Tenable Identity Exposure : faille CVSS 9,9 sur Active Directory, réinstallation requise

Les faits

Le 2 novembre 2026, le CERT-FR a publié l'avis de sécurité CERTFR-2026-AVI-1436 portant sur trois vulnérabilités découvertes dans Tenable Identity Exposure, anciennement connu sous le nom Alsid for AD. Ce produit est un outil de surveillance et de détection des menaces pour les environnements Active Directory, largement déployé dans les grandes entreprises et les administrations françaises. La plus grave des trois vulnérabilités, CVE-2026-119314, obtient un score de gravité CVSS 3.1 de 9,9 sur 10, ce qui en fait l'une des vulnérabilités les plus critiques publiées ce mois.

CVE-2026-119314 permet à un attaquant d'obtenir des privilèges élevés sur un contrôleur de domaine Active Directory. La nature exacte de la vulnérabilité — qu'il s'agisse d'une injection de code, d'un contournement d'authentification au niveau du service Tenable, ou d'une exploitation du canal de communication entre le composant de surveillance et le contrôleur de domaine — n'a pas été divulguée publiquement dans l'avis, conformément à la pratique habituelle de limitation de la diffusion des détails techniques. Ce que l'on sait est que le vecteur d'attaque nécessite un accès réseau au composant Tenable Identity Exposure déployé dans l'environnement cible.

L'ironie de la situation mérite d'être soulignée : un produit conçu précisément pour détecter les attaques et les mouvements latéraux dans Active Directory devient lui-même un vecteur d'attaque vers l'AD. Ce paradoxe illustre un problème structurel des outils de sécurité déployés avec des droits élevés : leur surface d'attaque est maximale (accès privilégié à des systèmes critiques) tandis que leur surveillance est souvent minimale. Un attaquant qui compromet Tenable Identity Exposure hérite potentiellement des droits de lecture et d'inspection que le produit utilise pour monitorer l'AD — des droits très étendus par conception nécessaire au fonctionnement du produit.

Les deux autres vulnérabilités couvertes par CERTFR-2026-AVI-1436 sont moins critiques mais méritent également d'être corrigées dans le cadre du même cycle de maintenance. L'éditeur Tenable a confirmé l'existence des trois failles et publié des correctifs dans la même release. Les détails techniques précis de ces deux CVE secondaires n'ont pas été pleinement divulgués dans l'avis CERT-FR, conformément à la pratique de retenue de l'information permettant de laisser un délai aux administrateurs pour appliquer les correctifs avant que les détails ne soient publiquement exploitables.

Un élément essentiel à souligner : contrairement à la plupart des mises à jour de sécurité qui nécessitent uniquement l'installation du patch logiciel, Tenable a précisé que la correction de CVE-2026-119314 requiert, après l'application du patch, la réinstallation complète du composant de surveillance Active Directory, appelé composant IoA (Indicators of Attack). Ce composant, qui s'intègre profondément dans l'environnement AD pour détecter les comportements malveillants en temps réel, doit être réinstallé pour que le correctif soit pleinement effectif. Cette exigence opérationnelle est critique et souvent négligée : un administrateur qui appliquerait uniquement le patch sans procéder à la réinstallation du composant IoA ne serait pas correctement protégé contre CVE-2026-119314.

Tenable Identity Exposure (anciennement Alsid for AD) est utilisé par de nombreux grands comptes et administrations en France, notamment dans le secteur public, la santé, et les opérateurs d'importance vitale. La popularité de ce produit dans les écosystèmes Active Directory français rend cette vulnérabilité particulièrement préoccupante du point de vue de la sécurité des SI sensibles. L'ANSSI, en publiant cet avis via le CERT-FR, signale l'importance qu'elle accorde à cette vulnérabilité dans le contexte des menaces actuelles ciblant les environnements Active Directory des organisations françaises.

Le contexte général des vulnérabilités dans les outils de gestion d'identité et d'Active Directory est préoccupant en 2026. Active Directory est la cible prioritaire de pratiquement tous les groupes de ransomware, qui cherchent à obtenir des droits de Domain Admin pour déployer leur chiffrement de masse. Les outils de surveillance comme Tenable Identity Exposure, Microsoft Defender for Identity, ou les solutions LAPS sont intrinsèquement dangereux s'ils sont compromis car ils opèrent avec des droits très étendus. Les équipes de sécurité doivent appliquer aux outils de sécurité eux-mêmes les mêmes standards de durcissement et de surveillance qu'aux systèmes critiques qu'ils sont censés protéger.

Impact et exposition

Toute organisation utilisant Tenable Identity Exposure dans une version affectée est potentiellement exposée à une élévation de privilèges jusqu'au contrôleur de domaine Active Directory. Le composant est généralement déployé sur des serveurs internes avec des accès réseau à l'AD, ce qui rend le scénario d'exploitation le plus probable soit un pivot post-compromission initiale par un autre vecteur (phishing, exploitation d'un service exposé), soit une attaque depuis un segment réseau interne mal segmenté. L'impact en cas d'exploitation est maximal : compromission complète du domaine Active Directory et par extension de l'ensemble des systèmes qui lui font confiance.

Recommandations

• Appliquer immédiatement le patch Tenable Identity Exposure publié en réponse à CERTFR-2026-AVI-1436
• Après le patch, procéder obligatoirement à la réinstallation du composant de surveillance Active Directory (composant IoA) — cette étape est requise pour que le correctif soit efficace
• Auditer les logs d'accès au service Tenable Identity Exposure pour détecter une éventuelle exploitation antérieure
• Vérifier les événements Windows Security (IDs 4624, 4728, 4732) sur les contrôleurs de domaine pour toute activité de modification de privilèges anormale récente
• Isoler le serveur hébergeant Tenable Identity Exposure sur un VLAN dédié avec accès restreint aux seuls flux nécessaires au fonctionnement du produit