Six failles exploitées activement ajoutées à la liste de correctifs obligatoires de la CISA — dont un zero-day Outlook et une faille Chrome

CISA ajoute six failles exploitées à sa liste KEV : Barracuda, BroadWorks, Outlook, Chromium. Ce qu'il faut corriger en priorité en milieu scolaire.

  • Le 10 novembre, la CISA a ajouté six vulnérabilités à son catalogue KEV, chacune appuyée par des preuves d'exploitation active : Cisco BroadWorks, deux failles Barracuda, Openwave Webtop, Microsoft Outlook et Google Chromium.
  • Touchés : les passerelles de courriel, répartiteurs de charge et téléphonie unifiée exposés à Internet, ainsi que tous les navigateurs basés sur Chromium et les clients Outlook des postes de travail — donc la majorité des postes du district.
  • Impact : exécution de commandes, contournement d'authentification et divulgation de configuration sans authentification sur les appliances périmétriques. À traiter comme un changement d'urgence, hors du cycle normal de correctifs.

À faire maintenant

  1. 1. Inventorier et assigner : ouvrir un billet par propriétaire d'actif pour les six CVE et classer en priorité un les Barracuda ESG/WSG/WAF/WCC, Cisco BroadWorks et Openwave Webtop exposés à Internet.
  2. 2. Corriger d'abord le chemin courriel et périmétrique : appliquer les mises à jour du fournisseur pour les appliances Barracuda et BroadWorks ; sans correctif, appliquer exactement l'atténuation documentée et restreindre les interfaces d'administration à un VLAN de gestion ou au VPN.
  3. 3. Forcer la mise à jour des postes : déployer la version corrigée de Chromium et confirmer le redémarrage réel du navigateur (un Chrome déployé mais non redémarré reste vulnérable), et déployer la mise à jour Outlook pour CVE-2026-124194 comme changement d'urgence distinct du cycle mensuel.
  4. 4. Chercher des traces avant et après la correction : requêtes de type XXE vers BroadWorks, événements d'importation de configuration et de restauration de sauvegarde sur l'ESG, comptes administrateurs nouveaux ou anormaux, modifications de règles de boîte aux lettres et processus enfants inattendus lancés par Outlook ou Chrome. Isoler et préserver les preuves le cas échéant.
  5. 5. Vérifier et documenter : refaire un balayage pour confirmer les numéros de version plutôt que de se fier aux messages de déploiement, faire tourner les identifiants et jetons d'API des appliances touchées, et confirmer les échéances directement auprès de la CISA et des avis du fournisseur.

Articles liés