Alerte sur quatre vulnérabilités confirmées aux États-Unis

this road floods each tide sign posted on a wooden post — Colin Hobson / Unsplash

Le Bureau américain de la cybersécurité et de la sécurité des infrastructures (CISA) a émis une alerte concernant quatre vulnérabilités qui ont été confirmées comme étant exploitées.

Le 9 novembre 2026, CISA a ajouté à son catalogue des vulnérabilités confirmées comme étant exploitées (KEV) des vulnérabilités liées à « IBM Aspera Faspex », « FreeSWITCH », « OpenSSH » et « GPUStack ».

Dans le logiciel de partage de fichiers « IBM Aspera Faspex », la vulnérabilité ciblée est un problème de traitement d'autorisation identifié par « CVE-2026-123218 ». Bien qu'une authentification soit requise pour l'exploitation, il est possible de contourner l'autorisation par le biais de messages manipulés, permettant ainsi d'acquérir des droits d'administrateur.

Pour « FreeSWITCH », utilisé dans les infrastructures de communication telles que la téléphonie IP, la vulnérabilité enregistrée est « CVE-2026-116779 ». Elle pourrait permettre l'exécution de commandes API d'administration via des requêtes « MESSAGE » SIP, entraînant la possibilité d'accéder à des informations de configuration et d'authentification, de contrôler des appels, ainsi que d'exécuter des commandes OS arbitraires.

Dans l'infrastructure de gestion des modèles d'IA « GPUStack », une attaque ciblant « CVE-2026-102895 » a été signalée, résultant d'une défaillance dans le traitement d'authentification. Cette vulnérabilité pourrait être exploitée pour contourner l'authentification via des configurations de proxy inversé spécifiques ou la falsification d'en-têtes HTTP, permettant des opérations avec des droits d'administrateur et l'accès à des informations sensibles.