Une semaine de bulletins de vulnérabilités produit toujours le même effet : une liste trop longue, des scores tous élevés, et une équipe qui commence par le haut du tableau. C’est exactement la mauvaise méthode. Voici ce qui a été publié cette semaine, et la règle de tri que nous appliquons pour décider par quoi commencer.
Ce qui a été publié, sans commentaire
La CISA a ajouté sept vulnérabilités à son catalogue des failles exploitées connues — le KEV — après avoir constaté leur utilisation par des attaquants déployant des interpréteurs de commandes inversés et des mineurs de cryptomonnaie.
Deux entrées dominent le lot pour une entreprise française :
- CVE-2026-83548 — appliances SonicWall SMA 1000 : falsification de requête côté serveur exploitable avant authentification dans l’interface Work Place. Notée 9,5 par les bases de référence, 10,0 dans certaines publications.
- CVE-2026-59822 — Berri LiteLLM : défaut d’authentification sur l’endpoint MCP Streamable HTTP, notée 8,8.
Au 5 septembre 2026, le bilan quotidien recensait 96 vulnérabilités publiées dans la journée — 29 critiques, en baisse de 44 % par rapport à la veille, et 67 de gravité élevée — et surtout 10 vulnérabilités sous exploitation active confirmée, réparties sur SonicWall SMA 1000, PaperCut MF/NG, JFrog Artifactory, Kestra, LiteLLM et Starlette. Parmi elles, CVE-2026-81578 permet à un attaquant non authentifié de modifier la configuration d’un serveur d’impression PaperCut MF/NG.
Le même jour, la vague de failles WordPress critiques continuait — exécution de code à distance non authentifiée sur des extensions largement déployées — et deux produits IBM entraient dans la liste. Une semaine banale, autrement dit. Et c’est précisément le problème.
Notre avis d’expert #1 — le score ne dit pas par quoi commencer
Le réflexe universel devant une liste de vulnérabilités est de trier par score décroissant. C’est confortable, c’est défendable en réunion, et c’est l’erreur de tri la plus coûteuse que nous rencontrons en audit.
Un score mesure la gravité théorique d’une faille : ce qu’un attaquant obtient s’il l’exploite, dans les conditions les plus favorables. Il ne mesure ni votre exposition, ni la probabilité que quelqu’un s’y intéresse chez vous.
La question qui décide réellement de l’ordre tient en une phrase : depuis où cette chose est-elle atteignable, et par qui ? Trois réponses possibles, trois urgences très différentes :
- Atteignable depuis Internet, sans authentification. Le délai entre la publication et le balayage automatisé se compte en heures. C’est le seul cas qui justifie une intervention hors fenêtre de maintenance.
- Atteignable depuis le réseau interne. L’attaquant doit déjà être entré. Important, mais ce n’est pas la porte d’entrée.
- Atteignable uniquement avec un compte légitime. Réel, planifiable, et rarement urgent.
Appliquée à la semaine écoulée, cette règle donne un ordre qui ne correspond pas du tout à l’ordre des scores. Une appliance d’accès distant n’est protégée par aucun pare-feu périmétrique, pour la raison simple qu’elle est le périmètre. Une faille pré-authentifiée dessus vaut plus qu’un 9,8 sur un composant joignable uniquement depuis un réseau interne déjà authentifié.
Notre avis d’expert #2 — les trois à traiter en premier
1 — SonicWall SMA 1000 (CVE-2026-83548). Une falsification de requête côté serveur exploitable avant authentification sur une passerelle d’accès distant est le scénario le plus direct qui existe : l’équipement est publié, il parle au réseau interne, et l’attaquant n’a besoin d’aucun identifiant. Historiquement, ce sont ces appliances qui servent de point d’entrée aux campagnes de rançongiciel les plus coûteuses.
2 — PaperCut MF/NG (CVE-2026-81578). Un serveur d’impression paraît inoffensif, et c’est exactement ce qui le rend dangereux : il est rarement inventorié, souvent intégré à l’annuaire d’entreprise, et parfois publié sur Internet pour permettre l’impression depuis l’extérieur. Un attaquant non authentifié capable de modifier sa configuration dispose d’un pivot confortable vers le reste du domaine.
3 — LiteLLM (CVE-2026-59822). Celle-ci est la plus intéressante, et de loin. LiteLLM est une passerelle utilisée pour router les appels vers plusieurs modèles de langage ; le défaut concerne son endpoint MCP, c’est-à-dire l’interface par laquelle des agents connectent des outils. C’est l’une des premières briques d’infrastructure d’IA d’entreprise à entrer dans le catalogue des failles activement exploitées.
Le point à retenir n’est pas le produit mais la catégorie : la couche d’outillage IA installée ces dix-huit derniers mois est aujourd’hui une surface d’attaque de production comme une autre. Elle est souvent déployée par des équipes produit, hors du périmètre de gestion des correctifs, et rarement présente dans l’inventaire. Les équipes qui exploitent ce type de passerelle en production trouveront chez Plug-Tech le pendant opérationnel de ce sujet, et l’angle dépendances open source est documenté côté d-open.org.
Savez-vous ce qui répond sur vos adresses IP publiques ?
Nous cartographions votre surface exposée et la confrontons au catalogue des failles activement exploitées. Vous recevez une liste ordonnée par exposition réelle, pas par score.
Discutons-enNotre avis d’expert #3 — corriger ne suffit pas quand la faille était déjà exploitée
C’est la nuance que la plupart des organisations découvrent au mauvais moment. Une vulnérabilité inscrite au catalogue des failles exploitées connues n’est pas une faille théorique : c’est une faille dont l’usage a été observé.
Appliquer le correctif ferme la porte pour l’avenir. Cela ne dit rien de ce qui s’est passé entre la publication de la faille et l’application du correctif — une fenêtre qui, sur les appliances d’accès distant, se compte souvent en semaines.
Trois vérifications, dans cet ordre :
- Renouveler les secrets de l’équipement concerné. Comptes d’administration, clés d’API, certificats, jetons de session. Si un attaquant les a obtenus avant le correctif, ils fonctionnent toujours après.
- Relire les journaux sur la fenêtre d’exposition. Connexions réussies depuis des adresses inhabituelles, requêtes vers des ressources internes depuis l’appliance, créations de comptes.
- Chercher les traces des charges observées. Les campagnes rapportées cette semaine déploient des interpréteurs inversés et des mineurs : tâches planifiées inconnues, processus à forte consommation processeur, connexions sortantes persistantes vers des hôtes non identifiés.
Si vous ne conservez pas de journaux sur cette période, c’est en soi le résultat de l’exercice, et il vaut plus que le correctif : sans journalisation, chaque alerte future se terminera par la même phrase — « on ne peut pas savoir ».
Ce qu’il faut faire cette semaine, dans l’ordre
Quatre actions, aucune ne demande de budget.
- Lister ce qui répond sur vos adresses IP publiques. Une heure. Si l’exercice révèle des services que personne ne revendique, vous avez trouvé votre priorité réelle avant même de parler correctifs.
- Confronter cette liste au catalogue des failles activement exploitées. Pas à l’ensemble des vulnérabilités publiées : uniquement à celles dont l’exploitation est confirmée.
- Corriger dans l’ordre de l’exposition, pas dans l’ordre des scores.
- Sur tout équipement corrigé qui figurait au catalogue, renouveler les secrets et relire les journaux. C’est la seule étape que personne ne fait, et la seule qui distingue une correction d’une véritable réponse.
Pour délimiter ce qui relève de vos obligations réglementaires plutôt que de votre seule prudence, commencez par notre page audit de périmètre NIS2 : la question de la gestion des vulnérabilités et de la divulgation y est traitée comme une exigence, pas comme une bonne pratique.
Questions fréquentes
Qu’a exactement ajouté la CISA à son catalogue KEV début septembre 2026 ?
La CISA a ajouté sept vulnérabilités à son catalogue des failles exploitées connues, après avoir constaté leur utilisation par des attaquants qui déploient des interpréteurs de commandes inversés et des mineurs de cryptomonnaie. Deux d’entre elles concentrent l’essentiel du risque pour une entreprise française : CVE-2026-83548, une falsification de requête côté serveur exploitable avant authentification dans l’interface Work Place des appliances SonicWall SMA 1000, et CVE-2026-59822, un défaut d’authentification sur l’endpoint MCP Streamable HTTP de Berri LiteLLM, noté 8,8. Au 5 septembre, dix vulnérabilités au total faisaient l’objet d’une exploitation active confirmée, réparties sur SonicWall SMA 1000, PaperCut MF/NG, JFrog Artifactory, Kestra, LiteLLM et Starlette.
Pourquoi corriger d’abord les appliances d’accès distant plutôt que les scores les plus élevés ?
Parce que le score d’une vulnérabilité mesure sa gravité théorique, pas votre exposition réelle, et confondre les deux est l’erreur de tri la plus coûteuse que nous rencontrons. Une appliance d’accès distant est par construction publiée sur Internet, elle n’est protégée par aucun pare-feu périmétrique puisqu’elle est le périmètre, et elle constitue le point d’entrée le plus direct vers le réseau interne. Une faille notée 8,8 sur un tel équipement représente donc un risque nettement supérieur à une faille notée 9,8 sur un composant qui n’est joignable que depuis un réseau interne authentifié. La bonne question n’est pas « quel est le score », mais « depuis où cette chose est-elle atteignable, et par qui ».
Que faire si l’on ne sait pas si l’on est concerné par ces vulnérabilités ?
C’est la situation la plus fréquente et elle constitue en soi le résultat le plus important de l’exercice. Ne pas pouvoir répondre en moins d’une heure à la question « exploitons-nous une appliance SonicWall SMA, un serveur PaperCut ou une instance JFrog Artifactory » signifie que l’inventaire des actifs exposés n’existe pas ou n’est pas à jour, et aucun programme de correctifs ne fonctionne sans cet inventaire. La réponse d’urgence tient en deux actions : lister les adresses IP publiques de l’organisation et identifier ce qui répond dessus, puis interroger le service informatique et les prestataires sur les logiciels d’impression, d’artefacts et d’orchestration réellement déployés. Cet inventaire est ensuite réutilisable pour chaque alerte suivante.
Un correctif appliqué suffit-il quand une faille était déjà exploitée ?
Non, et c’est la nuance que la plupart des organisations découvrent trop tard. Appliquer un correctif ferme la porte pour l’avenir ; cela ne dit rien de ce qui a pu se produire avant. Sur une vulnérabilité listée comme activement exploitée, il faut supposer une tentative et vérifier trois éléments : les comptes et clés d’accès de l’équipement concerné, en les renouvelant systématiquement ; les journaux d’accès sur la période allant de la publication de la faille à l’application du correctif ; et la présence de tâches planifiées, de comptes ou de processus inhabituels, les campagnes observées début septembre déployant précisément des interpréteurs inversés et des mineurs de cryptomonnaie.
Trois failles à corriger. Encore faut-il savoir si elles vous concernent.
Nous produisons en 48 heures la cartographie de votre surface exposée, croisée avec les failles activement exploitées. Vous repartez avec une liste ordonnée et les vérifications post-correctif à mener.
Discutons-en