Catalogue KEV : six vulnérabilités ajoutées le 10 novembre

Le 10 novembre 2026, l’agence américaine CISA (1) ajoute six vulnérabilités à son catalogue KEV (2), au motif de preuves d’exploitation active. Le flux du catalogue, dans sa version 2026.11.10 publiée le même jour, porte pour chaque CVE (3) la date d’ajout, l’échéance de remédiation imposée aux agences fédérales civiles américaines, dites FCEB (4), l’obligation éventuelle de triage forensique et l’usage connu par un ransomware. Ce dernier champ porte la valeur « Unknown » pour les six CVE.

Deux CVE concernent Barracuda Networks et partagent une échéance de trois jours, au 13 novembre 2026, assortie d’un triage forensique : la CVE-2026-116606, propre à la passerelle de messagerie Email Security Gateway, dite ESG (5), et la CVE-2026-111560, présente dans l’ESG et dans cinq autres produits de l’éditeur. Les quatre autres CVE ont une échéance au 24 novembre 2026, sans triage forensique.

Fig. 1. Les six CVE ajoutées le 10 novembre 2026, relevées dans le flux JSON du catalogue KEV, version 2026.11.10.

Quatre de ces CVE ont été corrigées depuis le 2 novembre : celles de Barracuda le 2 novembre, celle de Chromium le 9 novembre, celle d’Outlook le 10 novembre lors du Patch Tuesday de Microsoft. Les deux dernières sont plus anciennes : la CVE de Cisco BroadWorks date du 19 août 2026, et le correctif de la CVE d’Openwave existe depuis le 6 décembre 2021, la CVE n’ayant été publiée qu’en octobre 2026.

La directive contraignante BOD (8) 26-04, publiée par la CISA le 10 juin 2026, remplace les directives BOD 22-01 et BOD 19-02. Elle ne fixe plus un délai unique par CVE du catalogue : le délai de remédiation dépend, pour chaque actif, de quatre variables. L’actif est-il exposé publiquement ; la CVE est-elle au catalogue KEV ; l’exploitation est-elle automatisable par un attaquant ; l’impact technique est-il un contrôle partiel ou total de l’actif. La CISA publie les deux dernières valeurs dans l’enregistrement de chaque CVE, au titre de son programme Vulnrichment, selon la méthode SSVC (9).

La mention « triage forensique » impose, en plus de la remédiation sous trois jours, de rechercher si l’actif a été compromis avant l’application du correctif.

Fig. 2. Délais de remédiation déduits du tableau 1 de la directive BOD 26-04, à partir des valeurs SSVC publiées par la CISA comme ADP (10) dans les enregistrements des six CVE le 10 novembre 2026.

Le catalogue ne porte qu’une échéance par CVE. Pour la CVE-2026-20320, cette échéance, au 24 novembre, correspond au cas d’un actif non exposé : un serveur BroadWorks exposé publiquement relève, selon le tableau 1, d’un délai de trois jours. Le champ d’action requis du catalogue renvoie chaque organisation à l’évaluation de l’exposition de ses actifs.

Barracuda Networks publie le 2 novembre 2026 un avis de sécurité couvrant deux vulnérabilités. Les deux CVE sont attribuées par Mandiant, qui agit comme CNA (11) et publie le même jour ses avis MNDT-2026-0042 et MNDT-2026-0041. Selon ces avis, Barracuda a signalé la CVE-2026-111560 le 15 octobre et la CVE-2026-116606 le 22 octobre.

Mécanisme

• CVE-2026-116606, ESG seulement : un attaquant non authentifié invoque une fonction d’import de configuration et restaure une archive de sauvegarde conçue et compatible, ce qui modifie la configuration globale de l’équipement ; CWE-288
• CVE-2026-111560, six produits : les métacaractères du shell ne sont pas neutralisés dans le champ de configuration du fuseau horaire, présent dans un code commun à plusieurs produits Barracuda ; un administrateur authentifié injecte des commandes système, exécutées avec les privilèges root lors du traitement de la valeur ; CWE-78
• sur l’ESG, seul produit concerné par les deux CVE, l’enchaînement lève la condition d’authentification de la seconde : Barracuda indique que les deux vulnérabilités combinées permettent de contourner les contrôles d’autorisation et d’obtenir un accès root à l’équipement

Le 5 novembre, Sina Kheirkhah, de watchTowr Labs, publie une analyse de la chaîne fondée sur la comparaison des versions 9.4.0.027, vulnérable, et 9.4.0.029 de l’ESG, accompagnée d’un outil publié sur GitHub qui vérifie la présence des deux CVE en faisant exécuter une commande choisie par l’utilisateur de l’outil. La chaîne restaure, par l’import de configuration, une valeur de fuseau horaire contenant une commande shell. watchTowr relève aussi un score CVSS (12) de 9,8 dans un commentaire du correctif de Barracuda, qu’il attribue à une notation des deux vulnérabilités ensemble.

Chronologie

Fig. 3. Chronologie établie à partir de l’avis de Barracuda, des avis MNDT-2026-0041 et MNDT-2026-0042 de Mandiant, de l’analyse de watchTowr Labs et du catalogue KEV.

Scores

Fig. 4. Scores relevés dans les avis de Mandiant et dans les enregistrements des CVE ; gravité relevée dans l’avis de Barracuda.

Produits concernés et correctifs

Fig. 5. Correctifs relevés dans l’avis de Barracuda mis à jour le 9 novembre 2026, versions relevées dans les avis de Mandiant et les enregistrements des CVE ; notations reproduites telles que publiées.

Barracuda publie des identifiants de correctif et non des numéros de version corrigée. Les publications divergent sur la version de l’ESG qui marque la correction : Mandiant déclare vulnérables les versions antérieures à 9.4.0.030 pour la CVE-2026-116606, watchTowr Labs indique une correction en 9.4.0.029, version sur laquelle porte sa comparaison, et eSecurity Planet rapporte que la documentation de mise à jour de Barracuda retient 9.4.0.029. La vérification la plus sûre porte donc sur la présence du correctif BNSF-40425 ou BNSF-40430 sur l’équipement, plutôt que sur le seul numéro de version.

État de l’exploitation

• Barracuda déclare, dans la mise à jour de son avis du 9 novembre, avoir identifié une activité d’exploitation touchant un petit nombre d’organisations
• l’avis ne désigne ni acteur, ni victime, ni indicateur de compromission, et ne précise pas laquelle des deux CVE, ou leur enchaînement, a été utilisé
• interrogé par The Register, Barracuda refuse de préciser le nombre d’organisations touchées et indique avoir travaillé directement avec elles
• la CISA inscrit les deux CVE au catalogue avec l’obligation de triage forensique

Mesures

Barracuda recommande d’appliquer manuellement le correctif s’il ne l’a pas été automatiquement, de réactiver le déploiement automatique des correctifs s’il a été désactivé, de vérifier que l’équipement exécute le dernier micrologiciel, plusieurs mises à jour successives pouvant être nécessaires sur un micrologiciel ancien, et de restreindre l’accès aux interfaces d’administration à des réseaux internes de confiance. L’authentification multifacteur ne protège pas contre la CVE-2026-116606, qui contourne l’authentification elle-même.

Barracuda ne publie aucun élément de recherche de compromission. Le mécanisme décrit oriente le triage forensique vers l’historique des imports et restaurations de configuration, la valeur du fuseau horaire configuré, les accès à l’interface d’administration depuis des adresses inattendues et les connexions sortantes de l’équipement. Ces pistes sont déduites des descriptions des CVE ; elles ne sont pas des indicateurs publiés par l’éditeur.

Google publie le 9 novembre 2026 une mise à jour de Chrome qui corrige neuf vulnérabilités, dont la CVE-2026-125350, un use-after-free, c’est à dire la réutilisation d’une zone mémoire déjà libérée, dans le composant XML. Google la classe de gravité élevée, l’attribue à un signalement anonyme du 6 novembre 2026 et indique avoir connaissance de l’existence d’un exploit dans la nature. Les détails du bogue 582442907 restent restreints.

Selon l’enregistrement de la CVE publié par Google, la vulnérabilité permet à un attaquant distant d’exécuter du code arbitraire à l’intérieur de la sandbox au moyen d’une page HTML (18) conçue. Une compromission du poste au-delà du processus de rendu suppose donc une seconde vulnérabilité permettant de sortir de la sandbox ; Google ne dit pas si l’exploitation observée en comporte une. La CISA attribue un score CVSS 3.1 de 8,8, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.

Fig. 6. Versions corrigées relevées sur le blog Chrome Releases, publications du 9 novembre 2026, et sur les notes de version de sécurité de Microsoft Edge consultées le 11 novembre 2026.

• la même mise à jour corrige la CVE-2026-125346, un autre use-after-free dans le composant XML, signalée le 12 octobre par Arni Hardarson, de Neonix Security, et non déclarée exploitée
• le catalogue KEV précise que la vulnérabilité peut toucher les autres navigateurs fondés sur Chromium, dont Microsoft Edge et Opera
• dans ses notes de version de sécurité, Microsoft indique le 9 novembre avoir connaissance d’exploits dans la nature et préparer un correctif pour Edge
• BleepingComputer et SecurityWeek comptent la CVE-2026-125350 comme la huitième vulnérabilité de Chrome exploitée en zero-day corrigée en 2026

La CVE-2026-124194 est la seule vulnérabilité exploitée du Patch Tuesday de Microsoft du 10 novembre 2026, traité sur ce blog le jour même. Un attaquant non authentifié envoie un fichier de message conçu et convainc l’utilisateur de l’ouvrir ; Outlook se connecte alors à un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement sur le contenu externe, ce qui divulgue le hash NTLM (19) de l’utilisateur dans sa version NTLMv2.

Fig. 7. Fiche de la CVE-2026-124194, relevée sur le Security Update Guide de Microsoft et recoupée avec l’enregistrement de la CVE et le catalogue KEV.

En complément de la mise à jour d’Office, les mesures contre la fuite de hash NTLM gardent leur intérêt : blocage du trafic SMB (21) sortant vers Internet, restriction du trafic NTLM sortant par stratégie de groupe, et inscription des comptes à privilèges au groupe Protected Users.

Cisco BroadWorks est une plateforme de téléphonie et de communications unifiées destinée aux opérateurs. Cisco publie le 19 août 2026 l’avis cisco-sa-bworks-xxe-uwUd7CEt, qui décrit une vulnérabilité de type XXE (22) « out-of-band blind » : l’analyseur XML de l’interface Open Client Interface, dite OCI (23), autorise par défaut la résolution des entités externes. Un attaquant distant non authentifié envoie un message XML conçu au service Open Client Interface Provisioning, dit OCI-P (24), et peut lire des fichiers du système avec les privilèges de l’utilisateur BroadWorks. Le contenu lu n’est pas renvoyé dans la réponse du service mais exfiltré par un canal secondaire contrôlé par l’attaquant.

Fig. 8. Fiche de la CVE-2026-20320, relevée sur l’avis de Cisco, version 1.0, et sur son document CSAF (26), puis recoupée avec l’enregistrement de la CVE. La note d’appel de l’Application Delivery Platform a été lue sur la page rendue.

État de l’exploitation

L’avis de Cisco est toujours en version 1.0 du 19 août 2026 et indique que le PSIRT (27) de Cisco n’a connaissance d’aucune annonce publique ni d’aucun usage malveillant. La CISA a renseigné l’exploitation comme « active » dans l’enregistrement de la CVE le 10 novembre. Aucune publication de Cisco, d’un chercheur ou de la presse ne documente, à la date de l’article, l’exploitation qui a motivé l’inscription au catalogue.

Mesures

La mise à niveau vers RI.2026.07 est la seule correction reconnue par Cisco. La limitation de l’accès réseau au service OCI-P aux seuls clients de provisionnement réduit l’exposition, sans constituer un contournement au sens de l’avis. Les messages XML adressés au service OCI-P qui contiennent une déclaration DOCTYPE ou ENTITY, ainsi que les connexions DNS (28) ou HTTP (29) sortantes inattendues depuis les serveurs BroadWorks, sont les traces cohérentes avec une exploitation de ce type.

Webtop Media Transcoder est le composant de conversion de documents de Webtop, la messagerie web d’Openwave Messaging destinée aux opérateurs. L’avis CAN-2026-2032674 d’Openwave, daté du 7 octobre 2026, indique que le composant n’applique pas les restrictions de types de fichiers définies par l’administrateur : un utilisateur authentifié peut faire traiter et convertir des types de documents non prévus s’il contourne l’interface de la messagerie web. La CVE, attribuée par MITRE, est publiée le 16 octobre 2026.

Fig. 9. Fiche de la CVE-2026-111793, relevée sur l’avis d’Openwave et sur l’enregistrement de la CVE.

La note JVN (30) JVNVU#93403064, publiée le 9 novembre 2026 par le JPCERT/CC (31) et l’IPA (32) sur signalement d’Openwave, indique que le développeur a observé des attaques exploitant la vulnérabilité. Elle décrit l’impact ainsi : un attaquant authentifié qui dépose un fichier conçu en suivant une séquence d’étapes précise peut obtenir des informations sensibles. La note porte la mention « Critical ».

L’ordre ci-dessous croise l’état de l’exploitation, la disponibilité d’un outil public, l’exposition réseau et l’impact. Un produit absent du parc sort de la liste.

Fig. 10. Ordre de traitement proposé à partir du catalogue KEV, des valeurs SSVC de la CISA et des avis des éditeurs.

Les dates, échéances et champs du catalogue proviennent du flux JSON du catalogue KEV, version 2026.11.10, consulté directement. Les scores, vecteurs, versions et valeurs SSVC ont été relevés dans les avis des éditeurs et dans les enregistrements des CVE, puis recoupés entre eux. La presse sert au recoupement de l’état de l’exploitation et au contexte.

1. CISA (1) : Cybersecurity and Infrastructure Security Agency, agence américaine de cybersécurité et de sécurité des infrastructures.
2. KEV (2) : Known Exploited Vulnerabilities, catalogue de la CISA des vulnérabilités dont l’exploitation est constatée.
3. CVE (3) : Common Vulnerabilities and Exposures, identifiant public attribué à une vulnérabilité.
4. FCEB (4) : Federal Civilian Executive Branch, ensemble des agences fédérales civiles américaines soumises aux directives de la CISA.
5. ESG (5) : Email Security Gateway, passerelle de filtrage de la messagerie de Barracuda Networks.
6. CWE (6) : Common Weakness Enumeration, classification des faiblesses logicielles.
7. XML (7) : Extensible Markup Language, langage de balisage de données structurées.
8. BOD (8) : Binding Operational Directive, directive contraignante de la CISA applicable aux agences fédérales civiles américaines.
9. SSVC (9) : Stakeholder-Specific Vulnerability Categorization, méthode de priorisation des vulnérabilités par arbre de décision, utilisée par la CISA.
10. ADP (10) : Authorized Data Publisher, organisme habilité à enrichir les enregistrements des CVE ; la CISA y publie ses données Vulnrichment.
11. CNA (11) : CVE Numbering Authority, organisme habilité à attribuer des CVE et à publier leur enregistrement.
12. CVSS (12) : Common Vulnerability Scoring System, système de notation de la gravité des vulnérabilités.
13. ADC (13) : Application Delivery Controller, répartiteur de charge applicatif ; chez Barracuda, Load Balancer ADC.
14. BMA (14) : Barracuda Message Archiver, équipement d’archivage de la messagerie de Barracuda Networks.
15. WAF (15) : Web Application Firewall, pare-feu applicatif web.
16. WCC (16) : WAF Control Center, console de gestion centralisée des pare-feu applicatifs de Barracuda Networks.
17. WSG (17) : Web Security Gateway, passerelle de filtrage web de Barracuda Networks.
18. HTML (18) : HyperText Markup Language, langage de description des pages web.
19. NTLM (19) : NT LAN Manager, protocole d’authentification de Windows par défi et réponse ; NTLMv2 en est la deuxième version.
20. LTSC (20) : Long-Term Servicing Channel, canal de maintenance à long terme des versions perpétuelles d’Office.
21. SMB (21) : Server Message Block, protocole de partage de fichiers et d’imprimantes de Windows.
22. XXE (22) : XML External Entity, vulnérabilité qui amène un analyseur XML à résoudre une entité externe désignée par l’attaquant, par exemple un fichier local.
23. OCI (23) : Open Client Interface, interface de Cisco BroadWorks destinée aux applications clientes et aux systèmes de gestion des opérateurs.
24. OCI-P (24) : Open Client Interface Provisioning, service de provisionnement de l’interface OCI de Cisco BroadWorks.
25. OCS (25) : Open Client Server, composant de Cisco BroadWorks qui expose l’interface OCI.
26. CSAF (26) : Common Security Advisory Framework, format lisible par machine des avis de sécurité.
27. PSIRT (27) : Product Security Incident Response Team, équipe de réponse aux incidents de sécurité des produits d’un éditeur.
28. DNS (28) : Domain Name System, système de résolution des noms de domaine.
29. HTTP (29) : HyperText Transfer Protocol, protocole de transfert du web.
30. JVN (30) : Japan Vulnerability Notes, portail japonais de publication des vulnérabilités, opéré par le JPCERT/CC et l’IPA.
31. JPCERT/CC (31) : Japan Computer Emergency Response Team Coordination Center, centre de coordination japonais de réponse aux incidents de sécurité informatique.
32. IPA (32) : Information-technology Promotion Agency, agence japonaise de promotion des technologies de l’information.

1. CISA, CISA Adds Six Known Exploited Vulnerabilities to Catalog, 10 novembre 2026. cisa.gov/news-events/alerts
2. CISA, Known Exploited Vulnerabilities Catalog, flux JSON, version 2026.11.10, 10 novembre 2026. cisa.gov/known-exploited-vulnerabilities-catalog
3. CISA, BOD 26-04: Prioritizing Security Updates Based on Risk, 10 juin 2026. cisa.gov/news-events/directives
4. CVE Program, enregistrements des CVE-2026-116606, CVE-2026-111560, CVE-2026-125350, CVE-2026-124194, CVE-2026-20320 et CVE-2026-111793, avec les données de la CISA ADP, mis à jour le 10 novembre 2026. cve.org
5. Barracuda Networks, Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products, 2 novembre 2026, mis à jour les 5 et 9 novembre 2026. trust.barracuda.com/security
6. Mandiant, MNDT-2026-0042, CVE-2026-116606, 2 novembre 2026. github.com/mandiant/Vulnerability-Disclosures
7. Mandiant, MNDT-2026-0041, CVE-2026-111560, 2 novembre 2026. github.com/mandiant/Vulnerability-Disclosures
8. watchTowr Labs, Sina Kheirkhah, Barracuda Networks is your new best friend (Barracuda Email Security Gateway Pre-Auth Remote Root RCE CVE-2026-116606 / CVE-2026-111560), 5 novembre 2026. labs.watchtowr.com
9. watchTowr Labs, watchTowr-vs-Barracuda-RCE-CVE-2026-116606-CVE-2026-111560, dépôt GitHub, novembre 2026. github.com/watchtowrlabs
10. Google, Stable Channel Update for Desktop, Chrome Releases, 9 novembre 2026. chromereleases.googleblog.com
11. Google, Extended Stable Update for Desktop, Chrome Releases, 9 novembre 2026. chromereleases.googleblog.com
12. Google, Chrome for Android Update, Chrome Releases, 9 novembre 2026. chromereleases.googleblog.com
13. Microsoft, Release notes for Microsoft Edge Security Updates, page consultée le 11 novembre 2026. learn.microsoft.com/deployedge
14. Microsoft MSRC, CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability, 10 novembre 2026. msrc.microsoft.com/update-guide
15. Cisco, Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability, cisco-sa-bworks-xxe-uwUd7CEt, version 1.0, 19 août 2026. sec.cloudapps.cisco.com
16. Openwave Messaging (Ireland) Ltd, Public Security Advisory CAN-2026-2032674, 7 octobre 2026. github.com/GISOpenwave
17. JPCERT/CC et IPA, JVNVU#93403064, Webtop Media Transcoder vulnerable to incorrect resource transfer between spheres, 9 novembre 2026. jvn.jp
18. BleepingComputer, Sergiu Gatlan, Hackers now exploit critical Barracuda ESG flaws to gain root access, 10 novembre 2026. bleepingcomputer.com
19. The Register, Barracuda’s email security gateways bitten by make-me-root vulns, 10 novembre 2026. theregister.com
20. SecurityWeek, Barracuda ESG Authentication Bypass Flaw Opens Path to Root, novembre 2026. securityweek.com
21. eSecurity Planet, Barracuda Patches Two Flaws That Could Give Hackers Root Access, 4 novembre 2026. esecurityplanet.com
22. BleepingComputer, Sergiu Gatlan, Google patches eighth Chrome zero-day exploited in attacks this year, 10 novembre 2026. bleepingcomputer.com
23. SecurityWeek, Chrome Update Patches Exploited XML Zero-Day, Eighth This Year, 10 novembre 2026. securityweek.com