CISA KEV : SimpleHelp et MagicINFO exploités (4 ajouts)

Ce qui s'est passé

Le 25 avril 2026, la CISA a inscrit quatre nouvelles vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV), invoquant des preuves d'exploitation active en environnement réel. Au cœur de cet ajout CISA KEV SimpleHelp figure CVE-2024-57726 (CVSS 9.9), un défaut d'autorisation affectant la solution de prise en main à distance SimpleHelp RMM : un technicien disposant de privilèges limités peut y créer des clés API aux droits excessifs, puis élever ses permissions jusqu'au niveau administrateur du serveur. Exploitée en chaîne avec d'autres failles SimpleHelp, elle ouvre la voie au déploiement de rançongiciels chez les clients gérés via l'outil. La liste inclut également une vulnérabilité critique de Samsung MagicINFO 9 Server, plateforme d'affichage dynamique visée par des campagnes opportunistes. Les agences fédérales américaines disposent de trois semaines pour appliquer les correctifs ; les entreprises privées ont tout intérêt à suivre le même calendrier.

Les trois vulnérabilités SimpleHelp sont corrigées dans la version 5.5.8 et ultérieures, publiée par l'éditeur en début d'année 2025. Pour les D-Link DIR-823X, le matériel n'étant plus supporté, CISA recommande purement et simplement le remplacement. La deadline fédérale fixée au 8 mai 2026 ne s'applique stricto sensu qu'aux agences gouvernementales américaines, mais le KEV sert de référence opérationnelle pour les RSSI partout dans le monde.

Pourquoi c'est important

Les solutions RMM comme SimpleHelp sont des cibles privilégiées : compromettre une console RMM revient à compromettre tous les postes qu'elle supervise, parfois plusieurs centaines pour un seul MSP. Les opérateurs ransomware l'ont compris, et la chaîne d'attaque DragonForce documentée ces derniers mois confirme une industrialisation de ce vecteur. Pour les MSP français qui utilisent SimpleHelp, l'urgence est double : appliquer la 5.5.8 sans délai, et auditer les clés API existantes pour repérer celles qui auraient été créées par un compte technicien standard avec des permissions élargies.

Les administrations soumises à la directive NIS2 doivent par ailleurs intégrer ces CVE à leur registre de vulnérabilités exploitées et notifier les autorités le cas échéant. La présence simultanée de quatre CVE actives sur des produits aussi disparates (RMM, signage numérique, routeur SOHO) illustre le constat de l'ANSSI sur l'élargissement de la surface d'attaque exploitée par les groupes affiliés ransomware.

Ce qu'il faut retenir

• Quatre CVE ajoutées au KEV CISA le 25 avril 2026, toutes exploitées en conditions réelles.
• SimpleHelp 5.5.7 et antérieurs sont la priorité absolue : passer en 5.5.8 immédiatement.
• D-Link DIR-823X étant en fin de vie, seul le remplacement protège contre CVE-2025-29635.

Un précédent qui n'est pas isolé

Ce n'est pas la première fois que SimpleHelp figure au catalogue KEV. En janvier 2025, CISA avait déjà ajouté trois autres failles de la même solution RMM (CVE-2024-57727, CVE-2024-57728 initiale et CVE-2024-57726 dans une première itération), exploitées par les groupes ransomware Fog et Akira contre des fournisseurs de services managés nord-américains. La récurrence de SimpleHelp dans les campagnes d'intrusion illustre une tendance structurelle : les outils RMM, conçus pour offrir un accès distant privilégié à des dizaines voire des centaines de postes clients, constituent un point de bascule unique pour les attaquants. Selon les données publiées par Sophos X-Ops, l'exploitation de consoles RMM mal segmentées représente désormais l'un des trois principaux vecteurs d'accès initial observés dans les incidents traités par leur équipe de réponse en 2026, aux côtés du phishing et de l'exploitation de VPN d'entreprise.

Le cas Samsung MagicINFO mérite également un éclairage sectoriel. Cette plateforme pilote des parcs d'affichage dynamique déployés dans le commerce de détail, les transports et les halls d'entreprise — des environnements où les serveurs de gestion sont souvent exposés sans segmentation stricte vis-à-vis du réseau bureautique. Une exploitation réussie de CVE-2024-7399 permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le serveur, ouvrant la voie à l'exécution de code à distance et, potentiellement, à un rebond vers le système d'information central. CISA avait déjà classé une autre vulnérabilité MagicINFO au KEV en 2024, ce qui porte à deux le nombre de failles critiques touchant ce produit en moins de dix-huit mois.

Des routeurs D-Link en fin de vie, cibles récurrentes de botnets

Le cas du DIR-823X illustre un problème distinct mais tout aussi préoccupant : l'exploitation de matériel réseau grand public en fin de support. CVE-2025-29635 permet une injection de commande à distance sans authentification, un profil de vulnérabilité historiquement prisé par les opérateurs de botnets IoT de type Mirai ou Gafgyt pour constituer des réseaux de machines compromises utilisés dans des attaques par déni de service distribué. D-Link ayant confirmé qu'aucun correctif ne serait publié pour ce modèle, les organisations et particuliers encore équipés doivent considérer l'appareil comme définitivement compromis en cas d'exposition sur Internet et procéder à son remplacement immédiat plutôt qu'à une simple mise à jour de firmware.

Au-delà du seul patch management, les experts recommandent trois mesures complémentaires pour les environnements exposant des consoles RMM : l'activation systématique de l'authentification multifacteur sur les comptes techniciens, la restriction de l'accès aux interfaces d'administration via liste blanche d'adresses IP ou VPN dédié, et la surveillance des créations de clés API ou de comptes à privilèges élevés, signal faible caractéristique de l'exploitation de CVE-2024-57726. Pour les parcs MagicINFO, un audit de l'exposition réseau des serveurs de gestion vis-à-vis d'Internet constitue un préalable indispensable, ces systèmes n'ayant généralement pas vocation à être accessibles publiquement.