Le 3 août 2026, la CISA a ajouté une vulnérabilité à son catalogue des failles activement exploitées en donnant aux agences fédérales un délai exceptionnel de trois jours pour corriger. La faille touche une plateforme d’administration à distance massivement utilisée par les fournisseurs informatiques.

L’essentiel

  • La sécurité de votre entreprise dépend de la sécurité des outils de vos fournisseurs.
  • L’outil conçu pour administrer votre parc devient l’autoroute vers vos actifs critiques.
  • Sur le plan réglementaire, la responsabilité ne se sous-traite pas.
  • Six questions écrites à poser à votre prestataire suffisent à mesurer votre exposition.

Que s’est-il passé avec N-central ?

Le 2 août 2026, N-able a publié un avis pour CVE-2026-18577, un contournement d’authentification permettant à un attaquant distant, sans aucun identifiant, d’obtenir un accès administrateur complet aux serveurs N-central. L’exploitation dans la nature était observée depuis la fin juillet.

La faille résulte d’un correctif incomplet d’une vulnérabilité précédente. Le correctif est la version 2026.3.1.7. Les instances hébergées par l’éditeur ont été mises à jour automatiquement; les déploiements sur site devaient l’être manuellement, et selon la firme Huntress, de nombreuses organisations n’avaient toujours pas appliqué le correctif au 3 août, date de l’ajout au catalogue KEV.

Si votre organisation confie son informatique à un fournisseur externe, et c’est le cas de la majorité des PME québécoises, cette nouvelle vous concerne directement, même si vous n’avez jamais entendu parler de N-central.

Pourquoi cette faille est-elle particulièrement grave ?

Parce que ce que les attaquants en font est pire que la faille elle-même. Après la prise de contrôle du serveur d’administration, ils utilisent la fonction légitime de prise en main à distance, celle qui permet au technicien de prendre la main sur vos postes, pour se connecter aux équipements gérés.

Les analyses publiées par N-able, Huntress et Sophos documentent un scénario type. L’attaquant installe ensuite un tunnel détourné qui lui garantit un accès persistant, même après que l’accès au serveur d’administration a été révoqué. Dans un cas documenté par Sophos début août, il a atteint en quelques heures les serveurs de sauvegarde, les contrôleurs de domaine et les serveurs applicatifs de la victime, créé un compte administrateur discret et réinitialisé les mots de passe des comptes existants.

Autrement dit : l’outil conçu pour administrer votre parc devient l’autoroute qui mène directement à vos actifs les plus critiques. Et comme il s’agit d’une fonction légitime, les outils de sécurité la voient comme une intervention normale du support.

Est-ce un accident isolé ?

Non, c’est un schéma qui se répète depuis plusieurs années. Les plateformes d’administration à distance sont une cible idéale parce qu’elles concentrent par conception un accès privilégié à des dizaines, parfois des centaines d’environnements clients. Un seul serveur compromis, et tout un portefeuille devient accessible.

Les professionnels parlent de risque de la chaîne d’approvisionnement : compromettre un fournisseur pour atteindre ses clients. L’histoire récente en fournit des précédents éloquents :

  • Kaseya VSA, juillet 2021 : le groupe de rançongiciel REvil a exploité l’outil d’administration de fournisseurs pour chiffrer les systèmes d’environ 1 500 entreprises clientes en aval, en une seule opération, dont de nombreuses PME qui n’avaient jamais entendu ce nom.
  • SolarWinds Orion, 2020 : la compromission d’une mise à jour logicielle a ouvert la porte de milliers d’organisations.
  • ConnectWise ScreenConnect, SimpleHelp : d’autres outils de prise en main à distance exploités dans des campagnes visant les clients de prestataires.

Le Centre canadien pour la cybersécurité identifie d’ailleurs l’infiltration des chaînes d’approvisionnement parmi les tendances lourdes qui façonneront le paysage des menaces au Canada.

La responsabilité se sous-traite-t-elle ?

Non, et c’est le point que les dirigeants découvrent le plus tard. Externaliser son informatique reste une décision rationnelle pour la plupart des PME. Le problème n’est pas l’externalisation, c’est l’externalisation aveugle : sur le plan juridique, la délégation a une limite ferme.

La Loi 25 est explicite. Si les renseignements personnels de vos clients ou de vos employés sont compromis via l’outil de votre fournisseur informatique :

  • c’est votre registre des incidents de confidentialité qui doit être alimenté;
  • c’est votre entreprise qui doit évaluer le risque de préjudice sérieux et notifier la Commission d’accès à l’information et les personnes concernées;
  • c’est la qualité de votre encadrement contractuel du sous-traitant qui sera examinée, la loi exigeant un contrat écrit imposant des mesures de protection et l’obligation de vous aviser de tout incident.

Un dirigeant qui découvre l’incident dans les médias avant d’être avisé par son fournisseur est déjà en défaut sur ce dernier point.

Quelles questions poser à votre fournisseur cette semaine ?

Six, formulées pour obtenir des réponses écrites plutôt que des assurances verbales. Vous n’avez pas besoin d’être technicien pour exercer une diligence raisonnable : il suffit de poser des questions précises et de conserver les réponses.

  1. Utilisez-vous N-central ? Si oui : quelle version est déployée, et la mise à jour 2026.3.1.7 a-t-elle été appliquée ? À quelle date ?
  2. Avez-vous vérifié les indices de compromission publiés par l’éditeur, sessions de prise en main inhabituelles, services de tunnel non autorisés, comptes suspects, sur votre console et sur nos équipements ?
  3. Comment sécurisez-vous vos propres outils d’administration ? Authentification multifacteur systématique, accès restreint par réseau privé ou liste d’adresses, journalisation conservée et protégée.
  4. Nos environnements sont-ils cloisonnés de ceux de vos autres clients ? Un incident chez un autre client peut-il se propager chez nous ?
  5. En combien de temps vous engagez-vous à nous notifier un incident vous affectant ? Ce délai devrait figurer au contrat, en heures, pas en jours.
  6. Quelle est votre propre posture : audits indépendants, tests d’intrusion, certification, assurance couvrant les dommages causés à vos clients ?

Un fournisseur sérieux répond rapidement et documents à l’appui. Un fournisseur qui esquive, minimise ou s’offusque vous donne une information tout aussi précieuse.

Quelles clauses contractuelles comptent vraiment ?

Celles qui transforment une intention en obligation vérifiable : des engagements de sécurité chiffrés, une notification en heures, un droit d’audit ou une attestation annuelle, la réversibilité des données, et une répartition claire des responsabilités.

  • Engagements de sécurité mesurables : authentification multifacteur sur tous les accès d’administration, délais d’application des correctifs critiques en jours et non en trimestres, chiffrement des données.
  • Notification d’incident dans un délai contractuel court, avec obligation de coopération à votre propre analyse.
  • Droit d’audit ou, à défaut, obligation de fournir annuellement une attestation indépendante de la posture de sécurité.
  • Réversibilité et destruction des données en fin de contrat.
  • Répartition des responsabilités claire en cas d’incident trouvant son origine chez le fournisseur.

Comment RISS intervient-il sur ce terrain ?

Nous ne sommes pas un fournisseur de services informatiques gérés, et c’est précisément ce qui nous permet d’évaluer le vôtre sans conflit d’intérêts. Notre accompagnement va de la cartographie des tiers à la préparation du scénario où l’incident vient d’ailleurs.

1. Évaluation de la dépendance et cartographie des tiers. Quels fournisseurs ont un accès privilégié à vos systèmes et à vos données, et par quels outils ? Beaucoup de dirigeants découvrent à cette étape des accès distants dont ils ignoraient l’existence.

2. Due diligence de vos fournisseurs critiques. Questionnaire structuré, revue des attestations, analyse des engagements contractuels au regard de la Loi 25 et des bonnes pratiques. Livrable : une cote de risque par fournisseur et des demandes de correction priorisées.

3. Validation technique indépendante. Test d’intrusion et revue de configuration sur votre environnement, incluant les points d’entrée utilisés par vos fournisseurs : ce que votre prestataire affirme, nous le vérifions.

4. Préparation à l’incident fournisseur. Intégration du scénario « compromission via un tiers » à votre plan de réponse et à votre registre : qui appelle qui, quels accès on coupe, comment on documente.

FAQ

Devons-nous changer de fournisseur informatique ?

Rarement, et cette conclusion est presque toujours prématurée. La faille exploitée ici touchait un produit largement déployé, pas la compétence d’un prestataire en particulier. Ce qui distingue un bon fournisseur d’un mauvais n’est pas l’absence d’incident, c’est la rapidité de la réponse, la transparence de la communication et l’existence d’engagements écrits. Un prestataire qui vous a notifié spontanément et documenté ses vérifications vaut mieux qu’un nouveau dont vous ne savez rien.

Nous n’avons aucun contrat écrit avec notre prestataire. Est-ce grave ?

Au regard de la Loi 25, oui, dès lors qu’il traite des renseignements personnels pour vous : la loi exige un contrat écrit précisant les mesures de protection. C’est aussi l’un des écarts les plus rapides à combler, et il ne nécessite pas de renégocier la relation commerciale : un avenant dédié à la protection des renseignements suffit généralement, et la plupart des prestataires sérieux en disposent déjà d’un modèle.

Comment savoir si nous avons déjà été atteints par ce vecteur ?

En demandant à votre prestataire de vérifier les indices publiés par l’éditeur, sur sa console et sur vos équipements, et en exigeant le résultat par écrit. De votre côté, deux vérifications sont accessibles : la liste des comptes administrateurs de votre domaine, en cherchant ceux que personne ne reconnaît, et les connexions sortantes inhabituelles depuis vos serveurs. Si un doute subsiste, une vérification de compromission indépendante tranche la question.

Sources