Le 9 novembre, la Cybersecurity and Infrastructure Security Agency (CISA) a ajouté à son catalogue des vulnérabilités connues et exploitées (KEV) quatre vulnérabilités activement exploitées affectant GPUStack, FreeSWITCH, OpenSSH et IBM Aspera Faspex.
Les agences fédérales civiles concernées ont jusqu’au 12 novembre pour corriger ces failles et effectuer le triage criminalistique requis. Selon l’annonce de la CISA.
Les quatre failles font l’objet d’une exploitation confirmée, même si la CISA n’a pas identifié les attaquants ni révélé le nombre d’organisations touchées. Les administrateurs doivent donner la priorité aux systèmes vulnérables et rechercher tout accès non autorisé, notamment lorsque les attaquants ont pu créer des comptes ou des identifiants qui restent valides après l’application des correctifs.
Quatre vulnérabilités exploitées ajoutées au catalogue KEV de la CISA
GPUStack : CVE-2026-102895
Les versions de GPUStack antérieures à la 2.2.0 contiennent une faille critique de contournement de l’authentification permettant à des attaquants distants d’obtenir des privilèges d’administrateur sans identifiants.
Selon l’avis de sécurité de GPUStack, l’application pouvait traiter à tort des requêtes distantes comme provenant d’un trafic local de confiance. Les attaquants pouvaient exploiter certaines configurations de proxy inverse ou manipuler l’en-tête X-GPUStack-Real-IP.
Une exploitation réussie permet aux attaquants de créer des clés d’API d’administrateur, de modifier les backends d’inférence IA, d’accéder aux identifiants cloud et d’exécuter des commandes sur les systèmes workers.
L’éditeur a documenté une attaque contre un déploiement GPUStack 2.1.1 au cours de laquelle des backends d’inférence malveillants ont servi à lancer des shells inversés.
FreeSWITCH : CVE-2026-116779
FreeSWITCH 1.11.2 et les versions antérieures contiennent une faille critique d’injection de commandes affectant le traitement des messages SIP MESSAGE.
L’avis de sécurité de SignalWire explique que des messages spécialement conçus peuvent atteindre l’interface de commandes de l’API interne de l’application.
Les attaquants capables d’envoyer un message SIP MESSAGE à un profil concerné peuvent exécuter des commandes, accéder aux fichiers de configuration et aux identifiants, ou manipuler des appels. Selon les paramètres d’authentification, l’exploitation peut nécessiter l’accès à un compte SIP.
SignalWire confirme une exploitation à grande échelle. La vulnérabilité obtient un score CVSS de 9,8 et a été corrigée dans FreeSWITCH 1.11.3.
OpenSSH : CVE-2026-123158
La vulnérabilité d’OpenSSH peut permettre de contourner l’authentification sur certains systèmes Linux utilisant musl libc sans modules d’authentification enfichables (PAM).
Les configurations concernées incluent les environnements Alpine Linux. La faille n’affecte pas toutes les installations d’OpenSSH.
L’inscription dans le catalogue KEV de la CISA confirme une exploitation active. La vulnérabilité a également été évoquée dans un récent article d’eSecurity Planet consacré au contournement de l’authentification SSH d’Alpine Linux.
Les administrateurs doivent vérifier leur distribution Linux, leur version d’OpenSSH et leur configuration d’authentification avant de déterminer leur exposition.
IBM Aspera Faspex : CVE-2026-123218
Les versions 5.0.0 à 5.0.19 d’IBM Aspera Faspex contiennent une faille critique de contournement des autorisations qui pourrait permettre aux attaquants d’obtenir tous les privilèges d’administration.
IBM attribue à la vulnérabilité un score CVSS de 9,8.
Le bulletin de sécurité d’IBM décrit une attaque impliquant un utilisateur authentifié, alors que son vecteur CVSS précise qu’aucun privilège n’est requis. Le bulletin n’explique pas cette contradiction.
IBM a corrigé la vulnérabilité dans Faspex 5.0.19 PL1. Les administrateurs doivent également vérifier l’image de conteneur faspex-core déployée.
L’ajout de la faille au catalogue KEV de la CISA confirme qu’elle a été exploitée.
Comment corriger les vulnérabilités et rechercher une compromission
L’échéance du 12 novembre fixée par la CISA s’applique aux agences fédérales civiles concernées par la Binding Operational Directive 26-04. Les organisations privées ne sont pas soumises à la même échéance, mais doivent donner la priorité aux correctifs, car les quatre vulnérabilités ont été exploitées.
Les administrateurs doivent suivre les instructions des éditeurs concernés et rechercher les signes d’une compromission éventuelle.
1. GPUStack : mettre à niveau et examiner les accès administrateur
- Passez à GPUStack 2.2.0 ou à une version ultérieure.
- En attendant l’application du correctif, activez
force_auth_localhost=true, limitez l’accès à l’API et empêchez les clients non fiables de fournir l’en-têteX-GPUStack-Real-IP. - Examinez les comptes administrateur, les clés d’API, les backends d’inférence et les configurations des workers.
- Révoquez les clés d’API non autorisées et renouvelez les identifiants cloud ou des workers potentiellement exposés.
L’avis de sécurité de GPUStack confirme que les attaquants peuvent créer des clés d’administrateur persistantes. La mise à niveau du logiciel ne révoque pas automatiquement ces identifiants.
2. FreeSWITCH : appliquer le correctif et inspecter les configurations SIP
- Passez à FreeSWITCH 1.11.3 ou à une version ultérieure.
- Vérifiez que
enable-chat-api-protoreste désactivé sur les profils SIP, sauf nécessité explicite. - Désactivez la messagerie SIP entrante avec
enable-chat=falselorsque cette fonctionnalité est inutile. - Examinez le trafic SIP MESSAGE, les modifications de configuration et toute activité suspecte des processus.
SignalWire avertit que l’authentification de MESSAGE à elle seule ne suffit pas à éliminer la vulnérabilité. Les administrateurs doivent également supprimer les comptes inutiles et examiner les profils SIP exposés.
3. OpenSSH : identifier les configurations Linux concernées
- Recherchez les installations d’OpenSSH utilisant musl libc sans PAM.
- Appliquez la mise à jour de sécurité fournie par le système d’exploitation ou le mainteneur de la distribution.
- Donnez la priorité aux services SSH exposés à Internet.
- Examinez les journaux d’authentification à la recherche de tentatives de connexion inhabituelles et de sessions réussies inattendues.
Les organisations doivent vérifier si leurs systèmes répondent aux exigences de configuration concernées, plutôt que de considérer toutes les installations d’OpenSSH comme vulnérables.
4. IBM Aspera Faspex : installer la version corrigée
- Passez à Faspex 5.0.19 PL1.
- Vérifiez que le conteneur
faspex-coreutilise la version d’image5.0.19 (1ce4b13, Fix Pack: 1). - Examinez les comptes administratifs, les changements de privilèges et toute activité inhabituelle de transfert de fichiers.
- Recherchez les modifications de configuration non autorisées ou les nouveaux comptes privilégiés.
IBM ne propose aucune solution de contournement pour cette vulnérabilité : la mise à jour de sécurité constitue donc la mesure corrective requise.
5. Préserver les éléments de preuve et vérifier la correction
La CISA exige un triage criminalistique pour les quatre entrées KEV dans le cadre de la BOD 26-04. Les administrateurs doivent préserver les journaux et les éléments système pertinents, vérifier que les mises à jour sont installées sur toutes les instances concernées et rechercher les signes d’un accès non autorisé.
Des étapes d’enquête similaires ont été recommandées après le récent contournement de l’authentification SSLVPN de SonicWall, que la CISA a ajouté à KEV le 6 novembre.
Pour les infrastructures exposées à Internet, les équipes de sécurité doivent également examiner la période précédant la disponibilité des correctifs. Une exploitation antérieure de Citrix NetScaler a obligé les administrateurs à préserver les éléments de preuve criminalistiques et à rechercher les signes de compromission parallèlement à la remédiation.
Le correctif de FreeSWITCH était disponible avant son ajout à KEV, tandis que l’exploitation documentée de GPUStack incluait la création de backends malveillants. Les systèmes exécutant des versions vulnérables ont pu être compromis avant l’émission de l’alerte de la CISA.
Les organisations doivent terminer les mises à jour, examiner les systèmes concernés à la recherche d’activités non autorisées et révoquer les identifiants ou les accès établis pendant une compromission.
À lire aussi : La CISA avait déjà ajouté sept vulnérabilités exploitées affectant des infrastructures d’IA et des logiciels d’entreprise, notamment LiteLLM, Kestra et SonicWall.