Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 30 octobre 2026 un avis concernant une vulnérabilité de confidentialité dans Tenable Nessus. Référencée CVE-2026-119317, elle touche le flux de plugins du scanner de vulnérabilités sur Linux et dispose déjà d’un correctif distribué par l’éditeur.
Dans son avis CERTFR-2026-AVI-1425, le CERT-FR identifie les versions du flux de plugins antérieures au numéro 202610282338 comme affectées. L’alerte porte sur une possible lecture de données confidentielles, et non sur une prise de contrôle générale du scanner annoncée par l’agence.
Un risque circonscrit aux utilisateurs disposant déjà d’un accès
Le bulletin de sécurité TNS-2026-33 de Tenable, daté du 28 octobre, précise les conditions de l’exploitation. Sur un hôte Linux, un utilisateur Nessus authentifié, même doté de privilèges limités, pourrait consulter des fichiers texte arbitraires du serveur s’il dispose du droit de créer des analyses. Le scénario décrit passe par une fonction d’audit de conformité Unix appliquée au serveur qui héberge lui-même le scanner.
Les fichiers seraient alors accessibles avec les privilèges du processus nessusd. Le point sensible est donc la séparation entre les autorisations accordées à un opérateur de scan et les droits du service exécuté sur la machine. Pour une organisation qui délègue l’utilisation de Nessus à plusieurs administrateurs ou prestataires, cette distinction conditionne l’exposition éventuelle de données hébergées sur le serveur d’analyse.
Tenable classe la vulnérabilité à un niveau de gravité moyen, avec un score CVSS v3.1 de 6,5 sur 10 et un score CVSS v4 de 6,0. Le scénario documenté exige une authentification et le droit de créer des scans ; il ne décrit pas une attaque anonyme permettant de lire à distance les fichiers de n’importe quel équipement analysé.
Le correctif passe par le flux de plugins, pas par un changement de version générale
L’éditeur indique avoir corrigé le défaut dans les mises à jour de plugins portant un numéro de série égal ou supérieur à 202610282338, diffusées le 28 octobre. La vérification de ce numéro sur les installations concernées permet de distinguer un scanner corrigé d’un déploiement qui n’a pas encore reçu le flux actualisé.
Le dossier CVE-2026-119317 identifie le problème comme un défaut d’autorisation. Les équipes de sécurité peuvent donc concentrer leur contrôle sur les instances Nessus sous Linux, leurs droits de création d’analyses et la bonne réception des mises à jour. L’avis du CERT-FR renvoie au correctif de Tenable et ne fait état, dans sa version du 30 octobre, d’aucune campagne d’exploitation documentée.
