Serveurs et failles : la campagne VMware rappelle un réflexe simple aux PME

L'actualité de la sécurité informatique de ces derniers jours a de quoi retenir l'attention de toute entreprise qui héberge ses propres serveurs. Dans son bulletin publié le 24 aout 2026, le CERT-FR, le centre de veille de l'agence française de sécurité des systèmes d'information, est revenu sur une série de vulnérabilités déjà utilisées par des attaquants. Parmi elles, une faille du logiciel VMware vCenter, l'outil qui sert à piloter les serveurs virtualisés, ressort nettement du lot.

Ce produit est très répandu : dès qu'une entreprise fait tourner plusieurs machines virtuelles sur un même serveur physique, c'est souvent ce type de console qui orchestre l'ensemble. Autrement dit, prendre la main dessus revient à obtenir les clés de toute l'infrastructure.

Cinq jours entre l'annonce et les premières attaques

La chronologie est instructive. Broadcom, l'éditeur qui possède désormais VMware, a rendu la vulnérabilité publique le 29 juillet et a publié un correctif dans la foulée. Selon les analyses relayées par la presse spécialisée, notamment Bleeping Computer et Infosecurity Magazine, les premières victimes sont apparues dès le 3 aout, soit cinq jours plus tard. Deux jours après, l'essentiel de la campagne était déjà joué.

La Shadowserver Foundation, une organisation à but non lucratif qui scanne en permanence l'internet pour prévenir les victimes, a recensé 361 serveurs compromis répartis dans 47 pays, avec une forte concentration en Allemagne, aux États-Unis, en Turquie, en Iran et en France. Sur chacun d'eux, les attaquants ont installé un outil qui ouvre une connexion sortante vers eux, une technique astucieuse puisqu'elle contourne les pare-feux : ce n'est pas l'attaquant qui frappe à la porte, c'est le serveur piraté qui l'appelle. Résultat, l'accès reste ouvert même après l'application du correctif, et les organisations touchées doivent considérer leurs machines comme entièrement compromises.

La vraie leçon : ce qui est visible depuis internet

Beaucoup de nos clients n'utilisent pas VMware et pourraient penser que cette affaire ne les concerne pas. Le mécanisme est pourtant universel. Ce qui a permis cette campagne éclair, ce n'est pas seulement le retard de mise à jour, c'est le fait que des consoles d'administration étaient joignables directement depuis internet. Les recommandations de Broadcom comme celles de Shadowserver insistent sur ce point : ces interfaces ne devraient être accessibles que depuis le réseau interne ou via un accès distant sécurisé.

Le même raisonnement vaut pour une petite structure de Bastogne ou de Wiltz : l'interface du NAS où sont stockés les dossiers clients, l'accès distant au logiciel de comptabilité, la console du routeur, le système de caméras de surveillance, le poste ouvert en bureau à distance pour dépanner un collaborateur. Chacun de ces services exposé sur internet est une porte que quelqu'un finira par tester, souvent de façon automatisée, dans les heures qui suivent la publication d'une faille.

Le conseil pratique du jour tient en un inventaire, et il ne coute rien. Prenez une feuille et listez tout ce qui, dans votre entreprise ou chez vous, est accessible depuis l'extérieur : serveurs, NAS, caméras, imprimantes réseau, accès distants. Pour chaque ligne, posez trois questions. Cet accès est-il vraiment nécessaire, ou date-t-il d'un besoin ponctuel oublié depuis ? Le matériel reçoit-il encore des mises à jour de son fabricant ? Et si l'accès est indispensable, passe-t-il par un tunnel VPN avec une authentification à deux facteurs, plutôt que par un simple mot de passe exposé au monde entier ?

Dans la pratique, une bonne moitié des ouvertures que nous découvrons chez nos clients ne servent plus à rien et peuvent être refermées le jour même. Les autres se sécurisent en général en une intervention courte. C'est précisément le type de travail préventif que nous réalisons dans nos ateliers de Bastogne et de Wiltz, et il coute infiniment moins cher qu'une remise en état après incident.