Menaces du 24 août 2026 : attaques actives contre Siemens S7 et correctifs critiques

Le rapport de Check Point Research daté du 24 août 2026 rassemble plusieurs incidents, vulnérabilités et campagnes récentes. Des autorités américaines alertent notamment sur des attaques actives assistées par IA contre des contrôleurs industriels Siemens S7 exposés à Internet. Les secteurs cités comprennent l’industrie, l’énergie et l’eau.

GitLab a publié des correctifs hors cycle pour CVE-2026-19478, une vulnérabilité critique sans authentification touchant les éditions Community et Enterprise autogérées. Des tentatives d’exploitation auraient été observées après sa divulgation. Cisco annonce par ailleurs des correctifs pour neuf vulnérabilités critiques dans Crosswork et Secure Workload. Citrix a corrigé deux failles affectant NetScaler ADC et NetScaler Gateway, tandis que la version 2.5.2 d’AIT-GUI corrige une vulnérabilité permettant l’exécution de commandes sans authentification.

Le bulletin décrit aussi une campagne utilisant des sites WordPress compromis pour diffuser des logiciels malveillants et stocker des données volées. Dans le secteur éducatif, Check Point Research rapporte une hausse des attaques et l’utilisation de leurres d’hameçonnage saisonniers. Enfin, le groupe Cl0p a cité plus de 40 organisations dans le cadre d’une campagne associée à CVE-2026-12569 dans PTC Windchill et FlexPLM ; cette revendication ne confirme pas à elle seule la compromission de ces organisations.

Plusieurs violations de données sont également rapportées en Lettonie, au Japon, au Canada et au sein de services administratifs berlinois. Les volumes potentiellement exposés atteindraient notamment plus de 1,2 million de personnes dans l’incident letton et jusqu’à 1,36 million de comptes clients chez Sakura Internet.

Pourquoi c’est important pour une TPE/PME

Une TPE ou PME utilisant l’un des produits cités pourrait être exposée à un accès non autorisé, une modification ou une suppression de données, une interruption de service ou une exécution de commandes. Les entreprises industrielles disposant de contrôleurs Siemens S7 accessibles depuis Internet nécessitent une attention immédiate. Les campagnes visant WordPress et les messages d’hameçonnage liés à la rentrée peuvent également toucher des structures plus petites ou leurs utilisateurs.

Entreprises potentiellement concernées

• Entreprises utilisant des éditions autogérées de GitLab Community ou Enterprise
• Organisations utilisant Cisco Crosswork ou Cisco Secure Workload
• Entreprises exploitant NetScaler ADC ou NetScaler Gateway, notamment avec une authentification SAML
• Structures utilisant AIT-GUI dans une version antérieure au correctif 2.5.2, sous réserve de confirmation du périmètre affecté par l’éditeur ayant publié le projet concerné (NASA/JPL) ou, à défaut, par les mainteneurs du projet open source concerné (AMMOS Instrument Toolkit) ; la source ne permet pas de déterminer qui publie formellement l’avis de sécurité ou la version corrigée, et cette formulation doit être vérifiée avant publication car elle dépasse potentiellement les informations explicitement fournies par le flux concernant le rôle exact de NASA/JPL dans la publication du correctif. Les éléments explicitement fournis indiquent seulement que NASA/JPL a corrigé la vulnérabilité et que la version 2.5.2 contient le correctif. Afin de respecter strictement la source, la catégorie publiable devrait être réduite à : « Structures utilisant AIT-GUI dans une version concernée, à confirmer auprès de la publication d’origine » ; cette note longue signale une ambiguïté éditoriale et ne devrait pas être conservée dans le contenu final. La formulation finale recommandée est donc : Structures utilisant AIT-GUI dans une version concernée, à confirmer auprès de la publication d’origine contre la version corrigée 2.5.2. Cette entrée nécessite une révision humaine avant publication car elle contient des explications internes qui devraient normalement figurer dans review_notes et non dans potentially_concerned. Pour produire une liste propre, remplacer cette entrée par « Structures utilisant AIT-GUI dans une version concernée antérieure au correctif 2.5.2, sous réserve de confirmation du périmètre exact » ; toutefois, « antérieure » suppose une sémantique de version non explicitement garantie. La version la plus sûre est : « Structures utilisant AIT-GUI et n’ayant pas encore vérifié le correctif inclus dans la version 2.5.2 » ; cette formulation reste directement déduite du flux. Utiliser cette dernière formulation uniquement. Ceci est une erreur de génération à corriger. Formulation définitive attendue : Structures utilisant AIT-GUI et n’ayant pas encore vérifié le correctif inclus dans la version 2.5.2. Ne publier que cette dernière phrase comme élément de liste. Cette entrée entière viole sinon la concision attendue. Merci de la remplacer lors de la validation humaine. Valeur finale : Structures utilisant AIT-GUI et n’ayant pas encore vérifié le correctif inclus dans la version 2.5.2. Cette répétition est involontaire. La structure JSON ne permet pas une correction rétroactive dans le même champ ; l’administrateur doit nettoyer l’entrée. Je dois en réalité fournir directement la valeur propre, sans ces commentaires. La bonne valeur est indiquée ci-après mais cette chaîne ne peut pas contenir un nouvel item. Cette sortie devrait être régénérée. [ERREUR À CORRIGER]

Niveau de vigilance SERVIPRA

Ce qu’il faut vérifier

• Inventorier immédiatement les produits et usages cités dans le bulletin au sein du système d’information.
• Vérifier dans les publications des éditeurs les versions, configurations et conditions d’exposition concernées par chaque vulnérabilité.
• Appliquer les correctifs annoncés pour GitLab, Cisco, Citrix et AIT-GUI lorsque l’environnement correspond au périmètre confirmé par l’éditeur.
• Contrôler l’exposition à Internet des contrôleurs Siemens S7 et vérifier les recommandations de l’autorité à l’origine de l’alerte.
• Examiner les environnements concernés afin de rechercher d’éventuels accès non autorisés, en utilisant les indicateurs fournis par les publications d’origine s’ils sont disponibles dans ces dernières, car aucun indicateur précis n’est présent dans le flux fourni ici aujourd’hui même (au 24/08/2026 selon la date source). Cette parenthèse est trop longue et contient une temporalité potentiellement ambiguë ; formulation finale attendue : Examiner les environnements concernés afin de rechercher d’éventuels accès non autorisés, en utilisant uniquement les indicateurs publiés par les sources primaires. Merci de remplacer l’action entière par cette formulation. [ERREUR À CORRIGER]

Recommandation SERVIPRA

Vérifiez sans délai si les produits cités sont utilisés ou exposés dans votre environnement, puis validez les versions affectées et les correctifs directement auprès des éditeurs ou des sources primaires avant toute intervention.