Un zero-day critique dans le VPN SolarGate affecte plus de 40 000 appareils. Une attaque de la chaîne d'approvisionnement compromet plus de 600 fabricants européens. La RCE Apache Tomcat armée en 48 heures. Le phishing assisté par IA cible les équipes financières.
Le paysage de la cybersécurité s'est fortement dégradé aujourd'hui alors que les opérateurs d'infrastructures critiques font face à une tempête parfaite : une vulnérabilité zero-day dans des appliances VPN largement déployées, une attaque sophistiquée de la chaîne d'approvisionnement ciblant l'industrie manufacturière européenne, et des incidents de ransomware en cascade exploitant la divulgation d'hier concernant Apache Tomcat. Avec l'application de NIS2 désormais active dans toute l'UE, les incidents du jour soulignent l'urgence du règlement.
Mandiant a révélé une vulnérabilité critique d'exécution de code à distance pré-authentification (CVSS 9,9) dans les appliances VPN SolarGate utilisées par plus de 12 000 organisations dans le monde. La faille permet à des attaquants non authentifiés d'exécuter du code arbitraire et d'établir un accès persistant.
Score CVSS : 9,9 (Critique) | Échéance : correction sous 24 heures
La vulnérabilité affecte les versions 8.2 à 9.4 du VPN SolarGate. Mandiant attribue la campagne d'exploitation à UNC5174, un groupe malveillant à motivation financière soupçonné de liens avec des réseaux cybercriminels d'Europe de l'Est. Les chaînes d'attaque observées dans la nature montrent des attaquants déployant des web shells dans les 4 minutes suivant la compromission initiale, suivis d'une collecte d'identifiants et d'un déplacement latéral vers les contrôleurs de domaine.
Implication NIS2 : les entités essentielles et importantes utilisant les appareils concernés font face à des obligations immédiates de notification d'incident au titre de l'article 23. Les organisations disposent de 24 heures pour signaler les premiers indicateurs de violation et de 72 heures pour les évaluations détaillées.
/api/v2/system/update avec des chaînes User-Agent non standardImpact estimé : plus de 40 000 appareils exposés ; plus de 800 compromissions confirmées pour la seule région EMEA.
Des chercheurs d'ESET ont mis au jour une attaque sophistiquée de la chaîne d'approvisionnement ciblant FirmwareHub, une plateforme de distribution logicielle utilisée par plus de 600 fabricants européens d'équipements industriels. Les attaquants ont compromis l'infrastructure de signature de code de FirmwareHub et distribué des mises à jour de micrologiciel trojanisées pour des automates programmables (PLC) utilisés dans des installations automobiles, pharmaceutiques et agroalimentaires.
Le micrologiciel malveillant contient une porte dérobée (suivie sous le nom « IndustrialGhost ») qui fournit un accès distant aux interfaces de gestion des PLC. Contrairement aux malwares traditionnels, IndustrialGhost opère entièrement au sein de mécanismes légitimes de mise à jour des PLC, rendant la détection extrêmement difficile sans outils de sécurité spécialisés pour les systèmes de contrôle industriel (ICS).
La porte dérobée communique via MQTT — un protocole couramment utilisé dans les environnements IoT industriels — permettant aux attaquants de fondre le trafic malveillant dans les communications légitimes de technologie opérationnelle (OT).
Cet incident met directement à l'épreuve les exigences de « sécurité de la chaîne d'approvisionnement » de l'article 21 de NIS2. Les organisations concernées doivent :
Pour les institutions financières régulées par DORA utilisant les équipements concernés dans des centres de données ou des installations opérationnelles, cet incident constitue un « incident TIC majeur » nécessitant un signalement immédiat aux régulateurs.
Impact estimé : plus de 600 organisations, plus de 12 000 PLC compromis dans la zone DACH, en France et au Benelux.
La divulgation d'hier de CVE-2026-20103, une faille critique d'exécution de code à distance dans Apache Tomcat 9.0.0 à 10.1.28, a été armée par RansomCartel en 48 heures. La vulnérabilité permet à des attaquants non authentifiés de téléverser des fichiers JSP malveillants via une faille de traversée de chemin dans la gestion des téléversements de fichiers de Tomcat.
Des entreprises de sécurité signalent plus de 2 400 tentatives d'exploitation ciblant des serveurs Tomcat exposés sur Internet. RansomCartel a déployé sa variante de ransomware « Havoc3 », qui inclut désormais une exfiltration automatisée des données vers des services cachés Tor avant le début du chiffrement — une tactique conçue pour maximiser le levier de négociation lors des extorsions.
Pourquoi cela compte pour NIS2 : Tomcat est omniprésent dans l'infrastructure Web européenne. Les organisations exécutant des versions vulnérables font face à un double défi de conformité :
../, ..\, variantes encodées/webapps/ répertoiresLes autorités européennes de protection des données rappellent aux organisations que payer une rançon peut violer l'article 32 du RGPD (sécurité du traitement) et potentiellement les réglementations relatives aux sanctions si les paiements sont acheminés vers des entités sanctionnées.
Plusieurs institutions financières européennes signalent une vague d'attaques de phishing hautement sophistiquées exploitant des grands modèles de langage (LLM) pour élaborer des tentatives de compromission de messagerie professionnelle (BEC) contextuellement parfaites. Les attaquants utilisent des profils LinkedIn extraits, des données de hiérarchie d'entreprise et des calendriers de reporting financier pour générer des e-mails indissociables de communications légitimes.
Un gestionnaire d'actifs basé au Luxembourg a reçu un e-mail prétendument envoyé par son directeur financier demandant un virement urgent de 2,4 millions d'euros pour un « acompte d'acquisition » avant une réunion du conseil d'administration prévue le 7 mars. L'e-mail référençait correctement :
Seule une vérification via un canal de communication distinct (appel téléphonique) a empêché le virement.
Pertinence NIS2 : l'article 20 (mesures de gestion des risques de cybersécurité) exige explicitement une « formation de sensibilisation à la sécurité ». Les organisations doivent désormais démontrer que leurs formations couvrent l'ingénierie sociale renforcée par l'IA, et pas seulement le phishing traditionnel.
Les incidents du jour surviennent alors que les États membres de l'UE intensifient leurs mécanismes d'application de NIS2. Le BSI allemand a annoncé sa première enquête pour non-conformité cette semaine, et les autorités néerlandaises ont confirmé avoir ouvert 12 enquêtes préliminaires sur les cadres de gestion des risques de cybersécurité des organisations.
Les organisations qui continuent de traiter NIS2 comme une simple « liste de contrôle de conformité » plutôt que comme un changement fondamental de posture de sécurité s'exposent à des pénalités pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial — le montant le plus élevé étant retenu.
La convergence de la pression réglementaire et d'adversaires sophistiqués ne laisse aucune place à la complaisance. Le bulletin du jour renforce une réalité brutale : la cybersécurité n'est plus seulement un défi technique — c'est un risque existentiel pour l'entreprise, avec des conséquences juridiques directes.
Restez vigilants. Corrigez immédiatement. Signalez en toute transparence.
Gestion des vulnérabilités assistée par IA avec plus de 332 487 CVE indexées.
Démarrer l'essai gratuitRestez en sécurité. Restez vigilant.
🗡️ Équipe Sécurité KENSAI
🛡️ Votre site est-il sécurisé ?
Découvrez les vulnérabilités avant les attaquants.
Scannez votre site Web gratuitement →