Cinq vieux services entrent dans le catalogue exploité
Le flux du catalogue, relu le 17 octobre 2026, est en version 2026.10.16, avec 1 748 entrées. Les cinq ajouts du 8 octobre restent ceux de cette note : BIND, Struts, Strapi, ONLYOFFICE Docs et ProFTPD. Leur échéance reste le 11 octobre. Les deux ajouts du 16 octobre, BeyondTrust et Fortinet, ont leur note.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Le catalogue dit exploité. Il ne met pas un fichier dans nos mains. Le 11 octobre est l’échéance inscrite, pas un délai que nous fixons.
Ce qui change
Le flux JSON du catalogue des failles exploitées, lu le 9 octobre 2026, porte la version 2026.10.08, 1 739 entrées, et une date de publication au 8 octobre 2026 à 20 h 09 UTC. Cinq entrées ont une date d’ajout au 8 octobre, et une échéance au 11 octobre. Aucune n’est marquée connue dans une campagne de rançongiciel : le champ dit Unknown.
Le 14 octobre 2026, le même flux était en version 2026.10.13, avec 1 741 entrées et une publication au 13 octobre 2026 à 19 h 10 UTC. Deux entrées ont une date d’ajout au 13 octobre : CVE-2026-104935, Ivanti Connect Secure, et CVE-2026-96951, Windows. Aucune n’est l’un des cinq ajouts du 8 octobre. Chacune a sa note. Une lecture plus tôt le 13 octobre, à 14 h 34 UTC, n’en voyait qu’une, et 1 740 entrées. Le 15 octobre 2026, le flux est en version 2026.10.14, 1 745 entrées, publié le 14 octobre 2026 à 19 h 27 UTC. Quatre entrées ont une date d’ajout au 14 octobre. Elles ont leur note. Les cinq du 8 octobre n’en font pas partie.
Le champ d’action demandé renvoie les parties concernées vers la directive BOD 26-04, et vers des consignes de triage. Nous n’avons pas relu cette directive ce matin. Le 11 octobre est l’échéance inscrite dans le catalogue. Ce n’est pas un délai que SecuFocus fixe pour les autres lecteurs.
Le 16 octobre 2026, le flux est en version 2026.10.15, 1 746 entrées, publié le 15 octobre 2026 à 17 h 00 UTC. Une entrée a une date d’ajout au 15 octobre : CVE-2026-21589, Atlassian. Elle a sa note. Les cinq du 8 octobre n’en font pas partie. Le 17 octobre 2026, le flux est en version 2026.10.16, 1 748 entrées, publié le 16 octobre 2026 à 17 h 15 UTC. Deux entrées ont une date d’ajout au 16 octobre : CVE-2026-102764, BeyondTrust, et CVE-2025-61624, Fortinet. Elles ont leur note. Les cinq du 8 octobre n’en font pas partie. Leur échéance reste le 11 octobre.
Les cinq, sans les aplatir
BIND, CVE-2015-5477. La CISA décrit une erreur de traitement qui peut faire tomber le service par des requêtes TKEY. La fiche NVD en anglais, modifiée le 9 octobre 2026, statut Modified, nomme BIND 9.x avant 9.9.7-P2 et 9.10.x avant 9.10.2-P3.
Struts, CVE-2016-3081. La CISA décrit une injection de commande, via le préfixe method:, quand Dynamic Method Invocation est activé. La fiche NVD, modifiée le même jour, statut Modified, nomme les plages 2.3.19 à 2.3.20.2, 2.3.21 à 2.3.24.1, et 2.3.25 à 2.3.28, sous la même condition. La liste CPE est plus large. Nous ne l’aplatissons pas.
Strapi, CVE-2023-22894. La CISA décrit un stockage en clair : un attaquant déjà dans le panneau d’administration peut retrouver des détails d’utilisateurs via un filtre de requête. Elle écrit que la faille peut être enchaînée avec CVE-2023-22621 pour exécuter du code à distance, et que les produits touchés peuvent être en fin de vie. La fiche NVD, statut Undergoing Analysis, dit through 4.5.5 dans la description anglaise. La plage CPE va de 3.2.1 inclus à avant 4.8.0. Nous ne choisissons pas une version sûre entre ces deux lectures.
ONLYOFFICE Docs, CVE-2021-3199. La CISA décrit une traversée de chemin qui peut mener à l’exécution de code à distance quand JWT est utilisé, via une séquence /.. dans un paramètre d’envoi d’image. La fiche NVD, statut Modified, dit Document Server avant 5.6.3, sous la même condition.
ProFTPD, CVE-2015-3306. La CISA décrit un contrôle d’accès insuffisant qui peut permettre de lire et d’écrire des fichiers arbitraires via les commandes site cpfr et site cpto. La fiche NVD, statut Undergoing Analysis, nomme ProFTPD 1.3.5 et le module mod_copy.
Ce que nous n’avons pas vérifié
Nous n’avons pas installé ces cinq logiciels, et nous n’avons pas téléchargé de correctif. Une borne dans une fiche NVD n’est pas un fichier que nous avons en main le 9 octobre 2026. « Exploité » vient de l’ajout au catalogue, pas d’un contrôle SecuFocus. Nous n’avons pas ouvert les pages des éditeurs hors de la liste autorisée. Une adresse d’alerte HTML du 8 octobre a répondu 403. Le flux JSON, lui, a répondu.
Le choix
Si vous exposez BIND, un Struts avec Dynamic Method Invocation, un Strapi dont le panneau d’administration est joignable, ONLYOFFICE Docs avec JWT, ou ProFTPD 1.3.5, le catalogue les dit exploités. Retirez-les du réseau, ou suivez le correctif de l’éditeur, puis relisez les fiches avant d’appeler une version sûre. Pour Strapi, les deux lectures ne donnent pas la même borne. Si vous ne faites tourner aucun de ces cinq, cette note ne change rien.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- NVD, CVE-2015-5477, fiche modifiée le 9 octobre 2026 ↗nvd.nist.gov ·
- NVD, CVE-2016-3081, fiche modifiée le 9 octobre 2026 ↗nvd.nist.gov ·Utilisée dans :Les cinq, sans les aplatir
- NVD, CVE-2023-22894, fiche modifiée le 9 octobre 2026 ↗nvd.nist.gov ·
- NVD, CVE-2021-3199, fiche modifiée le 9 octobre 2026 ↗nvd.nist.gov ·Utilisée dans :Les cinq, sans les aplatir
- NVD, CVE-2015-3306, fiche modifiée le 9 octobre 2026 ↗nvd.nist.gov ·Utilisée dans :Les cinq, sans les aplatir
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.