Se rendre au contenu

VPN d'entreprise : le boîtier d'accès à distance est devenu la porte d'entrée préférée des attaquants

Des failles de VPN exploitées avant même leur correction : ce qu'une PME doit vérifier sur son accès à distance.
10 novembre 2026 par
VPN d'entreprise : le boîtier d'accès à distance est devenu la porte d'entrée préférée des attaquants

Le 14 juillet 2026, SonicWall a publié en urgence les correctifs de deux failles de ses boîtiers d'accès à distance SMA 1000, déjà exploitées par des attaquants, et l'agence américaine de cybersécurité (CISA) a donné trois jours aux administrations fédérales pour les corriger. Ce n'est pas un cas isolé : le VPN d'entreprise, ce boîtier qui permet de travailler à distance, est devenu l'une des premières portes d'entrée des attaques. Votre accès à distance n'est pas un risque en soi ; il le devient s'il reste exposé à tout Internet, en retard de mises à jour ou protégé par un simple mot de passe.

L'essentiel

  • Selon le rapport Verizon publié le 19 mai 2026, l'exploitation de failles est devenue la première porte d'entrée des violations de données : 31 % des cas, contre 13 % pour les identifiants volés.
  • Dans les PME touchées par un ransomware, Verizon relève comme cause des identifiants compromis (38 %) ou des failles non corrigées sur des équipements de bordure de réseau (29 %), la famille à laquelle appartiennent les VPN et les pare-feu.
  • En 2026, des failles de VPN SonicWall et Palo Alto Networks ont été exploitées avant ou peu après la publication des correctifs ; la seconde a servi à déployer le ransomware Qilin.
  • Seules 26 % des failles connues pour être exploitées ont été entièrement corrigées par les organisations en 2025, avec un délai médian de 43 jours.
  • Ce qui protège : exposer moins, corriger vite, exiger une authentification forte et lire les journaux de connexion.

Ce qui se passe

Le 14 juillet 2026, SonicWall a publié l'avis SNWLID-2026-0008. Il porte sur deux failles de ses boîtiers d'accès à distance SMA 1000 : la première, jugée critique, permet à un attaquant non authentifié de faire émettre par l'appareil des requêtes qu'il ne devrait pas faire ; la seconde permet d'exécuter des commandes sur le système. Le même jour, la CISA les a inscrites à son catalogue des vulnérabilités activement exploitées, avec une échéance au 17 juillet pour les administrations fédérales américaines, en exigeant aussi qu'elles recherchent des traces de compromission. Ce catalogue signale aujourd'hui leur usage dans des campagnes de ransomware.

C'est l'équipe de détection de Rapid7 qui a observé les attaques, avant même la publication de l'avis. Son compte rendu du 15 juillet décrit la suite : les attaquants ont récupéré des identifiants, la base des sessions actives et les secrets qui génèrent les codes de double authentification des utilisateurs, de quoi garder un accès durable même après une remise en ordre. Ils se sont ensuite authentifiés directement auprès de l'annuaire de l'entreprise, depuis l'appareil lui-même. Pour Rapid7, le boîtier censé filtrer les accès était devenu une porte dérobée non surveillée vers le cœur du réseau.

Deux mois plus tôt, le 13 mai 2026, Palo Alto Networks publiait un avis sur une faille de son VPN GlobalProtect : un contournement de l'authentification permettant d'ouvrir une connexion VPN sans y être autorisé, dans certaines configurations. La CISA l'a ajoutée à son catalogue le 29 mai. Le 20 juillet, les chercheurs d'Arctic Wolf ont décrit plusieurs intrusions survenues en juin 2026 qui commençaient toutes par cette faille sur le pare-feu et se terminaient par le chiffrement des données avec le ransomware Qilin. Entre les deux : vol d'identifiants, déplacement d'une machine à l'autre, exfiltration de données et, dans certains cas, attaque des serveurs de sauvegarde.

Ces cas illustrent une tendance mesurée. Le Data Breach Investigations Report 2026 de Verizon, publié le 19 mai 2026, constate que l'exploitation de failles est devenue la première porte d'entrée des violations de données, avec 31 % des cas, pour la première fois en dix-neuf ans de rapports. Parmi les accès à des réseaux d'entreprise mis en vente par des revendeurs spécialisés, 44 % étaient des accès VPN. Et le rythme de correction ralentit : seules 26 % des failles du catalogue de la CISA ont été entièrement corrigées en 2025, contre 38 % un an plus tôt, avec un délai médian passé de 32 à 43 jours.

Ce que ça change pour vous : le VPN d'entreprise en première ligne

Un VPN a une particularité gênante : il doit être joignable depuis Internet, par construction, puisque c'est son rôle. Il est donc visible de tous, en permanence, et ceux qui cherchent des appareils vulnérables le trouvent sans effort. Une fois franchi, il offre à l'attaquant la même confiance qu'à un employé connecté depuis chez lui.

Être une petite entreprise ne protège pas. Verizon note que ces attaques sont le plus souvent opportunistes : les attaquants cherchent des appareils vulnérables, pas une entreprise en particulier. Parmi les victimes de ransomware dont la taille était connue, environ 96 % étaient des PME.

Dans beaucoup de PME, le boîtier VPN a été installé il y a des années par un prestataire, et personne ne sait vraiment qui doit appliquer ses mises à jour, ni qui reçoit les alertes de sécurité de l'éditeur. C'est précisément ce décalage que les attaquants exploitent : la faille est publiée, le correctif existe, mais l'appareil n'est pas mis à jour.

Enfin, quand une faille a été exploitée avant d'être corrigée, installer le correctif ne suffit plus. Le cas SonicWall le montre : un attaquant qui a copié les mots de passe et les secrets de double authentification peut revenir par la grande porte. Il faut alors renouveler ces secrets et vérifier les journaux. Et si l'attaque va jusqu'au ransomware, c'est la qualité de vos sauvegardes qui décide de la suite, un sujet que j'ai traité dans l'article sur la sauvegarde face au ransomware.

Ce que j'en ai appris

Fin août 2026, un balayage automatique de mon serveur, à la recherche de pages connues pour être vulnérables, a déclenché une alerte. Il n'a eu aucun impact, mais il m'a poussé à reprendre une question simple : qu'est-ce qui, chez moi, est visible depuis Internet, et pourquoi ? En septembre 2026, j'ai placé l'administration de mon système de gestion, celui qui porte la comptabilité, les sites web et les rendez-vous de mes sociétés, derrière un VPN moderne que j'administre moi-même. Ce qui reste public se limite à ce dont mes visiteurs et mes clients ont besoin : les sites et l'espace client. L'administration du serveur passe par le même chemin, avec des clés plutôt que des mots de passe. C'est le même principe que pour le portail d'administration de mes serveurs, accessible uniquement par VPN.

Ce durcissement m'a appris trois choses, qui ont en commun de ne produire aucun message d'erreur.

D'abord, on peut fermer trop. La page de connexion que mes clients utilisent pour accéder à leur espace doit rester publique : la confondre avec l'administration aurait coupé un service réel. Il faut séparer ce que font les clients de ce que fait l'administrateur, et ne fermer que le second.

Ensuite, une protection dépend de ce qu'elle voit. Le blocage automatique des adresses qui insistent repose sur les journaux de connexion. Si ces journaux cessent d'être écrits, la protection devient aveugle sans rien signaler. Il faut donc vérifier, de temps en temps, qu'elle voit encore passer quelque chose.

Enfin, un changement annoncé comme appliqué ne l'est pas forcément. Une modification de configuration peut être acceptée sans erreur et ne jamais entrer en vigueur. Après chaque changement, il faut contrôler le résultat depuis l'extérieur, comme le verrait un attaquant, plutôt que de se fier au message de confirmation.

Le VPN devient alors le point de passage le plus important de l'installation. Il doit être tenu à jour, n'accepter que des clés, journaliser ses connexions, et se modifier avec précaution : une erreur sur ce point de passage peut couper l'administrateur lui-même de ses propres serveurs.

Que faire concrètement

1. Faire l'inventaire de ce qui est exposé

Listez tout ce qui est joignable depuis Internet : VPN, pare-feu, accès au bureau à distance, interfaces d'administration de vos logiciels. Pour chaque appareil, notez le modèle, la version, et surtout le nom de la personne responsable de ses mises à jour.

2. Retirer d'Internet ce qui n'a pas à y être

Une interface d'administration n'a pas besoin d'être publique : placez-la derrière le VPN. N'exposez jamais directement un accès au bureau à distance. Ce qui n'est pas visible ne peut pas être attaqué par un balayage automatique.

3. Corriger en jours, pas en semaines

Abonnez-vous aux alertes de sécurité de l'éditeur de votre VPN et consultez le catalogue des failles exploitées de la CISA. Quand une faille de votre équipement y figure, la correction devient une urgence. Prévoyez le remplacement des appareils qui ne reçoivent plus de mises à jour.

4. Exiger une authentification forte

Un mot de passe seul ne suffit pas pour entrer dans votre réseau. Activez la double authentification sur le VPN, si possible avec une méthode résistante à l'hameçonnage (clé physique, certificat), et supprimez les comptes inutilisés.

5. Journaliser et regarder

Conservez les journaux de connexion du VPN ailleurs que sur l'appareil, pour qu'un attaquant ne puisse pas les effacer. Faites-vous alerter sur les connexions inhabituelles : en pleine nuit, depuis un autre pays, depuis une machine inconnue. Vérifiez de temps en temps que ces journaux sont toujours écrits.

6. Préparer le jour où une faille est exploitée

Si votre équipement figure dans une alerte d'exploitation active, appliquez le correctif, puis renouvelez les mots de passe et les secrets de double authentification, et examinez les journaux. Et assurez-vous que vos sauvegardes sont hors de portée d'un attaquant qui aurait franchi le VPN.

Questions fréquentes

Notre VPN est-il un risque si nous sommes une petite entreprise ?

Oui, autant qu'ailleurs. Les attaquants balaient Internet à la recherche d'appareils vulnérables sans regarder la taille de l'entreprise qui est derrière. Un VPN à jour, protégé par une double authentification et surveillé, reste en revanche un bon moyen de travailler à distance.

Faut-il remplacer notre boîtier VPN ?

Pas forcément. Un appareil encore suivi par son éditeur, mis à jour rapidement et protégé par une authentification forte peut rester en place. Le remplacement s'impose quand l'appareil n'est plus maintenu, ou quand personne n'est capable de le tenir à jour.

Le VPN suffit-il à protéger l'accès à nos logiciels ?

Non. Il réduit ce qui est exposé, mais une fois connecté, un utilisateur ou un attaquant accède à ce que le réseau lui permet. Il faut aussi limiter ce que chaque compte peut atteindre, protéger les comptes d'administration et conserver des sauvegardes hors ligne.

Pour aller plus loin

Je conçois et j'exploite des infrastructures pour des PME, accès à distance compris : voir la page Systèmes et infrastructure. Si vous voulez savoir ce que votre entreprise expose à Internet et comment le réduire, parlons-en lors d'un appel de 20 minutes.

Sources

Photo : Manuel Luikenga / Unsplash (unsplash.com/photos/y4GHs9GEFdM).

Tags : VPN, accès à distance, cybersécurité, PME, ransomware, mises à jour, infrastructure

DSI à temps partagé : la réponse pour les PME sans service informatique ?
Les attaques réussissent moins par faille technique que par manque de pilotage : ce qu'un directeur informatique à temps partiel apporte, et ce qu'il ne fait pas.