Le catalogue KEV de la CISA s'agrandit : deux failles, un schéma, et une directive qui exige plus que le simple correctif

La Cybersecurity and Infrastructure Security Agency américaine a élargi mercredi son catalogue Known Exploited Vulnerabilities avec deux entrées : une faille d'authentification incorrecte dans Check Point SmartConsole (CVE-2026-16232) et une vulnérabilité de désérialisation dans Microsoft SharePoint (CVE-2026-50522). Les deux sont activement exploitées, bien que ni la CISA ni aucun des deux éditeurs n'ait encore publié de détails techniques ou d'attribution pour les attaques.

Le bug de Check Point cible SmartConsole, l'interface de gestion unifiée des pare-feu et passerelles de sécurité. Une authentification incorrecte signifie qu'un attaquant non authentifié pourrait accéder au plan administratif d'un environnement Check Point, potentiellement en reconfigurant des règles, en exfiltrant des journaux ou en pivotant plus profondément dans le réseau. SmartConsole se trouve à une intersection privilégiée, donc une exploitation réussie ici n'est pas seulement une intrusion réseau, c'est un accès administratif remis à quelqu'un qui ne devrait pas l'avoir.

La vulnérabilité SharePoint est un problème de désérialisation de données non fiables, une classe de faille qui a historiquement affecté la plateforme. Ce n'est pas la première fois que la CISA signale un bug SharePoint cette année : en juin 2026, l'agence avait ajouté CVE-2026-45659, une vulnérabilité d'exécution de code à distance dans le même produit, à son catalogue KEV après une exploitation confirmée liée au groupe menaçant Storm-2603 et à un second acteur non identifié. La nouvelle CVE-2026-50522 suggère que les attaquants maintiennent leur intérêt pour SharePoint comme vecteur, ou que la série précédente de correctifs n'a pas fermé toutes les portes.

Les deux ajouts s'inscrivent dans le cadre de la directive opérationnelle contraignante 26-04, que la CISA a publiée plus tôt cette année pour remplacer les mandats de correction basés uniquement sur le temps des précédentes directives BOD. La directive BOD 26-04 exige des agences du pouvoir exécutif civil fédéral de traiter les vulnérabilités listées dans le KEV sur les actifs exposés publiquement comme une classe d'urgence, mais avec une particularité : la directive ordonne aux agences de prioriser la remédiation en fonction du risque, spécifiquement, les vulnérabilités qui accordent un contrôle total de l'actif après exploitation, tout en reportant les CVE à moindre risque. Plus important encore, elle ajoute un contrôle forensique avant le correctif : les agences doivent déterminer si des acteurs menaçants ont déjà compromis le système avant d'appliquer le correctif.

C'est un changement significatif. Les directives précédentes se concentraient sur la rapidité des correctifs (à quelle vitesse, mesurée en jours). La directive BOD 26-04 ajoute une obligation de détection (étiez-vous déjà compromis ?). Pour les organisations qui ont traité les alertes KEV comme un déclencheur de correctif plutôt que comme un déclencheur de réponse à incident, la nouvelle attente modifie le flux de travail opérationnel.

Ni CVE-2026-16232 ni CVE-2026-50522 ne disposent de code d'exploitation public disponible à ce jour, mais une exploitation active signifie qu'un outil de preuve de concept ou en circulation existe privément. Les agences fédérales disposent d'un délai de correction standard, généralement dans les 7 jours pour les entrées KEV critiques, pour corriger et effectuer le contrôle de compromission pré-correctif obligatoire. Pour les organisations non-FCEB, la CISA fait la même recommandation sans l'obligation légale : traiter les entrées KEV comme urgentes, réaliser une évaluation de compromission, corriger, et supposer que l'écart entre l'exploitation et la détection compte.

Le principal enseignement n'est pas seulement que deux CVE supplémentaires sont entrées dans le catalogue. C'est que le gouvernement fédéral distingue désormais formellement la gestion des vulnérabilités (suivi des CVE) de la gestion des brèches (confirmation de l'intégrité avant le correctif). Peu d'équipes du secteur privé disposent actuellement des outils ou des processus pour cette dernière. Pour les RSSI qui observent cet espace, la directive BOD 26-04 est un modèle, pas une réglementation qui s'applique uniquement au gouvernement. L'attente a tendance à se répercuter en aval.

Les organisations utilisant Check Point SmartConsole doivent immédiatement segmenter l'accès administratif, examiner les journaux pour toute activité non authentifiée, et appliquer tout correctif publié par Check Point. Les administrateurs SharePoint doivent traiter CVE-2026-50522 comme une répétition du schéma de juin et accélérer la correction. Dans les deux cas, la CISA demande quelque chose de plus difficile qu'un correctif : elle veut la preuve que le correctif est arrivé à temps.