Six failles exploitées : trois jours pour NetScaler et SQL Server

Le 26 août 2026, la CISA a ajouté six vulnérabilités exploitées à son catalogue Known Exploited Vulnerabilities (KEV). NetScaler CVE-2026-8452 et Microsoft SQL Server CVE-2019-1068 ont reçu l’échéance fédérale la plus courte, fixée au 29 août : trois jours pour sécuriser les systèmes concernés.

Au 30 août, ce premier délai est passé pour les agences civiles fédérales américaines soumises aux directives de la CISA. Le relevé des six entrées KEV fixe au 9 septembre l’échéance des quatre autres failles : Ajax.NET Professional CVE-2021-23758, Linux CVE-2022-0995 et les vulnérabilités Red Hat CVE-2015-5287 et CVE-2015-3246.

NetScaler et SQL Server concentraient l’échéance immédiate

CVE-2026-8452 affecte NetScaler ADC et NetScaler Gateway lorsque l’équipement est configuré comme Gateway — notamment pour SSL VPN, ICA Proxy, CVPN ou RDP Proxy — ou comme serveur virtuel AAA. L’équipement peut alors être placé en périphérie du réseau et recevoir directement des connexions distantes, ce qui en fait la priorité la plus nette parmi les six failles lorsqu’une configuration vulnérable est exposée.

La faiblesse de gestion de mémoire avait d’abord été présentée comme susceptible de provoquer un comportement imprévisible ou un déni de service. Des recherches ultérieures ont démontré une exécution de code à distance sans authentification sur des appareils non corrigés. L’avis actualisé du Centre canadien pour la cybersécurité confirme l’exploitation de CVE-2026-8452 et répertorie les seuils corrigés : 14.1-72.61, 13.1-63.18 et 13.1-37.272 pour la branche 13.1-FIPS/NDcPP.

CVE-2019-1068 concerne le traitement de fonctions internes par Microsoft SQL Server. Son exploitation peut conduire à l’exécution de code avec les droits du compte de service du moteur de base de données. Une mise à jour existe depuis juillet 2019, mais l’ajout au catalogue KEV établit que des installations encore vulnérables sont désormais associées à une exploitation observée.

Les modalités des attaques actuelles contre SQL Server ne sont toutefois pas publiques. La qualification d’exécution de code à distance décrit l’impact de la faille, sans démontrer que toute instance est exploitable directement depuis Internet ni que son chemin d’attaque est identique à celui de NetScaler. L’exposition réseau, les restrictions d’accès et la version installée restent donc déterminantes pour départager les serveurs concernés.

Une faille web et trois chemins d’attaque locaux

Les quatre entrées assorties de l’échéance du 9 septembre ne forment pas un groupe homogène. Ajax.NET Professional peut ouvrir un chemin distant dans une application web, tandis que les vulnérabilités Linux et Red Hat supposent principalement qu’un attaquant dispose déjà d’un accès local ou de permissions sur l’hôte.

• CVE-2021-23758 — Ajax.NET Professional : la désérialisation de données non fiables peut permettre l’exécution de code à distance au moyen de classes .NET arbitraires. Les applications web anciennes utilisant AjaxPro constituent donc la priorité de ce second groupe lorsqu’elles sont exposées.
• CVE-2022-0995 — noyau Linux : une écriture hors limites dans le sous-système de notification watch_queue peut permettre à un utilisateur local d’élever ses privilèges ou de provoquer un déni de service.
• CVE-2015-5287 — Red Hat ABRT : dans les configurations affectées, un utilisateur local disposant de certaines permissions peut employer un lien symbolique et un nom de fichier prévisible pour obtenir davantage de privilèges.
• CVE-2015-3246 — Red Hat libuser : un utilisateur local peut perturber la modification de /etc/passwd, avec un risque de déni de service et, en combinaison avec les conditions nécessaires, d’élévation de privilèges.

L’ancienneté de ces CVE ne diminue pas leur statut d’exploitation connue. Elle déplace plutôt le problème vers l’inventaire : applications .NET héritées, anciennes images système et paquets maintenus hors des cycles ordinaires de reconstruction risquent de ne plus apparaître dans les files de correction courantes.

Les indicateurs publics se concentrent sur NetScaler

Les renseignements opérationnels les plus précis concernent CVE-2026-8452. La synthèse des activités observées sur NetScaler répertorie des web shells nommés x.php et z.php dans /var/vpn/theme/, l’exécution de commandes telles que id et echo, ainsi que des plantages et redémarrages répétés du processus nsppe.

Ces traces peuvent orienter une investigation, mais leur absence ne suffit pas à exclure une compromission. Les noms de fichiers peuvent changer et un redémarrage peut supprimer certains artefacts. La version installée, la présence d’une configuration Gateway ou AAA, les fichiers PHP inattendus, les journaux de requêtes et les événements du processus doivent être rapprochés.

Aucun ensemble comparable d’indicateurs publics n’a été présenté pour SQL Server et les quatre autres CVE. Cette différence ne remet pas en cause leur présence dans KEV ; elle signifie que l’identification des systèmes exposés dépend davantage de l’inventaire logiciel, des versions et de la télémétrie propre à chaque organisation.

L’exposition réelle départage les six correctifs

L’ordre de traitement qui ressort des chemins d’attaque place d’abord les NetScaler vulnérables configurés comme Gateway ou serveur virtuel AAA et accessibles depuis Internet. Viennent ensuite les instances SQL Server non corrigées atteignables depuis des réseaux non fiables, puis les applications Ajax.NET Professional exposées par HTTP ou HTTPS.

Les trois failles locales restent importantes, surtout sur un hôte où un attaquant possède déjà un compte ou un premier accès. Sans cet accès préalable, elles présentent néanmoins un chemin d’attaque moins direct que les services distants. Leur classement doit aussi tenir compte du support effectif des versions : pour un composant abandonné, le retrait ou la migration peut remplacer une mise à jour devenue indisponible.

Au 30 août, le délai fédéral de NetScaler et SQL Server est donc échu, tandis que celui des quatre autres vulnérabilités court jusqu’au 9 septembre. Les prochains éléments attendus concernent surtout les méthodes d’exploitation de CVE-2019-1068 et d’éventuels indicateurs supplémentaires ; en leur absence, l’exposition et la version installée restent les critères les plus solides pour ordonner la correction.

À lire aussi:

• Bridge Kids classé « pour enfants » : l’appel peut couper bien plus que les pubs
• Actualisation France Travail d’août : trois dates à ne pas confondre
• Gunra accélère ses attaques : les priorités pour bloquer le rançongiciel