Six fiches au catalogue : le panneau ne dit pas le 23 octobre ni le 3 novembre
Le 20 octobre, l'alerte CISA nomme six CVE et ne donne pas de date de retour. Le CSV du catalogue en met trois au 23 octobre et trois au 3 novembre. La case forensic triage est Oui sur deux fiches seulement, et l'une des trois du 23 octobre est à Non. Les deux SSRF Plex partagent le CWE-918 et pas la date.
Six fiches sont punaisées le 20 octobre 2026. Le panneau les nomme, dans un ordre, et il s'arrête là. Pas de date de retour. Pas de CWE. Pas de case oui ou non. Le registre, le CSV du catalogue, a les six mêmes numéros, ajoutés le même jour, et il a deux dates de retour : le 23 octobre pour trois, le 3 novembre pour trois. La case forensicTriage est Yes sur deux fiches, No sur quatre. L'une des trois du 23 octobre est à Non. Si tu ranges les six sous « à traiter vendredi », tu ranges une date que le panneau n'a pas écrite, et tu en laisses trois dont le registre dit novembre.
L'alerte titre que CISA a ajouté six vulnérabilités au catalogue KEV, sur la base d'une exploitation active. L'ordre des puces : CVE-2026-96652, Plex, SSRF. CVE-2026-96654, Plex, neutralisation d'URI encodées. CVE-2026-96655, Plex, SSRF. CVE-2026-96656, Plex, contrôle externe d'un nom ou d'un chemin de fichier. CVE-2026-106931, SiteGuard Server Edition, injection de commande. CVE-2026-110936, Siemens Software Center, chemin de recherche non maîtrisé. Deux puces Plex portent le même titre, Server-Side Request Forgery (SSRF) Vulnerability. Le panneau ne dit pas ce qui les sépare. Il dit que ce genre de vulnérabilité est un vecteur fréquent et un risque significatif pour l'entreprise fédérale.
Le registre a deux vendredis, et le Oui n'est pas la date courte
Les six lignes du CSV ont dateAdded au 2026-10-20. knownRansomwareCampaignUse est Unknown sur les six. Unknown n'est pas une phrase qui dirait qu'il n'y a pas eu de campagne. C'est la valeur imprimée.
Échéance 2026-10-23, forensic Yes. CVE-2026-106931, CWE-78. SiteGuard : une injection de commande OS qui peut permettre d'exécuter des commandes arbitraires avec les privilèges root or SYSTEM. CVE-2026-96656, CWE-73. Plex : un administrateur peut écrire des fichiers arbitraires qui peuvent être exécutés au chargement. La description dit que ça se chaîne avec 96652, 96654 et 96655.
Échéance 2026-10-23, forensic No. CVE-2026-96654, CWE-84. Plex : neutralisation insuffisante de schémas d'URI encodés, un attaquant peut appeler les fonctions d'autres greffons et fournir ses paramètres. Chaîné avec 96652, 96655 et 96656. Même vendredi que les deux Oui. Pas le même Oui. Je ne dis pas que la date courte veut dire « triage légal ». 96654 est au 23 octobre et la case est Non.
Échéance 2026-11-03, forensic No, les trois. CVE-2026-96655, CWE-918. SSRF : un utilisateur authentifié peut demander des adresses internes ou externes via le paramètre de chemin /video/:/transcode/universal. CVE-2026-96652, CWE-918 aussi. SSRF aussi, et le titre sur l'alerte est le même que 96655. La description, elle, n'est pas la même : un attaquant qui se sert de n'importe quelle valeur X-Plex-Token peut mettre une URL complète dans le paramètre protocol et faire faire au serveur un POST vers la destination qu'il choisit. Même CWE, même mot SSRF, pas la même échéance : 96655 et 96652 sont au 3 novembre, 96654 est au 23 octobre. CVE-2026-110936, CWE-427. Siemens Software Center : un attaquant local authentifié peut poser une DLL fabriquée dans un répertoire que l'application parcourt, et obtenir l'exécution avec les privilèges de l'application. Pas root, pas SYSTEM : les privilèges de l'application. La phrase n'est pas celle de SiteGuard.
Le panneau parle de deux vitesses, et il ne range pas les six
L'alerte décrit BOD 26-04, Prioritizing Security Updates Based on Risk. La directive ne lie que les agences FCEB. Elle demande une remédiation rapide des vulnérabilités à haut risque, précisément les CVE du catalogue KEV sur des actifs exposés publiquement qui donnent le contrôle total de l'actif après exploitation, tout en différant l'action pour les vulnérabilités à risque plus bas. Elle pose aussi une attente sur le moment où il faut vérifier si quelqu'un a compromis le système avant le correctif. L'alerte encourage toutes les organisations à prioriser le catalogue, et elle dit que la directive, elle, ne s'applique qu'aux agences FCEB.
Elle ne dit pas laquelle des six fiches est le haut risque exposé, ni laquelle est le risque différé. Le CSV a une colonne forensicTriage à Yes ou à No, et une colonne dueDate. Le texte requiredAction, sur les six lignes, est le même bloc : appliquer les mesures du vendeur, se conformer à BOD 26-04 et aux Forensics Triage Requirements, suivre la directive pour le cloud ou cesser d'utiliser le produit si aucune mesure n'existe. Le bloc parle de triage pour les six. La case Yes n'est cochée que pour deux. Je ne traduis pas Yes par la phrase « total control » de l'alerte. La phrase est sur le panneau. La case est dans le registre. Rien dans ce que j'ai lu ne dit que l'une est le libellé de l'autre.
Quatre lignes Plex, un seul fil, et deux points-virgules
Les quatre notes Plex pointent la même URL de forum, dont le slug contient v1-43-2-and-earlier. Je n'ai pas ouvert le fil. Je ne sors pas de ce slug un numéro de version corrigée. SiteGuard pointe eg-secure.co.jp, l'alerte alert-202610-1. Siemens pointe ssa-580366.html. Je n'ai pas ouvert ces deux-là non plus. Dans les six cellules notes, l'URL du vendeur est suivie de espace, point-virgule, espace, point-virgule, puis l'URL de BOD 26-04. Deux points-virgules, rien entre les deux. C'est imprimé sur les six. Je ne remplis pas le trou.
Chaque description Plex dit que la faille se chaîne avec les trois autres numéros Plex, pas toujours dans le même ordre. 96656 cite 96652, 96654, 96655. 96654 cite 96652, 96655, 96656. L'alerte, elle, les aligne 96652, 96654, 96655, 96656, puis SiteGuard, puis Siemens. L'ordre du panneau n'est pas l'ordre des échéances. Les deux premières du panneau, 96652 et 96654, ne partagent pas une date : novembre pour l'une, octobre pour l'autre.
✍️ À toi : le papier que tu as ouvert, l'alerte ou une ligne du CSV, et la date qui y était. Le 20 octobre est sur les deux. Le 23 octobre et le 3 novembre ne sont que dans le registre.
Le 20 octobre 2026, CISA annonce six ajouts au catalogue et ne donne pas d'échéance. Le CSV date les six de ce jour-là, marque Unknown pour le rançongiciel, met 106931, 96656 et 96654 au 23 octobre, met 96655, 96652 et 110936 au 3 novembre, et ne met Yes dans forensicTriage que pour SiteGuard et pour le 96656. Les deux SSRF Plex partagent le titre sur le panneau et le CWE-918 dans le registre, pas la date. Le paragraphe sur BOD 26-04 parle de deux vitesses et ne dit pas laquelle des six fiches est laquelle. Six noms sur le panneau. Deux dates dans le registre. Une case qui ne suit pas la date courte.