Catalogue CISA KEV · mis à jour le 2025-12-11

A02:2025 Mauvaise configuration de sécurité

Le logiciel est sain mais mal réglé : mode débogage resté actif, comptes par défaut, cookies sans protection, analyse XML trop permissive. Catégorie officielle : « Security Misconfiguration ».

8failles exploitées
1utilisée par des rançongiciels
7produits concernés
2021-11-03première entrée au catalogue

Exemples concrets

Une page d'erreur détaillée qui affiche la configuration du serveur.
Des cookies de session sans les attributs « Secure » ou « HttpOnly ».
Un analyseur XML qui accepte les entités externes (XXE).

Comment s'en protéger

Une configuration de production minimale, identique sur chaque serveur et revue régulièrement.
Désactiver débogage, exemples, comptes et services inutiles.
Vérifier automatiquement les en-têtes de sécurité après chaque mise en ligne.

Failles A02 activement exploitées

Vulnérabilité	Produit	Ce qu'il faut faire	Ajout	Rançongiciel
OSGeo GeoServer : référence à une entité XML externe CVE-2025-58360	GeoServer OSGeo	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2025-12-11	Non constaté à ce jour
SysAid On-Prem : référence à une entité XML externe CVE-2025-2775	SysAid On-Prem	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2025-07-22	Non constaté à ce jour
SysAid On-Prem : référence à une entité XML externe CVE-2025-2776	SysAid On-Prem	Appliquer les mesures de contournement indiquées par l'éditeur, suivre les consignes applicables aux services en nuage ; à défaut, cesser d'utiliser le produit.	2025-07-22	Non constaté à ce jour
North Grid Proself Improper Restriction of : référence à une entité XML externe CVE-2023-45727	Proself North Grid	Appliquer les mesures de contournement indiquées par l'éditeur ; à défaut, cesser d'utiliser le produit.	2024-12-03	Non constaté à ce jour
Adobe Commerce et Magento Open Source : référence à une entité XML externe CVE-2024-34102	Commerce et Magento Open Source Adobe	Appliquer les mesures de contournement indiquées par l'éditeur ; à défaut, cesser d'utiliser le produit.	2024-07-17	Non constaté à ce jour
Synacor Zimbra Collaboration Suite (ZCS) : référence à une entité XML externe CVE-2019-9670	Zimbra Collaboration Suite (ZCS) Synacor	Installer les mises à jour publiées par l'éditeur.	2022-01-10	Non constaté à ce jour
Citrix StoreFront Server XML External Entity (XXE) Processing Vulnerability CVE-2019-13608	StoreFront Server Citrix	Installer les mises à jour publiées par l'éditeur.	2021-11-03	Oui, utilisée dans des campagnes de rançongiciel
SAP NetWeaver XML External Entity (XXE) Vulnerability CVE-2016-9563	NetWeaver SAP	Installer les mises à jour publiées par l'éditeur.	2021-11-03	Non constaté à ce jour

Questions fréquentes

Qu'est-ce que A02:2025 Mauvaise configuration de sécurité ?

Le logiciel est sain mais mal réglé : mode débogage resté actif, comptes par défaut, cookies sans protection, analyse XML trop permissive.

Combien de failles exploitées relèvent de A02 ?

Le catalogue CISA KEV en compte 8, la dernière ajoutée le 11 décembre 2025.

Quelles faiblesses (CWE) de A02 sont les plus exploitées ?

CWE-611 (8).

Comment s'en protéger ?

Une configuration de production minimale, identique sur chaque serveur et revue régulièrement. Désactiver débogage, exemples, comptes et services inutiles. Vérifier automatiquement les en-têtes de sécurité après chaque mise en ligne.

Faiblesses (CWE) de cette catégorie au catalogue

CWE-611 Improper Restriction of XML External Entity Reference (8)

Sources

Les autres catégories du Top 10

Catégories et correspondance avec les CWE : OWASP Top 10:2025, A02 Security Misconfiguration, licence CC BY 3.0.

Source : catalogue CISA KEV. Les intitulés et les actions sont traduits quand la formule est reconnue ; sinon le texte officiel est affiché tel quel. Explorer par éditeur, par mois ou par type de faiblesse.