Les campagnes contre les failles des systèmes de sécurité de Palo Alto, Fortinet, Citrix et Check Point soulignent une tendance croissante dans la manière dont les cybercriminels s’implantent dans les réseaux d’entreprise.
Les cybercriminels exploitent activement une vulnérabilité récemment découverte dans le pare-feu et les appareils VPN de Palo Alto Networks pour déployer la souche du ransomware Qilin.
Une faille critique de contournement d’authentification (CVE-2026-0257) dans le portail et la passerelle Palo Alto GlobalProtect était le lien commun dans une série d’intrusions en juin, prévient Arctic Wolf Labs. L’exploitation de la vulnérabilité a eu lieu quelques jours après sa divulgation.
« Les opérations commerciales post-exploitation variaient selon les intrusions, depuis les opérations rapides de chiffrement uniquement jusqu’à la double extorsion complète, suggérant peut-être plusieurs filiales opérant sous l’égide du ransomware-as-a-service (RaaS) Qilin », ont écrit les chercheurs d’Arctic Wolf dans un article sur la menace.
La campagne contre le client VPN de Palo Alto s’inscrit dans une tendance croissante qui voit les groupes de ransomwares cibler de plus en plus les vulnérabilités des outils et appareils de périphérie du réseau.
Les ransomwares visent la périphérie
Au-delà de GlobalProtect, Qilin – le groupe de menace le plus actif au deuxième trimestre 2026, responsable de 14 % des attaques, selon le dernier rapport trimestriel sur les cybermenaces du groupe NCC – a également ciblé des failles dans FortiGate de Fortinet, Citrix NetScaler et Check Point Remote Access VPN.
Check Point a mis en garde en juin contre les attaques de ransomware contre les VPN qui utilisent toujours le protocole obsolète Internet Key Exchange version 1 (IKEv1). Citrix a publié des correctifs début juillet pour une faille de type CitrixBleed dans ses appareils NetScalar qui avaient été attaqués.
Pendant ce temps, Fortibleed, une campagne massive de compromission des informations d’identification, a exposé 75 000 pare-feu FortiGate en juin.
Qilin n’est en aucun cas le seul à accroître ses opérations contre les VPN et autres outils de sécurité réseau.
The Gentlemen, n°2 sur la liste du groupe NCC avec 238 victimes au deuxième trimestre 2026, est connu pour s’être introduit dans des organisations via des pare-feu, des VPN et d’autres systèmes exposés à Internet – en particulier les produits FortiGate et Cisco.
Akira, n°4 sur la liste du groupe NCC (127 victimes), est également connu pour exploiter les vulnérabilités VPN et abuser des informations d’identification légitimes, principalement par rapport aux produits Ivanti, Cisco et Fortinet.
Dans la ligne de mire
Les dispositifs de sécurité à la périphérie des réseaux deviennent des responsabilités en matière de sécurité pour les professionnels de la sécurité des entreprises, avec une augmentation alarmante des exploits Zero Day résultant de ce que les experts décrivent comme des vulnérabilités élémentaires et facilement évitables.
Une gamme d’attaquants allant des pirates informatiques opportunistes aux opérateurs de ransomware-as-a-service et aux groupes APT (menace persistante avancée) parrainés par les États exploitent activement les vulnérabilités logicielles des appareils de pointe pour pirater les réseaux d’entreprise.
« Même s’il n’y a pas eu d’augmentation significative du volume de ransomwares au cours du dernier trimestre, la trajectoire des attaques continue à monter et les VPN restent une cible de plus en plus attractive », a déclaré Matt Hull, vice-président et responsable de la cyberintelligence et de la réponse chez NCC Group.
Les vulnérabilités non corrigées des appareils de pointe sont loin d’être les seuls bugs logiciels alimentant les attaques de ransomwares. Par exemple, l’année dernière, le groupe de ransomwares Clop a piraté des centaines d’entreprises en exploitant les vulnérabilités Zero Day du logiciel E-Business Suite d’Oracle.
Bord des ténèbres
Les VPN et autres appareils périphériques connectés à Internet restent des cibles privilégiées pour les opérateurs de ransomwares, car ils fournissent un accès direct au réseau d’une organisation.
« Les attaquants peuvent exploiter une vulnérabilité non corrigée, utiliser des informations d’identification volées ou cibler des contrôles d’authentification faibles », a déclaré Alexander Leslie, conseiller principal de la société de renseignement sur les cybermenaces Recorded Future. « Dans certains cas, l’exploitation commence avant que les organisations n’aient eu suffisamment de temps pour appliquer les conseils des fournisseurs, ce qui laisse aux équipes de sécurité une fenêtre de réponse très étroite. »
L’exploitation des VPN s’associe à d’autres méthodes d’accès initial, telles que le phishing, les informations d’identification compromises ou les attaques de la chaîne d’approvisionnement logicielle. La méthode d’infiltration préférée des attaquants varie selon la campagne et le secteur, mais la localisation de la sécurité dans les appareils de périphérie présente des avantages particuliers du point de vue des attaquants.
« Les vulnérabilités des appareils périmétriques sont particulièrement précieuses pour les attaquants, car ces systèmes sont continuellement exposés à Internet et peuvent fournir un accès privilégié tout en contournant certains contrôles des points finaux », a déclaré Leslie.
Dray Agha, directeur principal des opérations de sécurité chez Huntress, société de détection et de réponse gérée, a confirmé cette évaluation selon laquelle l’exploitation des VPN et des appareils de pointe accessibles sur Internet reste la « tactique dominante et axée sur le volume » pour les opérateurs de ransomwares, car ces appareils offrent une « passerelle directe et accessible au public directement au cœur des réseaux d’entreprise ».
Plutôt que d’exploiter les vulnérabilités des appareils de pointe, les attaquants utilisent plus souvent les passerelles Internet comme moyen d’abuser des informations d’identification volées pour pénétrer dans les réseaux d’entreprise, selon Huntress.
« Ce que nous constatons chez Huntress, c’est que le VPN est le site d’accès initial dans environ 70 % du temps, pour les acteurs de menaces avancées », a déclaré Agha. « Cependant, dans leur grande majorité, ils n’exploitent pas l’accès ; ils utilisent plutôt des informations d’identification volées pour s’authentifier auprès de comptes d’utilisateurs non MFA (authentification multifacteur). »
Périmètre durci
La mise en œuvre d’une segmentation de réseau sans confiance pour piéger les attaquants et empêcher tout mouvement latéral si la passerelle initiale est compromise contribue également à rendre les réseaux d’entreprise plus résistants aux attaques, a conseillé Agha de Huntress.
L’authentification multifacteur résistante au phishing, la suppression des systèmes non pris en charge et la surveillance étroite des activités d’authentification ou d’administration inhabituelles constituent également des éléments clés de l’atténuation de l’impact des attaques.
Les actifs accessibles sur Internet qui sont connus pour être activement exploités doivent être prioritaires en matière de correctifs.
« Les renseignements sur les menaces et les preuves d’exploitation active devraient aider à déterminer quelles vulnérabilités nécessitent une action immédiate », a déclaré Leslie de Recorded Future.
