Quand la CISA fixe une deadline à vendredi, ce n’est jamais pour organiser un pot de départ. L’agence américaine de cybersécurité (Cybersecurity and Infrastructure Security Agency) vient d’ordonner aux agences gouvernementales de corriger sans délai une faille de sévérité maximale dans Adobe ColdFusion, la plateforme commerciale de développement d’applications web. Motif : elle est déjà exploitée dans la nature.
Points clés
- La CISA impose la correction d’une faille ColdFusion de sévérité maximale avant vendredi
- La vulnérabilité fait l’objet d’attaques actives dans la nature
- Les agences fédérales américaines doivent patcher ou déconnecter les serveurs concernés
Une faille classée au sommet de l’échelle
La vulnérabilité concerne ColdFusion, produit maison d’Adobe utilisé pour bâtir des applications web côté serveur. Elle est notée en sévérité maximale, le cran le plus haut de l’échelle de criticité, et surtout elle fait l’objet d’attaques actives. Autrement dit, les correctifs ne relèvent plus de la précaution mais de l’urgence.
Vendredi, dernier délai
La CISA a fixé l’échéance à ce vendredi pour l’ensemble des agences fédérales. L’ajout d’une faille au catalogue des vulnérabilités activement exploitées déclenche mécaniquement ce type d’ultimatum, imposé aux administrations civiles américaines. Le message aux équipes IT est limpide : appliquer le patch d’Adobe ou débrancher les serveurs concernés.
ColdFusion traîne une réputation de cible favorite pour les attaquants, avec un historique de failles régulièrement exploitées avant même que les correctifs aient fini d’être déployés. Cette nouvelle alerte ne fera rien pour redorer le blason d’une technologie que beaucoup pensaient déjà rangée au placard.
