Vulnérabilités et Alertes

Quatre vulnérabilités exploitées ajoutées au catalogue KEV le même jour

Citrix, Cisco, Fortinet et Chromium le 9 septembre 2026. Deux contournements d’authentification sur des équipements de périmètre, une faille de janvier avec une échéance à trois jours, et un second zero-day de navigateur en moins d’une semaine.

by marcfred • 9 septembre 2026

La CISA a publié le 9 septembre 2026 une alerte ajoutant quatre vulnérabilités à son catalogue des vulnérabilités exploitées connues, sur constat d’exploitation en conditions réelles. Trois visent des équipements d’infrastructure, la quatrième le moteur JavaScript de tous les navigateurs fondés sur Chromium.

Le communiqué tient en quelques lignes et ne dit rien des campagnes observées. C’est la lecture croisée avec les avis des éditeurs qui rend la journée intelligible. Les quatre entrées sont CVE-2026-19490 sur Citrix NetScaler ADC et NetScaler Gateway, CVE-2026-20079 sur Cisco Secure Firewall Management Center, CVE-2025-25249 sur Fortinet FortiOS et FortiSwitchManager, et CVE-2026-87491 dans le moteur V8 de Chromium.

Trois de ces quatre failles disposent d’un correctif depuis plusieurs semaines ou plusieurs mois. L’inscription au catalogue ne signale donc pas une découverte, elle acte le passage d’un risque anticipé à une exploitation constatée. Deux d’entre elles, celles de Citrix et de Cisco, sont des contournements d’authentification sans authentification ni interaction sur des équipements qui se trouvent, par nature du service rendu, en frontal d’Internet. Ce sont elles qui commandent la priorisation.

La quatrième mérite une note à part, parce qu’elle arrive cinq jours après une autre faille V8 déjà inscrite au catalogue le 4 septembre, et le même jour qu’une publication de Proofpoint montrant précisément comment ce type de défaut est enchaîné avec un échappement de sandbox et une élévation de privilèges Windows pour compromettre un poste de bout en bout. Deux zero-days de navigateur en cinq jours ne se lisent pas indépendamment l’un de l’autre.

BOD 26-04, la directive qui a changé la lecture du catalogue

Depuis le 10 juin 2026, les ajouts au catalogue s’inscrivent dans le cadre de la directive opérationnelle contraignante BOD 26-04, qui a remplacé la logique uniforme héritée de BOD 22-01. La directive reprend les critères d’inscription au catalogue, mais elle impose aux agences fédérales civiles américaines de traiter d’abord les vulnérabilités à risque élevé qui portent sur des actifs exposés publiquement et qui donnent le contrôle total de l’actif après exploitation, en différant explicitement le traitement des autres.

Deux conséquences pratiques, valables bien au delà du périmètre fédéral américain. La première est que les échéances publiées ne sont plus alignées sur un délai fixe. Elles sont modulées selon le risque, et on voit désormais coexister dans une même semaine des échéances à trois jours et des échéances à deux semaines. La seconde est que la directive introduit une exigence de vérification préalable : avant de considérer l’affaire close, l’organisation doit contrôler si un acteur a compromis le système avant que le correctif ne soit appliqué. La CISA publie pour cela des attentes de triage forensique jointes à la directive.

Citrix NetScaler, CVE-2026-19490

Le bulletin CTX696939 du 19 août 2026 décrit un contournement d’authentification par chemin alternatif, classé CWE-288, noté 9,3 sur l’échelle CVSS version 4.0. Un attaquant distant et non authentifié franchit les contrôles d’authentification sans identifiant valide, sans interaction de l’utilisateur et sans privilège préalable. La faille a été signalée par un membre de l’équipe de tests d’intrusion de JPMorgan Chase.

L’exposition n’est pas universelle, et c’est la première chose à vérifier avant de courir. L’appliance est concernée lorsqu’elle est configurée en passerelle, ce qui couvre les rôles VPN SSL, ICA Proxy, VPN sans client et RDP Proxy, ou en serveur virtuel d’authentification AAA. Sur les branches 14.1-43.56 et ultérieures ainsi que 13.1-61.28 et ultérieures, l’exploitation suppose en outre qu’une action SAML soit configurée. Sur les builds antérieurs, la configuration en passerelle ou en serveur AAA suffit à elle seule.

Branche	Build corrigé
NetScaler ADC et NetScaler Gateway 14.1	14.1-73.32 et ultérieurs
NetScaler ADC et NetScaler Gateway 13.1	13.1-63.21 et ultérieurs
Branche FIPS 14.1	14.1-73.32-FIPS
Branches FIPS et NDcPP 13.1	13.1-37.277

Le contrôle de configuration se fait en une passe sur l’appliance, en cherchant les directives add authentication samlAction, add authentication vserver et add vpn vserver. Le périmètre se limite aux instances gérées par le client. Les services cloud gérés par l’éditeur et le service Adaptive Authentication sont corrigés côté éditeur et n’appellent aucune action. En revanche, les déploiements d’accès privé hybrides qui reposent sur une instance NetScaler gérée par le client sont bel et bien concernés, et c’est le cas qui échappe le plus souvent aux inventaires, parce que la présence d’un service managé au dessus fait croire que l’appliance en dessous est couverte.

Aucun contournement n’est disponible. L’éditeur signale une atténuation par signatures pour les appliances administrées depuis NetScaler Console, sur les firmwares supérieurs à 14.1-60.52 et 13.1-63.16. Elle ne remplace pas la mise à jour, elle achète du temps.

La chronologie de l’exploitation vaut d’être posée, parce qu’elle est représentative. Le 19 août, à la publication de l’avis, Rapid7 ne constatait aucune exploitation et SecurityWeek titrait sur une exploitation attendue. Le 3 septembre, une société de renseignement rapportait une dizaine de tentatives depuis six adresses distinctes situées en Australie, en Allemagne, au Japon et aux États-Unis. Le 9 septembre, l’inscription au catalogue tranche la question. Trois semaines se sont écoulées entre la publication du correctif et la confirmation officielle, ce qui correspond au délai historique constaté sur les appliances NetScaler depuis CitrixBleed.

Cisco Secure Firewall Management Center, CVE-2026-20079

Celle-ci est la plus sévère du lot, avec un score de 10,0 sur l’échelle CVSS version 3.1 et un périmètre modifié dans le vecteur. Publiée le 4 mars 2026 dans la publication groupée Secure Firewall, elle affecte l’interface web d’administration du Firewall Management Center. La cause est un processus système créé au démarrage de l’appliance : une session partielle est ouverte dans la base de sessions et subsiste tant qu’aucun utilisateur ne s’authentifie après le redémarrage. Cette session peut ensuite être élevée jusqu’à une session d’interface valide, puis servir à appeler une série de scripts CGI. L’analyse publiée par VulnCheck détaille l’enchaînement qui mène de ce reliquat de session à une exécution de code en tant que root.

Toutes les versions sur site sont concernées, indépendamment de la configuration. La version délivrée depuis le cloud ne l’est pas. Aucun contournement n’existe, et les versions correctives se déterminent par branche à l’aide de l’outil de vérification logicielle de l’éditeur.

La surface exposée est faible en volume et élevée en valeur. Les recensements publics faisaient état d’environ trois cents instances visibles sur Internet chez un moteur de recherche d’actifs, et de six à sept cents chez un autre. Une console d’administration de pare-feux n’a rien à faire en frontal, et c’est pourtant la première chose à vérifier avant même de planifier le correctif.

Fortinet, CVE-2025-25249

Un débordement de tampon dans le tas du démon cw_acd de FortiOS et de FortiSwitchManager, classé CWE-122, qui permet à un attaquant distant et non authentifié d’exécuter du code ou des commandes au moyen de requêtes forgées. L’avis FG-IR-25-084 date de janvier 2026 et note la faille 7,4 sur l’échelle CVSS version 3.1. L’éditeur précise que la présence des protections mémoire ASLR et PIE élève sensiblement la complexité et la préparation nécessaires à une exploitation, ce qui explique la note relativement basse pour une exécution de code non authentifiée.

Produit	Versions affectées
FortiOS 7.6	7.6.0 à 7.6.3
FortiOS 7.4	7.4.0 à 7.4.8
FortiOS 7.2	7.2.0 à 7.2.11
FortiOS 7.0	7.0.0 à 7.0.17
FortiOS 6.4	Toutes les versions
FortiSwitchManager	7.2.0 à 7.2.6 et 7.0.0 à 7.0.5

Le contournement documenté par l’éditeur consiste à retirer l’accès fabric des interfaces concernées, en remplaçant par exemple set allowaccess fabric ssh https par set allowaccess ssh https. C’est la réponse immédiate quand la fenêtre de mise à jour ne peut pas être ouverte tout de suite, et c’est aussi le critère de tri du parc : un équipement qui n’expose pas fabric sur une interface joignable ne présente pas la même urgence.

L’échéance publiée pour cette entrée est le 12 septembre 2026, trois jours après l’inscription. C’est le délai le plus court des quatre, sur la faille au score le plus bas et la plus ancienne du lot. On tient là une illustration directe de la logique de BOD 26-04 : le tri ne se fait pas sur la note de l’éditeur mais sur l’exposition de l’actif et sur ce que l’exploitation procure.

Chromium, CVE-2026-87491

Une écriture hors limites dans le moteur V8, qui permet à un attaquant distant d’exécuter du code à l’intérieur du sandbox du navigateur au moyen d’une page HTML forgée. Google confirme l’existence d’un code d’exploitation en conditions réelles sans publier de détail technique tant que le déploiement se poursuit. La faille a été signalée le 6 août 2026 par un chercheur du Compsec Lab de l’université nationale de Séoul, récompensé par une prime de 2 500 dollars.

Le correctif est arrivé dans Chrome 153.0.8010.36 et .37 pour Windows et macOS, et 153.0.8010.36 pour Linux, publiés le 8 septembre avec 230 correctifs de sécurité au total, dont cinq critiques dans WebGL et Cast. Chrome 153 est également la première version du nouveau cycle de publication de deux semaines, ce qui n’est pas anodin dans le contexte de la journée.

C’est le septième zero-day de navigateur corrigé en 2026 et le second en moins de cinq jours. Le précédent, CVE-2026-85046, est une confusion de type dans le même moteur, corrigée le 3 septembre dans Chrome 152.0.7977.82 et inscrite au catalogue dès le 4 septembre avec une échéance au 18 septembre. Deux failles distinctes, deux entrées distinctes au catalogue, deux versions cibles distinctes.

Le contrôle de couverture porte sur la version effectivement exécutée et non sur la version distribuée. Un correctif de navigateur n’est effectif qu’après redémarrage du processus, et un poste dont le navigateur reste ouvert plusieurs jours conserve la version vulnérable en mémoire pendant que l’inventaire logiciel affiche la version corrigée. Les autres navigateurs fondés sur Chromium reprennent le correctif dans leurs propres publications, à des dates qui leur sont propres, et Microsoft Edge n’est pas couvert par le fait d’avoir mis Chrome à jour.

Ce que ces quatre entrées ont en commun

La dette de correctifs, d’abord. Une faille de janvier 2026, une de mars, une d’août, et une seule qui date de la veille. Le facteur limitant n’est pas la disponibilité du correctif, il est le délai entre sa publication et son déploiement effectif sur des équipements de production en frontal.

La nature des actifs, ensuite. Trois des quatre entrées visent des équipements de sécurité : deux consoles ou passerelles d’accès et un système d’exploitation de pare-feu. Ce sont des actifs administrés par les équipes de sécurité elles mêmes, souvent hors du cycle de correctifs du parc bureautique, et dont l’indisponibilité pendant une fenêtre de mise à jour a un coût métier immédiat. C’est exactement pour cela qu’ils prennent du retard.

Enfin, l’absence d’indicateurs. Aucune des quatre entrées ne s’accompagne d’indicateurs de compromission publiés par l’agence ou par les éditeurs, et l’alerte n’identifie ni acteur ni campagne. La détection ne repose donc pas sur une liste à charger dans un outil, mais sur des motifs de recherche à construire sur chaque produit.

Vérifier avant de patcher

Sur les deux contournements d’authentification, la question n’est pas seulement de fermer la porte mais d’établir ce qui s’est passé avant. Quelques motifs utilisables tout de suite.

• Sur NetScaler, chercher les authentifications qui aboutissent sans séquence de connexion cohérente, et les sessions ouvertes depuis des adresses inhabituelles. Après mise à jour, invalider les sessions actives et renouveler les secrets portés par l’appliance : une session obtenue avant le correctif reste exploitable après.
• Sur le Firewall Management Center, vérifier l’intégrité des comptes d’administration, l’historique des modifications de politique et les déploiements poussés vers les pare-feux administrés. Chercher dans les journaux d’accès les requêtes qui aboutissent sans authentification préalable, en particulier dans les minutes qui suivent un redémarrage de l’appliance.
• Sur Fortinet, recenser les interfaces portant l’accès fabric, chercher les arrêts inattendus du démon cw_acd et les modifications de configuration non tracées.
• Sur le parc bureautique, comparer la version de navigateur réellement exécutée à la version cible, poste par poste, et vérifier que la télémétrie remonte bien à une solution externe au poste.

Là où les sources divergent

Trois écarts à connaître avant de bâtir un tableau de suivi sur cette alerte.

Les échéances, d’abord. Celle du 12 septembre est documentée pour la seule entrée Fortinet. Les échéances des trois autres entrées ne sont pas reprises par les relais consultés et se lisent directement sur la fiche du catalogue. Une organisation qui recopie une échéance unique pour les quatre se trompera dans les deux sens.

Les scores, ensuite. La faille Fortinet est notée 7,4 par l’éditeur et par le NVD, 7,3 par certains relais, et jusqu’à 8,1 dans quelques flux de veille. La faille Chromium ne porte à ce jour aucun score CVSS et se présente avec une sévérité Chromium moyenne, alors que son exploitation est confirmée. Trier ce lot sur la note aboutit à l’ordre inverse de celui que dicte l’exposition.

Le statut d’exploitation, enfin. Pour Citrix, la position a changé trois fois en trois semaines, d’aucune exploitation constatée à une exploitation attendue, puis à des tentatives observées, puis à une inscription au catalogue. Ce ne sont pas des contradictions entre sources, ce sont des états successifs de la connaissance, et il vaut mieux les dater que les fusionner.

Ce qu’il faut prioriser

Périmètre	Failles clés	Pourquoi
Consoles d’administration de pare-feux	CVE-2026-20079	Score de 10,0, périmètre modifié, accès root et maîtrise de la politique de filtrage des équipements administrés. Toutes les versions sur site sont concernées, sans contournement.
Passerelles d’accès distant	CVE-2026-19490	Contournement d’authentification sans identifiant sur des appliances en frontal. Vérifier d’abord la configuration en passerelle ou en serveur AAA, et l’action SAML sur les branches récentes.
Systèmes d’exploitation de pare-feux	CVE-2025-25249	Échéance la plus courte du lot, au 12 septembre. Exécution de code non authentifiée, contournement immédiat par retrait de l’accès fabric des interfaces exposées.
Parc bureautique	CVE-2026-87491	Deuxième zero-day V8 en cinq jours, exploité, premier maillon de chaînes documentées le même jour. Cible Chrome 153.0.8010.36 ou ultérieur, avec redémarrage du processus.
Navigateurs autres que Chrome	CVE-2026-87491, CVE-2026-85046	Edge, Brave, Opera et Vivaldi reprennent les correctifs V8 à leur propre calendrier. Mettre Chrome à jour ne documente rien sur leur état.
Traçabilité	Les quatre entrées	Exigence de vérification préalable posée par BOD 26-04. Sur un équipement exposé, la recherche de compromission précède ou accompagne le correctif.

L’alerte du 9 septembre ne demande pas un effort d’analyse considérable, elle demande de savoir en quelques heures combien d’appliances NetScaler et de consoles Cisco sont joignables depuis Internet, dans quelle version, et depuis quand. Cette question là ne se traite pas le jour de l’alerte, elle se prépare avant. Le reste, les correctifs Fortinet sur le parc interne et le déploiement du navigateur, relève du cycle normal, à condition que ce cycle soit compté en jours et non en semaines.

CISAKEVBOD 26-04CitrixNetScalerCiscoFortinetChromiumZeroDayCVECTISOCVOCVulnérabilité