ekera VPN, pare-feu, messagerie : trois équipements de bordure attaqués en deux jours
Les 13 et 14 octobre 2026, trois éditeurs d’équipements très répandus ont publié des correctifs pour des failles déjà exploitées par des attaquants : le VPN Ivanti Connect Secure, les pare-feu Palo Alto Networks et la passerelle de messagerie de Cisco. Trois produits différents, une même leçon : ce qui fait face à Internet est la porte d’entrée préférée des intrusions, et rarement la mieux surveillée.
Ce qui s’est passé
Ivanti Connect Secure (VPN). Le 13 octobre, Ivanti a publié des correctifs pour la faille CVE-2026-104935, qui permet de contourner l’authentification et d’exécuter des commandes à distance sans compte. Elle a été découverte par la société Volexity, qui l’a vue exploitée avant que le correctif ne soit prêt ; une partie du défaut avait déjà été corrigée en juillet. Le CERT-FR a publié une alerte le 14 octobre (CERTFR-2026-ALE-013). Il y signale des mouvements latéraux menés avec les comptes LDAP ou Active Directory utilisés par l’équipement.
Palo Alto Networks PAN-OS (pare-feu). Le 14 octobre, l’éditeur a signalé la faille CVE-2026-0322 dans l’interface d’administration de ses pare-feu et de sa console Panorama : un attaquant authentifié qui atteint cette interface peut exécuter du code avec les droits les plus élevés. Score CVSS de 8,6 ; exploitation qualifiée de « très limitée » par l’éditeur ; aucun contournement en dehors de la mise à jour, sinon restreindre l’accès à l’interface à des adresses internes de confiance.
Cisco Secure Email Gateway (messagerie). Le même jour, Cisco a confirmé l’exploitation de la faille CVE-2026-76519 : une pièce jointe piégée suffit à prendre le contrôle complet de la passerelle quand le service de réputation des fichiers est activé. Aucun contournement n’existe ; la mise à jour des outils d’analyse de contenu corrige la faille sans redémarrage. Cisco conseille aussi d’examiner les journaux du réseau et des pare-feu, car un attaquant avec ces droits peut effacer ses traces sur l’équipement lui-même.
Le 14 octobre, l’agence américaine CISA a inscrit les failles de Palo Alto Networks et de Cisco à son catalogue des vulnérabilités exploitées, et a donné aux administrations fédérales jusqu’au 17 octobre pour corriger.
Pourquoi c’est important
Ces équipements ont trois points communs. Ils sont exposés à Internet par construction : un VPN, un pare-feu ou une passerelle de messagerie doit être joignable pour rendre service. Ils détiennent des secrets précieux : comptes de service de l’annuaire, certificats, clés. Et ce sont des boîtes fermées, sur lesquelles on n’installe pas d’outil de détection, si bien qu’une intrusion peut y rester longtemps invisible. Ivanti Connect Secure en est à sa troisième série de failles exploitées en moins de trois ans, après celles de janvier 2024 et de janvier 2025.
La conséquence pour l’architecture est directe. Appliquer le correctif ne suffit pas si l’équipement a été compromis avant : le CERT-FR demande d’isoler l’équipement, de conserver les traces, puis de considérer comme compromis tous les secrets qu’il contient ou qui y transitent, et de chercher des déplacements vers le reste du réseau. Ce travail n’est faisable vite que si l’on sait d’avance quels comptes, quels certificats et quels serveurs dépendent de l’équipement.
Enfin, deux des trois failles touchent une fonction qui n’a pas besoin d’être ouverte à tous : l’interface d’administration d’un pare-feu, et une fonction d’analyse des pièces jointes. Réduire ce qui est exposé reste la mesure la plus rentable, parce qu’elle protège aussi contre les failles du mois prochain.
Ce que cela change pour une ETI
- Faire l’inventaire de ce qui fait face à Internet : VPN, pare-feu, passerelles de messagerie, portails d’accès, avec marque, version et responsable. On ne corrige pas en 48 heures un équipement qu’on ne connaît pas.
- Vérifier les trois produits cités : si vous en utilisez un, appliquer les versions corrigées et suivre les recherches de compromission publiées par l’éditeur et par le CERT-FR, sans se contenter du correctif.
- Fermer les interfaces d’administration : jamais accessibles depuis Internet, seulement depuis un réseau d’administration dédié ou des adresses de confiance.
- Limiter les secrets confiés aux équipements de bordure : un compte d’annuaire dédié, aux droits minimaux, et la liste des certificats et clés à renouveler en cas d’alerte, préparée à l’avance.
- Envoyer leurs journaux hors de l’équipement : un attaquant qui y obtient les pleins droits peut effacer les traces locales ; une copie centralisée reste exploitable.
Sources
- CERT-FR, alerte CERTFR-2026-ALE-013, « Vulnérabilité dans Ivanti Connect Secure (ICS) », 14 octobre 2026
- The Register, sur le correctif d’Ivanti pour Connect Secure, 14 octobre 2026
- CSO Online, sur la faille PAN-OS CVE-2026-0322, 15 octobre 2026
- CSO Online, sur la faille de Cisco Secure Email Gateway, 15 octobre 2026
- Centre canadien pour la cybersécurité, avis AV26-1042 sur Cisco, 14 octobre 2026
- Help Net Security, sur l’ajout de ces failles au catalogue de la CISA, 15 octobre 2026
Article préparé avec l’agent de veille d’Ekera à partir des sources citées, relu et validé par l’équipe avant publication. Ekera cartographie le SI des ETI, chiffre ce qu’une attaque arrêterait et prépare les preuves NIS2. Découvrir Ekera.