Ouverture · Vulnérabilités
Quatre nouvelles entrées au catalogue KEV, et la seule qui compte concerne sshd
La CISA a ajouté d'un seul coup GPUStack, OpenSSH, FreeSwitch et IBM Aspera Faspex au catalogue des vulnérabilités connues et exploitées (KEV) ; la faille d'OpenSSH est exploitée en ce moment même.
Le lot est tombé en bloc : CVE-2026-102895 dans GPUStack, une faille d'authentification défaillante qui, selon la CISA, permet un accès administrateur sans authentification, la création persistante de clés d'API d'administrateur, la divulgation de secrets des nœuds de calcul et des fournisseurs cloud, ainsi que l'exécution de code via POST /v2/inference-backends/ ; CVE-2026-123158 dans OpenSSH d'OpenBSD sous Linux, une faille de code d'état ou de valeur de retour inattendu permettant de contourner l'authentification ; CVE-2026-116779 dans SignalWire FreeSwitch, une injection de code permettant la divulgation de configurations et d'identifiants, le contrôle arbitraire des appels et l'exécution de commandes ; et CVE-2026-123218 dans IBM Aspera Faspex, une faille d'autorisation incorrecte permettant l'élévation de privilèges. Par ailleurs, la CISA a signalé un contournement de l'authentification multifacteur de SonicWall SonicOS, qui aurait pu, selon elle, être exploité dans des attaques réelles.
Les scores EPSS des quatre failles se situent entre 0.00331 et 0.01299, ce qui est la manière statistique de dire : probablement pas vous. Le KEV, lui, est une tout autre phrase. Deux médias rapportent que la faille d'OpenSSH, désormais surnommée SSHole, est activement exploitée pour exécuter des commandes, voler des identifiants et établir un accès persistant ; les premières tentatives sont attribuées à des botnets et à des mineurs de cryptomonnaies, et l'on s'attend à ce que des acteurs mieux financés suivent. Ce matin, une prévision et une photographie se contredisaient, et c'est la photographie qui l'emporte.
L'entrée GPUStack mérite deux lectures. Il s'agit d'un accès administrateur sans authentification à l'outil qui ordonnance vos charges de travail de modèles, y compris les secrets des fournisseurs cloud qu'il détient en votre nom ; un suivi de KEV lui attribue un CVSS de 9.8, exploitable par le réseau, sans connexion ni clic. Nous avons passé trois ans à débattre pour savoir si l'IA était un problème de sécurité, puis nous lui avons discrètement offert un plan de contrôle doté d'un contournement d'authentification. Maureen note, à juste titre, que personne n'a encore décidé si le cluster de GPU entrait dans le périmètre du rapport trimestriel de correctifs, car, lors de son acquisition, il avait été présenté comme de la recherche.
Pourquoi c'est importantOrdre de correction aujourd'hui : sshd sur tout ce qui est exposé à Internet, puis la couche d'orchestration des GPU pour laquelle personne n'a rédigé de procédure, puis Faspex et FreeSwitch.