Vieilles failles de 2015 encore exploitées : le tableau des 6 ajouts au catalogue CISA
Entre le 4 et le 8 octobre 2026, l’agence américaine de cybersécurité CISA a ajouté six failles à son catalogue des failles activement exploitées (KEV). Une seule est récente (Citrix NetScaler, CVE-2026-88779). Les autres ont entre 3 et 11 ans, dont trois datent de 2015 et 2016. Ces vieilles failles ont des correctifs depuis une décennie… et les pirates les utilisent encore aujourd’hui, parce que ça fonctionne.
6
failles ajoutées au catalogue KEV en 5 jours
3
datent de 2015 ou 2016
11 ans
l’âge de la plus vieille (ProFTPD)
29 oct.
date limite fixée aux agences fédérales américaines
CISA n’inscrit une faille dans ce catalogue que lorsqu’elle a la preuve d’une exploitation réelle. Autrement dit, des serveurs non corrigés depuis 2015 existent encore en assez grand nombre pour valoir la peine d’être attaqués.
Le tableau : quelle faille, quel âge, quel risque
| Produit | Faille | Année | Ce qu’un pirate peut faire | Quoi faire |
|---|---|---|---|---|
| ProFTPD (serveur FTP) | CVE-2015-3306 | 2015 (11 ans) | Écrire des fichiers sur le serveur sans mot de passe, puis y déposer une porte dérobée | Mettre à jour ou désactiver le module mod_copy; mieux : remplacer le FTP par SFTP |
| ISC BIND (serveur DNS) | CVE-2015-5477 | 2015 (11 ans) | Faire planter le DNS avec un seul paquet : plus de courriel ni de sites internes | Mettre à jour vers une version supportée |
| Apache Struts 2 (applications web Java) | CVE-2016-3081 | 2016 (10 ans) | Exécuter des commandes à distance sur l’application | Mettre à jour et désactiver l’option DMI, ou retirer l’application |
| ONLYOFFICE Docs (édition de documents) | CVE-2021-3199 | 2021 (5 ans) | Lire ou écrire des fichiers hors du dossier prévu | Mettre à jour vers la version 6.1 ou plus récente |
| Strapi (gestion de contenu) | CVE-2023-22894 | 2023 (3 ans) | Divulguer des informations sensibles du panneau d’administration | Mettre à jour, changer les secrets, activer l’authentification multifacteur |
Pourquoi une PME devrait s’en soucier
Ces logiciels se cachent souvent là où on ne regarde plus : le serveur FTP installé « temporairement » pour un client en 2016, le vieux serveur DNS dans le placard, l’application web d’un fournisseur jamais mise à jour, ou un appareil réseau qui intègre ces composants. Personne ne s’en occupe, donc personne ne le corrige. C’est exactement ce que les robots des pirates cherchent en balayant Internet.
Même logique que pour les appareils en bordure de réseau comme la faille SonicWall SMA1000 ou FortiBleed : ce qui est exposé à Internet doit être inventorié et mis à jour en priorité.
La liste à cocher cette semaine
Inventaire des vieux systèmes exposés
- ☐ Lister tout ce qui est accessible depuis Internet : pare-feu, VPN, FTP, DNS, applications web, NAS.
- ☐ Pour chaque élément, noter la version et la date de la dernière mise à jour.
- ☐ Repérer les produits en fin de vie (plus de correctifs) et planifier leur remplacement.
- ☐ Fermer ce qui ne sert plus, surtout le vieux FTP « temporaire ».
- ☐ Ajouter les mises à jour au calendrier mensuel, avec une personne responsable.
- ☐ Activer une surveillance automatisée 24/7 avec intervention du technicien de garde pour détecter les tentatives.
Besoin d’aide pour les mises à jour ? Voyez notre service de gestion des serveurs et nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Vous ne savez pas ce qui est visible de votre PME sur Internet ? Notre Bilan cyber gratuit repère les services exposés et les logiciels désuets, et vous remet un plan clair, sans jargon.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Security Arsenal — CISA KEV Flash: 6 CVEs added (Oct 10, 2026) (en anglais)
- CISA — Known Exploited Vulnerabilities Catalog (en anglais)
Photo : Sora Shimazaki, Pexels (licence Pexels).