CISA ajoute des failles JFrog Artifactory, ConnectWise ScreenConnect et MikroTik à son catalogue des vulnérabilités exploitées

Cinq failles réparties sur trois produits largement déployés

Le catalogue des vulnérabilités exploitées connues de la CISA recense les vulnérabilités confirmées comme étant activement exploitées, et ses ajouts de mi-septembre 2026 couvrent trois produits courants dans les environnements DevOps et de support à distance en entreprise. Les cinq CVE sont :

• CVE-2026-42016 (CVSS 8.1) — JFrog Artifactory, une faille d’autorisation incorrecte pouvant conduire à une élévation de privilèges car la plateforme valide la signature et l’émetteur d’un jeton mais pas sa portée.
• CVE-2026-42018 (CVSS 7.5) — JFrog Artifactory, une faille d’authentification incorrecte pouvant renvoyer un jeton interne d’utilisateur anonyme à un appelant non authentifié même lorsque l’accès anonyme est désactivé, exposant potentiellement des ressources sensibles.
• CVE-2026-84869 (CVSS 9.9) — ConnectWise ScreenConnect, une faille de gestion des privilèges incorrecte et d’autorisation manquante permettant à un attaquant de transférer et d’exécuter des fichiers via une session à distance active sans autorisation ; l’avis de la CISA précise que le problème n’affecte pas les serveurs ScreenConnect eux-mêmes.
• CVE-2026-67277 et CVE-2026-86060 — MikroTik RouterOS, deux failles que le CERT Polska a signalées en premier comme étant exploitées dans la nature, surnommées « MikroTrick » par l’équipe de sécurité polonaise.

Des attaquants ont été observés en train d’enchaîner les deux vulnérabilités Artifactory pour élever leurs privilèges et accéder à des ressources sensibles, et séparément d’enchaîner les failles ScreenConnect et RouterOS pour obtenir un contrôle administratif, déployer des portes dérobées et prendre le contrôle d’appareils vulnérables sans authentification, selon les informations rapportées sur l’avis de la CISA.

Pourquoi ces produits spécifiques comptent

JFrog Artifactory est un dépôt d’artefacts largement déployé, situé au cœur des pipelines de build et de déploiement logiciel de nombreuses organisations — une compromission à ce niveau peut se propager à tous les systèmes en aval qui récupèrent des paquets depuis ce dépôt. ConnectWise ScreenConnect est un logiciel d’accès à distance fortement utilisé par les fournisseurs de services managés, ce qui en fait une cible attrayante car une seule instance compromise peut offrir un point d’entrée vers de nombreux réseaux clients en aval. MikroTik RouterOS équipe du matériel réseau déployé à très grande échelle dans le monde, y compris sur des marchés sensibles aux coûts où les routeurs fonctionnent souvent sans mises à jour fréquentes du firmware — exactement le profil d’appareil qui rejoint un botnet dès qu’une faille exploitable à distance devient publique.

1. Corriger ou isoler immédiatement si vous exploitez l’un de ces trois produits

Les agences civiles fédérales américaines sont soumises à des délais contraignants pour corriger ces failles, et l’inclusion par la CISA dans le catalogue KEV est un signal fort que l’exploitation n’est pas théorique. Toute organisation exploitant Artifactory, ScreenConnect ou RouterOS en auto-hébergement devrait traiter ceci comme un cycle de correction urgent, pas une mise à jour de routine.

2. Auditer les outils de gestion à distance en matière d’exposition, pas seulement l’état des correctifs

Comme ScreenConnect et RouterOS sont tous deux des outils d’accès et de gestion à distance, une compromission n’affecte pas seulement l’instance vulnérable — elle peut constituer un point de pivot vers tous les systèmes que cette instance gère. Les équipes de sécurité devraient auditer non seulement si le logiciel est corrigé, mais aussi quel accès une instance compromise accorderait à un attaquant.

3. Traiter les ajouts au catalogue KEV comme un signal récurrent à surveiller, pas une alerte ponctuelle

La récurrence des outils d’infrastructure DevOps et de gestion à distance dans le catalogue KEV de la CISA suggère que ces catégories restent des surfaces d’attaque à forte valeur, fréquemment ciblées. Les organisations exploitant une infrastructure auto-hébergée devraient mettre en place un processus récurrent de vérification des nouvelles entrées KEV par rapport à leur propre inventaire logiciel, plutôt que de réagir uniquement lorsqu’une faille d’un fournisseur spécifique fait la une.

Ce que cela révèle sur le paysage des menaces actuel

La combinaison spécifique de produits signalés ici — un dépôt d’artefacts logiciels, un logiciel de support à distance et du matériel réseau de gamme grand public/PME — reflète l’endroit où les attaquants trouvent le meilleur retour sur effort : une infrastructure largement déployée, souvent auto-gérée sans équipes de sécurité dédiées, et positionnée pour offrir un accès étendu en aval une fois compromise. Les ajouts au catalogue KEV de la CISA constituent, en effet, une carte en temps réel de la concentration de l’exploitation active, et les ajouts de mi-septembre 2026 pointent directement vers la chaîne d’approvisionnement logicielle et les couches d’accès à distance que de nombreuses organisations sous-priorisent encore par rapport à leurs applications web exposées sur internet.

Questions Fréquemment Posées

Sources et lectures complémentaires

• CISA Adds 5 Actively Exploited Artifactory, ScreenConnect, and RouterOS Flaws to KEV — The Hacker News