La CISA ajoute deux failles Cisco et GitLab au catalogue KEV après des preuves d'exploitation active, dont une notée 10,0.

L’agence américaine CISA a ajouté jeudi deux vulnérabilités à son catalogue KEV. Ce registre recense, en effet, les failles exploitées activement par des attaquants. Les deux produits concernés sont signés GitLab et Cisco. La CISA justifie donc cette décision par des preuves d’exploitation en conditions réelles.

Cette annonce concerne notamment les équipes de sécurité et les administrateurs système. Elle rappelle ainsi qu’une faille n’est plus un simple risque théorique dès qu’elle entre dans cette liste.

Le catalogue KEV s’enrichit de deux nouvelles failles

Le catalogue KEV, pour Known Exploited Vulnerabilities, est tenu par la CISA. Il ne liste pas toutes les failles connues. En revanche, il met en avant celles pour lesquelles une exploitation réelle a été observée.

Deux entrées viennent donc d’être ajoutées. La première touche GitLab, la plateforme de gestion de code source et de DevOps. La seconde concerne un pare-feu de Cisco, avec un impact de type déni de service.

Ces deux cas sont très différents. L’un vise une plateforme de développement, souvent riche en secrets et en accès. En revanche, l’autre vise un équipement de sécurité placé en première ligne du réseau.

Une faille GitLab notée 10,0 et un pare-feu Cisco visé

La faille GitLab porte l’identifiant CVE-2026-97229. Elle obtient ainsi un score CVSS de 10,0, soit le maximum possible. Il s’agit d’un dépassement d’entier, ou « integer overflow or wraparound ». En outre, elle affecte à la fois GitLab Community Edition et GitLab Enterprise Edition.

Ce type de bogue apparaît quand un calcul dépasse la valeur maximale qu’un entier peut stocker. La valeur « repart » alors de manière inattendue. Par conséquent, le programme peut mal gérer la mémoire ou mal appliquer une règle. Dans le pire des cas, un attaquant obtient une exécution de code à distance.

Un score de 10,0 signale généralement une exploitation à distance, peu complexe et à très fort impact. Toutefois, le score seul ne dit pas tout. Seule la lecture de l’avis de l’éditeur permet de connaître les versions touchées. Elle indique aussi les correctifs disponibles.

Du côté de Cisco, la vulnérabilité ajoutée au catalogue vise un pare-feu. Elle permet de provoquer un déni de service. Autrement dit, un attaquant peut rendre l’équipement indisponible ou perturber son fonctionnement.

Cet effet n’a rien d’anodin. En effet, un pare-feu qui redémarre ou se bloque peut couper l’accès à des services entiers. Il peut également créer une fenêtre favorable à d’autres actions malveillantes. Les détails exacts figurent dans l’avis de sécurité de Cisco. Il précise par exemple l’identifiant CVE et les modèles concernés.

Pourquoi le catalogue KEV compte pour les entreprises

Le catalogue KEV n’est pas réservé aux administrations américaines. Certes, il s’impose d’abord aux agences civiles fédérales. Elles doivent corriger les failles listées avant une échéance fixée par la CISA. Néanmoins, son intérêt dépasse largement ce cadre.

De nombreuses entreprises l’utilisent comme outil de priorisation. Les équipes de sécurité font face à des milliers de CVE chaque année. Il est donc impossible de tout corriger en même temps. Le critère « exploitée activement » aide à trier l’urgent de l’important.

Ce critère est souvent plus pertinent que le score CVSS seul. Par exemple, une faille notée 7,5 mais exploitée massivement peut être plus dangereuse. Elle peut l’être davantage qu’une faille notée 9,0 sans exploitation connue. Ici, les deux critères se rejoignent pour GitLab. La gravité est maximale et l’exploitation est confirmée.

Par ailleurs, l’ajout au catalogue envoie un signal clair. Les attaquants ont déjà intégré ces failles à leurs outils. Le temps dont disposent les défenseurs se réduit donc rapidement.

Recommandations : que faire dès maintenant ?

D’abord, identifiez les systèmes concernés. Recensez vos instances GitLab, qu’elles soient en Community Edition ou en Enterprise. Faites de même pour vos pare-feu Cisco. Un inventaire à jour reste la base de toute réponse rapide.

Ensuite, consultez les avis de sécurité officiels de GitLab et de Cisco. Vérifiez les versions vulnérables et appliquez les correctifs publiés. Si une mise à jour immédiate est impossible, cherchez les mesures d’atténuation proposées par l’éditeur.

Enfin, cherchez des signes de compromission. Une faille exploitée avant son correctif peut avoir laissé des traces. Voici quelques pistes :

• examinez les journaux d’accès et d’erreurs de vos instances GitLab ;
• repérez les redémarrages ou plantages anormaux de vos pare-feu ;
• vérifiez les comptes, jetons et clés d’accès créés récemment ;
• limitez l’exposition sur Internet des interfaces d’administration.

Ce qu’il faut retenir

La CISA a ajouté deux failles Cisco et GitLab à son catalogue KEV, car elles sont exploitées activement. La vulnérabilité CVE-2026-97229 affecte GitLab CE et EE et atteint un CVSS de 10,0. En revanche, la faille Cisco permet un déni de service sur un pare-feu.

La priorité est simple : inventorier, corriger, puis surveiller. Par conséquent, plus le délai s’allonge, plus le risque augmente.

Source : CISA Adds Actively Exploited GitLab RCE and Cisco Firewall DoS Flaws to KEV