L'ironie de la décennie : l'équipement acheté pour protéger le système d'information en est devenu le premier vecteur d'intrusion. Pare-feu, passerelles VPN, contrôleurs d'accès — exposés sur internet par conception, ils sont scannés en permanence et attaqués quelques jours après chaque correctif. L'ANSSI le constate campagne après campagne, et la CISA a dû publier une directive dédiée aux équipements de bordure en fin de support. Voici pourquoi, et quoi faire.

Pourquoi la cible parfaite technique

Ce ne sont pas des serveurs comme les autres. La combinaison de leur exposition, de l'absence de télémétrie de sécurité et de la valeur de ce qu'ils contiennent en fait la meilleure tête de pont qui soit pour un attaquant.

Anatomie des exploits de bordure

Les vulnérabilités qui frappent ces équipements appartiennent à un petit nombre de classes — toutes redoutables parce qu'elles s'exploitent avant toute authentification, directement depuis internet :

La course au patch : déjà perdue ?

Le délai entre la publication d'une faille et son exploitation de masse s'est effondré. Face à un cycle de mise à jour mensuel classique, la fenêtre d'exposition se compte en semaines pendant lesquelles vous êtes vulnérable — et probablement déjà scanné.

Pourquoi patcher ne suffit pas

C'est l'angle mort que presque personne ne traite. Si l'équipement a été compromis avant l'application du correctif, le patch ferme la vulnérabilité mais ne révoque rien de ce que l'attaquant a déjà volé.

Après un patch d'urgence sur un équipement qui a pu être exposé, trois actions sont non négociables : rotation de tous les secrets que l'appliance détenait (comptes de service, clés API, certificats, secrets pré-partagés), recherche d'implants (webshells, comptes ajoutés, tâches planifiées, modifications de configuration), et vérification d'intégrité du firmware via les outils de l'éditeur. Sans ça, c'est de la sécurité cosmétique.

La bombe à retardement : la fin de support

Une part considérable des équipements exploités sont en fin de support : plus de correctifs, mais toujours exposés. La CISA a publié une directive (BOD 26-02) ciblant précisément les équipements de bordure en fin de support, et les analyses 2026 montrent que le matériel obsolète — y compris grand public — alimente massivement les botnets. Un équipement en fin de vie n'est pas « vieux mais ça marche » : c'est une porte ouverte permanente. La seule remédiation est le remplacement.

Détecter l'incident sur un angle mort

Sans EDR possible, la détection repose sur des signaux indirects. Configurez ces équipements pour qu'ils parlent :

• Journalisation vers le SIEM. Les appliances loggent peu par défaut : forcez l'export syslog vers votre supervision, en dehors de l'équipement lui-même (un attaquant efface les logs locaux).
• Signaux faibles. Connexions admin depuis des IP/horaires inhabituels, redémarrages inexpliqués, nouveaux comptes, fichiers inattendus, pics de trafic sortant.
• Vérification d'intégrité. Beaucoup d'éditeurs fournissent un outil de contrôle d'intégrité (Integrity Checker) : intégrez-le à votre routine, pas seulement post-incident.
• Veille ciblée. Suivez le KEV de la CISA et les bulletins CERT-FR / éditeur pour vos modèles précis — c'est le signal qui déclenche le patch d'urgence.

En pratique chez vous : la checklist bordure

• 1. Inventorier l'exposition. Lister tout ce qui a une IP publique (pare-feu, VPN, passerelles, interfaces d'admin) et noter pour chacun la version et la date de fin de support. On ne défend pas ce qu'on ne sait pas exposé.
• 2. Réduire la surface. Aucune interface d'administration exposée sur internet — jamais. MFA partout, filtrage par IP source, désactivation des fonctions inutilisées.
• 3. Patch d'urgence séparé. Un équipement de bordure au catalogue KEV ou visé par un bulletin actif = correctif sous 72 h, hors cycle mensuel. C'est un processus distinct, décidé à l'avance.
• 4. Surveiller l'angle mort. Export des logs vers le SIEM, alertes sur les signaux faibles, contrôle d'intégrité régulier, veille KEV/CERT-FR sur vos modèles.
• 5. Compromission suspectée = plus que le patch. Rotation des secrets, chasse aux webshells et persistances, vérification firmware. Patcher seul, c'est verrouiller une maison déjà cambriolée.

Le délai entre la publication d'une faille et son exploitation, c'est exactement ce que FactualRisk surveille pour vous au quotidien : savoir, le jour même, qu'un de vos équipements est devenu une cible active. Anticiper sans subir, ça commence par la bordure.