Le 8 octobre 2026, la CISA a ajouté cinq CVE anciennes à son catalogue KEV, toutes avec une échéance au 11 octobre. La plus vieille date de 2015, la plus récente de 2023. Aucune n'est nouvelle, et c'est précisément ce qui doit retenir ton attention.
Le catalogue KEV ne liste pas les failles dangereuses en théorie. Il liste celles pour lesquelles la CISA dispose de preuves d'exploitation active. Une CVE de 2015 qui y entre aujourd'hui, c'est le signe que des attaquants la trouvent encore exploitable quelque part. Autrement dit : des serveurs non patchés depuis dix ans répondent toujours sur Internet.
| CVE | Produit | Nature (fiche KEV) | Ajout KEV | Échéance |
|---|---|---|---|---|
| CVE-2015-3306 | ProFTPD | Contrôle d'accès défaillant (mod_copy) | 2026-10-08 | 2026-10-11 |
| CVE-2021-3199 | ONLYOFFICE Docs | Traversée de chemin, RCE possible | 2026-10-08 | 2026-10-11 |
| CVE-2023-22894 | Strapi | Stockage en clair d'informations sensibles | 2026-10-08 | 2026-10-11 |
| CVE-2016-3081 | Apache Struts | Injection de commande (DMI) | 2026-10-08 | 2026-10-11 |
| CVE-2015-5477 | ISC BIND | Déni de service via requêtes TKEY | 2026-10-08 | 2026-10-11 |
L'export utilisé pour cet article ne fournit ni score CVSS ni bornes de versions pour ces cinq CVE. Je n'en cite donc pas : consulte la fiche NVD et l'avis de chaque éditeur pour la version à installer.
ProFTPD — CVE-2015-3306
Le module mod_copy de ProFTPD ajoute des commandes de copie de fichiers côté serveur. La faille permet à un attaquant distant de lire et écrire des fichiers arbitraires via ces commandes, d'après la fiche KEV. Écrire un fichier dans la racine d'un serveur web hébergé sur la même machine suffit à obtenir de l'exécution de code.
Où chercher : vieilles appliances, NAS, serveurs d'hébergement mutualisé, images de distributions jamais mises à jour.
Mitigation : mettre à jour ProFTPD selon l'avis du projet, et désactiver mod_copy s'il n'est pas utilisé — c'est rarement le cas. Mieux encore : se demander si ce FTP doit encore exister.
ONLYOFFICE Docs — CVE-2021-3199
La fiche KEV décrit une traversée de chemin dans ONLYOFFICE Docs, déclenchable quand JWT est utilisé, via un paramètre de téléversement d'image, et pouvant mener à de l'exécution de code à distance.
Où chercher : serveurs de documents installés pour une suite collaborative (souvent couplés à Nextcloud ou à une GED) et jamais mis à jour depuis.
Mitigation : mettre à jour ONLYOFFICE Docs selon l'avis éditeur, et ne pas exposer le serveur de documents directement sur Internet s'il n'a vocation qu'à servir un intranet.
Strapi — CVE-2023-22894
CMS headless très répandu. La fiche KEV décrit un stockage en clair d'informations sensibles : un attaquant ayant accès au panneau d'administration peut découvrir des données utilisateurs sensibles via les filtres de requête. Deux mentions de la CISA changent la lecture :
- la faille peut être chaînée avec CVE-2023-22621 pour obtenir une exécution de code à distance ;
- les produits concernés pourraient être en fin de vie (EoL/EoS), et la CISA recommande d'en cesser l'usage ou de migrer vers une version supportée.
Mitigation : migrer vers une version de Strapi supportée par l'éditeur, traiter CVE-2023-22621 en même temps, restreindre le panneau /admin aux réseaux d'administration et faire tourner les secrets et jetons d'API de l'instance.
Apache Struts — CVE-2016-3081
Une injection de commande exploitable à distance quand la fonctionnalité Dynamic Method Invocation (DMI) est activée, selon la fiche KEV. Struts équipe beaucoup d'applications Java internes de la décennie 2010 : intranets, portails métiers, outils fournis par des intégrateurs.
Où chercher : applications Java anciennes, souvent embarquées dans un produit tiers. La bibliothèque Struts est dans le WAR, pas forcément dans ton inventaire logiciel.
Mitigation : mettre à jour Struts selon l'avis Apache, et désactiver DMI dans la configuration de l'application si elle ne s'en sert pas. Si l'application vient d'un éditeur, lui demander une version corrigée.
ISC BIND — CVE-2015-5477
Un défaut de traitement des requêtes TKEY permet à un attaquant distant de provoquer un déni de service, c'est-à-dire l'arrêt du serveur DNS. Pas d'exécution de code, mais un DNS qui tombe, c'est tout ce qui en dépend qui tombe avec : messagerie, authentification, résolution interne.
Où chercher : serveurs DNS faisant autorité sur de vieilles distributions, appliances réseau qui embarquent BIND, résolveurs internes oubliés.
Mitigation : mettre à jour BIND selon l'avis ISC, et vérifier que les résolveurs récursifs ne sont pas ouverts à Internet.
Détection commune
- Inventaire réel : scanner tes plages exposées pour ces cinq services, pas seulement consulter la CMDB. Les instances oubliées sont précisément celles qui n'y figurent pas.
- Fichiers récents dans les arborescences web ou FTP sans déploiement correspondant
- Processus enfants inattendus des serveurs Java (Struts) ou du serveur de documents
- Redémarrages inexpliqués du service DNS
- Connexions au panneau d'administration Strapi depuis des adresses inhabituelles
Mitigation, par ordre de priorité
- Recenser toutes les instances de ces cinq produits, internes comme exposées.
- Mettre à jour ou retirer : pour une CVE de 2015 encore présente, la question est souvent de savoir pourquoi le service existe encore.
- Couper l'exposition des interfaces qui n'ont pas à être publiques (admin Strapi, FTP, serveur de documents).
- Désactiver les fonctionnalités inutiles : mod_copy pour ProFTPD, DMI pour Struts.
- En cas d'exploitation suspectée : traiter la machine comme compromise et faire tourner les secrets qu'elle détient.
Pourquoi surveiller en continu votre parc, même ancien
Ces cinq CVE sont corrigées depuis des années. Si elles sont exploitées aujourd'hui, c'est que l'inventaire a perdu de vue certaines machines. Une veille qui ne regarde que les nouvelles CVE rate ce cas : il faut aussi croiser les ajouts KEV avec ce qui tourne réellement.
Avec cveo.tech, déclare ton parc avec ses versions, y compris les vieux serveurs, et reçois une alerte dès qu'une CVE qui le concerne entre au catalogue KEV.