CISA KEV : six nouvelles failles activement exploitées - NetScaler, Linux et SQL Server en alerte

Dans la saga : CISA et la résilience des infrastructures critiques américaines en 2026· Épisode 2/3

Cybersécurité 28/08/2026Ajouter aux favoris

CISA KEV : six nouvelles failles activement exploitées - NetScaler, Linux et SQL Server en alerte

La CISA vient d'ajouter six nouvelles entrées à son catalogue KEV (Known Exploited Vulnerabilities). Au menu : des failles dans NetScaler (Citrix), le noyau Linux et Microsoft SQL Server - toutes activement exploitées en condition réelle.

Quoi : six failles confirmées exploitées en production

La CISA (Cybersecurity and Infrastructure Security Agency) a mis à jour son catalogue KEV (Known Exploited Vulnerabilities) avec six nouvelles entrées. Le KEV est la liste officielle du gouvernement américain des vulnérabilités pour lesquelles des exploitations réelles ont été documentées - c'est la liste qui déclenche des obligations de patch pour les agences fédérales américaines, et le signal de priorité maximal pour tout le secteur.

Les trois familles de produits touchées dans cette mise à jour selon The Hacker News : NetScaler (Citrix), le noyau Linux, et Microsoft SQL Server.

Qui est impacté

NetScaler (Citrix ADC / Gateway) : exposés sur Internet dans la majorité des entreprises qui utilisent Citrix pour le VPN et l'accès distant. NetScaler est une cible récurrente du KEV - des groupes ransomware en font un point d'entrée privilégié depuis 2023.
Linux kernel : toute infrastructure serveur Linux non patchée est potentiellement concernée. La nature exacte des failles (LPE, RCE, contournement de sandbox) déterminera la priorité de patch selon l'exposition.
SQL Server : les instances SQL Server exposées ou accessibles depuis des segments réseau compromis sont en risque. Une faille SQL Server dans le KEV est souvent liée à des scénarios de mouvement latéral post-exploitation.

Contexte : le KEV comme thermomètre de la menace active

Dans le suivi des infrastructures critiques américaines que nous menons depuis le début 2026, le KEV est l'indicateur le plus fiable de ce qui est réellement exploité - par opposition aux CVE théoriques. Chaque ajout au KEV représente des incidents documentés, souvent sur des cibles sensibles.

Depuis le lancement de notre fil [cisa-infra-critique-2026], nous avons observé une cadence d'ajouts au KEV particulièrement soutenue, avec une prépondérance de failles ciblant l'accès distant (VPN, RDP, load balancers) et la couche d'hyperviseur/virtualisation.

Que faire maintenant

KEV 2026 : la cadence s'accélère

La CISA publie régulièrement de nouvelles entrées au KEV en 2026, avec une prépondérance de failles ciblant les équipements d'accès distant (VPN, load balancers) et les hyperviseurs. NetScaler (Citrix) figure parmi les produits les plus souvent ciblés.

À faire maintenant :

NetScaler : appliquer immédiatement les bulletins de sécurité Citrix correspondants. Vérifier les logs d'accès pour des patterns d'exploitation anormaux sur les endpoints d'authentification et VPN.
Linux kernel : identifier la version exacte de la faille via l'advisory CISA mis à jour, comparer avec les noyaux en production, prioriser les systèmes exposés à Internet ou multi-tenant.
SQL Server : restreindre l'accès au port 1433 aux seuls segments réseau autorisés, appliquer le patch Microsoft correspondant, auditer les comptes de service SQL Server pour détecter une compromission préalable.
Fédéral / secteur public : les agences américaines ont une obligation de patch dans les délais spécifiés par la CISA pour chaque entrée KEV.

KEV vs NVD : quelle différence ?

Le NVD (National Vulnerability Database) recense toutes les CVE connues, exploitables ou non. Le KEV ne contient que les CVE pour lesquelles une exploitation réelle est confirmée. Un patch NVD peut attendre ; un patch KEV ne peut pas.