Exploitées en août 2026 : 26 ajouts KEV, 18 avec un EPSS sous 1 %

Chaque mois, la CISA ajoute quelques dizaines de CVE à son catalogue des vulnérabilités exploitées (KEV). Chaque ajout est un fait, pas une prédiction : quelqu’un a été vu en train d’exploiter la vulnérabilité contre de vraies cibles. Cela fait du catalogue le meilleur contrôle disponible des scores selon lesquels les équipes trient leur file de correctifs. Voici le relevé d’août 2026, calculé depuis le catalogue CVE d’isMalicious le 3 septembre 2026. Les requêtes sont publiées pour que les chiffres se vérifient, et la liste vivante est sur /cve/kev.

Le mois en chiffres

| Mesure | Août 2026 | | ----------------------------------------------------------- | ------------------- | | CVE ajoutées au KEV | 26 | | Sans score CVSS v3 au moment de la lecture | 4 | | Sous CVSS 7,0 (élevé) | 1 sur les 22 notées | | EPSS sous 1 % | 18 | | EPSS sous 10 % | 22 | | EPSS à 50 % ou plus | 2 | | EPSS médian | 0,7 % | | Délai médian entre publication de la CVE et ajout au KEV | 8 jours | | Ajoutées dans les 3 jours suivant la publication | 12 | | Ajoutées plus de 4 ans après la publication | 3 | | Échéance fixée à 3 jours | 18 | | Échéance fixée à 14 jours | 8 | | Signalées par la CISA comme utilisées par des rançongiciels | 0 |

Ajouts par semaine : 3 (semaine du 27 juillet, débordant sur août), 4, 3, 9, 8, puis 2 le dernier jour du mois.

Constat 1 : exploitée ne veut pas dire prédite

L’EPSS est un modèle qui estime, pour chaque CVE, la probabilité qu’une activité d’exploitation soit observée dans les 30 prochains jours. Il est entraîné sur des signaux publics : code d’exploitation, avis des éditeurs, mentions, caractéristiques de la vulnérabilité. C’est le meilleur prédicteur public dont on dispose, et c’est ce que beaucoup d’outils de priorisation utilisent comme clé de tri.

Face aux ajouts KEV d’août, voici ce que cela donne : 18 sur 26 sont sous 1 %, quatre entre 1 % et 10 %, et deux seulement dépassent 50 %. La médiane est à 0,7 %. Autrement dit, une équipe qui aurait corrigé tout ce qui dépasse le seuil courant de 10 % d’EPSS aurait couvert 4 des 26 vulnérabilités que la CISA a confirmées comme exploitées ce mois-là.

Ce n’est pas tant un échec de l’EPSS qu’une question de calendrier. Une vulnérabilité toute neuve n’a ni exploit public, ni bruit, ni historique : le modèle a peu de matière. L’exploitation réelle, celle qui fait entrer une CVE au KEV, survient souvent avant que ces signaux n’apparaissent. Les deux vulnérabilités au-dessus de 50 % d’EPSS sont anciennes : CVE-2021-23758 (Ajax.NET Professional, EPSS 88 %) et CVE-2019-1068 (Microsoft SQL Server, EPSS 42 %). L’EPSS a eu des années pour les apprendre. Pour les 23 CVE publiées en 2026, le modèle notait à l’aveugle.

Lecture pratique : l’EPSS est une bonne clé de tri pour l’arriéré et une mauvaise porte pour les vulnérabilités les plus récentes. Une entrée KEV doit primer sur un score EPSS, pas être comparée à lui.

Constat 2 : la gravité n’est pas l’exploitation non plus

Sur les 22 ajouts qui portent un score CVSS v3, 21 sont élevés ou critiques. On pourrait croire que le CVSS est d’accord avec le KEV, jusqu’à regarder le taux de base : 86 991 des 106 481 CVE de notre catalogue sont à 4,0 ou plus, et 51 290 à 7,0 ou plus. Trier par CVSS place les 26 vulnérabilités exploitées quelque part dans un ensemble de cinquante mille.

Le seul ajout noté sous « élevé » mérite d’être nommé : CVE-2026-66384, un contournement de restriction de chemin dans JFrog Artifactory à CVSS 5,3, exploité en conditions réelles et assorti d’un délai de quatorze jours. Quatre autres ajouts n’avaient aucun score CVSS quand la CISA les a ajoutés, dont deux failles PaperCut NG/MF ajoutées le 31 août et une vulnérabilité du noyau Linux listée comme « non spécifiée ». Une file triée par gravité aurait laissé ces cinq-là en bas, ou hors de la liste.

Constat 3 : les échéances disent comment la CISA lit le risque

La CISA fixe, à chaque ajout, une date limite de remédiation pour les agences fédérales. En août, la répartition est de 18 ajouts à trois jours et 8 à quatorze. Trois jours est la mèche courte, appliquée quand l’agence juge le risque immédiat. Le groupe à quatorze jours comprend les trois CVE anciennes, le contournement Artifactory et les deux failles TrueConf Server.

L’échéance est le champ que demandent les requêtes datées (« CVE due date CISA »), et c’est le seul champ qui encode le jugement d’urgence de la CISA elle-même. Il figure sur chaque ligne de /cve/kev.

Constat 4 : la plupart des ajouts sont rapides, quelques-uns très tardifs

Douze des 26 ont été ajoutés dans les trois jours suivant la publication de la CVE, et huit en moins d’un jour. Ce sont des vulnérabilités divulguées parce qu’elles étaient déjà exploitées : publication et inscription au KEV arrivent ensemble. Le délai médian est de 8 jours.

La queue est longue. CVE-2026-21962 (Oracle HTTP Server, CVSS 10,0) a été ajoutée 216 jours après publication. CVE-2026-33824 (Microsoft IKE, CVSS 9,8) a attendu 103 jours. Et trois vulnérabilités de 2019, 2021 et 2022 ont été ajoutées entre 1 600 et 2 600 jours après leur publication. De vieilles vulnérabilités, graves, à fort EPSS, dans des logiciels largement déployés, continuent d’être exploitées parce qu’elles continuent de ne pas être corrigées.

Ce que cela change dans une file de correctifs

1. Traiter l’appartenance au KEV comme première clé de tri, sans discussion. Une entrée KEV à 0,3 % d’EPSS est plus urgente qu’un CVSS 9,8 sans preuve d’exploitation.
2. Utiliser l’EPSS pour ordonner le reste, en s’attendant à ce qu’il se trompe sur les divulgations de la semaine. Le relire : le score bouge quand un code d’exploitation apparaît.
3. Ne pas laisser un score CVSS absent ou moyen sortir une vulnérabilité du champ de vision. Cinq des CVE exploitées en août n’avaient pas de score, ou un score moyen.
4. Surveiller l’échéance KEV. C’est le signal d’urgence de la CISA elle-même, et il est gratuit.

Méthode

Source : le catalogue CVE d’isMalicious, qui synchronise le NVD, le flux KEV de la CISA et les scores EPSS quotidiens. Fenêtre : kevDateAdded du 2026-08-01 au 2026-08-31 inclus, UTC. Les scores sont ceux lus le 2026-09-03 ; l’EPSS en particulier bouge chaque jour, et les scores du jour de chaque ajout étaient pour la plupart encore plus bas, puisque les signaux d’exploitation s’accumulent après l’inscription. Le catalogue KEV entier comptait 1 310 entrées au moment de la lecture, dont 189 avec un EPSS sous 1 % aujourd’hui et 648 au-dessus de 50 %. Les requêtes sont dans docs/queries/kev-monthly-readout.sql du dépôt isMalicious ; la liste vivante avec les échéances est sur ismalicious.com/cve/kev, et chaque CVE ci-dessus renvoie vers sa page.