L'essentiel de la semaine
La période du 4 au 12 octobre 2026 est dominée par une alerte du CERT-FR sur les équipements Danfoss des séries AK-SM et AK-SC. Ces matériels sont exploités par des sites industriels, logistiques ou commerciaux. Ils relèvent souvent des services techniques ou de prestataires de maintenance plutôt que de la DSI.
Le CERT-FR a également publié ses bulletins d'actualité hebdomadaires. Les éléments collectés cette semaine ne comportent en revanche aucun ajout au catalogue CISA KEV.
L'alerte Danfoss illustre une problématique que nous rencontrons régulièrement en audit : des équipements techniques dont l'interface d'administration est accessible depuis Internet, en dehors de l'inventaire et de la supervision du système d'information.
Danfoss AK-SM et AK-SC : compromissions d'interfaces exposées
Ce qui se passe. Dans son alerte CERTFR-2026-ALE-012 du 12 octobre 2026, le CERT-FR indique avoir connaissance de nombreuses compromissions d'équipements Danfoss des séries AK-SM et AK-SC. Il rappelle que l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques.
Lorsque l'administration à distance est impérative, il évoque une première mesure temporaire consistant à restreindre l'accès à ces interfaces. Le résumé dont nous disposons est tronqué : il ne précise ni le mode opératoire des attaquants ni la liste complète des mesures. Nous vous invitons donc à consulter l'alerte complète pour connaître les recommandations exactes du CERT-FR et les éventuels éléments de détection.
Qui est concerné. Toute organisation qui exploite des équipements Danfoss AK-SM ou AK-SC, directement ou via un prestataire. Le risque est maximal si leur interface de gestion est joignable depuis Internet. Ces systèmes sont fréquemment installés et maintenus par des intégrateurs ou des frigoristes, avec un accès de télémaintenance. Il est donc possible qu'ils n'apparaissent pas dans l'inventaire de la DSI.
Actions recommandées :
- Identifier les équipements AK-SM et AK-SC présents sur vos sites, en interrogeant les services généraux, la maintenance et les prestataires concernés.
- Vérifier l'exposition : contrôler depuis l'extérieur si une interface de gestion est accessible sur vos plages d'adresses IP publiques, y compris sur les accès Internet locaux des sites (box, routeurs 4G/5G installés par un prestataire).
- Supprimer l'exposition directe dès que possible. Si un accès distant est indispensable, le restreindre conformément aux recommandations de l'alerte, idéalement derrière un VPN ou une passerelle d'administration.
- Rechercher des signes de compromission sur les équipements qui ont été exposés : modifications de configuration inexpliquées, comptes inconnus, connexions inhabituelles. En cas de doute, changer les mots de passe d'administration et se rapprocher du fabricant ou de l'intégrateur.
- Signaler toute compromission avérée au CERT-FR et, le cas échéant, déclencher votre procédure de gestion d'incident.
Bulletins d'actualité CERTFR-2026-ACT-042 et CERTFR-2026-ACT-043
Le CERT-FR a publié ses bulletins d'actualité du 5 octobre (CERTFR-2026-ACT-042) et du 12 octobre 2026 (CERTFR-2026-ACT-043). Ils reviennent sur les vulnérabilités significatives de la semaine précédente.
Les résumés dont nous disposons ne détaillent pas les produits ni les vulnérabilités traités. Nous ne pouvons donc pas en faire la synthèse ici. Nous recommandons aux équipes chargées de la gestion des correctifs de les consulter directement.
Comme le précise le CERT-FR, ces bulletins ne remplacent pas l'analyse de l'ensemble des avis et alertes publiés. Celle-ci reste nécessaire pour prioriser l'application des correctifs en fonction de votre propre analyse de risques.
Recommandations transverses
L'alerte de cette semaine ne porte pas sur un VPN ou une messagerie, mais sur des équipements techniques. Les leçons à en tirer valent pourtant pour l'ensemble du système d'information.
- Cartographier la surface d'attaque externe. Recensez régulièrement tout ce qui est joignable depuis Internet sous vos adresses IP et vos noms de domaine. Incluez les équipements OT et IoT (supervision technique, gestion de bâtiment, vidéosurveillance, automates). Un scan externe périodique permet de repérer les expositions accidentelles avant les attaquants.
- Ne jamais exposer directement une interface d'administration. L'accès distant doit passer par un point d'entrée maîtrisé (VPN, bastion), avec authentification multifacteur et journalisation.
- Encadrer les accès des prestataires. Les contrats de maintenance doivent préciser les modalités de télémaintenance et les exigences de sécurité : comptes nominatifs, mots de passe robustes, restriction des accès. Les solutions d'accès distant installées par un tiers doivent être connues et validées par la DSI.
- Segmenter les réseaux. Isolez les équipements techniques du réseau bureautique et filtrez les flux entre zones, afin qu'une compromission ne serve pas de point d'entrée vers le reste du SI.
- Intégrer ces équipements à la gestion des vulnérabilités. Suivez les publications du CERT-FR et des fabricants pour les matériels industriels comme pour les logiciels. Prévoyez un responsable identifié pour chaque famille d'équipements.
Si vous ne savez pas avec certitude quels équipements de votre organisation sont exposés sur Internet, un audit de surface d'attaque externe est un bon point de départ pour objectiver la situation et prioriser les actions.
Sources
- Incident de sécurité ciblant les Danfoss série AK-SM et AK-SC (12 octobre 2026) - CERT-FR - alerte, 2026-10-12
- Bulletin d'actualité CERTFR-2026-ACT-042 (05 octobre 2026) - CERT-FR - bulletin d'actualité, 2026-10-05
- Bulletin d'actualité CERTFR-2026-ACT-043 (12 octobre 2026) - CERT-FR - bulletin d'actualité, 2026-10-12