Flax Typhoon : CISA ajoute cinq failles de 2015 à 2023 au KEV, signe que les vieux correctifs manquants restent la porte d'entrée
> En bref : Le 8 octobre 2026, CISA a ajouté cinq failles au catalogue KEV après leur abus par Flax Typhoon, acteur lié à la Chine. Elles datent de 2015 à 2023 : ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts et ISC BIND. L'avis conjoint de l'Australie, du Canada, du Japon, de la Nouvelle-Zélande, de l'Espagne, du Royaume-Uni et des États-Unis cible les opérations facilitées par Integrity Technology Group. Date limite pour les agences fédérales américaines : 11 octobre.
Les cinq failles ajoutées
site cpfr et site cpto./.. dans un paramètre d'upload d'image, pouvant mener à de l'exécution de code.method:prefix quand la Dynamic Method Invocation est activée.Trois autres failles de la même campagne figuraient déjà au KEV : Shellshock (CVE-2014-6278), Ivanti Pulse Connect Secure (CVE-2019-11510) et GitLab (CVE-2021-22205). Au total, huit vulnérabilités servent à obtenir l'accès initial puis à extraire des données.
Comment l'acteur opère
Selon l'avis, l'activité combine des outils de scan pour exploiter les failles, du cross-site scripting et du password spraying sur des serveurs Microsoft Exchange, puis une persistance via des logiciels VPN et l'exfiltration d'e-mails et d'identifiants par des scripts. Chris Butera (CISA) rappelle que des acteurs affiliés au gouvernement chinois continuent de se positionner dans des réseaux d'infrastructures critiques, y compris des systèmes OT, pour perturber des fonctions critiques le moment venu.
Pourquoi c'est utile pour une PME
Ce qu'il faut vérifier maintenant
La leçon
Les campagnes d'espionnage récentes reposent moins sur des zero-days que sur des correctifs oubliés. La question utile n'est pas « sommes-nous exposés à la dernière CVE ? » mais « que tourne-t-il encore chez nous que plus personne ne maintient ? ».
Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
Palo Alto PAN-OS : CVE-2026-0322 exploitée, un patch sans contournement, et 3 jours pour les agences fédérales
CISA ajoute CVE-2026-0322 au KEV le 14 octobre : exécution de code sur l'interface de gestion de PAN-OS, exploitée dans des attaques limitées. Aucun contournement connu, correctifs par branche, date limite fédérale du 17 octobre.
FortiMail : une RCE pré-authentification sur le service POP3 (CVE-2026-44812) rejoint le CISA KEV
Débordement de tampon dans le service POP3 de FortiMail : exécution de code sans authentification, CVSS 8.8. CISA l'inscrit dans la KEV le 2 octobre (deadline 30 octobre). Corrigé dans 7.6.6 et 8.0.4 — 9 412 instances restent exposées selon Palo Alto Unit 42.
Citrix NetScaler : CVE-2026-88779, une troisième RCE pré-auth qui touche aussi les builds patchés 88771/88772 — KEV CISA
CISA inscrit CVE-2026-88779 dans la Known Exploited Vulnerabilities : RCE pré-authentification par race condition dans le session manager du Web Interface, CVSS 9.1, affectant aussi les versions corrigées de 88771/88772. PoC de watchTowr, 43 812 instances encore exposées, deadline CISA le 30 octobre.
Sources
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.
Red Team Agent Express
Savoir rapidement ce qu'un inconnu peut faire faire à votre agent. Rapport en 5 jours.
Red Team sur mesure
Plusieurs agents, des serveurs MCP ou des agents livrés par une agence : sur devis.
Le Shield
Le logiciel qui bloquera les actions non autorisées. En développement, accès anticipé pour les premiers clients.