Trois éditeurs, une semaine, la même faille

Un responsable informatique vérifie trois journaux de correctifs avant le déjeuner

Un responsable informatique d'une entreprise de logistique de taille moyenne ouvre trois onglets avant le déjeuner le 2 septembre : la console d'administration SonicWall, le tableau de bord Switchvox et l'instance Artifactory qui héberge les artefacts de compilation de l'entreprise. Aucun des trois éditeurs n'a de lien avec les autres. L'un vend des passerelles VPN, l'autre des systèmes téléphoniques, le troisième des dépôts logiciels. Et pourtant, les trois onglets sont ouverts pour la même raison : chaque éditeur a confirmé une exploitation active d'une faille au cours des soixante-douze dernières heures.

Ce n'est pas une mauvaise semaine pour une seule entreprise. Ce sont trois incidents distincts et simultanés touchant trois produits sans lien entre eux, découverts et divulgués à quelques jours d'intervalle début septembre 2026. Lu individuellement, chacun est un avis éditeur de routine. Lus ensemble, ils décrivent un schéma qui compte plus que n'importe quel numéro de CVE isolé.

SonicWall SMA1000 face à un zero-day de gravité maximale

SonicWall a confirmé les 1er et 2 septembre 2026 que des attaquants exploitent activement deux vulnérabilités jusque-là non divulguées dans ses appareils d'accès distant SMA1000, sur les modèles 6210, 7210 et 8200v. CVE-2026-83548 est une faille SSRF pré-authentification dans l'interface Appliance Work Place, avec un score CVSS de 10.0, le maximum possible. CVE-2026-83549 est une injection de commandes système dans la console Appliance Management Console, permettant à un administrateur authentifié d'exécuter du code à distance.

Les versions de firmware inférieures à 12.4.3-03526 et 12.5.0-02952 sont vulnérables. Au moment de la confirmation des attaques, aucun correctif n'existait, ce qui fait de ceci un véritable zero-day : il n'y a eu aucune fenêtre pendant laquelle un défenseur aurait pu combler la faille en appliquant une mise à jour, puisqu'aucune mise à jour n'était disponible. C'est aussi le troisième incident de sécurité touchant SMA1000 cette année, après un vol de graines MFA en juillet 2026 que nous avions couvert séparément à l'époque.

Switchvox et Artifactory racontent deux histoires différentes de faille de correctifs

Sangoma Switchvox SMB Edition 8.3 comporte une faille d'injection SQL non authentifiée, CVE-2026-9586, avec un score CVSS de 9.3. Elle permet à un attaquant de déployer un reverse shell sans aucun identifiant, via le point de terminaison "/pa" du produit. Sangoma l'a corrigée le 14 juillet 2026 avec la version 8.4.0.2. Les tentatives d'exploitation ont commencé le 30 août 2026, selon la télémétrie des honeypots, soit un écart de six semaines entre la disponibilité du correctif et son utilisation réelle par des attaquants. Environ 4 000 instances Switchvox restent exposées sur l'internet public aujourd'hui.

JFrog Artifactory raconte une histoire plus rapide. Une faille de contournement d'authentification avec un CVSS de 9.8, CVE-2026-82329, touche Artifactory auto-hébergé dans sa configuration par défaut et permet à un attaquant non authentifié de générer des jetons administrateur. JFrog l'a corrigée le 28 août 2026 dans les versions 7.111.21, 7.117.28, 7.125.20 et 7.133.29. Les attaquants ont commencé à l'exploiter en quelques jours. Le réseau de honeypots de Watchtowr a observé une énumération automatisée des utilisateurs, des identifiants et des topologies d'accès fédéré presque immédiatement après la publication du correctif. Il s'agit d'une vulnérabilité différente et plus récente que le problème de mauvaise configuration d'Artifactory que nous avions couvert en juillet 2026 sous le titre "vérifiez un paramètre avant de corriger Artifactory" : c'était une faille distincte, et les deux ne doivent pas être confondues.

Au-delà des titres : être corrigé n'est pas le même mot qu'être protégé

Trois éditeurs sans lien entre eux, trois catégories de produits sans lien entre elles : une passerelle VPN, un système téléphonique VoIP et un dépôt d'artefacts logiciels. Le même schéma apparaît dans les trois cas. Observez l'écart entre le moment où un correctif existe et le moment où les attaquants exploitent réellement la faille que ce correctif comble. Pour Artifactory, cet écart a été de quelques jours. Pour Switchvox, six semaines, alors même que le correctif était disponible depuis le début. Pour SonicWall, il n'y a eu aucun écart, puisqu'il n'existait pas encore de correctif autour duquel un écart aurait pu se former.

Nous pensons que la véritable histoire d'exposition pour les entreprises de l'UE et du Royaume-Uni n'est pas une CVE isolée. C'est que l'existence d'un correctif et la protection réelle d'un système sont deux faits distincts, et l'écart entre les deux correspond exactement à l'entreprise qui n'a pas eu le temps d'appliquer la mise à jour pendant les six semaines où elle était disponible. L'équipement de périphérie à l'échelle PME exposé à internet - le boîtier VPN, le système téléphonique, le serveur d'artefacts dans un coin du réseau - est le point d'entrée fiable précisément parce que c'est ce que personne ne recontrôle après le déploiement initial.

Ce n'est pas une hypothèse. Environ 4 000 boîtiers Switchvox et un nombre inconnu mais bien réel d'instances SonicWall et Artifactory sont exposés sur l'internet public en ce moment même, au moment où ceci est écrit. The Register soulève une question distincte et véritablement ouverte : la vitesse de l'exploitation d'Artifactory, une énumération automatisée en quelques jours après la publication du correctif, refléterait-elle des outils d'attaque pilotés par des agents IA plutôt que des opérateurs humains travaillant les honeypots à la main. Nous n'avons pas encore de réponse à cela, et personne d'autre non plus publiquement pour l'instant.

Ce que l'avis du NCSC ajoute au tableau

Le 27 août 2026, le National Cyber Security Centre britannique a publié un avis alertant sur le ciblage croissant des technologies opérationnelles et des équipements de périphérie exposés à internet dans tous les secteurs. Son message central est simple : ne pas présumer qu'un système est inaccessible depuis internet sans le vérifier. Cet avis est arrivé cinq jours avant que ces trois incidents ne deviennent publics, et se lit moins comme une coïncidence que comme le signe que le NCSC voyait déjà grandir la même catégorie d'exposition avant qu'aucun éditeur ne confirme individuellement une attaque active.

Pour une entreprise utilisant l'un de ces trois produits, ou des produits similaires, la question pratique n'est pas de savoir si les CVE spécifiques de cette semaine s'appliquent. C'est de savoir s'il existe un processus permanent qui vérifie, selon un calendrier régulier, si chaque équipement de périphérie exposé à internet fonctionne réellement avec le niveau de correctif attendu, et pas seulement si un correctif a été appliqué une fois.

Servola Journal

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-le-nous pour que nous continuions. Suivez-nous, laissez un like, ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.

À lire ensuite: Le rançongiciel Gunra exploite des failles Fortinet corrigées en 2025  |  Vos Mac anciens ont demandé sept tentatives