CISA ajoute 5 failles activement exploitées d’Artifactory, ScreenConnect et RouterOS à son catalogue KEV

Les 10 et 11 septembre 2026, la CISA américaine a ajouté à son catalogue KEV (Known Exploited Vulnerabilities) cinq vulnérabilités activement exploitées, réparties sur trois produits très présents dans les SI d’entreprise : le gestionnaire de dépôts d’artefacts JFrog Artifactory, l’outil de support à distance ConnectWise ScreenConnect et le système des routeurs MikroTik, RouterOS. Les trois touchent des points sensibles de l’infrastructure : la chaîne d’approvisionnement logicielle, l’accès à distance aux postes et le routeur de bordure. Les correctifs existent pour les trois. Il faut maintenant les appliquer et vérifier qu’aucune compromission n’a eu lieu avant le patch.

Les cinq vulnérabilités ajoutées

La CISA n’ajoute une faille au catalogue KEV que lorsqu’elle dispose de preuves d’exploitation active. Les agences fédérales américaines doivent alors corriger dans un délai imposé. Pour les autres organisations, le catalogue reste l’un des meilleurs signaux de priorisation disponibles.

JFrog Artifactory : du jeton anonyme au compte administrateur

Aucune des deux failles ne donne à elle seule un accès administrateur. Enchaînées, elles le permettent. CVE-2026-42018 permet à un appelant non authentifié d’obtenir un jeton JWT de l’utilisateur anonyme interne, même lorsque l’accès anonyme est désactivé. CVE-2026-42016 vient du fait qu’Artifactory vérifie la signature et l’émetteur d’un jeton, mais pas sa portée. Ce jeton peu privilégié peut alors être échangé contre un jeton de niveau administrateur.

Wiz a observé plusieurs acteurs enchaîner ces deux failles contre des instances auto-hébergées entre le 15 août et le 8 septembre 2026. Dans certains cas, un compte administrateur a été créé moins de cinq minutes après la première requête. Après l’intrusion, les attaquants ont créé des comptes administrateurs persistants, installé des plugins Groovy malveillants pour exécuter des commandes et déposé une porte dérobée écrite en Rust dotée de capacités de commande et contrôle. Une troisième faille, CVE-2026-82329, déjà ajoutée au KEV le 2 septembre, a aussi été exploitée. Nous détaillons cette campagne dans un article dédié.

ConnectWise ScreenConnect : des fichiers exécutés sans l’accord de l’hôte

Selon ConnectWise, une condition du client ScreenConnect peut permettre, dans certaines circonstances, de transférer et d’exécuter des fichiers dans une session distante active sans autorisation ni confirmation de l’hôte. Les clients antérieurs à la version 26.6.5 sont concernés. L’éditeur indique que les serveurs ne le sont pas. Le 3 septembre, avant la publication du correctif, ConnectWise recommandait de retirer la permission TransferFiles (ou TransferFilesInSession sur les anciennes versions) à chaque rôle.

Huntress a décrit des incidents où des instances ScreenConnect malveillantes, installées après ingénierie sociale, lançaient à répétition wscript.exe pour exécuter quatre scripts (1.vbs à 4.vbs). Les attaquants assuraient leur persistance par une clé de registre Run nommée WindowsServiceHost. Les clients modifiés propageaient la chaîne VBScript aux postes nouvellement connectés. Les charges observées servaient à la reconnaissance, à la persistance, à l’installation d’autres instances ScreenConnect, au tunneling, à la modification des contrôles de sécurité et au minage de cryptomonnaie. Huntress estime que CVE-2026-84869 est la faille utilisée. ConnectWise n’avait pas confirmé ce lien dans un premier temps.

MikroTik RouterOS : le SSH exposé en première ligne

Le 5 septembre 2026, CERT Polska a publié six vulnérabilités de RouterOS découvertes par ses équipes. Deux sont aujourd’hui dans le KEV :

• CVE-2026-67277 : le service btest accepte une connexion « liée » avant l’authentification de la session principale. Un client non authentifié peut ainsi lancer un test UDP qui renvoie des données non initialisées d’un tampon mémoire du noyau. Un défaut de calcul distinct peut provoquer le redémarrage du noyau.
• CVE-2026-86060 : une injection d’arguments dans le chemin de connexion SSH, avec des noms d’utilisateur commençant par un caractère interdit, permet de modifier le masque de politique de confiance et d’élever ses privilèges.

Selon Hexnode, CERT Polska a documenté une chaîne de prise de contrôle baptisée « MikroTrick », qui associe CVE-2026-86060 à CVE-2026-67276 (contournement de l’authentification SSH par clé RSA) pour obtenir un accès administrateur sans authentification sur les équipements dont le SSH est exposé. MikroTik a publié ses correctifs le 3 septembre.

Pourquoi c’est important pour votre organisation

Ces trois produits ont un point commun : ils sont placés là où un attaquant gagne le plus. Un dépôt Artifactory compromis distribue des artefacts de build et de déploiement à toute l’entreprise : c’est un risque direct pour la chaîne d’approvisionnement logicielle. Un outil RMM comme ScreenConnect permet par nature d’exécuter du code sur des postes. Un routeur de bordure contrôlé par un attaquant lui permet d’observer et de rediriger le trafic.

Le calendrier pose aussi problème. Dans les trois cas, l’exploitation a commencé avant ou juste après la publication du correctif. Un cycle de patch mensuel ne suffit pas pour ce type d’actif exposé. Et parce que les attaquants ont créé des comptes, des plugins ou des clés de registre persistants, une instance corrigée peut rester compromise.

Lecture MITRE ATT&CK

Les sources ne fournissent pas de correspondance ATT&CK. Le tableau ci-dessous est une lecture indicative de Defensy, établie à partir des comportements décrits par Wiz, Huntress et CERT Polska.

Recommandations

1. ImmédiatInventorier et corriger les trois produits

   Recensez toutes les instances Artifactory auto-hébergées, les serveurs et clients ScreenConnect et les équipements MikroTik, y compris en filiale ou chez vos prestataires. Appliquez les versions corrigées indiquées ci-dessus, en commençant par les actifs exposés sur Internet.

2. ImmédiatFermer l’exposition inutile

   Bloquez le SSH et les interfaces d’administration RouterOS depuis les réseaux non fiables, désactivez le service btest s’il n’est pas utilisé et limitez l’accès à Artifactory aux réseaux et systèmes de confiance.

3. ImmédiatScreenConnect : patch complet ou mesure de contournement

   Passez en 26.6.5, réinstallez les clients Host et mettez à jour les agents Access. Si c’est impossible, retirez la permission TransferFiles à tous les rôles, comme l’a recommandé ConnectWise.

4. Court termeRechercher les traces de compromission antérieure

   Artifactory : comptes administrateurs inconnus, jetons longue durée, plugins Groovy inattendus, fichiers dans /tmp, /dev/shm ou /var/tmp. ScreenConnect : entrées RunFiles ou RanFiles dans les journaux d’audit, processus wscript.exe lancés par le client, clé Run « WindowsServiceHost ». RouterOS : utilisateurs, scripts et modifications de configuration inconnus. Réinstallez à partir d’un support sain tout poste compromis.

5. Court termeRenouveler les secrets exposés

   Sur un Artifactory compromis, renouvelez le certificat de signature des jetons Access, les identifiants LDAP, proxy et dépôts distants, ainsi que la clé de jonction du cluster. Une mise à jour ne révoque pas une clé déjà volée.

6. Moyen termeIntégrer le KEV dans votre gestion des vulnérabilités

   Abonnez-vous aux ajouts du catalogue KEV et fixez un délai interne de correction court pour toute CVE qui y figure et touche un actif exposé. Surveillez en continu vos outils RMM et vos équipements de bordure dans le SOC.