En bref

  • La CISA a ajouté le 16 octobre deux vulnérabilités à son catalogue des failles dont l’exploitation réelle est confirmée.
  • La faille BeyondTrust peut ouvrir un premier accès distant, tandis que celle de Fortinet exige déjà un compte administrateur doté de droits étendus.
  • Les deux entrées imposent un examen technique destiné à rechercher des traces d’intrusion, mais aucun usage dans une campagne de rançongiciel n’est confirmé.
  • Des mises à jour existent, avec une migration préalable nécessaire pour certaines anciennes branches logicielles selon heise Security.

Deux alertes qui dépassent le risque théorique

Deux familles de produits de sécurité et d’administration sont actuellement visées par des attaquants. La Cybersecurity and Infrastructure Security Agency, ou CISA, l’agence américaine chargée de la cybersécurité, confirme l’exploitation de deux failles distinctes. Elles touchent BeyondTrust Remote Support ainsi que FortiOS, FortiPAM, FortiProxy et FortiSwitchManager de Fortinet. Cette confirmation transforme un problème technique potentiel en priorité opérationnelle. Les organisations équipées doivent désormais envisager qu’un attaquant ait pu exploiter la faille avant l’installation des correctifs.

La CISA a inscrit les deux vulnérabilités à son catalogue Known Exploited Vulnerabilities le 16 octobre 2026. Ce registre, souvent abrégé KEV, recense les failles effectivement exploitées dans des attaques observées. Il aide les organisations à traiter en priorité les défauts qui ne sont plus seulement théoriques. L’échéance indiquée pour les mesures demandées était fixée au 19 octobre. Le média heise Security rapporte également des attaques en cours contre les produits concernés.

BeyondTrust peut devenir une porte d’entrée

BeyondTrust Remote Support sert à intervenir à distance sur des systèmes informatiques. Une compromission de cet outil peut donc offrir un point d’appui particulièrement utile dans un réseau. La vulnérabilité CVE-2026-102764, identifiant public attribué à cette faille, permettrait à un attaquant distant d’effectuer des opérations sur les fichiers de l’équipement. La CISA la décrit comme un contournement de l’authentification par usurpation. Autrement dit, le système peut accepter une origine qui n’a pas été correctement vérifiée.

Selon heise Security, les versions 26.2.3 et antérieures vérifient insuffisamment l’origine des messages reçus. Dans certaines conditions non précisées, un attaquant pourrait alors agir sur des fichiers. Le média indique que la faille sert à obtenir un accès initial, maintenir une présence, augmenter les privilèges et progresser vers d’autres machines. Ce déplacement interne est appelé mouvement latéral. Il peut étendre une intrusion au-delà du premier équipement touché et exposer d’autres ressources du réseau.

Chez Fortinet, un accès privilégié reste nécessaire

La seconde faille concerne plusieurs outils Fortinet utilisés pour protéger ou administrer des réseaux. CVE-2025-61624 est une traversée de chemins, une erreur qui permet de viser des fichiers hors de l’emplacement normalement autorisé. Son exploitation n’est toutefois pas ouverte à n’importe quel visiteur. L’attaquant doit déjà disposer d’un profil administrateur avec au moins des droits de lecture et d’écriture. Cette condition limite l’accès direct, mais rend la faille utile après une première compromission.

Avec cet accès, des commandes précises peuvent écrire ou supprimer des fichiers arbitraires sur le système. Elles passent par une interface en ligne de commande, un mode de contrôle fondé sur du texte plutôt que sur des menus. La CISA confirme l’exploitation de la faille, sans expliquer comment les comptes privilégiés ont été obtenus. Elle ne fournit pas non plus de description des victimes ou du déroulement des attaques. Selon heise Security, sa gravité atteint 6,5 selon une évaluation et 6,0 selon Fortinet, soit un risque moyen.

Un précédent documente un usage très ciblé

heise Security cite une analyse de l’équipe Unit 42 de Palo Alto Networks sur une attaque contre un fournisseur de télécommunications gérées. Dans ce cas observé en septembre 2024, l’accès initial provenait d’une autre faille de FortiManager, CVE-2024-47575, surnommée FortiJump. Les attaquants auraient utilisé CVE-2025-61624 plus tard dans l’opération. La première vulnérabilité aurait donc ouvert la voie, tandis que la seconde aurait servi pendant une phase ultérieure. Ce récit ne prouve pas que toutes les attaques actuelles suivent le même scénario.

D’après cette analyse relayée par heise, la faille aurait servi à installer un logiciel malveillant nommé Peerstitch. Un logiciel malveillant est un programme conçu pour agir au bénéfice d’un attaquant. Peerstitch resterait uniquement dans la mémoire de la machine, sans installation classique sur le stockage. Cette caractéristique signifie que son fonctionnement dépendrait de la mémoire active de l’équipement. Il viserait ARM64, une architecture de processeur utilisée par certains appareils, ce qui suggère un développement adapté à sa cible.

Corriger vite, sans confondre urgence et certitude

Pour BeyondTrust, heise Security indique que les mises à jour sont proposées à partir de la branche 24.3.1. Les installations plus anciennes doivent d’abord migrer vers une version prise en charge avant de recevoir le correctif. Cette étape supplémentaire peut compliquer une intervention sur un environnement resté longtemps sans mise à niveau. Le média classe la faille comme critique avec un score CVSS de 9,3. Le Common Vulnerability Scoring System, ou CVSS, est une échelle standardisée qui mesure la gravité technique d’une vulnérabilité.

Pour Fortinet, heise cite des correctifs dans FortiOS 7.6.5 et 7.4.10, FortiPAM 1.7.1, FortiProxy 7.6.5 et 7.4.12. Il mentionne aussi FortiSwitchManager 7.2.8 et 7.0.7, ainsi que les versions ultérieures. Les branches plus anciennes doivent migrer vers l’une de ces versions. La CISA demande d’appliquer les mesures des éditeurs et d’évaluer l’exposition des équipements à Internet. Elle exige aussi une analyse forensique, un examen technique recherchant des traces d’exploitation. Si aucune mesure n’est disponible, son catalogue prévoit l’arrêt de l’utilisation du produit concerné.

Ce qui reste à confirmer

La CISA ne précise ni le nombre de victimes, ni leur localisation, ni l’identité des attaquants. Elle ne détaille pas les conditions d’exploitation de BeyondTrust ou l’obtention des comptes Fortinet privilégiés. Le lien entre le cas Unit 42 de septembre 2024 et les attaques actuelles n’est pas établi. Pour les deux failles, l’usage dans des campagnes de rançongiciel reste indiqué comme inconnu.

Sources consultées