Il y a un réflexe que l'on retrouve dans presque toutes les organisations : quand un risque inquiète, on achète un outil. Une passerelle pour filtrer le courriel, un boîtier pour l'accès à distance, une console pour piloter le réseau étendu, un agent pour protéger les postes. Chaque achat se défend. Mais chacun ajoute aussi une interface à exposer, un composant à corriger, des droits élevés à protéger et un contrat à suivre.
Les deux dernières semaines l'ont montré de façon presque caricaturale, et notre récap du 9 octobre l'a résumé en une phrase : vos outils de confiance sont devenus la porte d'entrée. Cet article en tire la méthode. Notre conviction tient en deux lignes : on ne priorise pas ce qu'on ne voit pas, et chaque outil ajouté est aussi une porte à garder.
Pourquoi les attaquants visent d'abord vos outils de sécurité
Ce n'est pas un hasard si les produits de sécurité et les équipements de bordure reviennent sans cesse dans les avis d'exploitation. Ils cumulent trois propriétés qu'un attaquant recherche :
- Ils sont joignables. Une passerelle de courriel, un concentrateur VPN ou une interface d'administration de réseau étendu sont, par construction, placés devant le reste et accessibles depuis Internet.
- Ils sont privilégiés. Un agent de protection des postes tourne avec les droits les plus élevés de la machine ; une console centrale pousse des configurations à des centaines d'équipements. Compromettre l'outil, c'est hériter de ses droits.
- Ils sont de confiance. Leur trafic est attendu, leurs processus sont sur liste blanche, leurs alertes sont celles qu'on regarde. Quand ils se taisent, on croit que tout va bien.
Ce que ça change : un outil de sécurité n'est pas un actif « à part », protégé par sa fonction. C'est un actif exposé et privilégié, qui mérite plus de vigilance que les autres, pas moins.
Quatre familles, dix jours, la même leçon
Fin septembre et début octobre, quatre familles d'outils ont servi d'entrée ou ont été neutralisées en premier.
La passerelle de courriel. Le 1er octobre, Fortinet a confirmé l'exploitation active de CVE-2026-104286 (CVSS 9.8) sur FortiMail : un attaquant non authentifié peut écrire des fichiers sur l'appareil et y exécuter des commandes par une simple requête HTTP. Au moment de l'avis, les versions correctives n'étaient pas encore publiées ; la seule protection était de désactiver une fonction ou de couper l'interface d'administration depuis Internet. La CISA a inscrit la faille au catalogue KEV le jour même. Statut : confirmé par l'éditeur.
Les boîtiers d'accès à distance. Citrix a divulgué le 27 septembre deux failles de NetScaler ADC et Gateway déjà exploitées, puis une troisième le 3 octobre : trois failles exploitées en six jours sur le même produit. Statut : confirmé par l'éditeur.
La console du réseau étendu. Le 30 septembre, la CISA a ajouté au KEV CVE-2026-76504, un contournement d'authentification de Cisco Catalyst SD-WAN Manager qui donne les droits administrateur. Ce n'est pas la première fois : nous avions déjà vu le SD-WAN sous attaque active en juin. Qui tient cette console tient la configuration de tous les sites reliés. Statut : confirmé.
L'agent de protection des postes. Les chercheurs de Symantec et de Carbon Black ont décrit des attaques du groupe Warlock où les opérateurs chargent un pilote signé mais vulnérable pour obtenir un accès noyau et arrêter les antivirus et l'EDR de 40 postes en environ deux heures, avant de lancer le rançongiciel. Statut : rapporté par les chercheurs. En mai déjà, trois failles de Defender et d'Apex One étaient inscrites au KEV en 72 heures, dont une qui désactivait silencieusement le moteur antimalware.
Et le cas qui résume tout ne concerne pas un produit, mais une délégation. Début octobre, le FBI a confirmé qu'une intrusion sur une plateforme gérée par un tiers résultait d'un correctif publié mais jamais appliqué par le prestataire, et a retiré ce dernier. Statut : confirmé par le FBI. On peut sous-traiter l'exploitation d'un outil ; on ne sous-traite pas la responsabilité de son exposition.
Ce que ça change : la question n'est plus « avons-nous les bons outils ? », mais « savons-nous lesquels sont exposés, qui les corrige, et en combien de temps ? ». Le Digital Defense Report 2026 de Microsoft situe le délai médian entre la découverte d'une faille et son exploitation bien sous les 24 heures. Un cycle de correction mensuel laisse donc à l'attaquant des semaines d'avance sur vos équipements les plus exposés.
Dépenser mieux, pas plus : chaque outil a un coût caché
Un outil de sécurité se budgète en licence. Il se paie aussi en surface : une interface de plus à joindre, une famille de failles de plus à suivre, des comptes d'administration de plus à protéger, un fournisseur de plus dont les délais deviennent les vôtres.
C'est pour ça que l'accumulation d'outils ne réduit pas forcément le risque. Deux produits qui se recouvrent doublent la surface sans doubler la protection. Un outil acheté et mal exploité, ou délégué sans suivi, crée un faux sentiment de couverture : le tableau de bord reste vert pendant que l'agent est éteint. Et quand le budget suit le volume d'alertes plutôt que la baisse du risque, on finance la complexité.
Avant d'ajouter un outil, trois questions suffisent : quel risque nommé fait-il baisser ? Quelle surface ajoute-t-il ? Et qui, nommément, l'exploitera et le corrigera ? Si la troisième réponse est « le fournisseur » ou « la TI », l'outil n'est pas encore prêt à être acheté.
La méthode : cinq décisions à prendre une fois pour toutes
1. Inventorier les outils exposés. Listez tous les produits de sécurité et équipements de bordure joignables depuis Internet : passerelles de courriel, concentrateurs VPN et boîtiers d'accès à distance, pare-feu, consoles SD-WAN, portails d'administration d'EDR, outils de gestion à distance. Pour chacun : le produit, la version, l'interface exposée, et si l'administration est joignable depuis l'extérieur. C'est souvent là que la liste surprend.
2. Nommer qui corrige. Pour chaque ligne, un nom, pas un service. Si l'équipement est géré par un prestataire, le nom de la personne qui, chez vous, vérifie que le correctif est appliqué, et sur quelle preuve. Un rapport mensuel du prestataire n'en est pas une.
3. Fixer le délai de correction le plus court de l'organisation. Les équipements de bordure et les produits de sécurité exposés passent avant tout le reste : quand une faille est inscrite au KEV ou confirmée exploitée, le délai se compte en heures ou en jours, pas au prochain cycle mensuel. Et une faille exploitée avant sa divulgation déclenche une recherche de compromission, signée par quelqu'un de nommé : corriger un appareil déjà touché ne fait pas partir l'attaquant.
4. Décider d'avance qui peut couper. Quand le correctif n'existe pas encore, comme pour FortiMail, la seule protection est une décision : désactiver une fonction, fermer une interface d'administration, isoler un boîtier. Écrivez qui a ce pouvoir, sans attendre l'éditeur ni un comité, et en combien d'heures. Sans cette décision, votre période d'exposition est fixée par le calendrier de l'éditeur, pas par le vôtre.
5. Traiter le silence d'un outil comme un incident. L'arrêt d'un agent EDR, la perte de ses définitions ou son passage en mode passif sur un serveur n'est pas une panne à regarder lundi : c'est l'étape qui précède souvent le chiffrement. Bloquez la liste des pilotes vulnérables connus, alertez sur l'arrêt de l'agent, et prévoyez une source de télémétrie indépendante pour le jour où l'EDR ment.
Le test de la semaine : trente minutes, une liste
Prenez trente minutes avec la personne qui gère votre infrastructure, et répondez par écrit :
- Combien de produits de sécurité et d'équipements de bordure avons-nous qui sont joignables depuis Internet ? Lesquels exposent leur interface d'administration ?
- Pour chacun, qui le corrige, nommément, et en combien de jours le dernier correctif critique a-t-il été appliqué ?
- Qui peut couper une fonction exposée cette nuit, sans attendre l'éditeur ?
- Si un agent EDR s'arrête sur un serveur à 3 h du matin, qui est alerté, et en combien de minutes ?
Trois résultats doivent vous alerter. Un chiffre approximatif à la question 1 : vous ne pouvez pas prioriser ce que vous ne voyez pas. « Le fournisseur » ou « la TI » à la question 2 : la responsabilité n'est pas assignée. Personne à la question 3 : votre exposition dépend entièrement de quelqu'un d'autre.
Ce que vous devriez avoir dans deux semaines
Une page. La liste de vos outils de sécurité et équipements de bordure exposés, chacun avec sa version, son propriétaire, son délai de correction cible et le nom de la personne qui peut le couper. Et, en marge, les outils qui se recouvrent ou que personne n'exploite vraiment : c'est votre premier gisement d'économies, et souvent votre première réduction de surface.
Où FortaRisks intervient
Pour savoir dès maintenant ce qu'un attaquant voit de vos interfaces, notre rapport d'exposition gratuit analyse votre organisation de l'extérieur, en lecture seule, et vous remet en 48 heures un score, les constats classés et un plan d'action de 30 jours. Pour situer l'ensemble de votre posture en dix minutes, le score de risque cyber est gratuit et sans inscription.
Pour en faire une pratique continue plutôt qu'un exercice annuel, Forta Exposition surveille en continu votre surface d'attaque externe : chaque service exposé est identifié avec sa version, puis relié par Forta Radar aux failles actives et au catalogue KEV. Forta Actions transforme ensuite ces constats en une courte file d'actions priorisées, chacune routée vers le bon responsable et suivie jusqu'à sa résolution.
Sources : Help Net Security, FortiMail CVE-2026-104286 · SecurityWeek, FortiMail · Tenable, les trois failles NetScaler · CISA, avis du 30 septembre · The Hacker News, Cisco Catalyst SD-WAN Manager · The Hacker News, Warlock et SharePoint · The Hacker News, le FBI et le prestataire · BleepingComputer, Microsoft Digital Defense Report 2026 · CISA, catalogue des vulnérabilités exploitées connues