Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a signalé le 2 novembre 2026 plusieurs vulnérabilités dans Tenable Identity Exposure, un outil de surveillance de la sécurité des identités et des annuaires Active Directory. Le bulletin CERTFR-2026-AVI-1436 renvoie aux correctifs publiés le 30 octobre par l’éditeur. La faille la plus grave est évaluée à 9,9 sur 10 selon le barème CVSS 3.1.
Le risque concerne les installations locales de Tenable Identity Exposure utilisant des versions vulnérables. Il intéresse particulièrement les équipes chargées de la sécurité des annuaires d’entreprise, dont les contrôleurs de domaine assurent l’authentification et l’administration des comptes.
Une injection de commandes susceptible d’atteindre le contrôleur de domaine
Dans son avis de sécurité TNS-2026-34, Tenable décrit trois vulnérabilités distinctes. La plus sévère, référencée CVE-2026-119314, touche le composant chargé de recueillir les événements Active Directory. Un attaquant déjà authentifié et disposant de faibles privilèges peut, si les conditions d’exploitation sont réunies, exécuter des commandes avec les droits SYSTEM sur le contrôleur de domaine détenant le rôle d’émulateur du contrôleur principal de domaine, appelé PDCe.
La deuxième vulnérabilité, CVE-2026-119315, concerne l’interface de programmation GraphQL : des requêtes spécialement construites, soumises par un utilisateur authentifié disposant de faibles privilèges, peuvent mobiliser excessivement les ressources du serveur et perturber le service. La troisième, CVE-2026-119316, porte sur la confidentialité : lorsqu’une installation de Windows Secure Relay échoue, une clé de liaison peut être inscrite dans un journal d’erreurs local, accessible à un utilisateur ayant accès à la machine.
Les trois failles présentent donc des mécanismes et des prérequis différents. Le bulletin de Tenable ne fournit pas, à lui seul, la preuve d’une exploitation malveillante en cours.
Deux versions corrigées, mais une opération supplémentaire à effectuer
Les versions 3.93.6 et 3.77.18, diffusées le 30 octobre, corrigent ces problèmes dans les branches correspondantes. L’avis de l’éditeur mentionne comme vulnérables les versions 3.93.5 et antérieures ainsi que 3.77.17 et antérieures. Les administrateurs doivent identifier la branche réellement installée avant d’engager leur procédure de mise à niveau.
Une précision opérationnelle figure dans les notes de version officielles de Tenable : après l’installation du correctif, les scripts d’indicateurs d’attaque (Indicators of Attack, IoA) déployés sur les contrôleurs de domaine doivent être désinstallés puis réinstallés. Une simple mise à jour de la plateforme conserve l’ancien écouteur d’événements IoA et ne suffit donc pas à appliquer complètement le correctif de ce composant.
Pour la branche 3.93.6, l’éditeur demande également de vérifier avant la migration que les certificats TLS personnalisés et ceux de leur autorité de certification utilisent des clés RSA d’au moins 2 048 bits, la nouvelle version de Node.js refusant les clés plus courtes. Ces contraintes doivent être prises en compte dans la préparation du changement et les tests de fonctionnement après intervention.
La sécurité des identités au cœur des opérations de maintenance
La criticité de CVE-2026-119314 tient à la combinaison d’un accès initial peu privilégié et de la possibilité d’exécuter des commandes sur un serveur central de l’annuaire. L’existence de cette vulnérabilité ne démontre toutefois ni une compromission effective d’un système ni la présence du produit dans une organisation donnée.
Les responsables informatiques concernés disposent désormais d’une documentation permettant de vérifier les versions, d’appliquer les mises à niveau adaptées et de renouveler les scripts IoA. Tenable précise aussi que le défaut de Secure Relay concerne le cas particulier d’une installation échouée : l’examen des journaux et des accès locaux peut alors déterminer si une clé de liaison a été exposée.
