Les passerelles VPN Cisco attaquées alors que Microsoft corrige 421 failles

Les passerelles VPN Cisco exploitées alors que les attaquants ciblent les infrastructures de confiance

Une seule journée d’actualités en matière de sécurité a récemment dressé un tableau saisissant de la façon dont les attaquants réorientent leur attention : des passerelles VPN Cisco exploitées dans le cadre d’attaques actives, un zero-day du noyau Windows corrigé parmi 421 correctifs de Microsoft, des groupes de ransomware frappant des hôpitaux et des agents liés à la Corée du Nord qui auraient obtenu des postes au sein de systèmes du gouvernement américain grâce à de faux entretiens d’embauche. Pris isolément, chaque élément est notable. Ensemble, ils décrivent un schéma qui devrait inquiéter quiconque s’appuie sur une infrastructure VPN d’entreprise pour sécuriser le travail à distance.

Le dénominateur commun est la confiance. Les passerelles VPN Cisco, les composants du noyau Windows et même le processus de recrutement lui-même sont autant de systèmes que les organisations et leurs employés considèrent comme sûrs par défaut. Les attaquants parient de plus en plus sur le fait que cette hypothèse est précisément ce qui rend ces systèmes dignes d’être ciblés.

Comment cela se relie à la vague plus large de zero-days des pare-feu Cisco

L’exploitation active des passerelles VPN Cisco n’existe pas de manière isolée. C’est le dernier chapitre d’une série de vulnérabilités affectant la gamme de produits Secure Firewall de Cisco, les logiciels dont dépendent de nombreuses entreprises pour gérer l’accès à distance et la défense périmétrique. Cisco a déjà dû publier en urgence un correctif pour un zero-day qui faisait planter les pare-feu ASA, et de son côté, la CISA a émis un avertissement après qu’une faille de Firewall Management Center, CVE-2026-20316, a été confirmée comme étant activement exploitée.

Ce qui rend cette tendance préoccupante n’est pas une vulnérabilité en particulier. C’est la fréquence. Lorsque les produits de pare-feu et de VPN d’un même éditeur apparaissent régulièrement dans des avis d’exploitation active, cela indique que les attaquants ont trouvé une voie fiable vers des réseaux que de nombreuses équipes informatiques considèrent comme un problème résolu une fois le matériel installé et configuré. Si votre organisation n’a pas encore examiné ces avis spécifiques, c’est le point de départ technique avant toute autre chose.

Pourquoi la confiance accordée au VPN au niveau de l’infrastructure constitue une surface d’attaque croissante

Les passerelles VPN occupent un point particulièrement privilégié dans un réseau. Elles sont conçues pour être exposées à Internet afin que les employés distants puissent y accéder, et elles sont conçues pour accorder l’accès une fois que l’utilisateur s’est authentifié. Cette combinaison — exposition publique et confiance élevée — en fait une cible efficace. Une seule faille non corrigée dans une passerelle VPN peut potentiellement donner à un attaquant un point d’appui qui contourne une grande partie des défenses internes qu’une organisation a mises en place au fil des ans.

À cela s’ajoutent les autres informations du même cycle d’actualité. Les 421 correctifs de Microsoft comprenaient un zero-day du noyau Windows, ce qui signifie que les attaquants disposaient d’une voie vers des privilèges élevés sur les terminaux même après avoir franchi les défenses périmétriques. Les opérateurs de ransomware continuent de cibler les hôpitaux, où les interruptions ont des conséquences vitales et où la pression pour payer est la plus forte. Et les signalements d’acteurs étatiques, notamment des groupes liés à la Corée du Nord, utilisant de faux entretiens d’embauche pour infiltrer des postes d’administrateurs système montrent que l’ingénierie sociale visant les personnes qui gèrent cette infrastructure est tout aussi active que l’exploitation technique visant l’infrastructure elle-même.

Prises ensemble, ces informations suggèrent que les attaquants agissent simultanément à tous les niveaux : la périphérie du réseau, le système d’exploitation et les êtres humains qui administrent les deux.

Ce que cela signifie pour vous

Si votre organisation utilise des appliances VPN ou pare-feu Cisco pour l’accès à distance, ce n’est pas un sujet à survoler. Les passerelles VPN non corrigées ou mal configurées sont désormais un point d’entrée démontré pour de véritables intrusions, et non un risque théorique. Les travailleurs à distance doivent également savoir que la sécurité de leur connexion dépend fortement du matériel de passerelle que leur employeur maintient, et pas seulement de la robustesse de leur mot de passe ou de la présence d’une authentification multifacteur.

Pour les équipes informatiques et de sécurité, l’angle du ciblage des administrateurs système mérite une attention particulière. Si des acteurs étatiques utilisent le recrutement et les entretiens d’embauche comme vecteur pour placer des agents au sein d’organisations disposant d’un accès privilégié, les défenses techniques classiques ne le détecteront pas. Les processus d’embauche pour les postes ayant accès à l’infrastructure pourraient nécessiter le même niveau de rigueur que les calendriers de mise à jour des logiciels.

Mesures concrètes à retenir

• Confirmez que les appliances Cisco Secure Firewall et VPN de votre organisation exécutent les correctifs actuels et examinez les avis récents concernant les produits ASA, FTD et FMC.
• Considérez les passerelles VPN comme des cibles de grande valeur dans vos évaluations des risques, et non comme une infrastructure ordinaire.
• Appliquez rapidement les dernières mises à jour de sécurité de Microsoft, en particulier celles qui corrigent des vulnérabilités au niveau du noyau.
• Ajoutez des étapes de vérification supplémentaires aux flux de recrutement pour les postes informatiques et d’administrateur système disposant d’un accès réseau privilégié.
• Veillez à ce que les hôpitaux et les autres organisations de services critiques disposent de plans de sauvegarde et de reprise testés, compte tenu du ciblage continu par les groupes de ransomware.

Le fil conducteur de tous ces récits est que les passerelles VPN Cisco exploitées dans des attaques réelles ne sont qu’un élément d’un effort plus large des attaquants pour exploiter la confiance intégrée aux systèmes d’entreprise et aux processus de recrutement. Se tenir à jour des avis des éditeurs et considérer l’infrastructure d’accès à distance comme un point de vigilance permanent, plutôt que comme un déploiement à configurer puis à oublier, est la défense la plus pratique disponible à l’heure actuelle.