Début octobre, la CISA, l’agence américaine de cybersécurité, a publié deux séries d’avis consacrés aux systèmes de contrôle industriels : six le 6 octobre, six autres le 8. Parmi eux, deux avis rappellent un problème que beaucoup d’usines connaissent bien : des équipements toujours en service alors que leur fabricant ne les maintient plus. Dans un cas, il existe une version corrigée vers laquelle migrer. Dans l’autre, il n’y aura tout simplement pas de correctif.
Plan de l'article
Hitachi Energy RTU500 : des failles critiques sur les anciens firmwares #
L’avis ICSA-26-279-06 porte sur le firmware CMU des unités terminales distantes RTU500 de Hitachi Energy. Ces boîtiers servent à remonter les mesures et à piloter des équipements à distance, surtout dans l’énergie. La CISA indique qu’ils sont déployés dans le monde entier.
Les versions touchées sont les firmwares 11.x et antérieurs, que l’avis classe explicitement en fin de vie. Il recense six vulnérabilités, dont trois notées critiques en CVSS v3.1 : CVE-2026-8065 (fonction critique accessible sans authentification) et CVE-2026-8066 (traversée de répertoire), toutes deux à 9,1, et CVE-2010-2965 à 9,8. Cette dernière, vieille de seize ans, concerne l’agent de débogage WDB de VxWorks, présent sur quelques versions anciennes. L’avis attribue les nouvelles découvertes à la société de sécurité industrielle Dragos.
À lire Sonde Pt100 : comment fonctionne ce capteur de température ?
Point important : les versions actuellement supportées ne sont pas concernées par ces découvertes. Hitachi Energy recommande donc de passer en 12.7.8, en 13.9.1 ou à une version plus récente, et « recommande fortement » de revenir sur un firmware supporté.
Johnson Controls EasyIO FG : aucun correctif prévu #
Le cas de l’avis ICSA-26-279-01 est plus radical. Il vise les contrôleurs EasyIO FG de Johnson Controls, utilisés en gestion technique du bâtiment et présents, selon la CISA, dans l’industrie manufacturière critique, les bâtiments commerciaux, les services publics, les transports et l’énergie.
Deux vulnérabilités notées 7,7 (élevé) en CVSS v3.1 touchent les firmwares jusqu’à la version 2.0b52 : des identifiants codés en dur dans le produit et une mauvaise gestion des privilèges. La gamme ayant atteint sa fin de vie et de support, le fabricant prévient qu’aucun correctif de firmware ni de code ne sera publié. Il conseille de migrer vers des produits de génération actuelle, comme la série EasyIO Neo R1.
La CISA tempère tout de même l’urgence. Elle ne signale aucune exploitation publique connue, précise que l’attaque est complexe et qu’elle ne peut pas être menée à distance.
Le commutateur Red Lion, lui, se corrige #
Le 8 octobre, l’avis ICSA-26-281-01 a montré l’autre scénario, celui d’un produit encore maintenu. Les commutateurs industriels N-Tron série 700 de Red Lion Controls cumulent sept vulnérabilités jusqu’au firmware 3.11.0 : identifiants codés en dur, mots de passe stockés de façon récupérable, contournement d’authentification. Selon la CISA, un attaquant peut obtenir un accès administrateur, consulter ou modifier la configuration, et même forcer des redémarrages en boucle en appelant une URL précise. Ici, la solution est simple : mettre à jour en 3.11.1 ou plus.
Ce que ces avis disent du parc OT #
Ces trois avis tracent une frontière nette. Sur un équipement supporté, une faille se traite par une mise à jour planifiée. Sur un équipement en fin de vie, chaque nouvelle découverte s’ajoute à une dette qui ne baissera plus. Et en environnement industriel, un automate ou un contrôleur reste souvent en place quinze ou vingt ans, bien au-delà du support du fabricant.
Savoir ce qui tourne réellement
La première étape reste l’inventaire. Il faut savoir quels modèles sont installés, avec quelle version de firmware, et à quelle date leur support s’arrête. Sans cette cartographie, un avis comme celui des RTU500 ne permet pas de savoir si l’on est concerné. Les outils de découverte passive du réseau OT aident à reconstituer cette liste sans perturber la production.
Isoler ce qu’on ne peut pas corriger
Quand la mise à jour est impossible, les avis de la CISA recommandent tous la même chose : ne jamais exposer ces équipements sur Internet, les placer derrière des pare-feu, séparer le réseau de contrôle du réseau bureautique, et passer par un VPN tenu à jour pour l’accès distant. Pour les EasyIO FG, Johnson Controls ajoute une segmentation stricte en VLAN, une liste blanche d’adresses IP, la désactivation de Telnet et des ports inutiles, et la surveillance des tentatives de connexion répétées.
Budgéter le remplacement
Ces mesures font gagner du temps, mais elles ne remplacent pas la sortie du matériel obsolète. Inscrire au plan d’investissement le renouvellement des équipements arrivés en fin de support revient à traiter la cybersécurité comme un sujet de maintenance industrielle, et non comme une urgence à gérer au fil des alertes. En Europe, c’est d’ailleurs l’esprit des obligations de gestion des risques que la directive NIS 2 impose aux entités concernées.
Questions fréquentes #
Ces failles sont-elles déjà exploitées ?
Pour les EasyIO FG et les commutateurs N-Tron 700, la CISA indique n’avoir connaissance d’aucune exploitation publique à ce jour. Cela ne dispense pas d’agir, surtout sur les équipements accessibles depuis l’extérieur.
Où suivre les avis de sécurité industriels ?
La CISA publie ses avis ICS plusieurs fois par semaine sur son site. En France, le CERT-FR relaie les alertes importantes, et les fabricants tiennent leurs propres pages de bulletins de sécurité, à suivre pour chaque marque présente dans l’usine.
Que faire si un équipement en fin de vie est indispensable ?
L’isoler au maximum du reste du réseau, limiter strictement qui peut y accéder, surveiller son trafic et planifier son remplacement. La documentation du fabricant indique en général un modèle de remplacement, comme le fait Johnson Controls avec la série Neo R1.
À lire Comment démarrer une usine connectée sans tout casser
