Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a signalé le 2 novembre 2026 trois vulnérabilités affectant Tenable Identity Exposure, un outil de surveillance de la sécurité des identités et des environnements Active Directory. L’avis CERTFR-2026-AVI-1436 mentionne des risques d’exécution de code, d’indisponibilité du service et d’atteinte à la confidentialité. L’éditeur avait diffusé ses correctifs le 30 octobre.
Une faille critique sur le contrôleur de domaine
La plus sévère des trois vulnérabilités, identifiée sous la référence CVE-2026-119314, obtient un score de gravité CVSS 3.1 de 9,9 sur 10. Selon le bulletin de sécurité TNS-2026-34 de Tenable, un utilisateur déjà authentifié mais disposant de faibles privilèges pourrait exploiter une injection de commandes dans le module d’écoute des événements Active Directory. Dans les conditions décrites par l’éditeur, il pourrait exécuter des commandes avec les droits SYSTEM sur le contrôleur de domaine exerçant le rôle d’émulateur du contrôleur principal (PDCe).
Les deux autres failles portent sur des composants distincts. La CVE-2026-119315 concerne l’interface de programmation GraphQL : des requêtes spécialement construites par un utilisateur authentifié pourraient épuiser des ressources et perturber le service. La CVE-2026-119316 touche Windows Secure Relay : en cas d’échec de son installation, une clé de liaison peut être écrite dans un journal d’erreur accessible à une personne disposant déjà d’un accès à la machine. Les conditions d’exploitation et les conséquences potentielles ne sont donc pas identiques pour les trois vulnérabilités.
Deux versions corrigées, mais une opération supplémentaire sur Active Directory
Tenable a publié les versions 3.93.6 et 3.77.18, correspondant aux branches logicielles concernées. La correction ne se limite toutefois pas à l’installation de ces mises à jour. Dans ses notes de version du 30 octobre, l’éditeur précise que l’ancien module d’écoute des indicateurs d’attaque (Indicators of Attack, IoA) reste présent sur les contrôleurs de domaine après la mise à niveau du serveur. Il demande donc de désinstaller puis de réinstaller le script IoA sur ces contrôleurs afin d’appliquer effectivement la correction correspondante.
Les notes techniques attirent également l’attention des administrateurs sur les certificats TLS personnalisés : les nouvelles versions installent Node.js 24, qui refuse les clés RSA de moins de 2 048 bits. Cette compatibilité doit être vérifiée avant l’opération, au même titre que la branche logicielle déployée et la procédure de remise en place du module IoA.
Un risque pour la sécurité des identités, sans attaque confirmée dans les avis consultés
La portée de la première faille tient à la fonction du contrôleur de domaine dans l’authentification et l’administration des comptes d’un réseau Windows. Une exécution de commandes avec les privilèges SYSTEM sur cet équipement représente un risque majeur pour l’intégrité du système d’information. Le bulletin de Tenable décrit des possibilités techniques d’exploitation, mais ne fait pas état, dans sa version du 30 octobre, d’une campagne d’attaques effectivement observée.
Pour les équipes de sécurité, la priorité opérationnelle est ainsi double : identifier les installations de Tenable Identity Exposure concernées et vérifier que le correctif du module IoA est bien déployé sur les contrôleurs de domaine. La simple présence de la version corrigée sur la console ne suffit pas, selon la documentation de l’éditeur, à garantir la disparition de l’ancien module vulnérable.
