CISA a inscrit cinq failles actives – deux dans JFrog Artifactory, une dans ConnectWise ScreenConnect et deux dans MikroTik RouterOS – au registre Known Exploited Vulnerabilities (KEV) après confirmation d’exploitation en production.
Vulnérabilités identifiées
Artifactory présente CVE-2026-42016 (CVSS 8.1) où la validation du jeton ne contrôle que la signature et l’émetteur, laissant la portée du jeton non vérifiée et ouvrant une élévation de privilèges. CVE-2026-42018 (CVSS 7.5) renvoie un jeton interne d’utilisateur anonyme à un appelant non authentifié même si l’accès anonyme est désactivé, exposant potentiellement des ressources sensibles. ScreenConnect souffre de CVE-2026-84869 (CVSS 9.9) qui autorise le transfert et l’exécution de fichiers via une session distante active sans confirmation. RouterOS comporte CVE-2026-67277 (CVSS 8.8), une absence d’authentification dans le service btest qui divulgue la mémoire du noyau et provoque un déni de service, et CVE-2026-86060 (CVSS 9.2) qui exploite une mauvaise neutralisation des délimiteurs d’arguments pour modifier le masque de politique de confiance et obtenir des privilèges élevés.
Mécanismes d’exploitation
Dans Artifactory, l’erreur de validation du jeton permet à un acteur de forger un jeton avec une portée administrative, contournant les contrôles d’accès. Le jeton anonyme retourné par CVE-2026-42018 agit comme une clé d’accès interne, facilitant la récupération de métadonnées et de dépôts protégés. ScreenConnect exploite une condition de course dans le client qui accepte des commandes de transfert de fichiers sans vérification d’identité, ce qui déclenche l’exécution de code sur le poste hôte. RouterOS, via le service btest, accepte des requêtes non authentifiées qui lisent directement la mémoire du noyau, tandis que la faille d’argumentation modifie le masque de politique, redirigeant les privilèges du système vers l’attaquant.
Impacts observés et chaînes d’attaque
Les deux failles d’Artifactory ont été combinées avec CVE-2026-82329 (CVSS 9.8) pour prendre le contrôle administratif de serveurs auto‑hébergés entre le 15 août et le 8 septembre 2026. Les acteurs ont créé des comptes administrateur persistants, injecté des plugins Groovy malveillants et déployé des backdoors écrits en Rust. ScreenConnect a servi de vecteur pour diffuser un script VBScript malveillant, selon trois incidents documentés par Huntress. MikroTik a vu l’émergence du groupe « MikroTrick », qui exploite les deux vulnérabilités RouterOS pour s’emparer de dispositifs sans authentification, compromettant la configuration réseau et provoquant des interruptions de service.
Recommandations de mitigation
Les agences fédérales doivent appliquer les correctifs d’ici le 13 septembre 2026 pour RouterOS, le 14 septembre 2026 pour ScreenConnect (version 26.6.5 ou supérieure) et le 25 septembre 2026 pour Artifactory. En attendant, les organisations devraient désactiver l’accès anonyme, restreindre les jetons aux scopes stricts, surveiller les logs de création de comptes administrateur et bloquer les transferts de fichiers non autorisés. La segmentation réseau et la mise en quarantaine des services exposés réduisent le risque de propagation d’une chaîne d’exploitation multi‑vecteur.
