Tenable Identity Exposure : une faille critique jusqu'au contrôleur de domaine

Les outils qui surveillent votre Active Directory ont besoin d'y être profondément installés. C'est leur force, et c'est aussi leur risque. Le 30 octobre, Tenable a corrigé trois vulnérabilités dans Tenable Identity Exposure, sa solution de sécurité Active Directory (anciennement Tenable.ad). La plus grave, CVE-2026-119314, est notée 9,9 sur 10 et touche directement les contrôleurs de domaine.

Le 2 novembre, le CERT-FR a relayé ces correctifs dans son avis CERTFR-2026-AVI-1436, qui mentionne un risque d'exécution de code arbitraire à distance.

Ce que l'on sait

D'après le bulletin TNS-2026-34 de Tenable, l'avis du CERT-FR et les notes de version de l'éditeur :

• Produit : Tenable Identity Exposure en version installée sur site.
• Versions touchées : 3.93.5 et antérieures, 3.77.17 et antérieures.
• Versions corrigées : 3.93.6 et 3.77.18, publiées le 30 octobre.
• CVE-2026-119314 (CVSS 3.1 : 9,9) : une injection de commandes dans le composant qui écoute les événements Active Directory, utilisé par les indicateurs d'attaque (IoA). Selon Tenable, un attaquant authentifié disposant de faibles privilèges peut exécuter des commandes avec les droits SYSTEM sur le contrôleur de domaine qui porte le rôle d'émulateur PDC. Les notes de version précisent qu'il s'agit d'un compte disposant d'un accès en écriture à la configuration des IoA.
• CVE-2026-119315 (CVSS 3.1 : 4,3) : des requêtes spécialement construites sur l'API GraphQL peuvent dégrader le service.
• CVE-2026-119316 (CVSS 3.1 : 4,1) : en cas d'échec d'installation du composant Secure Relay, la clé de liaison est écrite dans un journal local lisible par un utilisateur ayant accès à la machine.
• Exploitation : ni Tenable ni le CERT-FR ne font état d'une exploitation active à ce jour.

Pourquoi c'est grave pour une entreprise

Un contrôleur de domaine n'est pas un serveur comme les autres. Il détient les comptes, les mots de passe et les droits de toute l'organisation. Exécuter du code avec les droits SYSTEM sur un contrôleur de domaine revient, en pratique, à pouvoir prendre le contrôle de l'ensemble du domaine : création de comptes administrateurs, extraction des secrets, déploiement d'un rançongiciel sur tous les postes par stratégie de groupe.

La condition d'exploitation, un compte authentifié, ne doit pas rassurer. Dans la grande majorité des intrusions, l'attaquant dispose d'abord d'un compte ordinaire, obtenu par hameçonnage ou par un mot de passe réutilisé. Toute la difficulté pour lui est ensuite de passer de ce compte aux droits d'administrateur du domaine. Une faille comme celle-ci peut lui offrir ce raccourci.

C'est aussi un rappel plus large : un outil de sécurité étend la surface d'attaque de ce qu'il protège. Plus il est intégré au cœur du système d'information, plus ses comptes, ses droits et ses mises à jour doivent être traités avec la même rigueur que les contrôleurs de domaine eux-mêmes.

Mettre à jour ne suffit pas

Point essentiel des notes de version de Tenable : la mise à jour de la plateforme ne corrige pas à elle seule la faille critique. L'ancien composant d'écoute des événements reste en place sur les contrôleurs de domaine. Tenable demande, après la mise à jour, de désinstaller puis réinstaller le script des indicateurs d'attaque sur les contrôleurs de domaine (`Register-TenableIOA.ps1 -Uninstall`, puis nouvelle installation).

Autre précaution signalée par l'éditeur : ces versions installent Node.js 24, qui refuse les clés RSA de moins de 2 048 bits. Avant la mise à jour, vérifiez que vos certificats TLS personnalisés et leur autorité de certification respectent ce minimum, sous peine d'interruption du service.

Les mesures à prendre maintenant

1. Inventorier. Identifiez vos instances Tenable Identity Exposure installées sur site et leur version, y compris celles opérées par un prestataire.
2. Vérifier les certificats utilisés par la plateforme avant toute mise à jour.
3. Mettre à jour vers 3.93.6 ou 3.77.18 selon votre branche.
4. Réinstaller le script IoA sur les contrôleurs de domaine, puis contrôler que le nouveau composant est bien actif.
5. Revoir les droits. Listez les comptes qui peuvent modifier la configuration des indicateurs d'attaque et réduisez-les au strict nécessaire.
6. Surveiller l'émulateur PDC. Recherchez dans vos journaux des processus ou des commandes inhabituels lancés avec les droits SYSTEM sur ce contrôleur de domaine.
7. Nettoyer les journaux d'installation de Secure Relay si une installation a échoué, et renouveler la clé de liaison en cas de doute.

Notre regard

Lors de nos tests d'intrusion, l'Active Directory reste le chemin le plus court vers le contrôle total d'un système d'information. Les outils déployés pour le protéger y occupent une place privilégiée, et ils sont rarement inclus dans le périmètre des audits. Les tester avec le regard d'un attaquant fait partie de la défense.

Si vous voulez vérifier ce qu'un attaquant pourrait faire de votre Active Directory et des outils qui le surveillent, contactez-nous.