Troisième numéro de notre revue hebdomadaire. Chaque vendredi, les faits marquants des sept derniers jours, lus avec les lunettes d'un propriétaire de risque plutôt qu'avec celles d'un analyste. Pour chaque fait, ce qu'il change pour une organisation canadienne, et la question à poser lundi matin.
Il y a deux semaines, le fil conducteur était l'arrêt des opérations. La semaine dernière, la chaîne d'outils IA. Cette semaine, il tient en une phrase : le correctif arrive après l'attaquant. Des routeurs exploités la veille de la mise à jour, une plateforme de commerce en ligne exploitée quatre jours avant le hotfix, une console de pare-feu dont l'éditeur promet une version durcie pour la semaine prochaine, et 966 correctifs Microsoft à trier en un seul mardi. Puis trois faits qui n'ont eu besoin d'aucune faille : une revendication au Québec, une clé d'API oubliée quatre ans dans le code d'un site, et une passerelle IA sur dix qui accepte encore le mot de passe de la documentation.
Partie 1 : la course est perdue d'avance si le correctif est le seul contrôle
Cisco, Citrix, Fortinet, MikroTik : quatre marques de bordure exploitées, douze failles au KEV en une semaine
Du 4 au 10 septembre, la CISA a inscrit douze vulnérabilités au catalogue KEV sur preuve d'exploitation active. Cinq d'entre elles visent l'équipement de bordure, et c'est le motif de la semaine.
Cisco Secure Firewall Management Center (CVE-2026-20079, CVSS 10.0) est la console qui administre les pare-feux Cisco d'une organisation. Un contournement d'authentification donne l'exécution de code en root sans identifiant. Le 9 septembre, Cisco Talos a documenté trois groupes distincts qui l'exploitent, dont des affiliés du rançongiciel Qilin et un acteur étatique dont l'outillage recoupe celui de Sandworm, qui déploie l'implant Cyclops Blink et récolte les configurations des équipements administrés. Un hotfix existe, la version durcie complète est annoncée pour la semaine du 14 septembre. Échéance fédérale américaine : le 12 septembre, soit trois jours après l'inscription.
Le même jour, la CISA a inscrit Citrix NetScaler (CVE-2026-19490, CVSS 9.3), un contournement d'authentification sur les passerelles configurées en VPN SSL ou en proxy ICA, avec 56 tentatives observées sur des pots de miel depuis le 3 septembre, dont 36 pour la seule journée du 8, et Fortinet (CVE-2025-25249, CVSS 7.3), une faille de 2025 désormais armée pour livrer l'outil de commande et contrôle PivotC2 : plus de 3 000 adresses ciblées, 178 équipements infectés.
MikroTik RouterOS ferme la semaine. Deux failles chaînées (CVE-2026-67277 et CVE-2026-86060), baptisées MikroTrick, donnent le contrôle administrateur complet de tout routeur dont le SSH est joignable depuis Internet. L'exploitation est observée depuis le 2 septembre, le correctif est sorti le 3. Les attaquants créent un compte nommé « ops » et modifient les règles de pare-feu et de proxy. Consigne des CERT belge et polonais : un routeur qui présente ces traces se réinitialise en usine, le correctif seul ne suffit pas.
Ce que ça change : c'est la quatrième semaine consécutive où l'équipement de bordure est la porte d'entrée, après NetScaler, Gunra et SonicWall. Ce qui est nouveau, c'est le calendrier : l'exploitation précède ou suit de quelques jours la publication du correctif, et l'éditeur lui-même prévient que la version propre arrive la semaine suivante. Un plan qui dit « nous appliquons les correctifs critiques sous 30 jours » ne décrit plus un contrôle, il décrit une fenêtre d'exposition. Pour chaque équipement de bordure de votre surface d'attaque externe, la question devient : à combien de jours fixons-nous la fenêtre, qui décide de la présomption de compromission, et combien de temps l'accès distant peut-il rester indisponible pendant une reconstruction ?
Magento : un zero-day exploité quatre jours avant le hotfix, un serveur compromis en 50 minutes
Sansec a découvert StyleSmuggler (CVE-2026-75650, CVSS 10.0), une exécution de code sans authentification sur Magento Open Source et Adobe Commerce, toutes les versions de 2.4.4 à 2.4.9. Les attaques ont commencé le 4 septembre. Adobe a publié le hotfix d'urgence le 7. Entre les deux, les attaquants ont déposé une porte dérobée Linux écrite en Rust et des shells PHP sur des boutiques en ligne ; un serveur a été compromis 50 minutes après le début de l'attaque. La remédiation exige le hotfix et la rotation des clés de chiffrement, parce qu'une clé volée pendant la fenêtre reste valable après le correctif. La CISA a inscrit la faille le 8 septembre, avec échéance le 11.
Dans le même avis du 8 septembre, la CISA a inscrit N-able N-central (CVE-2026-86218), une exécution de code pré-authentification sur une plateforme de gestion à distance très répandue chez les fournisseurs de services gérés. C'est le quatrième hotfix d'urgence de N-central en cinq semaines. N-able a écrit à ses clients que la faille était exploitée, tandis que les notes de version parlent d'une divulgation responsable sans exploitation confirmée. Les deux affirmations viennent du même éditeur, à un jour d'écart.
Ce que ça change : une boutique en ligne traite des paiements, et un outil de gestion à distance détient les clés de tous les postes de ses clients. Dans les deux cas, un correctif appliqué le jour de sa sortie arrive après l'attaquant. Le contrôle qui compte est donc ailleurs : la capacité à détecter un shell déposé le 5 septembre, et la procédure qui déclenche une revue forensique dès qu'un composant a été exposé pendant une fenêtre d'exploitation connue. Pour un fournisseur de services gérés, la question à poser au registre des tiers est directe : quel outil d'administration à distance utilise-t-il sur nos systèmes, et quand nous prévient-il d'un hotfix d'urgence ?
966 correctifs Microsoft en un mardi, un record, et deux zero-days exploités
Le 8 septembre, Microsoft a corrigé 966 vulnérabilités, le plus gros Patch Tuesday de son histoire, dont 105 classées critiques. Le record de 570 failles que nous commentions il y a quelques mois est pulvérisé. Deux failles étaient déjà exploitées : CVE-2026-81963 dans la pile Windows Update et CVE-2026-85880 dans le mécanisme ALPC, toutes deux des élévations de privilèges locales qui donnent le niveau SYSTEM à un attaquant déjà présent sur la machine. La CISA les a inscrites au KEV le jour même, échéance le 22 septembre.
Le record n'est pas un accident, c'est une cadence. Microsoft a publié 1 928 correctifs de sécurité sur les trois derniers mois, presque autant que les 2 137 publiés sur l'ensemble de 2024 et 2025. Depuis janvier, le compteur dépasse 2 600, plus du double de l'année record de 2020 et ses 1 245 failles. Les éditeurs corrigent plus vite, en partie parce que l'IA accélère la découverte de vulnérabilités. Satnam Narang, de Tenable, nuance : la découverte assistée par IA « crée de plus grandes meules de foin, mais ne trouve pas plus d'aiguilles ». Autrement dit, le volume monte, la part réellement exploitée ne suit pas dans les mêmes proportions.
Ce que ça change : à 966, personne ne lit la liste, et à ce rythme, la liste va rester à cette taille. La gouvernance des vulnérabilités devient une règle de tri écrite d'avance : ce qui est au KEV, ce qui est exposé, ce qui est sur un équipement de bordure, dans cet ordre, et un délai par catégorie. Le reste est reporté, et le report est signé. Si votre équipe applique « tout, dès que possible », elle applique en réalité « ce qu'elle a eu le temps de faire », sans que personne n'ait décidé de l'ordre.
Partie 2 : trois faits qui n'ont eu besoin d'aucune faille
CCQ : Qilin revendique les données de 350 000 personnes
Le 4 septembre, le groupe russophone Qilin a revendiqué l'attaque qui paralyse la Commission de la construction du Québec depuis le 24 août. Selon La Presse, les renseignements personnels de 350 000 personnes ont été volés, dossiers administratifs et médicaux des travailleurs de l'industrie, avec dates de naissance et numéros d'assurance sociale. Le groupe menace de publier l'ensemble si aucune négociation ne s'ouvre. Le même jour, la CCQ a confirmé dans sa mise à jour officielle que « certains renseignements » de ses clients et de ses employés ont été volés, sans en préciser la nature ni le nombre, et offre aux personnes touchées une surveillance de crédit Equifax. Les services en ligne et téléphoniques ont repris le mardi 8 septembre, quinze jours après l'intrusion.
Ce n'est pas le seul nom canadien de la semaine. Le 7 septembre, le groupe Metaencryptor a inscrit EllisDon, l'un des plus grands constructeurs du pays, sur son site de fuites ; l'entreprise n'a pas confirmé et la revendication reste à ce stade une allégation. Au total, neuf organisations canadiennes ont été revendiquées entre le 4 et le 10 septembre selon ransomware.live, dont trois manufacturiers inscrits le même jour par le groupe Storm.
Ce que ça change : deux acteurs de la construction, l'organisme paritaire du Québec et un grand entrepreneur de l'Ontario, la même semaine. Si vous êtes dans ce secteur, vos sous-traitants, vos fournisseurs et l'organisme qui gère les cartes de compétence de vos ouvriers sont tous dans la même liste. Et pour la CCQ, la partie la plus coûteuse n'est pas la fuite, c'est l'indisponibilité : quinze jours sans services en ligne ni téléphoniques pour une industrie entière, ce que traite notre plan de continuité qui survit à une attaque. Le fait de gouvernance, c'est que Qilin est aussi l'un des trois groupes que Talos a vus exploiter la console Cisco cette semaine : le même acteur, deux chemins d'entrée.
Manchester Airports : 8,8 millions de voyageurs, une clé d'API dans le code du site pendant quatre ans
Manchester Airports Group, qui exploite les aéroports de Manchester, Londres Stansted et East Midlands, avait annoncé le 27 août une brèche « dans une base de données tierce ». Le 2 septembre, le groupe d'extorsion FulcrumSec a publié environ 550 Go de données après le refus de payer : 8 672 291 profils clients avec courriel, téléphone, code postal et adresse IP, 108 077 plaques d'immatriculation, 461 433 SMS de réservation et 190 849 réservations futures avec horaires de voyage. Les données de cartes bancaires n'étaient pas dans le lot. Le 9 septembre, le chercheur Scott Helme a vérifié la méthode d'accès décrite par les attaquants : les clés administrateur de la plateforme marketing Iterable étaient écrites en clair dans le JavaScript public des trois sites, visibles par n'importe quel visiteur avec un clic droit, et non renouvelées depuis plus de quatre ans.
Ce que ça change : aucune vulnérabilité, aucun exploit, aucun zero-day. Une clé de fournisseur laissée dans une page publique. Le tiers ici n'est pas fautif, la clé était celle du client. Deux questions pour votre inventaire : quelles clés d'API de vos fournisseurs SaaS vos propres sites et applications embarquent-ils, et depuis quand n'ont-elles pas été renouvelées ? La Loi 25 vous demande de documenter où vivent les renseignements personnels ; elle suppose que vous sachiez aussi qui détient la clé de la porte.
Une passerelle IA sur dix accepte encore le mot de passe de la documentation
Le 9 septembre, Wiz a publié la suite de ses travaux sur LiteLLM, la passerelle IA que nous commentions la semaine dernière après son inscription au KEV. Sur 3 074 instances exposées sur Internet, 294, soit 9,6 %, acceptaient la clé maître « sk-1234 », la valeur d'exemple des guides de démarrage de l'éditeur ; 191 d'entre elles n'avaient tout simplement aucune clé configurée. Avec cette clé, un attaquant lit toutes les clés d'API des fournisseurs de modèles stockées sur la passerelle, atteint les outils internes connectés par MCP et, via une fonction de relais qui ne filtre pas les adresses internes, interroge le service de métadonnées du nuage pour obtenir des identifiants IAM temporaires.
Dans le même registre, la CISA a confirmé cette semaine que la faille WatchGuard Firebox de décembre 2025 (CVE-2025-14733) est désormais exploitée par des groupes de rançongiciel. Près de 9 000 pare-feux restent non corrigés, neuf mois après le correctif.
Ce que ça change : ni l'une ni l'autre de ces expositions n'a besoin d'une faille nouvelle. L'une est une configuration jamais changée, l'autre un correctif jamais appliqué. Les deux figurent probablement dans un tableau de bord quelque part avec la mention « conforme ». La question à poser n'est pas « avons-nous une politique de gestion des secrets » mais « qui a vérifié, sur les systèmes réels, que la valeur par défaut n'y est plus ». C'est la différence entre un contrôle déclaré et un contrôle observé, celle que nous mesurons entre le questionnaire d'un fournisseur et sa surface réellement visible.
Les trois questions de la semaine pour un comité de direction
- Pour nos équipements de bordure, pare-feux, consoles de gestion, routeurs, passerelles VPN, à combien de jours fixons-nous la fenêtre de correction, et qui décide de la présomption de compromission et de la reconstruction ?
- Sur 966 correctifs, lesquels appliquons-nous cette semaine, selon quelle règle écrite, et qui signe le report des autres ?
- Combien de clés d'API et de mots de passe d'administration, chez nous et chez nos fournisseurs, sont encore à leur valeur d'exemple ou datent de plus d'un an, et qui l'a vérifié sur les systèmes plutôt que déclaré dans un questionnaire ?
Si ces trois questions n'ont pas de réponse documentée, notre score de risque cyber gratuit vous situe en dix minutes sur les domaines vulnérabilités, tiers et résilience. Pour suivre ces expositions en continu plutôt qu'une fois par an, c'est le rôle des modules surface d'attaque et threat intelligence de la plateforme FortaRisks.
Un dernier mot, et on arrête de parler de nous
FortaRisks sera au GoSec les 23 et 24 septembre à Montréal. Venez parler risque, pas produit : apportez la question sur un tiers à laquelle vous n'arrivez pas à répondre, ou l'usage de l'IA dont personne ne répond encore chez vous, et on la travaillera ensemble au stand. Pour réserver un créneau, écrivez-nous.
Sources : Cisco Talos, exploitation de Secure FMC · CISA, avis du 9 septembre · The Hacker News, Cisco, Citrix et Fortinet au KEV · CISA, avis du 10 septembre, MikroTik · BleepingComputer, MikroTrick · Sansec, StyleSmuggler · CISA, avis du 8 septembre · Help Net Security, N-able N-central · BleepingComputer, Patch Tuesday de septembre · Krebs on Security, près de 1 000 failles corrigées · La Presse, cyberattaque à la CCQ · CCQ, mise à jour du 4 septembre · ransomware.live, victimes au Canada · The Register, Manchester Airports Group · Security Affairs, 8,8 millions de personnes · Wiz, LiteLLM · BleepingComputer, WatchGuard et rançongiciels