La CISA fixe une échéance au 12 septembre pour des failles critiques chez Cisco, Citrix et Fortinet

Introduction

L’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté des vulnérabilités critiques et activement exploitées touchant Cisco Secure Firewall Management Center, Citrix NetScaler ADC et Gateway, ainsi que FortiOS de Fortinet et des produits connexes, à son catalogue des vulnérabilités exploitées connues (KEV) début septembre 2026, fixant une échéance de remédiation au 12 septembre 2026 pour les agences civiles fédérales américaines. Le 9 septembre 2026, la CISA a officiellement ajouté quatre vulnérabilités au catalogue KEV sur la base de preuves documentées d’exploitation active. Il s’agit de produits de sécurité périmétrique essentiels — pare-feu, contrôleurs de distribution d’applications et passerelles d’accès distant — déployés dans les réseaux bancaires, télécoms, de santé et gouvernementaux du monde entier, ce qui transforme une échéance de conformité fédérale en un avis de correction pratique et incontournable pour toute équipe de sécurité d’entreprise, quelle que soit sa juridiction.

Les quatre vulnérabilités

Cisco Secure Firewall Management Center — CVE-2026-20079. Une vulnérabilité de contournement d’authentification dans l’interface web du produit, avec le score CVSS maximal possible de 10,0. Elle pourrait permettre à un attaquant distant non authentifié de contourner entièrement l’authentification et d’exécuter des fichiers de script, obtenant finalement un accès root à la plateforme de gestion qui contrôle l’ensemble du parc de pare-feu d’une organisation. Une exploitation active, incluant des grappes d’activité post-compromission identifiées, a été documentée en août 2026.

Citrix NetScaler ADC et Gateway — CVE-2026-19490. Un contournement d’authentification noté CVSS 9,3, touchant les appliances NetScaler configurées en tant que serveurs virtuels AAA ou passerelles — exactement la configuration utilisée pour l’authentification VPN et l’accès distant. Des systèmes leurres (honeypots) ont enregistré 56 tentatives d’exploitation de cette vulnérabilité depuis début septembre 2026, indiquant un balayage et une exploitation actifs et en cours dans la nature.

FortiOS, FortiSwitchManager et FortiSASE de Fortinet — CVE-2025-25249. Un débordement de tampon basé sur le tas, CVSS 7,3, permettant à un attaquant distant non authentifié d’exécuter du code ou des commandes arbitraires. Cette faille a été exploitée comme arme dans le cadre de la campagne de logiciel malveillant PivotC2, qui, selon la CISA et des chercheurs indépendants, a infecté environ 178 appareils, la première exploitation identifiée remontant à juillet 2026.

Google Chromium V8 — CVE-2026-87491. Une vulnérabilité d’écriture hors limites dans le moteur JavaScript V8 de Chromium, quatrième vulnérabilité ajoutée au catalogue KEV lors de la même mise à jour du 9 septembre, étendant la portée de l’avis des appliances de périmètre réseau aux surfaces d’attaque basées sur le navigateur également.

Pourquoi cet avis dépasse le cadre des agences fédérales

Les ajouts au catalogue KEV de la CISA et les mandats de la Directive opérationnelle contraignante (BOD) ne s’appliquent légalement qu’aux agences civiles fédérales américaines. Mais dans la pratique, le catalogue KEV fonctionne comme une norme mondiale de facto pour désigner « les vulnérabilités que les attaquants exploitent réellement en ce moment » — par opposition à l’univers bien plus vaste des CVE théoriques ou de faible gravité qui voient rarement une exploitation réelle. Les propres directives de la CISA encouragent d’ailleurs toutes les organisations, pas seulement les agences fédérales, à adopter la même priorisation fondée sur le risque que représente le catalogue KEV.

Les produits spécifiques concernés ici aggravent l’urgence. Cisco Secure Firewall Management Center, Citrix NetScaler et FortiOS se trouvent collectivement au périmètre réseau d’une part immense de l’infrastructure d’entreprise et gouvernementale mondiale — précisément la couche qu’un attaquant cible en premier lorsqu’il tente d’établir un point d’ancrage initial depuis internet ouvert. Un contournement d’authentification noté CVSS 10,0 sur une plateforme de gestion de pare-feu figure parmi les divulgations de vulnérabilités les plus graves possibles, car elle n’expose pas seulement un système — elle peut exposer le contrôle même des outils de sécurité censés protéger tout ce qui se trouve derrière.

Ce que les équipes de sécurité doivent faire maintenant

La réponse pratique reflète ce que la CISA impose aux agences fédérales, adapté aux organisations sans échéance BOD légale : identifier si l’un des quatre produits concernés est utilisé (Cisco Secure Firewall Management Center, Citrix NetScaler ADC/Gateway, Fortinet FortiOS/FortiSwitchManager/FortiSASE, ou des navigateurs basés sur Chromium) ; appliquer immédiatement les correctifs des fournisseurs pour les instances exposées à internet, en traitant cela comme un changement d’urgence plutôt qu’un cycle de correctifs de routine ; et, lorsque le correctif ne peut être appliqué immédiatement, restreindre l’accès à l’interface de gestion aux seuls réseaux de confiance et surveiller les indicateurs de compromission publiés par les fournisseurs et la CISA aux côtés des avis. Compte tenu des 178 appareils infectés documentés par la campagne PivotC2 et des 56 tentatives d’exploitation NetScaler enregistrées contre des honeypots, les organisations utilisant des instances non corrigées de ces produits devraient supposer qu’un balayage actif contre leur infrastructure est déjà en cours, et non un risque futur.

Questions Fréquemment Posées

Sources et lectures complémentaires

• CISA Flags Exploited Cisco, Citrix, Fortinet Flaws — The Hacker News
• CISA Adds Four Known Exploited Vulnerabilities to Catalog — CISA