Le 9 septembre 2026, la CISA a ajout\u00e9 quatre vuln\u00e9rabilit\u00e9s activement exploit\u00e9es \u00e0 son catalogue des Vuln\u00e9rabilit\u00e9s Connues Exploit\u00e9es (KEV). Trois d’entre elles concernent la m\u00eame infrastructure dont d\u00e9pend chaque entreprise : la bordure du r\u00e9seau.<\/p>\n
Un contournement d’authentification avec un score CVSS parfait de 10,0 dans Cisco Secure Firewall Management Center. Un contournement d’authentification dans Citrix NetScaler ADC et Gateway, d\u00e9j\u00e0 touch\u00e9 par des dizaines de tentatives d’exploitation au cours des premi\u00e8res semaines de septembre. Un d\u00e9bordement de tampon bas\u00e9 sur le tas dans Fortinet FortiOS, d\u00e9j\u00e0 utilis\u00e9 pour infecter pr\u00e8s de 200 appareils FortiGate avec un logiciel malveillant appel\u00e9 PivotC2, dans une campagne attribu\u00e9e \u00e0 des acteurs \u00e0 motivation financi\u00e8re. Les agences f\u00e9d\u00e9rales avaient jusqu’au 12 septembre pour appliquer les correctifs. La plupart des organisations du secteur priv\u00e9 n’ont pas de d\u00e9lai impos\u00e9. C’est exactement le probl\u00e8me.<\/p>\n
Il est tentant de voir cela comme trois CVE de plus \u00e0 ajouter \u00e0 la file d’attente des correctifs. Les donn\u00e9es disent le contraire. Selon le rapport Verizon Data Breach Investigations Report (DBIR) 2026, l’exploitation de vuln\u00e9rabilit\u00e9s repr\u00e9sente d\u00e9sormais 31 % des violations en tant que vecteur d’acc\u00e8s initial, contre 20 % l’ann\u00e9e pr\u00e9c\u00e9dente, soit une hausse de 55 %. Cela a suffi \u00e0 faire de l’exploitation de vuln\u00e9rabilit\u00e9s le principal moyen d’acc\u00e8s des attaquants, devant le vol d’identifiants et le phishing, pour la premi\u00e8re fois dans l’histoire du rapport. Les \u00e9quipements de bordure et l’infrastructure d’acc\u00e8s distant repr\u00e9sentent une part importante de ce changement : les \u00e9quipements r\u00e9seau en particulier sont pass\u00e9s d’environ 1,5 % \u00e0 5 % des violations sur la m\u00eame p\u00e9riode.<\/p>\n
Les recherches de VulnCheck ajoutent un d\u00e9tail qui devrait pr\u00e9occuper chaque RSSI g\u00e9rant un parc technologique distribu\u00e9 : 42,5 % des vuln\u00e9rabilit\u00e9s de bordure exploit\u00e9es en 2025 concernaient des appareils d\u00e9j\u00e0 en fin de vie ou proches de l’\u00eatre, et 65 % de l’exploitation men\u00e9e par des botnets ciblait sp\u00e9cifiquement des produits non pris en charge. Les attaquants ne recherchent pas des failles zero-day dans des logiciels de pointe. Ils parcourent la liste des appareils que votre \u00e9quipe n’a pas encore remplac\u00e9s.<\/p>\n
La statistique la plus inconfortable de cette recherche est peut-\u00eatre celle-ci : seulement environ 24 % des vuln\u00e9rabilit\u00e9s activement exploit\u00e9es dans l’ensemble de donn\u00e9es ont fini par figurer dans le catalogue KEV de la CISA. Si votre programme de gestion des vuln\u00e9rabilit\u00e9s traite le KEV comme la ligne d’arriv\u00e9e plut\u00f4t que comme le plancher minimal, il y a de fortes chances qu’une activit\u00e9 d’exploitation r\u00e9elle se produise dans votre environnement sans qu’aucune liste officielle ne vous alerte.<\/p>\n
Les pare-feu, les concentrateurs VPN et les consoles d’administration existent pour contr\u00f4ler l’acc\u00e8s. C’est pr\u00e9cis\u00e9ment ce qui les rend pr\u00e9cieux une fois qu’un attaquant les a contourn\u00e9s. Un ordinateur portable compromis donne \u00e0 un attaquant l’acc\u00e8s d’un seul utilisateur. Une interface d’administration de pare-feu compromise, comme la faille Cisco divulgu\u00e9e ce mois-ci, peut donner \u00e0 un attaquant un acc\u00e8s root et un point d’ancrage avec une visibilit\u00e9 sur l’ensemble du r\u00e9seau qu’elle \u00e9tait cens\u00e9e prot\u00e9ger.<\/p>\n
Les d\u00e9lais se sont raccourcis en m\u00eame temps. Le code de preuve de concept pour une vuln\u00e9rabilit\u00e9 de bordure nouvellement divulgu\u00e9e peut circuler mondialement en quelques heures. Dans certains cas document\u00e9s par VulnCheck, une exploitation active a \u00e9t\u00e9 observ\u00e9e avant m\u00eame qu’un num\u00e9ro de CVE ne soit attribu\u00e9. Un cycle de correctifs construit autour de fen\u00eatres de maintenance mensuelles ou trimestrielles n’est pas con\u00e7u pour ce rythme, aussi rigoureux que le processus puisse para\u00eetre sur le papier.<\/p>\n
La CISA a r\u00e9agi avec une nouvelle directive op\u00e9rationnelle contraignante exigeant que les agences f\u00e9d\u00e9rales inventorient leurs \u00e9quipements de bordure, signalent ceux qui approchent de la fin de support, et \u00e9liminent les \u00e9quipements non pris en charge selon un calendrier d\u00e9fini sur les deux prochaines ann\u00e9es. La directive ne s’impose qu’aux agences civiles f\u00e9d\u00e9rales, mais la CISA a \u00e9t\u00e9 explicite sur son souhait que les organisations du secteur priv\u00e9, les gouvernements \u00e9tatiques et locaux, et les partenaires internationaux adoptent la m\u00eame discipline de mani\u00e8re volontaire.<\/p>\n
Quelques enseignements pratiques pour les responsables de la s\u00e9curit\u00e9 qui examinent l’actualit\u00e9 de cette semaine et la tendance plus large qui la sous-tend :<\/p>\n
Traitez le p\u00e9rim\u00e8tre comme une cible vivante, pas comme une case \u00e0 cocher une fois par an.<\/strong> Si votre test d’intrusion du r\u00e9seau externe n’a lieu qu’une fois par an, vous validez un instantan\u00e9 qui peut d\u00e9j\u00e0 \u00eatre p\u00e9rim\u00e9 de six mois lorsque le rapport d’\u00e9valuation arrive sur votre bureau. Les attaquants n’attendent pas votre cycle de renouvellement.<\/p>\n Constituez un v\u00e9ritable inventaire de l’infrastructure de bordure, y compris le statut de support.<\/strong> On ne peut pas prot\u00e9ger ce qu’on ne voit pas, et les appareils en fin de vie sont surrepr\u00e9sent\u00e9s dans les donn\u00e9es d’exploitation. C’est un exercice fastidieux et peu valorisant, et c’est aussi l’une des actions les plus rentables qu’une \u00e9quipe de s\u00e9curit\u00e9 puisse entreprendre ce trimestre.<\/p>\n Associez l’analyse automatis\u00e9e \u00e0 des tests contradictoires.<\/strong> Les scanners de vuln\u00e9rabilit\u00e9s sont efficaces pour d\u00e9tecter les correctifs manquants. Ils sont nettement moins fiables pour d\u00e9tecter les failles logiques de contournement d’authentification comme celles trouv\u00e9es dans les vuln\u00e9rabilit\u00e9s Cisco et Citrix divulgu\u00e9es ce mois-ci, le genre de probl\u00e8me qui ne se r\u00e9v\u00e8le souvent que lorsque quelqu’un tente activement de casser le flux de connexion comme le ferait un attaquant.<\/p>\n Supposez que les cycles de correctifs perdront parfois la course, et planifiez en cons\u00e9quence.<\/strong> Segmentez les interfaces d’administration de l’acc\u00e8s r\u00e9seau g\u00e9n\u00e9ral. Limitez qui et quoi peut acc\u00e9der aux consoles d’administration. Int\u00e9grez l’hypoth\u00e8se d’une compromission \u00e9ventuelle dans votre architecture plut\u00f4t que de tout miser sur la vitesse d’application des correctifs.<\/p>\n C’est l’\u00e9cart entre les \u00e9valuations ponctuelles et la validation continue que nous passons l’essentiel de notre temps \u00e0 combler pour nos clients. Les tests d’intrusion r\u00e9seau externes et internes d’Orenda recherchent sp\u00e9cifiquement les classes de failles de contournement d’authentification et de logique m\u00e9tier qui alimentent les violations d’\u00e9quipements de bordure de cette ann\u00e9e, et nos services de tests d’intrusion continus et de gestion des vuln\u00e9rabilit\u00e9s sont con\u00e7us autour de cette r\u00e9alit\u00e9 : un test annuel ne peut pas suivre le rythme de d\u00e9lais d’exploitation mesur\u00e9s en jours. Si le dernier regard port\u00e9 sur votre p\u00e9rim\u00e8tre remonte \u00e0 votre dernier test d’intrusion annuel, c’est le moment de vous demander ce qui a chang\u00e9 depuis.<\/p>\n Les trois vuln\u00e9rabilit\u00e9s signal\u00e9es par la CISA cette semaine finiront par \u00eatre corrig\u00e9es, t\u00f4t ou tard, par la plupart des organisations attentives. Le sch\u00e9ma qui les sous-tend, lui, ne dispara\u00eetra pas. La bordure du r\u00e9seau n’est pas un endroit \u00e0 d\u00e9fendre une fois par an en esp\u00e9rant que tout ira bien. C’est la porte d’entr\u00e9e, et elle m\u00e9rite la m\u00eame attention continue que tout ce qui se trouve derri\u00e8re elle.<\/p>\n","protected":false},"excerpt":{"rendered":" Le 9 septembre 2026, la CISA a ajout\u00e9 quatre vuln\u00e9rabilit\u00e9s activement exploit\u00e9es \u00e0 son catalogue des Vuln\u00e9rabilit\u00e9s Connues Exploit\u00e9es (KEV). Trois d’entre elles concernent la m\u00eame infrastructure dont d\u00e9pend chaque entreprise : la bordure du r\u00e9seau. Un contournement d’authentification avec un score CVSS parfait de 10,0 dans Cisco Secure Firewall Management Center. Un contournement d’authentification […]<\/p>\n","protected":false},"author":1,"featured_media":3654,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[40,38],"tags":[],"class_list":["post-3637","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sensibilisation-securite","category-violation","has-post-title","has-post-date","has-post-category","has-post-tag","has-post-comment","has-post-author",""],"yoast_head":"\n