CVE-2026-119314 : Tenable Identity Exposure CVSS 9.9, SYSTEM sur contrôleur de domaine

Les faits

Le 2 novembre 2026, le CERT-FR (rattaché à l'ANSSI) a publié l'avis CERTFR-2026-AVI-1436 concernant plusieurs vulnérabilités dans Tenable Identity Exposure, dont l'une atteint un score CVSS 3.1 de 9,9 sur 10 — un niveau de criticité rarement observé dans les outils de gestion d'identité. Cette faille, référencée CVE-2026-119314, a été découverte par le chercheur en sécurité Takumi Ito et signalée à Tenable, qui a publié ses correctifs le 30 octobre 2026.

La vulnérabilité réside dans le composant Active Directory Events Listener de Tenable Identity Exposure. Il s'agit d'une injection de commandes (CWE-78) qui permet à un attaquant disposant de privilèges faibles sur la plateforme d'exécuter des commandes arbitraires du système d'exploitation. Le résultat est immédiat et dévastateur : l'exécution se fait avec les droits SYSTEM sur le contrôleur de domaine principal (PDCe — Primary Domain Controller emulator), l'une des cibles les plus critiques d'une infrastructure Active Directory.

Les scores confirment la gravité : CVSS 3.1 Base Score 9,9 / Temporal Score 8,9 ; CVSSv4 Base Score 9,4. Ces valeurs reflètent à la fois la facilité d'exploitation (authentification faible suffisante, pas d'interaction utilisateur requise) et l'impact maximal sur la confidentialité, l'intégrité et la disponibilité du système cible.

Les versions affectées par CVE-2026-119314 sont Tenable Identity Exposure 3.93.5 et antérieures (branche 3.93.x), ainsi que 3.77.17 et antérieures (branche 3.77.x). Les versions corrigées sont respectivement 3.93.6 et 3.77.18. L'Agence nationale italienne (ACN) a confirmé ces plages de versions dans son propre avis de sécurité.

Outre CVE-2026-119314, le même avis CERT-FR couvre deux autres vulnérabilités dans la même suite. Une deuxième injection de commandes dans l'Active Directory Events Listener, CVE-2026-106126, affecte la version SaaS de Tenable Identity Exposure et atteint également un score CVSS 3.1 de 9,9. Elle est corrigée dans la version SaaS 3.126.0, publiée dans le cadre de l'advisory TNS-2026-27 de Tenable. Une troisième vulnérabilité, de moindre sévérité, complète l'avis.

Un point opérationnel critique mérite une attention particulière : Tenable précise que la simple mise à jour des versions logicielles ne suffit pas. Le composant IOA (Indicators of Attack) utilisé pour la surveillance Active Directory doit être désinstallé et réinstallé après la mise à jour. Les équipes qui se contenteraient d'appliquer le patch sans cette étape supplémentaire resteraient exposées. Cela complexifie le déploiement du correctif dans les environnements de production où la continuité de la supervision AD est critique.

À ce stade, Tenable et le CERT-FR n'ont pas confirmé de preuve d'exploitation active (PoC public ou campagne observée) de CVE-2026-119314. Cependant, la combinaison d'un CVSS 9,9 et d'une cible aussi attractive que le contrôleur de domaine justifie une prise en charge en urgence, sans attendre la confirmation d'exploitation.

Le contexte est particulièrement préoccupant : Tenable Identity Exposure est précisément l'outil que les équipes sécurité utilisent pour surveiller et protéger leur Active Directory. Un attaquant qui compromet cet outil ne se contente pas de prendre le contrôle du PDCe — il aveugle également l'équipe SOC qui s'appuyait dessus pour détecter les attaques AD. C'est un scénario de double peine : compromission maximale du domaine combinée à perte de visibilité défensive.

Impact et exposition

Tenable Identity Exposure est déployé dans de nombreuses grandes entreprises, administrations et opérateurs d'importance vitale (OIV) qui l'utilisent pour surveiller les indicateurs de compromission Active Directory en temps réel. Toute organisation utilisant une version vulnérable (branche on-premise 3.93.x avant 3.93.6 ou 3.77.x avant 3.77.18, ou version SaaS avant 3.126.0) est exposée.

L'impact potentiel est maximal : compromettre le PDCe dans un domaine Active Directory revient à obtenir les clés du royaume. Un attaquant avec SYSTEM sur le contrôleur de domaine peut extraire tous les hachages de mots de passe (DCSync), modifier les stratégies de groupe, créer des comptes administrateurs, installer des portes dérobées persistantes et neutraliser toute la chaîne de défense. Il est extrêmement difficile de récupérer un domaine AD après une telle compromission sans reconstruction complète.

Recommandations

• Mettre à jour immédiatement vers Tenable Identity Exposure 3.93.6 (branche 3.93.x) ou 3.77.18 (branche 3.77.x) ; pour SaaS, vérifier que la version 3.126.0 est active
• Réinstaller le composant IOA après la mise à jour — étape obligatoire précisée par Tenable, à ne pas omettre
• Vérifier les journaux d'accès à l'Active Directory Events Listener pour identifier toute activité suspecte antérieure au patch
• Isoler temporairement l'accès réseau au composant Events Listener si la mise à jour immédiate n'est pas possible
• Consulter l'avis CERTFR-2026-AVI-1436 sur le site du CERT-FR pour les mises à jour ultérieures