Pendant des années, la règle était simple : la plupart des intrusions commençaient par un mot de passe volé. Ce n’est plus vrai. Selon l’édition 2026 du Data Breach Investigations Report de Verizon, l’exploitation de vulnérabilités logicielles est désormais le premier vecteur d’accès initial, devant le vol d’identifiants. Et les équipements les plus visés sont précisément ceux censés protéger le réseau : pare-feux, passerelles VPN et consoles d’administration exposées sur Internet.
Ce que disent les chiffres
- L’exploitation de failles représente environ 31 % des accès initiaux, contre 27 % pour le vol ou l’abus d’identifiants.
- Le délai médian entre la publication d’une vulnérabilité et sa correction complète est passé de 32 à 43 jours.
- Seule une minorité des failles connues pour être activement exploitées est entièrement corrigée dans les organisations étudiées.
En face, les attaquants vont de plus en plus vite. D’après VulnCheck, près d’une faille exploitée sur quatre au premier semestre 2026 l’a été le jour même de sa publication, voire avant. Six semaines pour corriger, c’est donc six semaines d’exposition sur un équipement visible depuis n’importe où dans le monde.
Un été 2026 chargé pour les équipements de bordure
Les derniers mois illustrent concrètement la tendance. Aucun constructeur n’est épargné :
- SonicWall : deux failles critiques dans les passerelles d’accès distant SMA1000 ont été exploitées pendant environ trois semaines avant qu’un correctif soit disponible, mi-juillet.
- Cisco : une vulnérabilité des pare-feux ASA et Firepower Threat Defense, exploitée en août, permettait à un attaquant non authentifié de faire redémarrer l’équipement à distance. Plusieurs failles de la console de gestion FMC ont aussi été exploitées cet été.
- WatchGuard : l’agence américaine CISA a confirmé en septembre qu’une faille d’exécution de code sur les pare-feux Firebox, connue depuis décembre 2025, est désormais utilisée par des groupes de rançongiciels.
- Fortinet et Citrix NetScaler figurent également parmi les produits ajoutés au catalogue des vulnérabilités activement exploitées de la CISA en septembre.
Le cas WatchGuard est le plus instructif : la faille était publique et corrigée depuis des mois. Ce sont les équipements jamais mis à jour qui servent aujourd’hui de porte d’entrée aux rançongiciels.
Pourquoi les PME et les écoles sont particulièrement exposées
Dans beaucoup de structures, le pare-feu est installé une fois, configuré, puis oublié tant qu’Internet fonctionne. Son micrologiciel n’est pas suivi comme celui des postes de travail, l’interface d’administration reste parfois accessible depuis l’extérieur, et le VPN des prestataires ou des enseignants est ouvert sans double authentification. Or un pare-feu compromis donne à l’attaquant une position idéale : il voit passer le trafic, il est rarement surveillé, et il permet de rebondir vers le reste du réseau.
Six mesures à appliquer dès maintenant
- Recenser tous les équipements exposés sur Internet : pare-feux, VPN, NAS, consoles de supervision, bornes WiFi gérées dans le cloud.
- Mettre à jour leur micrologiciel et s’abonner aux bulletins de sécurité de chaque constructeur.
- Fermer l’accès à l’interface d’administration depuis Internet, ou le restreindre à quelques adresses IP identifiées.
- Activer la double authentification sur tous les accès VPN et d’administration, sans exception.
- Prioriser les correctifs selon l’exploitation réelle : une faille listée comme activement exploitée passe avant une faille mieux notée mais sans attaque connue.
- Conserver et analyser les journaux du pare-feu, idéalement de manière centralisée, pour détecter une connexion anormale avant qu’elle ne devienne un incident.
Enfin, un équipement qui n’est plus supporté par son constructeur ne recevra plus de correctifs : son remplacement doit être planifié, pas repoussé.
Faire auditer votre périmètre
L’Agence ACD intervient sur les pare-feux et l’infrastructure réseau des PME et des établissements scolaires : audit des règles et des accès exposés, mise à jour des équipements, segmentation du réseau et supervision. Si vous ne savez pas précisément quelle version tourne sur votre pare-feu ni qui peut s’y connecter depuis l’extérieur, c’est le bon moment pour nous contacter.
