BeyondTrust et Fortinet entrent dans le catalogue
Le 17 octobre 2026, le catalogue CISA est en version 2026.10.16, 1 748 entrées, publié le 16 octobre à 17 h 15 UTC. CVE-2026-102764 vise BeyondTrust Remote Support jusqu’à 26.2.3, sans compte. CVE-2025-61624 vise des Fortinet, avec un compte admin déjà ouvert. L’échéance inscrite est le 19 octobre.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Si vous exposez un BeyondTrust Remote Support auto-hébergé en 26.2.3 ou avant, la CISA dit la faille exploitée pour une première entrée. Le Fortinet du même jour n’a pas le même geste : il demande un admin. Si vous n’avez aucun des deux, cette note ne change rien.
Ce qui change
Le 17 octobre 2026, le flux JSON du catalogue des failles exploitées est en version 2026.10.16, 1 748 entrées, publié le 16 octobre 2026 à 17 h 15 UTC. La lecture du 16 octobre voyait encore la version 2026.10.15 et 1 746 entrées. Deux entrées ont une date d’ajout au 16 octobre, et une échéance au 19 octobre 2026. Aucune n’est marquée connue dans une campagne de rançongiciel : le champ dit Unknown. Le triage forensique dit Yes pour les deux.
L’alerte CISA du 16 octobre 2026 qui annonce deux ajouts nomme CVE-2025-61624 et CVE-2026-102764. Elle dit qu’ils ont été ajoutés sur la base d’une exploitation active. Elle ne donne pas de version de produit. Elle rappelle que la directive BOD 26-04 vise les agences civiles fédérales américaines, et qu’elle encourage les autres organisations à traiter d’abord les entrées du catalogue. Nous n’avons pas relu le texte complet de la directive. Le 19 octobre est l’échéance inscrite. Ce n’est pas un délai que SecuFocus fixe.
Une seconde alerte, le même jour, ne parle que de BeyondTrust. Les échéances déjà notées n’ont pas bougé dans ce flux : Atlassian reste au 18 octobre, les quatre du 14 octobre au 17 octobre, Ivanti et Windows au 16 octobre.
Deux gestes, pas un seul
BeyondTrust Remote Support, anciennement Bomgar, CVE-2026-102764. Le catalogue parle d’un contournement d’authentification par usurpation : un attaquant distant peut faire des opérations sur des fichiers de l’appliance. La faiblesse nommée est CWE-290. L’échéance est le 19 octobre. Le champ rançongiciel dit Unknown. Le triage forensique dit Yes.
L’alerte CISA du 16 octobre qui demande le correctif vise les versions 26.2.3 et antérieures. Elle dit que des correctifs existent pour les versions prises en charge, à partir de 24.3.1, et qu’une version plus ancienne doit d’abord être montée. Elle écrit que des acteurs exploitent la faille pour une première entrée, puis pour s’installer, élever les droits et se déplacer. Elle nomme le correctif BT26-05-RS pour les appliances auto-hébergées. Elle écrit que les déploiements hébergés par BeyondTrust, le mode SaaS, sont déjà corrigés. Nous n’avons pas ouvert la console de l’éditeur. Elle demande aussi de limiter l’accès externe à l’appliance et de réserver les interfaces d’administration à des réseaux de confiance.
La fiche NVD, lue par l’API le 17 octobre 2026, est au statut Analyzed. Elle a été publiée le 15 octobre 2026 à 21 h 17 UTC et modifiée le 17 octobre 2026 à 4 h 16 UTC. La page HTML du NVD n’a pas rendu la fiche : un contrôle anti-robot a renvoyé une coquille vide. Nous citons l’API. La description anglaise dit que des composants internes ne validaient pas assez l’origine des messages reçus, et que, dans les bonnes conditions, un attaquant peut faire des opérations sur des fichiers de l’appliance. Le score CVSS 3.1 porté par nvd@nist.gov est 9,8, critique, réseau, sans compte, sans interaction. Une liste CPE s’arrête à 26.2.3 inclus, sans version de départ. Le coordinateur CISA, horodaté le 16 octobre à 0 h 00 UTC, marque l’exploitation active, automatisable, impact technique total. Le plancher 24.3.1 vient de l’alerte CISA, pas de cette liste CPE.
Fortinet, CVE-2025-61624. Le catalogue parle d’une traversée de chemin dans FortiOS, FortiPAM, FortiProxy et FortiSwitchManager : un attaquant déjà authentifié, avec un profil admin et au moins des droits lecture-écriture, peut écrire ou supprimer des fichiers arbitraires par des commandes CLI précises. La faiblesse nommée est CWE-22. L’échéance est le 19 octobre. Le champ rançongiciel dit Unknown. Le triage forensique dit Yes. Ce n’est pas le geste de BeyondTrust : ici, le catalogue demande un compte admin.
La fiche NVD, lue par la même API le 17 octobre 2026, est au statut Analyzed. Elle a été publiée le 14 avril 2026 à 16 h 16 UTC et modifiée le 17 octobre 2026 à 4 h 16 UTC. L’entrée du catalogue est du 16 octobre. La faille, elle, est décrite depuis avril. La description anglaise vise FortiOS 7.6.0 à 7.6.4, FortiOS 7.4.0 à 7.4.9, FortiOS 7.2, 7.0 et 6.4 dans toutes les versions, FortiPAM 1.7.0 et toutes les versions 1.6 à 1.0, FortiProxy 7.6.0 à 7.6.4 et 7.4.0 à 7.4.11, FortiProxy 7.2 et 7.0 dans toutes les versions, FortiSwitchManager 7.2.0 à 7.2.7 et 7.0.0 à 7.0.6. Le score CVSS 3.1 porté par psirt@fortinet.com est 6,0, moyen, vecteur local, privilèges élevés. La fiche lue ne porte pas de score primaire NVD. Le coordinateur CISA, horodaté le 15 octobre à 0 h 00 UTC, marque l’exploitation active, non automatisable, impact technique total.
Les bornes CPE excluent, selon les branches, à partir de 7.4.10 et 7.6.5 pour FortiOS, 1.7.1 pour FortiPAM, 7.4.12 et 7.6.5 pour FortiProxy, 7.0.7 et 7.2.8 pour FortiSwitchManager. Nous ne traitons pas ces numéros comme des fichiers que nous avons en main. La description est plus précise que la plage CPE large qui part de 6.4.0. Nous ne choisissons pas une version sûre.
Ce que nous n’avons pas vérifié
Nous n’avons pas d’appliance BeyondTrust, ni de FortiOS, FortiPAM, FortiProxy ou FortiSwitchManager. Nous n’avons pas rejoué les identifiants. « Exploité » vient de l’ajout au catalogue, des deux alertes du 16 octobre, et du marquage du coordinateur CISA dans les fiches NVD. Ce n’est pas un contrôle SecuFocus. Unknown dans le champ rançongiciel ne prouve pas l’absence d’une campagne.
Nous n’avons pas ouvert les pages BeyondTrust, Fortinet, Mandiant ni Siemens : elles ne sont pas dans la liste des sources que nous citons. Le nom du correctif BT26-05-RS, le plancher 24.3.1, et la phrase sur le SaaS déjà corrigé viennent de l’alerte CISA, pas d’un fichier que nous avons téléchargé. Les plages Fortinet viennent de la description NVD et des bornes CPE, pas d’une image que nous avons installée. Une configuration CPE nomme aussi le firmware Siemens Ruggedcom APE1808. La description NVD ne nomme pas Siemens. Nous ne disons pas que ce boîtier est touché.
Le choix
Si vous exposez un BeyondTrust Remote Support auto-hébergé en 26.2.3 ou avant, la CISA dit la faille exploitée pour une première entrée. Appliquez le correctif qu’elle nomme, BT26-05-RS, ou montez d’abord la version si vous êtes avant 24.3.1. Elle demande aussi de limiter l’accès externe, et, si vous soupçonnez une compromission, d’isoler l’appliance, de garder une image, de faire suivre les journaux, puis de reconstruire et de tourner les secrets que l’appliance détenait. Pour le SaaS, l’alerte dit que c’est déjà corrigé. Nous ne l’avons pas revérifié chez l’éditeur.
Si vous faites tourner une des versions Fortinet nommées, le catalogue les dit exploitées, avec une échéance inscrite au 19 octobre. Le geste n’est pas le même : il faut un compte admin avec droits d’écriture, et des commandes CLI. Ne traitez pas cette ligne comme le BeyondTrust sans compte. Nous ne déclarons pas une version sûre à partir des bornes CPE.
Si vous n’avez aucun de ces produits, cette note ne change rien. Atlassian, échéance au 18 octobre, et les quatre du 14 octobre, échéance au 17 octobre, ont déjà leur note.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.