La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté trois vulnérabilités activement exploitées à son catalogue des vulnérabilités exploitées connues (KEV) : des failles affectant Langflow, Apache Tomcat et N-central. Le catalogue KEV existe précisément pour signaler les brèches de sécurité que les attaquants exploitent déjà à l’état sauvage, et cette dernière fournée ne fait pas exception. Pour ajouter à l’intrigue, les chercheurs de l’Unité 42 de Palo Alto Networks ont relié l’une des campagnes d’exploitation à un agent de piratage qui serait propulsé par DeepSeek, le modèle d’IA chinois qui a attiré l’attention en raison de son adoption rapide dans des cas d’usage aussi bien légitimes que malveillants.

Pour les internautes ordinaires, les ajouts au catalogue KEV peuvent ressembler à du jargon d’initié. Ce n’est pourtant pas le cas. Ces entrées concernent directement les logiciels qui font tourner les sites web, les outils de gestion à distance et les plateformes d’IA sur lesquels les entreprises et les prestataires de services s’appuient pour protéger vos données. Lorsque des attaquants exploitent ces systèmes avant l’application des correctifs, les conséquences retombent souvent sur les personnes dont les informations étaient censées être protégées par ces mêmes systèmes.

Trois nouvelles entrées dans le catalogue KEV de la CISA

Chacune des trois failles désormais signalées par la CISA se situe dans un coin différent de l’écosystème logiciel, ce qui rend cette mise à jour d’autant plus notable. Langflow est une plateforme open source utilisée pour construire des flux de travail d’agents IA, une catégorie de logiciels qui a explosé en popularité à mesure que les entreprises se précipitent pour déployer des outils d’IA en interne. Apache Tomcat est un serveur web et un conteneur de servlets largement utilisé qui sous-tend d’innombrables applications Java dans les entreprises et les agences gouvernementales. N-central est une plateforme de surveillance et de gestion à distance (RMM) utilisée par les prestataires de services informatiques pour administrer les réseaux clients à distance, ce qui signifie qu’une seule instance compromise peut potentiellement exposer de nombreuses organisations en aval en même temps.

En vertu d’une directive fédérale, les agences soumises à la Directive opérationnelle contraignante de la CISA sont tenues de corriger les vulnérabilités répertoriées dans le catalogue KEV dans un délai imparti, ce qui reflète le sérieux avec lequel le gouvernement traite une exploitation active confirmée. Les organisations privées ne sont pas liées par le même mandat, mais les équipes de sécurité considèrent largement les entrées KEV comme un signal fort pour prioriser les correctifs immédiats plutôt que d’attendre un cycle de mise à jour de routine.

Ce n’est pas la première fois que la CISA réagit rapidement pour signaler une faille déjà utilisée par des attaquants réels. La divulgation de la faille d’accès root Linux publiée par l’agence plus tôt cette année a suivi un schéma similaire : une vulnérabilité découverte, militarisée et ajoutée au KEV en un temps record, soulignant à quel point la fenêtre entre la divulgation et l’exploitation s’est réduite dans l’ensemble de la chaîne d’approvisionnement logicielle.

Un agent de piratage propulsé par DeepSeek entre en scène

Ce qui distingue cette série de divulgations, c’est la découverte par l’Unité 42 que l’une des campagnes d’exploitation semble être pilotée par un agent de piratage IA construit sur DeepSeek. L’outillage d’attaque assisté par IA n’est pas un concept nouveau, mais un cas documenté reliant une campagne d’exploitation spécifique répertoriée au KEV à un modèle d’IA nommé constitue un point de données significatif. Cela suggère que l’automatisation que les attaquants utilisent pour trouver, militariser et déployer des exploits contre des systèmes vulnérables comme les instances Langflow devient rapidement plus mature.

La conséquence pratique est la vitesse. L’outillage assisté par IA peut aider les attaquants à identifier les instances de logiciels exposées sur Internet, comme Langflow ou Tomcat, beaucoup plus rapidement qu’une reconnaissance manuelle ne le pourrait jamais, réduisant ainsi la fenêtre déjà étroite dont disposent les défenseurs pour appliquer les correctifs avant que l’exploitation ne commence.

Pourquoi les failles activement exploitées comptent pour la vie privée

Le lien direct entre les vulnérabilités d’infrastructure et la vie privée est facile à négliger, mais il est bien réel. Les serveurs Tomcat et les plateformes RMM comme N-central se trouvent souvent au cœur des systèmes qui stockent ou transmettent des données clients, des identifiants de connexion aux dossiers financiers. Les instances Langflow, quant à elles, sont de plus en plus utilisées pour construire des applications d’IA qui traitent des données sensibles des utilisateurs, depuis les demandes de service client jusqu’aux données métier internes. Une exécution de code à distance réussie ou un accès non autorisé à l’un de ces systèmes peut donner aux attaquants un point d’ancrage pour se déplacer latéralement, exfiltrer des données ou déployer un ransomware, transformant une vulnérabilité technique en un incident de confidentialité touchant bien plus de personnes que l’organisation initialement ciblée.

Ce que cela signifie pour vous

La plupart des lecteurs ne vont pas corriger personnellement un serveur Tomcat ou un déploiement N-central, mais les effets en cascade de ces vulnérabilités peuvent tout de même vous atteindre. Si vous utilisez des services construits sur les plateformes concernées – qu’il s’agisse du portail client d’une entreprise, d’un outil de support dopé à l’IA ou d’un prestataire informatique qui gère le réseau de votre organisation –, une brèche en amont peut exposer vos données en aval. Il vaut la peine de prêter attention aux notifications de violation de la part des services que vous utilisez et de traiter toute demande de réinitialisation de mot de passe inattendue ou toute alerte d’activité de compte avec une prudence accrue dans les semaines qui suivent une nouvelle de ce type.

Mesures concrètes à prendre

Si vous gérez une infrastructure informatique, appliquez immédiatement en priorité les correctifs sur toutes les instances Langflow, Tomcat ou N-central, et consultez directement le catalogue KEV de la CISA pour connaître les entrées spécifiques et les échéances de correction. Si vous êtes un utilisateur général, surveillez les divulgations de violations des entreprises dont vous dépendez, activez l’authentification multifacteur partout où elle est proposée et considérez ceci comme un rappel que les logiciels qui tournent discrètement en coulisses de vos services préférés ont une ligne directe avec vos données personnelles. Se tenir informé des mises à jour KEV comme celle-ci est une petite habitude qui porte ses fruits lorsque la prochaine faille activement exploitée fera la une des journaux.