CISA ajoute deux failles activement exploitées à son catalogue à corriger impérativement

CISA a discrètement ajouté deux nouvelles entrées à son catalogue des vulnérabilités connues exploitées cette semaine. La première, CVE-2026-16232, est une faille d'authentification inappropriée dans Check Point SmartConsole. La seconde, CVE-2026-50522, est un bogue de désérialisation de données non fiables dans Microsoft SharePoint. Les deux portent des preuves d'exploitation active, selon l'agence.

Pour les agences fédérales, l'ajout déclenche la directive opérationnelle contraignante 26-04, qui exige une correction dans un délai défini en fonction du risque. Mais la véritable leçon pour la communauté des infrastructures critiques est la manière dont CISA classe ces alertes. L'agence maintient deux catégories d'avis qui couvrent la majorité de ses bulletins de vulnérabilité.

Avis ICS vs. Avis ICS médical

Un avis ICS (ICSA) couvre les vulnérabilités nouvelles dans les systèmes de contrôle industriels, les technologies opérationnelles et les appareils IoT. Chaque entrée répertorie les produits et versions concernés, les détails de la vulnérabilité et les atténuations fournies par le fournisseur. Un avis ICS médical (ICSMA) fait de même pour les dispositifs médicaux et les systèmes de support. Les deux types sont conçus pour donner aux propriétaires d'actifs une source unique faisant autorité pour les conseils de correction.

Les failles Check Point et SharePoint sortent du champ d'application de l'ICSA, aucun n'est un produit OT ou médical, mais elles sont toujours suivies dans le catalogue KEV, qui couvre tous les logiciels utilisés par l'entreprise fédérale. Cette distinction est importante : le catalogue KEV est plus large que le système d'avis, mais le cadre ICSA reste le principal canal pour le renseignement sur les menaces spécifiques aux OT.

Pourquoi le catalogue KEV continue de croître

CISA ajoute régulièrement des vulnérabilités qui répondent à ses critères : un ID CVE valide, des preuves d'exploitation dans le monde réel et des conseils d'atténuation clairs. L'agence encourage les organisations en dehors du gouvernement fédéral à adopter la même approche de gestion des vulnérabilités basée sur les risques. La BOD 26-04 formalise l'attente que les agences vérifient si les systèmes ont été compromis avant l'application d'un correctif.

Les deux nouvelles entrées portent le nombre total actif de KEV à plusieurs centaines. Chaque ajout reflète un vecteur d'attaque connu que des acteurs malveillants utilisent déjà. Pour les défenseurs, le message est brut : si votre organisation utilise ces produits, supposez une compromission jusqu'à preuve du contraire.