Fortinet, BeyondTrust, Palo Alto : trois failles exploitées à corriger d'urgence en entreprise
Pare-feux Fortinet, outil de prise en main à distance BeyondTrust et VPN Palo Alto GlobalProtect : trois équipements très présents en entreprise sont visés par des attaques actives. Ce qui est touché et ce qu'il faut faire.
Pare-feu, VPN, outil de prise en main à distance : ce sont les portes d’entrée du réseau d’une entreprise, et donc les cibles préférées des attaquants. Cette semaine, trois de ces équipements, très répandus jusque dans les PME, font l’objet d’attaques actives. Si vous gérez un parc, voici quoi vérifier en priorité.
Fortinet : un logiciel espion invisible sur les FortiGate (CVE-2025-61624)
La faille CVE-2025-61624 touche FortiOS, FortiProxy, FortiSwitchManager et FortiPAM. Seule, elle est modérée (5,4 sur 10) : un attaquant déjà administrateur peut écrire ou supprimer des fichiers. Mais l’unité Unit 42 de Palo Alto Networks l’a vue utilisée comme marchepied par un groupe d’attaquants avancés contre un prestataire télécom : premier accès via une ancienne faille de FortiManager, puis CVE-2025-61624 pour installer PEERSTITCH, un logiciel espion qui vit uniquement en mémoire.
Selon The Hacker News, PEERSTITCH s’injecte dans les processus du pare-feu pour laisser passer certaines sessions VPN sans les contrôles de sécurité, sans fichier sur le disque ni connexion visible, et les attaquants effacent ensuite les journaux. Les données de plus de 500 pare-feux gérés par le prestataire (configurations, identifiants, clés) auraient été dérobées.
À faire : appliquer le correctif publié par Fortinet en avril 2026, mettre à jour FortiManager, et vérifier les comptes administrateurs et les scripts automatiques présents sur les équipements. La CISA a ajouté la faille à son catalogue des failles exploitées le 16 octobre.
BeyondTrust Remote Support : exploitée depuis août (CVE-2026-102764)
CVE-2026-102764 est une faille critique (9,3 sur 10) de BeyondTrust Remote Support, un outil de prise en main à distance très utilisé par les services informatiques et les prestataires. Elle permet à un attaquant non authentifié de manipuler des fichiers sur l’appliance. Selon Rapid7, elle a été exploitée dès le 29 août 2026, avant même sa publication, par un groupe d’espionnage lié à la Chine selon Mandiant, qui y a installé un webshell et un outil de tunnel.
À faire :
- version auto-hébergée 26.2.3 ou antérieure : appliquer d’urgence le correctif BT26-05-RS (versions 24.3.1 à 26.2.3 ; les plus anciennes doivent d’abord être mises à jour) ;
- version SaaS : BeyondTrust indique avoir corrigé toutes les instances au 9 octobre ;
- dans tous les cas, chercher des traces de compromission, car le correctif ne supprime pas un accès déjà installé, et changer les identifiants stockés dans l’outil.
Palo Alto GlobalProtect : la porte d’entrée des rançongiciels (CVE-2026-0257)
La faille CVE-2026-0257 permet de contourner l’authentification du VPN GlobalProtect de Palo Alto Networks. Déjà connue depuis mai, elle reste massivement exploitée : dans sa mise à jour du 20 octobre, Unit 42 indique que des affiliés des rançongiciels Qilin et Inc s’en servent comme accès initial.
À faire : mettre à jour PAN-OS vers une version corrigée, ne jamais exposer l’interface d’administration sur Internet, et rechercher dans les journaux GlobalProtect des connexions suspectes.
La leçon : les équipements de bordure en première ligne
Ces trois cas suivent le même schéma : l’équipement censé protéger le réseau devient la porte d’entrée. Pour une PME, trois réflexes limitent le risque : appliquer les correctifs des équipements exposés en priorité (comment savoir quoi patcher en premier), ne jamais exposer une interface d’administration sur Internet, et envoyer les journaux vers un système externe, pour qu’un attaquant ne puisse pas effacer ses traces.