CISA ajoute au KEV cinq failles vieilles de trois à onze ans, dont ProFTPD à CVSS 10.0 et EPSS 97 %
Le 8 octobre 2026, CISA ajoute à son catalogue Known Exploited Vulnerabilities cinq failles datées de 2015 à 2023 — ProFTPD, ISC BIND, Apache Struts, ONLYOFFICE et Strapi — désormais exploitées activement. L’âge d’une CVE n’est plus une excuse pour la laisser ouverte : auditez votre parc legacy avant que ces vieux bugs ne deviennent votre prochaine brèche.
8 octobre 2026. CISA met à jour son catalogue Known Exploited Vulnerabilities (KEV) et y ajoute cinq failles datées de 2015 à 2023. CVE-2015-3306. C’est la plus chaude : une faille ProFTPD vieille de onze ans, notée CVSS 10.0 avec un EPSS de 97 %. Pourquoi c’est important : ces bugs ont été oubliés par presque tout le monde, et ils sont désormais exploités activement — la preuve que les attaquants ratissent les actifs legacy que les équipes ne patchent plus.
Cinq failles, trois à onze ans d’âge
La particularité de ce lot tient à son ancienneté. Un ajout au KEV signifie que CISA a la confirmation d’une exploitation en conditions réelles. Ici, cinq vulnérabilités sorties depuis longtemps des radars reviennent sur le devant de la scène.
- CVE-2015-3306 — ProFTPD, datée de 2015. Un défaut de contrôle d’accès permet à un attaquant distant de lire et écrire des fichiers arbitraires via les commandes
site cpfretsite cpto. Notée CVSS 10.0, avec un EPSS de 97 % : c’est la plus probable d’être exploitée dans les trente jours, selon FIRST. - CVE-2015-5477 — ISC BIND, datée de 2015. Une erreur de traitement des données permet un déni de service via des requêtes TKEY. Notée CVSS 7.5, EPSS 91 %.
- CVE-2016-3081 — Apache Struts, datée de 2016. Une injection de commande via
method:prefixlorsque la Dynamic Method Invocation est activée. Notée CVSS 8.1, EPSS 93 %. - CVE-2021-3199 — ONLYOFFICE Docs, datée de 2021. Une traversée de chemin via une séquence
/..dans un paramètre d’upload d’image permet une exécution de code à distance. Notée CVSS 9.8. - CVE-2023-22894 — Strapi, datée de 2023. Un stockage en clair d’informations sensibles, chaînable avec CVE-2023-22621 pour atteindre une RCE. Notée CVSS 4.9.
Le point commun n’est pas technique mais stratégique : aucune de ces failles n’est récente, et pourtant elles sont toutes exploitées maintenant.
ProFTPD, la plus chaude du lot
CVE-2015-3306 mérite un arrêt sur image, car elle illustre à elle seule le phénomène. La faille réside dans le module mod_copy de ProFTPD, le serveur FTP très répandu sur les distributions Linux et dans les environnements d’hébergement.
Concrètement, les commandes site cpfr et site cpto permettent de copier un fichier sans authentification préalable correcte. Un attaquant qui atteint le service peut ainsi lire des fichiers sensibles — clés, mots de passe, code source — ou écrire dans des emplacements arbitraires du système de fichiers, selon les permissions du processus. Sur un serveur FTP exposé, c’est souvent un chemin direct vers la compromission.
Le score EPSS de 97 % est le signal le plus parlant. EPSS mesure la probabilité qu’une CVE soit exploitée dans les trente prochains jours, indépendamment de sa sévérité brute. Un 97 % sur une faille de 2015 signifie que les attaquants scannent activement ce service précis et disposent de l’outillage pour l’exploiter. Ce n’est plus une vulnérabilité théorique : c’est un actif sous pression.
Pourquoi CISA ajoute des bugs de 2015 en 2026
L’ajout au KEV obéit à une règle stricte : CISA n’y inscrit que des failles dont l’exploitation en conditions réelles est avérée. L’arrivée de vulnérabilités de 2015, 2016 et 2021 en 2026 raconte donc quelque chose de précis sur le paysage des menaces.
Les attaquants industrialisent la chasse aux actifs oubliés. Les services FTP hérités, les serveurs DNS non migrés, les applications Struts historiques et les instances CMS laissées en production constituent une cible de choix : ils sont rarement inventoriés, presque jamais patchés, et souvent exposés sur des plages réseau que les équipes ont cessé de surveiller. Pour un attaquant, le rapport effort/rendement est excellent.
Le corollaire est que l’âge d’une CVE n’est plus un critère de priorisation. Pendant des années, le réflexe a été de traiter d’abord les failles récentes et de reléguer les anciennes au fond de la dette. Ce lot de KEV invalide ce réflexe : une faille de 2015 avec un EPSS de 97 % doit passer devant une faille récente mais inexploitée.
Ce que ça change pour votre tri
La conséquence opérationnelle tient en trois gestes.
- Cherchez ces cinq composants dans votre parc. ProFTPD, ISC BIND, Apache Struts, ONLYOFFICE et Strapi ne sont pas des produits de niche : ils traînent souvent dans des coins oubliés de l’infrastructure. Un scan d’inventaire ciblé vaut mieux qu’une liste de correctifs à appliquer à l’aveugle.
- Priorisez par exploitation, pas par ancienneté. Un EPSS élevé sur une vieille faille signale un risque immédiat. Si vous maintenez encore un de ces services, la question n’est pas « est-ce grave ? » mais « est-ce encore joignable depuis le réseau ? ».
- Appliquer les correctifs ou retirer le service. Pour ProFTPD, BIND et Struts, les correctifs existent depuis des années ; s’ils n’ont jamais été appliqués, c’est le signal d’un actif non gouverné. Pour les produits en fin de vie, la sortie propre est la désinstallation.
Les agences fédérales américaines ont, elles, une échéance ferme : CISA impose aux FCEB de corriger les entrées du KEV dans un délai court — une pression qui explique pourquoi ce catalogue est devenu la référence de tri pour les équipes de sécurité du monde entier.
Ce que chaque correctif exige concrètement
Au-delà du tri, chaque faille appelle une réponse précise.
Pour ProFTPD, le correctif consiste à passer à une version récente du serveur ou, mieux, à désactiver mod_copy — le module fautif — et à restreindre l’accès au service derrière une authentification et un pare-feu. Un serveur FTP public en 2026 est de toute façon une anomalie : si le besoin est le transfert de fichiers, SFTP ou FTPS s’imposent.
Pour ISC BIND, la sortie est la mise à jour vers une branche supportée ; la faille TKEY étant un déni de service, l’exposition dépend surtout de la joignabilité du service DNS depuis l’extérieur. Un résolveur interne correctement cloisonné est déjà hors de portée.
Pour Apache Struts, l’enjeu est double : corriger la version, et surtout désactiver la Dynamic Method Invocation si elle traîne encore activée — c’est elle qui rend l’injection possible, et elle n’a aucune raison d’être active sur un déploiement moderne.
Pour ONLYOFFICE et Strapi, la logique est la même : mettre à jour vers la version corrigée et vérifier que l’instance n’est pas exposée publiquement. Ce sont des produits souvent déployés « en interne » sans supervision, ce qui les rend d’autant plus dangereux une fois compromis.
La leçon commune : sur ces cinq failles, le correctif existe depuis des années. Ce qui manquait n’était pas un patch, mais un inventaire.
Verdict
Si l’un de ces cinq composants tourne encore dans votre infrastructure, ne le laissez pas sous le tapis au motif qu’il s’agit de « vieilles failles » : un EPSS de 97 % sur ProFTPD et une exploitation confirmée par CISA en font un risque immédiat, pas une dette technique. Vérifiez d’abord la joignabilité depuis le réseau, puis appliquez le correctif — ou retirez le service s’il est en fin de vie. Si aucun de ces produits n’est présent chez vous, le vrai enseignement reste valable : intégrez l’EPSS et le KEV à votre tri, et réévaluez périodiquement les failles anciennes que vous avez un jour écartées — ce sont précisément elles que les attaquants exploitent aujourd’hui.