--- title: "Veille CVE AWS : ressources vulnérables ? | Silamir Group" description: "Veille CVE AWS : trouvez les EC2, Lambda, conteneurs et Beanstalk touchés par une faille PHP, OpenSSL ou nginx, via Inspector, l'inventaire SSM et l'exposition." url: https://audit.aws.silamir.com/fr/ressources/veille-cve-aws lang: fr updated: 2026-10-24 --- Veille CVE # Votre compte AWS est-il exposé à une faille critique ? Quand une faille critique est publiée, la vraie question est : quelles ressources de mon compte sont concernées ? L'audit Silamir y répond pour chaque alerte en cours. Il croise les findings Amazon Inspector, l'inventaire logiciel SSM et les métadonnées AWS, puis classe chaque ressource par niveau de certitude et d'exposition. Publié le 24 octobre 2026 · 7 min de lecture ## En résumé - **Produits suivis** : PHP, OpenSSL, nginx, Apache HTTP Server, Apache Tomcat, Node.js. - **Alertes prises en compte** : les alertes critiques du CERT-FR et les vulnérabilités activement exploitées listées par la CISA (KEV) qui touchent un produit suivi. Chacune reste active 90 jours, la couverture passe ensuite par Amazon Inspector. - **Un statut par ressource** : confirmée par Inspector, en fin de vie, probable, à vérifier ou corrigée. Le classement est calculé par un programme déterministe, pas par l'IA. - **Les angles morts deviennent des préconisations** : une instance exposée à Internet dont l'audit ne peut pas lire les logiciels (hors SSM ou sans inventaire) est un défaut à corriger, classé ÉLEVÉ. Jamais un « non concerné ». ## Pourquoi un contrôle dédié Le 21 octobre 2026, PHP a publié des correctifs pour deux failles permettant une exécution de code à distance sans authentification (CVE-2026-109618 et CVE-2026-109619, alerte CERTFR-2026-ALE-014). Toutes les versions jusqu'à 8.1 restent vulnérables. Sur AWS, PHP peut tourner à des endroits très différents : instance EC2, plateforme Elastic Beanstalk, couche Lambda Bref, image de conteneur ECS ou blueprint Lightsail. Les outils natifs ne donnent qu'une partie de la réponse. Amazon Inspector confirme une vulnérabilité sur les instances, images et fonctions qu'il analyse, mais il n'est pas toujours activé et ne voit ni les plateformes Beanstalk ni les blueprints Lightsail. Security Hub n'indique pas quelle version de PHP tourne sur quelle ressource. La veille CVE de l'audit rassemble ces sources dans une seule réponse, ressource par ressource. ## Où l'audit cherche les produits suivis Tout passe par le rôle en lecture seule de l'audit : aucun agent à installer, aucune connexion aux instances. Seule exception, si vous activez le scan DAST : une requête HTTP par serveur exposé, pour lire les logiciels qu'il annonce. | Source | Ce qui est lu | Précision | | --- | --- | --- | | **Amazon Inspector v2** | Findings actifs CRITICAL et HIGH sur EC2, ECR et Lambda | CVE confirmée sur la ressource | | **AWS Systems Manager Inventory** | Paquets installés sur chaque instance gérée par SSM | Version exacte du paquet | | **Elastic Beanstalk** | Version du langage de la plateforme de chaque environnement | Version exacte ou branche | | **AWS Lambda** | Couches attachées aux fonctions (par exemple Bref pour PHP) | Branche (ex. 8.3) | | **Amazon ECS** | Images des définitions de tâches (ex. php:8.2.34-apache) | Version exacte si le tag est complet, branche sinon | | **Amazon Lightsail** | Blueprints LAMP, WordPress, Drupal, Joomla, Magento, PrestaShop, nginx | Présence, parfois branche | | **En-têtes HTTP (avec le scan DAST)** | En-têtes Server et X-Powered-By des serveurs exposés (ex. PHP/8.1.2), une requête par serveur | Version annoncée, toujours « à vérifier » | ## Cinq statuts, du plus certain au moins certain - **Confirmée** : Amazon Inspector remonte un finding actif sur l'une des CVE de l'alerte pour cette ressource. - **Fin de vie** : la branche installée ne reçoit plus de correctif de l'éditeur (PHP 8.1 et antérieures dans l'alerte de 2026). Exception : un paquet de distribution (Ubuntu, RHEL…) peut encore être corrigé par la distribution, il est alors classé « à vérifier ». - **Probable** : la version exacte est connue et inférieure à la version corrigée, et elle ne vient pas d'un paquet de distribution. - **À vérifier** : seule la branche est connue, ou bien la version vient d'un paquet de distribution (Ubuntu, RHEL…) qui a pu recevoir le correctif sans changer de numéro. L'audit le signale sans conclure, et précise quand Inspector analyse l'instance sans rien remonter. - **Corrigée** : la version installée est au moins égale à la version corrigée. Ces ressources sont comptées, pas listées. ## Exposée ou interne : la sévérité suit l'exposition Une ressource vulnérable joignable depuis Internet ne présente pas le même risque qu'une instance interne. L'audit détermine l'exposition à partir de la configuration réseau. - **EC2** : IP publique avec un groupe de sécurité ouvert à Internet sur les ports web, ou cible d'un load balancer internet-facing. - **Elastic Beanstalk** : environnement de type Web Server. **Lightsail** : IP publique. - **Lambda** : Function URL sans authentification. **ECS** : service derrière un load balancer internet-facing. - **Sévérité** : CRITIQUE pour une ressource confirmée, probable ou en fin de vie et exposée, ÉLEVÉE si elle est interne. Une ressource à vérifier est classée ÉLEVÉE si elle est exposée, MOYENNE sinon. ## Ce que contient le rapport - **Un constat par alerte** dans le rapport sécurité, avec la liste des ressources concernées, leur version, leur statut et la raison de leur exposition. - **Les mesures d'attente** publiées par l'éditeur, en action prioritaire quand une ressource est exposée (pour PHP : désactiver `session.upload_progress`, borner la taille des requêtes au proxy…), puis le correctif définitif. - **Des préconisations de couverture**, chacune avec sa sévérité et son action : instances exposées à Internet hors SSM ou sans inventaire logiciel (ÉLEVÉE), instances internes dans le même cas (FAIBLE), Amazon Inspector inactif dans une région (ÉLEVÉE si elle héberge une instance exposée, MOYENNE sinon). - **Les autres vulnérabilités critiques** remontées par Inspector, même hors alerte, classées selon qu'un exploit public existe. Ces constats alimentent les chaînes d'attaque et le plan de remédiation de l'audit, livré avec le reste des rapports pour 299 USD par audit. ## Comment les alertes sont tenues à jour Le catalogue d'alertes est mis à jour chaque jour à partir de sources publiques, avec une règle de prudence. - **Détection** : flux d'alertes du CERT-FR et catalogue KEV de la CISA, filtrés sur les produits suivis. - **Versions corrigées** : avis de sécurité GitHub de l'éditeur, base NVD du NIST et OSV.dev, vérifiées contre les versions réellement publiées (endoflife.date). - **Validation** : une alerte est intégrée automatiquement seulement si deux sources indépendantes donnent les mêmes versions corrigées. Dans tous les autres cas, une personne de l'équipe Silamir la relit avant publication. - **Publication** : une alerte validée s'applique dès l'audit suivant, sans attendre une nouvelle version du service. ## Ce que la veille CVE ne fait pas - **Ce n'est pas un scanner de vulnérabilités** : l'audit ne se connecte à aucune instance et n'envoie aucune charge malveillante. Sans Inspector ni SSM, il ne peut que constater la présence d'un produit ; avec le scan DAST, il lit en plus la version annoncée par les serveurs exposés, sans pouvoir la garantir (un serveur peut la masquer ou la falsifier). - **Les produits non suivis** ne sont couverts que par les findings Inspector du compte. - **Les backports des distributions** ne sont pas interprétés : une version de paquet inférieure à la version corrigée reste « à vérifier » tant qu'Inspector ou l'avis de la distribution ne tranche pas. - **L'audit est une photographie** : il ne remplace pas une surveillance continue. Pour cela, activez Amazon Inspector sur l'ensemble de vos comptes. ## Veille CVE : questions fréquentes **Quels produits la veille CVE suit-elle ?** PHP, OpenSSL, nginx, Apache HTTP Server, Apache Tomcat, Node.js. Les vulnérabilités des autres logiciels apparaissent dans le rapport à travers les findings CRITICAL et HIGH d'Amazon Inspector, quand il est activé. **Faut-il activer Amazon Inspector pour en profiter ?** Non, mais c'est recommandé. Sans Inspector, l'audit s'appuie sur l'inventaire SSM et les métadonnées AWS, et ne peut donc jamais confirmer une CVE. Il qualifie alors les ressources de probables, à vérifier ou en fin de vie, et signale l'absence d'Inspector comme un angle mort. **Dois-je installer un agent sur mes instances ?** Non. L'audit lit ce que l'agent SSM, préinstallé sur les AMI Amazon Linux, Ubuntu et Windows récentes, publie dans Systems Manager Inventory. Encore faut-il que l'inventaire SSM soit activé (Quick Setup ou State Manager) : une instance sans agent, ou gérée par SSM sans inventaire, n'est pas vérifiable. L'audit le signale comme un défaut à corriger, prioritaire si l'instance est exposée à Internet. Si vous activez le scan DAST, l'audit relève en plus les en-têtes HTTP de ces serveurs pour repérer les logiciels qu'ils annoncent. **L'IA peut-elle se tromper sur une version ?** La comparaison des versions est faite par un programme déterministe, testé, avant l'appel à l'IA. L'IA reçoit le résultat avec l'instruction de reprendre les statuts et sévérités tels quels, et de ne qualifier aucune autre ressource de vulnérable. **Combien de temps après une alerte l'audit la prend-il en compte ?** La veille tourne chaque jour. Une alerte dont les versions corrigées concordent entre deux sources est publiée le jour même, sans intervention. Les autres sont publiées après relecture par l'équipe Silamir. Dans les deux cas, l'alerte s'applique dès l'audit suivant. ## Où en est votre compte AWS ? Dix questions, trois minutes, sans accès à votre compte : un score sécurité, un score FinOps et l'article à lire pour chacun de vos trois points les plus faibles. Vos réponses restent dans votre navigateur. [Faire l'auto-diagnostic gratuit](https://audit.aws.silamir.com/fr/ressources/auto-diagnostic-aws) ## À lire aussi - **[Checklist sécurité AWS](https://audit.aws.silamir.com/fr/ressources/checklist-securite-aws)**: 40 points à vérifier pour sécuriser un compte AWS : compte root, IAM, CloudTrail, GuardDuty, chiffrement, réseau, applications exposées et sauvegardes. - **[FSBP ou CIS](https://audit.aws.silamir.com/fr/ressources/fsbp-vs-cis)**: FSBP ou CIS AWS Foundations v5.0 dans Security Hub : objectifs, périmètre, contrôles communs, différences et lequel activer en premier. Comparatif en tableau. - **[Guide CIS v5.0](https://audit.aws.silamir.com/fr/ressources/guide-cis-aws-v5)**: CIS AWS Foundations Benchmark v5.0 : contrôles IAM, stockage, journalisation, surveillance et réseau, nouveautés et passage depuis v3.0 dans Security Hub. ## Prêt à auditer votre compte AWS ? Souscrivez sur AWS Marketplace, déployez le rôle en lecture seule et recevez vos rapports dans l'heure. [Souscrire sur AWS Marketplace](https://aws.amazon.com/marketplace/pp/prodview-llvpm5sa4mljs) · [Voir le fonctionnement](https://audit.aws.silamir.com/fr/fonctionnement)