de menace pouvant évoluer dans le temps. | Dater l’évaluation et expliquer les informations d’exploitation utilisées. |
| Environmental | Caractéristiques propres à l’environnement du consommateur. | Expliciter les contrôles et l’importance des systèmes considérés plutôt que modifier silencieusement le score. |
| Supplemental | Contexte supplémentaire, par exemple Safety ou Recovery. | Ces métriques ne modifient pas le score CVSS final ; elles peuvent éclairer une analyse locale distincte. |
EPSS : lire la probabilité, le percentile et l’absence de donnée
FIRST décrit une probabilité de 0 à 1, actualisée quotidiennement, sur un horizon de trente jours. Le percentile est un rang relatif dans les vulnérabilités actuellement notées. Il ne faut ni additionner probabilité et percentile ni transformer leur couple en probabilité d’attaque de votre organisation.
| Exemple fictif | Valeurs fournies | Lecture correcte |
|---|---|---|
| Une probabilité | Probabilité : 0,05 · Percentile : Non renseigné | 0,05 correspond à 5 % de probabilité estimée d’exploitation observée dans l’horizon du modèle ; ce n’est pas un taux de compromission du parc. |
| Une probabilité et un rang | Probabilité : 0,02 · Percentile : 0,97 | Dans ce jeu fictif, 0,02 signifie 2 % et 0,97 situe le score au 97e percentile. Le rang ne transforme pas 2 % en 97 % de probabilité. |
| Aucune valeur reçue | Probabilité : Non renseigné · Percentile : Non renseigné | Une donnée manquante reste inconnue ; elle ne vaut ni zéro, ni une preuve d’absence d’exploitation. Noter l’échec ou la date de la dernière donnée disponible. |
Sept lectures utiles du schéma KEV
Le schéma du dépôt officiel CISA décrit le catalogue et ses entrées. La sélection suivante aide à conserver le contexte d’une consultation ; elle ne constitue pas un inventaire exhaustif de ses champs. Une entrée doit être rapprochée de l’avis fournisseur et de l’actif réel.
| Champs | Lecture | Contrôle proposé |
|---|---|---|
| catalogVersion / dateReleased | Version et date de publication du catalogue. | Garder une référence à l’édition consultée ; distinguer cette date de celle de votre analyse. |
| cveID / vendorProject / product | Identifiant et produit associés à l’entrée. | Rapprocher nom, version, distribution et éventuel composant embarqué avant de déclarer l’actif concerné. |
| dateAdded | Date d’ajout au catalogue. | Ne pas la présenter comme la date de première exploitation ou de publication de la CVE. |
| requiredAction | Action demandée pour traiter la vulnérabilité. | Lire la consigne complète et les références fournisseur, puis documenter son application locale. |
| dueDate | Date d’échéance de l’action demandée dans le catalogue. | Vérifier le contexte et la portée de la consigne CISA avant de la reprendre dans une échéance locale. |
| knownRansomwareCampaignUse | Known indique un usage confirmé dans une campagne de rançongiciel ; Unknown indique l’absence de confirmation par CISA. | Ne pas traduire Unknown par « jamais utilisé » ou par une valeur fausse certaine. |
| cwes | Codes de catégories de faiblesse associés à l’entrée. | Utiliser ces catégories pour regrouper des causes ; elles ne remplacent pas l’identifiant CVE ni la version affectée. |
Six situations fictives : quelle information manque avant de décider ?
Gravité élevée, produit non retrouvé
Un bulletin annonce une gravité élevée ; l’inventaire ne permet pas de retrouver la version dans le parc.
Confirmer présence et version auprès du propriétaire, y compris dans les dépendances embarquées.
Garder l’état « applicabilité à établir ». Une absence dans un inventaire incomplet ne justifie pas une clôture.
Exploitation connue, instance exposée
L’entrée figure dans un catalogue d’exploitation connue et le propriétaire confirme une version concernée accessible depuis Internet.
Examiner les actions fournisseur et organiser la réduction d’exposition et la remédiation adaptées au service.
Nommer le responsable, la mesure provisoire et la preuve de validation attendue ; un score de gravité seul n’ajoute pas cette traçabilité.
Probabilité basse, service essentiel
La probabilité EPSS fictive est basse, mais l’instance affectée traite un service essentiel.
Évaluer les conséquences et les chemins d’accès avant d’arbitrer une fenêtre de changement.
Ne pas utiliser le faible score comme une assurance ; les protections de cette instance ne sont pas des entrées contextuelles du modèle EPSS.
Déclaration VEX pour une autre version
Le fournisseur déclare la version 2.4.0 non affectée ; l’actif porte encore la version 2.3.0.
Rechercher une déclaration applicable à la version installée et vérifier sa provenance.
Ne pas étendre une conclusion d’une version à une autre. Le texte VEX ne déploie aucune mise à jour.
Mesure temporaire devenue permanente
Une règle temporaire réduit l’accès ; sa date de réexamen est dépassée.
Vérifier qu’elle protège toujours le chemin visé, puis décider de son maintien ou du correctif.
Conserver propriétaire, limites et nouvelle échéance. Une protection de périmètre n’est pas automatiquement une mitigation intégrée au produit au sens d’OpenVEX.
Correctif annoncé, déploiement à vérifier
Une version corrigée est disponible, mais le ticket ne contient qu’un lien de téléchargement.
Vérifier la version effectivement déployée, les instances restantes et les fonctions critiques.
Clôturer sur une preuve d’application et de contrôle, pas sur la disponibilité d’un correctif chez le fournisseur.
Huit éléments d’une décision de remédiation traçable
- Produit, version ou build, environnement et propriétaire de l’actif.
- Identifiant de vulnérabilité, avis fournisseur et conditions d’exploitation pertinentes.
- Version CVSS, vecteur, nomenclature des groupes et auteur de l’évaluation.
- Date EPSS, probabilité et percentile conservés dans des champs distincts, ou absence explicitée.
- État KEV daté, action demandée et référence de l’édition consultée.
- Déclaration VEX applicable : émetteur, produit, version, date et justification éventuelle.
- Décision locale motivée, mesure transitoire, responsable et date de réexamen.
- Preuve de déploiement ou de mitigation, résultat du contrôle et limites restantes.
Lire les statuts VEX et leurs conditions d’applicabilité →
Sources primaires et périmètre
- FIRST · CVSS 4.0 Specification · CVSS 4.0 · document 1.2 · reviewed 2026-10-22
Overview · Assessment · Nomenclature · Supplemental Metrics - FIRST · EPSS Frequently Asked Questions · Living FAQ · reviewed 2026-10-22
What is EPSS? · Reading the score · Percentile · Score changes - CISA · KEV official data schema · Official CISA mirror · reviewed 2026-10-22
Catalog properties · vulnerability properties · required fields - OpenVEX · Specification v0.2.0 · OpenVEX v0.2.0 · reviewed 2026-10-22
Statement Data Structure · Status Labels · Status Justifications · Data Inheritance
Sources vérifiées le
Signature et provenance du build
Vérifier l’origine du correctif puis son application
Une version corrigée doit être reliée au paquet reçu et à l’instance mise à jour. Vérifier sa provenance aide à établir l’origine attendue ; confirmer la remédiation exige encore de contrôler la version active et le comportement concerné.
- Conserver le digest du correctif accepté et les résultats de vérification de signature et de provenance.
- Rapprocher ce paquet de la version effectivement déployée sur chaque instance visée.
- Ne pas fermer le dossier sur l’authenticité seule : documenter contrôle de remédiation, régressions et limites restantes.
Lire la fiche de provenance avant déploiement →
Sources vérifiées le · SLSA 1.2 · Build: Verifying artifacts · SLSA 1.2 · Build: Provenance · SLSA 1.2 · Build: Track Basics · in-toto · Statement v1 · Sigstore · Verifying Signatures
Explorer le catalogue KEV de CISA
Le KEV est un catalogue CISA de vulnérabilités dont l’exploitation est connue. Cette édition consultable reprend un instantané complet et daté, pas un flux en direct. Une correspondance de nom ou de CVE constitue une piste à rapprocher du produit et de la version réellement déployés ; elle ne prouve pas qu’un système du visiteur est vulnérable ou compromis.
Les notices, noms de produits, descriptions, actions et liens conservent la langue et les valeurs de CISA. Les textes d’explication sont éditoriaux. Le catalogue peut être corrigé ou enrichi après cet instantané : consulter la source officielle avant une décision opérationnelle.
- Notices
- 1769
- Libellés fournisseur/projet distincts
- 291
- Date de publication du catalogue
Les compteurs décrivent uniquement cet instantané. Ils ne mesurent ni le nombre d’attaques, ni la prévalence des vulnérabilités, ni le risque d’une organisation. Les libellés vendorProject sont comptés tels que publiés, sans fusion d’alias et sans les assimiler à autant d’entreprises.
Unknown signifie que CISA ne confirme pas l’usage dans une campagne de rançongiciel ; cela ne signifie pas absence d’exploitation. Yes/No de forensicTriage est un indicateur distinct, décrit par le schéma avec un renvoi à BOD 26-04. Une valeur absente reste non renseignée. Ni No ni Unknown ne démontre l’absence de compromission de votre actif.
dueDate est l’échéance publiée dans la notice CISA pour l’action indiquée. Elle ne constitue pas un SLA universel, une date de publication du correctif ou une preuve que celui-ci a été installé. Le champ forensicTriage ne suffit pas, à lui seul, à déterminer vos obligations ou à définir un plan d’investigation.
Six lectures qui évitent une mauvaise priorité
| Champ publié | Lecture utile | Conclusion à éviter |
|---|---|---|
| cveID | Relier les sources qui parlent de la même vulnérabilité. | L’année de l’identifiant ne date pas l’entrée dans KEV. |
| vendorProject · product | Retrouver l’avis fournisseur et l’inventaire local. | Un nom de produit ne remplace pas les versions et configurations affectées. |
| dateAdded | Dater l’entrée de la notice dans ce catalogue. | Ne pas l’appeler date de découverte ou de première exploitation. |
| dueDate · requiredAction | Lire ensemble l’échéance et l’action publiées. | Ne pas transformer cette date en obligation universelle ni en preuve de correction. |
| knownRansomwareCampaignUse | Conserver Known, Unknown ou l’absence du champ. | Unknown ne signifie pas No et ne retire pas le constat d’exploitation connu qui motive KEV. |
| forensicTriage · cwes | Distinguer l’indicateur CISA et les classes de faiblesse publiées. | Une CWE n’est ni un produit précis, ni un score ; No n’est pas un certificat d’absence d’incident. |
Ajouts au catalogue par année
| Année d’entrée | Notices |
|---|---|
| 2021 | 311 |
| 2022 | 555 |
| 2023 | 187 |
| 2024 | 186 |
| 2025 | 245 |
| 2026 | 285 |
Résultats : 285 / 1769 · Page 6 / 12
| CVE | Fournisseur ou projet · product | Date d’entrée / Échéance de la notice | Usage dans des campagnes de rançongiciel / forensicTriage |
|---|---|---|---|
| CVE-2023-4346 CWE-645 | KNX Association KNX Protocol Connection Authorization Option 1 Notice et action publiées par CISAKNX Association KNX Protocol Connection Authorization Option 1 Overly Restrictive Account Lockout Mechanism VulnerabilityKNX Association KNX Protocol Connection Authorization Option 1 contains an overly restrictive account lockout mechanism vulnerability that could allow an attacker to purge all devices without additional security options enabled and set a BCU key to lock the device.
|
|
|
| CVE-2026-46817 CWE-269, CWE-287, CWE-306 | Oracle E-Business Suite Notice et action publiées par CISAOracle E-Business Suite Improper Privilege Management VulnerabilityOracle E-Business Suite contains an improper privilege management vulnerability that allows an unauthenticated attacker with network access via HTTP to compromise Oracle Payments. Successful attacks of this vulnerability can result in takeover of Oracle Payments.
|
|
|
| CVE-2026-15409 CWE-918 | SonicWall SMA1000 Appliances Notice et action publiées par CISASonicWall SMA1000 Appliances Server-Side Request Forgery VulnerabilitySonicWall SMA1000 Appliances contain a server-side request forgery vulnerability that could allow a remote unauthenticated attacker to potentially cause the appliance to make requests to unintended location.
|
|
|
| CVE-2026-15410 CWE-94 | SonicWall SMA1000 Appliances Notice et action publiées par CISASonicWall SMA1000 Appliances Code Injection VulnerabilitySonicWall SMA1000 Appliances contain a code injection vulnerability which in specific conditions could potentially enable a remote authenticated attacker as administrator to execute arbitrary OS commands.
|
|
|
| CVE-2026-56155 CWE-1220 | Microsoft Active Directory Federation Services Notice et action publiées par CISAMicrosoft Active Directory Federation Services Insufficient Granularity of Access Control VulnerabilityMicrosoft Active Directory Federation Services contains an insufficient granularity of access control vulnerability that allows an authorized attacker to elevate privileges locally.
|
|
|
| CVE-2026-56164 CWE-306 | Microsoft SharePoint Server Notice et action publiées par CISAMicrosoft SharePoint Server Missing Authentication for Critical Function VulnerabilityMicrosoft SharePoint contains a missing authentication for critical function vulnerability that allows an unauthorized attacker to elevate privileges over a network.
|
|
|
| CVE-2008-4128 CWE-352 | Cisco IOS Notice et action publiées par CISACisco IOS Cross-Site Request Forgery VulnerabilityCisco IOS 12.4 contains multiple cross-site forgery vulnerabilities that allows remote attackers to execute arbitrary commands via (1) a certain "show privilege" command to the /level/15/exec/- URI, and (2) a certain "alias exec" command to the /level/15/exec/-/configure/http URI.
|
|
|
| CVE-2026-48939 CWE-434 | iCagenda iCagenda Notice et action publiées par CISAiCagenda Unrestricted Upload of File with Dangerous Type VulnerabilityiCagenda contains an unrestricted upload of file with dangerous type vulnerability that allows the upload of arbitrary files in the file attachment feature, ultimately resulting in PHP code upload and execution.
|
|
|
| CVE-2026-56291 CWE-434 | Balbooa Forms Notice et action publiées par CISABalbooa Forms Unrestricted Upload of File with Dangerous Type VulnerabilityBalbooa Forms contains an unrestricted upload of file with dangerous type vulnerability that allows an unauthenticated arbitrary file upload which could allow uploading of executable files leading to full RCE.
|
|
|
| CVE-2026-48282 CWE-22 | Adobe ColdFusion Notice et action publiées par CISAAdobe ColdFusion Path Traversal VulnerabilityAdobe ColdFusion contains a path traversal vulnerability that could lead to arbitrary code execution in the context of the current user.
|
|
|
| CVE-2026-48908 CWE-434 | JoomShaper SP Page Builder Notice et action publiées par CISAJoomShaper SP Page Builder Unrestricted Upload of File with Dangerous Type VulnerabilityJoomShaper SP Page Builder contains an unrestricted upload of file with dangerous type vulnerability that allows unauthenticated users to upload arbitrary files, ultimately resulting in the upload and execution of PHP code.
|
|
|
| CVE-2026-55255 CWE-639 | Langflow Langflow Notice et action publiées par CISALangflow Authorization Bypass Through User-Controlled Key VulnerabilityLangflow contains an authorization bypass through user-controlled key vulnerability which allows an authenticated attacker to execute any flow belonging to another user by specifying the victim's flow ID in the request.
|
|
|
| CVE-2026-56290 CWE-284 | Joomlack Page Builder Notice et action publiées par CISAJoomlack Page Builder Improper Access Control VulnerabilityJoomlack Page Builder contains an improper access control vulnerability that could allow for remote code execution via unauthenticated arbitrary file upload.
|
|
|
| CVE-2026-45659 CWE-502 | Microsoft SharePoint Server Notice et action publiées par CISAMicrosoft SharePoint Server Deserialization of Untrusted Data VulnerabilityMicrosoft SharePoint Server contains a deserialization of untrusted data vulnerability which allows an authorized attacker to execute code over a network.
|
|
|
| CVE-2026-48558 CWE-347 | SimpleHelp SimpleHelp Notice et action publiées par CISASimpleHelp Authentication Bypass VulnerabilitySimpleHelp contains an authentication bypass vulnerability in the OIDC authentication flow. When OIDC authentication is configured, identity tokens submitted during login are accepted without verifying their cryptographic signature. In a vulnerable configuration, a remote, unauthenticated attacker can submit a forged token containing arbitrary identity claims to obtain a fully authenticated technician session. In some configurations, this may also allow bypass of multi-factor authentication.
|
|
|
| CVE-2026-12569 CWE-20, CWE-502 | PTC Windchill and FlexPLM Notice et action publiées par CISAPTC Windchill and FlexPLM Improper Input Validation VulnerabilityPTC Windchill and FlexPLM contains an improper input validation vulnerability allowing an unauthenticated, remote attacker to execute arbitrary code by sending a malicious request to the network.
|
|
|
| CVE-2026-20230 CWE-918 | Cisco Unified Communications Manager Notice et action publiées par CISACisco Unified Communications Manager Server-Side Request Forgery (SSRF) VulnerabilityCisco Unified Communications Manager (Unified CM) and Cisco Unified Communications Manager Session Management Edition (Unified CM SME) contain a server-side request forgery (SSRF) Vulnerability that could allow an unauthenticated, remote attacker to write files to the underlying operating system that could be used later to elevate to root.
|
|
|
| CVE-2025-67038 CWE-78, CWE-94 | Lantronix EDS5000 Notice et action publiées par CISALantronix EDS5000 Code Injection VulnerabilityLantronix EDS5000 contains a code injection vulnerability that could allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.
|
|
|
| CVE-2026-34908 CWE-284 | Ubiquiti UniFi OS Notice et action publiées par CISAUbiquiti UniFi OS Improper Access Control VulnerabilityUbiquiti UniFi OS contains an improper access control vulnerability which could allow a malicious actor with access to the network to make unauthorized changes to the system.
|
|
|
| CVE-2026-34909 CWE-22 | Ubiquiti UniFi OS Notice et action publiées par CISAUbiquiti UniFi OS Path Traversal VulnerabilityUbiquiti UniFi OS contains a path traversal vulnerability which could allow a malicious actor with access to the network to access files on the underlying system that could be manipulated to access an underlying account.
|
|
|
| CVE-2026-34910 CWE-20 | Ubiquiti UniFi OS Notice et action publiées par CISAUbiquiti UniFi OS Improper Input Validation VulnerabilityUbiquiti UniFi OS contains an improper input validation vulnerability which could allow a malicious actor with access to the network to conduct command injection.
|
|
|
| CVE-2026-20253 CWE-306 | Splunk Enterprise Notice et action publiées par CISASplunk Enterprise Missing Authentication for Critical Function VulnerabilitySplunk Enterprise contains a missing authentication for critical function vulnerability which could allow an unauthenticated user to create or truncate arbitrary files through a PostgreSQL sidecar service endpoint.
|
|
|
| CVE-2026-48907 CWE-284 | Widget Factory Joomla Content Editor Notice et action publiées par CISAWidget Factory Joomla Content Editor Improper Access Control VulnerabilityWidget Factory Joomla Content Editor contains an improper access control vulnerability which could allow for upload and execution of PHP code via the creation of new editor profiles for unauthenticated users.
|
|
|
| CVE-2026-20262 CWE-22 | Cisco Catalyst SD-WAN Manager Notice et action publiées par CISACisco Catalyst SD-WAN Manager Directory or Path Traversal VulnerabilityCisco Catalyst SD-WAN Manager contains a directory or path traversal vulnerability that could allow an authenticated, remote attacker to create a file or overwrite any file on the filesystem of an affected system.
|
|
|
| CVE-2026-54420 CWE-61 | LiteSpeed cPanel Plugin Notice et action publiées par CISALiteSpeed cPanel Plugin UNIX Symbolic Link (Symlink) Following VulnerabilityLiteSpeed cPanel plugin contains a UNIX symbolic link (Symlink) following vulnerability that could allow a user with FTP or web shell access on a shared hosting server running CloudLinux/CageFS.
|
|
|
Un ancien identifiant peut entrer récemment dans le catalogue
CVE-2015-5477, associée à ISC BIND dans cet instantané, porte une année 2015 et une dateAdded au 8 octobre 2026. Ces deux dates répondent à des questions différentes. La notice demande de suivre les instructions fournisseur ; elle ne prouve ni votre version de BIND, ni votre exposition, ni l’installation d’une correction.
Du signal public à une décision documentée
- Qualifier le rapprochement
Conserver CVE, source et date, puis identifier produit, version, composant embarqué et périmètre d’exposition. Une SBOM peut aider à trouver un composant sans prouver son état à l’exécution.
- Lire l’action à sa source
Ouvrir l’avis fournisseur et ses mises à jour. Séparer mise à jour, mitigation, arrêt d’un produit et recherche d’indices de compromission ; un correctif ne remplace pas ces autres décisions.
- Documenter le changement
Nommer un responsable, préparer le retour arrière et vérifier les dépendances. Une mitigation reste une mesure située, avec son périmètre et sa durée de validité.
- Vérifier l’état obtenu
Conserver une version observée, une configuration vérifiée et un test du service. Fermer une tâche demande une preuve portant sur l’actif réellement concerné, pas seulement un statut dans une console.
Publication de la source : · Consultation documentaire :
- CISA · KEV official snapshot · 2026.11.06
- CISA · KEV data schema · JSON Schema Draft 07 · pinned source
- CISA · Official mirror and reuse terms · Official repository · pinned source
- CISA · KEV licence · CC0 1.0 Universal
- FIRST · CVSS · CVSS 4.0
- FIRST · EPSS · Living documentation · reviewed 2026-10-22
Données CISA KEV réutilisées sous CC0 1.0. Cette réutilisation ne vaut ni affiliation ni approbation par CISA et n’autorise pas l’usage de son logo ou du sceau DHS.
Informations documentaires · CISA KEV
Comment nous publions cet instantané officiel
La copie est identifiée par la version du catalogue, sa dateReleased, le commit du miroir officiel et l’empreinte du fichier source. La publication CISA, la synchronisation GitHub et notre consultation sont trois événements distincts. Les regroupements sont recalculés sur les notices conservées ; aucune collecte de l’inventaire ou analyse de vulnérabilité du visiteur n’a lieu.
- catalogVersion
2026.11.06- dateReleased
- GitHub commit
e5b3a9b25050a8da26c96266c5bfe438ee0bdebc·- SHA-256
47e0406b2be5a40420eff66f3d90e83eb8883dae6ff4d08e1b2a942c366f6cc2
Les compteurs décrivent uniquement cet instantané. Ils ne mesurent ni le nombre d’attaques, ni la prévalence des vulnérabilités, ni le risque d’une organisation. Les libellés vendorProject sont comptés tels que publiés, sans fusion d’alias et sans les assimiler à autant d’entreprises.
Consulter le catalogue et sa méthode →
Publication de la source : · Consultation documentaire :
- CISA · KEV official snapshot · 2026.11.06
- CISA · KEV data schema · JSON Schema Draft 07 · pinned source
- CISA · Official mirror and reuse terms · Official repository · pinned source
- CISA · KEV licence · CC0 1.0 Universal
- FIRST · CVSS · CVSS 4.0
- FIRST · EPSS · Living documentation · reviewed 2026-10-22
Données CISA KEV réutilisées sous CC0 1.0. Cette réutilisation ne vaut ni affiliation ni approbation par CISA et n’autorise pas l’usage de son logo ou du sceau DHS.
Références officielles
Date de consultation des références : . La méthode et la fiche de travail proposent des contrôles à adapter à votre contexte ; elles ne constituent pas une certification.
- NIST SP 800-40 Rev. 4 — enterprise patch management
- CISA — Known Exploited Vulnerabilities Catalog
- FIRST · CVSS
- FIRST · EPSS
- CISA · Known Exploited Vulnerabilities
- SLSA 1.2 · Build: Verifying artifacts
- SLSA 1.2 · Build: Provenance
- SLSA 1.2 · Build: Track Basics
- in-toto · Statement v1
- Sigstore · Verifying Signatures
- CISA · KEV official snapshot
- CISA · KEV data schema
- CISA · Official mirror and reuse terms
- CISA · KEV licence
- FIRST · CVSS
- FIRST · EPSS Frequently Asked Questions
- CISA · KEV official data schema
- OpenVEX · Specification v0.2.0
Pour aller plus loin
Analyses associées
