Cloudflare lance Zero Wire, un flux public sur les CVE critiques des logiciels exposés : gravité et preuves d'exploitation séparées, et les correspondances WAF ne comptent pas les compromissions

Le 3 novembre 2026, Cloudflare a présenté Zero Wire, un flux public de renseignement sur les vulnérabilités intégré à Cloudflare Radar, dans la section sécurité. Daniele Molteni et Celso Martinho écrivent que l'IA augmente à la fois le volume et la vitesse de découverte des vulnérabilités critiques, et que les équipes de sécurité doivent répondre à « sommes-nous concernés, et que faisons-nous ? » alors que la divulgation suivante arrive. Zero Wire veut leur donner un point de départ, à la manière d'une agence de presse. L'article précise que ces informations sont utiles que l'on soit client de Cloudflare ou non.

Chaque fiche comprend une explication en langage clair de ce qui s'est passé et de son importance, qui doit enquêter, une courte liste « à faire maintenant », et des liens vers les preuves et les consignes des éditeurs. Cloudflare propose aussi une invite précompilée à confier à votre propre agent d'IA. L'article indique que cette invite demande une évaluation en lecture seule des logiciels déployés, des correctifs d'éditeur pertinents, de l'exposition et des contrôles compensatoires, avec des preuves par actif, les inconnues et les prochaines actions, et que copier l'invite ne balaie ni ne modifie aucun système. Le résultat dépend donc de l'accès et de la relecture que votre agent et votre équipe apportent.

Le périmètre est volontairement étroit. Zero Wire n'est pas un catalogue de toutes les CVE et ne remplace ni les avis des éditeurs ni les bases de vulnérabilités. Il couvre les CVE critiques dans des logiciels exposés à Internet, comme les applications web, les environnements d'exécution et bibliothèques dont elles dépendent, et les services exposés où un proxy peut aider à atténuer l'exploitation. Cloudflare dit sélectionner les sujets, et qu'une protection dédiée de Cloudflare, comme une règle de pare-feu applicatif web (WAF), n'est pas un prérequis. Certains problèmes exigent des mises à jour de l'éditeur ou des changements au-delà du trafic que Cloudflare peut inspecter.

La page d'accueil classe les fiches en « Needs attention », pour les problèmes demandant une évaluation ou une action active, et « Reference », pour ceux dont les consignes se sont stabilisées. Passer en référence ne signifie pas que tous les systèmes touchés sont corrigés. Chaque carte affiche un statut et une date de dernière vérification, et l'article avertit qu'une exploitation connue, une enquête en cours et un correctif d'éditeur disponible décrivent des choses différentes. Il ajoute que la gravité et la preuve d'une exploitation active sont distinctes, et que le lecteur a besoin des deux.

La partie sur les preuves est la plus prudente de l'article. Les fiches renvoient à des enregistrements CVE, à des recherches et à des preuves d'exploitation comme le catalogue des vulnérabilités connues exploitées de la CISA, et peuvent ajouter des graphiques du trafic correspondant aux règles gérées du WAF de Cloudflare. L'article précise que ces requêtes ne sont pas un décompte de systèmes compromis ni d'exploitations réussies, que l'observation d'une tentative d'attaque ne prouve pas qu'une organisation donnée a été compromise, et que l'absence de tentatives sur le réseau de Cloudflare ne prouve pas l'absence d'exploitation ailleurs. Les fiches s'efforcent de séparer ce que les sources établissent de ce qui reste inconnu, et une chronologie des mises à jour consigne les nouveaux avis.

L'exemple est php2shell, deux failles du moteur PHP. Un article antérieur de Cloudflare indique que ces failles, CVE-2026-109618 et CVE-2026-109619, ont été divulguées le 21 octobre et touchent les serveurs exécutant PHP 5.4 ou plus, et que les protections WAF ont été appliquées par défaut aux clients gratuits et payants dès 3 h 02 UTC ce jour-là, environ neuf heures avant la divulgation publique. Le message de Zero Wire est que mettre à jour le code applicatif ou un plugin ne corrige pas une faille du moteur, d'où l'orientation des lecteurs vers les bons responsables et les consignes PHP. Cet article antérieur porte aussi une mise à jour du 23 octobre sur un problème lié, CVE-2026-115560, qui touche des versions entièrement corrigées et que la règle WAF ne couvre que si le site garde le nom de champ de progression d'envoi par défaut.

Cloudflare est franche sur son propre rôle. Si une règle WAF s'applique, la fiche l'indique et donne les exigences de configuration, avec des liens vers le tableau de bord, mais le lien n'active aucune règle et ne vérifie aucun déploiement. L'article dit qu'une atténuation par WAF est un contrôle compensatoire pour le trafic qu'elle couvre, pas un remplacement de la correction du logiciel vulnérable, et que bloquer des requêtes ne peut pas annuler ce qui s'est déjà exécuté sur l'origine. Pour les équipes, Zero Wire est une aide au tri à lire à côté des avis des éditeurs, et l'article ne donne aucune mesure du temps gagné.