Depuis deux ans, les gros titres consacrés au piratage des équipements de périphérie (pare-feux, passerelles VPN, contrôleurs d’accès distant ) ont surtout mis en avant les groupes liés à la Chine et leurs cibles de prédilection, Ivanti, Fortinet ou Palo Alto Networks. Une étude conjointe de Tenable et SentinelOne vient nuancer ce récit. Les deux éditeurs américains ont croisé deux bases de données constituées indépendamment.

L’une est issue de la télémétrie d’exposition de Tenable sur des milliers d’environnements clients quand l’autre est tirée des enquêtes de réponse à incident (DFIR) menées par SentinelOne. Leur conclusion souligne que loin d’être l’apanage d’un seul type d’attaquant, l’infrastructure edge est devenue un terrain de chasse commun à cinq catégories d’acteurs distinctes : la Chine, la Russie, la Corée du Nord, l’Iran et les groupes cybercriminels à motivation financière. Une convergence à 79 % malgré des vulnérabilités différentes Le point de départ de l’étude est contre-intuitif.

Lire aussi : Comment Lazarus détourne des offres d'emploi pour infiltrer l'industrie de la défense Au niveau des vulnérabilités et expositions communes (CVE), les deux jeux de données se recoupent très peu. Sur 82 CVE identifiées au total, seules 17, soit 21 %, apparaissent dans les deux corpus. Autrement dit, Tenable et SentinelOne ne regardaient, pour l’essentiel, pas les mêmes failles.

En revanche, au niveau des fournisseurs, la convergence est frappante. Onze des quatorze éditeurs présents dans le corpus de Tenable se retrouvent également dans les dossiers d’intervention de SentinelOne, soit un taux de recoupement de 79 %. Recentrée sur les seuls équipements edge et d’accès distant, cette convergence atteint 100 %.

Les sept fournisseurs identifiés indépendamment par Tenable dans cette catégorie ( Fortinet, Citrix, Ivanti, Palo Alto Networks, Cisco, Juniper et VMware ) figurent tous dans les dossiers d’incidents traités par SentinelOne. Pour les deux éditeurs, la portée de ce résultat dépasse le simple constat statistique. Si les deux jeux de données avaient convergé sur les mêmes CVE précises, le message aurait été rassurant : corriger cette poignée de failles suffirait à limiter le risque.

Ce que montrent les chiffres est différent et plus difficile à traiter. Des acteurs étatiques et des groupes cybercriminels, agissant sans lien entre eux, trouvent chacun leur propre chemin d'accès chez les mêmes fournisseurs. Lire aussi : Handala Hack, un groupe hacktiviste iranien aux méthodes destructrices Corriger la CVE du trimestre ne retire pas un éditeur de la liste des cibles.

Douze failles exploitées à la fois par des Etats et des cybercriminels L'étude a recensé 93 cas documentés d'exploitation de vulnérabilités par des acteurs de la menace, représentant une quarantaine de groupes identifiés. Douze vulnérabilités y affichent une attribution dite « multi-nexus » confirmée avec le plus haut niveau de confiance méthodologique. Des preuves directes établissent qu'un acteur étatique et un acteur cybercriminel ont exploité, indépendamment l'un de l'autre, la même faille chez le même fournisseur.

Parmi les exemples cités figure une vulnérabilité zero-day des appliances SonicWall SMA1000. Elle a d'abord été exploitée par un groupe d'espionnage dont l'origine n'a pas pu être établie, avant d'être utilisée à son tour par les opérateurs du ransomware INC. Le même scénario se retrouve avec une faille de PAN-OS GlobalProtect, le système de sécurité de Palo Alto Networks.

Celle-ci a été exploitée par un acteur lié à la Chine, puis par les opérateurs du ransomware INC. Autre exemple : une vulnérabilité de la plateforme Check Point Quantum a été exploitée séparément par un groupe chinois et par le groupe iranien Fox Kitten. Au total, douze vulnérabilités présentent ce profil « multi-nexus ».

Les huit autres concernent des produits de Fortinet, Citrix, Cisco et Ivanti. Lire aussi : La dernière faille Ivanti devient un poil à gratter Pour les auteurs de l’étude, cette convergence change la donne pour les entreprises. Une défense conçue pour contrer les groupes étatiques ne les protège pas nécessairement contre les cybercriminels : les uns comme les autres peuvent exploiter les mêmes vulnérabilités et franchir la même porte d’entrée.

F5, en tête de l'exposition ; Citrix, championne de la lenteur des correctifs Sur le volet strictement technique, la télémétrie de Tenable, portant sur des milliers d'environnements clients, dresse un classement par fournisseur qui bouscule certaines idées reçues. Malgré la forte exposition médiatique des vulnérabilités affectant ses équipements, Fortinet ne se classe qu’en milieu de tableau avec 24,9 % de ses environnements clients exposés à au moins une vulnérabilité activement exploitée. Un niveau proche de ceux de Check Point (18,6 %) et d'Ivanti (24,1 %).

Deux fournisseurs se distinguent nettement, mais pour des raisons opposées. F5 affiche le taux d'exposition le plus élevé de l'étude parmi les échantillons statistiquement robustes : 53,8 % des 2 784 environnements clients surveillés utilisant des produits F5 présentaient au moins une vulnérabilité connue et activement exploitée, non corrigée. Citrix, de son côté, ne domine pas en volume (28,8 % d'exposition) mais en durée.

Le délai médian pour appliquer un correctif sur ses équipements atteint 461 jours, et 71 % des environnements concernés hébergent toujours une vulnérabilité non corrigée un an après sa divulgation. Fortinet apparaît également comme le fournisseur ciblé par le plus grand nombre d'acteurs distincts : 29 groupes répartis dans les cinq catégories de nexus étudiées, contre 22 pour Citrix et 19 pour Ivanti. Un cycle de failles quasi automatique chez Ivanti L'étude souligne la récurrence des vulnérabilités activement exploitées dans les produits Ivanti.

Sur la gamme EPMM, une nouvelle vulnérabilité de ce type est observée en moyenne tous les 8,5 mois, contre 13 mois pour la gamme Connect Secure. Pour Tenable et SentinelOne, ce rythme rend la prochaine faille pratiquement inévitable et devrait inciter les entreprises utilisant ces produits à budgéter, dès aujourd'hui, la capacité de correction nécessaire pour l'année à venir. Plus largement, l'étude constate que les vulnérabilités jugées les plus prioritaires ne sont pas corrigées plus vite que les autres, au contraire.

Sur une liste de 238 CVE hautement prioritaires suivies par Tenable, le délai médian de remédiation atteint 146 jours contre 122 jours pour l'ensemble des autres vulnérabilités. Un écart que les auteurs qualifient de statistiquement significatif. Les auteurs avancent plusieurs explications d'ordre opérationnel.

La mise à jour d'un pare-feu ou d'une passerelle VPN peut entraîner une interruption de service pour les utilisateurs qui en dépendent. Ces équipements nécessitent également des opérations de maintenance et de validation spécifiques tandis qu'ils disposent rarement des mêmes agents de sécurité que les postes de travail et les serveurs. Vol d'identifiants et mouvements latéraux : ce que montrent les enquêtes de terrain Le volet SentinelOne de l'étude, tiré de missions réelles de réponse à incident, illustre concrètement ce que permet la compromission d'un équipement edge.

Lors de trois interventions distinctes impliquant des appliances FortiGate, des attaquants ont atteint le plan de gestion des équipements et créé des comptes administrateurs non autorisés. Dans deux de ces incidents, ils ont également exporté les configurations des appareils et extrait des identifiants qui pouvaient être utilisés pour progresser dans le réseau. Un autre incident concerne une appliance Ivanti Cloud Services compromise fin 2024 par un acteur lié à la Chine.

Celui-ci avait exploité deux vulnérabilités ( CVE-2024-8963 et CVE-2024-8190) en les chaînant avant la première divulgation publique de cette combinaison. Après avoir obtenu l'accès à l'équipement, l'attaquant a collecté des clés SSH et d'autres identifiants qui y étaient stockés. Ces appliances ne produisant pas de télémétrie de sécurité classique, les enquêteurs ont dû reconstituer les intrusions à partir des journaux d'authentification et des traces laissées dans l'annuaire Active Directory — une difficulté qui, selon les auteurs, illustre le décalage entre la criticité de ces équipements et les moyens de détection dont ils disposent réellement.

Les recommandations des deux éditeurs Tenable et SentinelOne formulent cinq recommandations pour les entreprises. En priorité, corriger sans délai les équipements F5 et Citrix qui cumulent des niveaux d'exposition élevés et des délais de remédiation parmi les plus longs constatés. Ensuite, réduire la surface d'attaque de ces appliances en désactivant les fonctions qui ne sont pas indispensables.

Les deux éditeurs recommandent également de renforcer la protection des postes internes afin de limiter les mouvements latéraux d'un attaquant qui serait parvenu à compromettre le périmètre. Les deux éditeurs recommandent également aux entreprises utilisant Ivanti Connect Secure ou EPMM de se préparer à une nouvelle vulnérabilité activement exploitée dans ces gammes au cours des douze prochains mois. Ils préconisent aussi de définir des délais de correction spécifiques aux équipements edge, plus courts que les standards généraux de l'entreprise.

Enfin, Tenable et SentinelOne recommandent de ne pas fonder la priorisation des correctifs sur le seul score CVSS. Une vulnérabilité présentant des signes d'exploitation active peut en effet avoir un score de sévérité modéré. Les entreprises doivent donc croiser plusieurs indicateurs, notamment la sévérité, les informations sur les menaces et le contexte des actifs concernés.