Ce qui s'est passé
Le 2 août 2026, l'éditeur N-able a publié en urgence un correctif pour N-central, une console de supervision et de gestion à distance qu'utilisent des prestataires informatiques et des services informatiques internes pour administrer les machines de leurs clients. La faille, référencée CVE-2026-18577, permettait à un attaquant non authentifié de contourner l'authentification à distance et d'obtenir le contrôle administratif du serveur. Le lendemain, l'agence américaine de cybersécurité, la CISA, l'a inscrite à son catalogue des vulnérabilités activement exploitées.
Le détail qui compte n'est pas la faille elle-même, mais ce que les attaquants en ont fait. Après avoir pris la main sur un compte administrateur de la console, ils ont utilisé la fonction Take Control — la prise en main à distance, celle-là même qui sert au support quotidien — pour ouvrir des sessions sur les postes gérés. Puis ils ont mis en place un tunnel réseau chiffré afin de conserver leur accès aux machines même après la coupure de la console. Sur les réseaux atteints, l'activité observée par les équipes de réponse à incident visait rapidement les contrôleurs de domaine.
Un mot sur l'origine de l'affaire, parce qu'il éclaire la suite : cette vulnérabilité est née d'un correctif précédent qui s'était révélé incomplet. Un premier trou avait été bouché ; le colmatage laissait un passage. L'éditeur, qui est ici partie prenante de l'information, indique qu'un nombre limité de clients a été touché, et a livré une version corrigée (2026.3.1.7) dans les jours qui ont suivi la détection des premières anomalies.
Pourquoi ça vous concerne, même si ce nom ne vous dit rien
Vous n'avez probablement jamais entendu parler de N-central, et c'est normal : ce type d'outil ne s'adresse pas aux entreprises clientes, mais à ceux qui les administrent. Il n'empêche que si vous confiez votre parc à un prestataire, il y a de fortes chances qu'un logiciel de cette famille — on parle de RMM, pour Remote Monitoring and Management — tourne discrètement sur vos postes depuis le premier jour.
C'est ce petit agent qui permet à votre prestataire de voir qu'un disque arrive à saturation, de déployer les mises à jour sans passer chez vous, d'installer un logiciel à distance ou de prendre la main sur un écran pour dépanner un utilisateur. Il est utile. Il fait gagner du temps et de l'argent à tout le monde. Et il a, par construction, les droits les plus élevés sur la machine : c'est la condition pour qu'il fasse son travail.
D'où la mécanique de l'incident. La console centrale est un point unique qui commande des milliers de postes répartis chez des centaines d'entreprises. Elle ne se contente pas de les surveiller : elle peut y exécuter des commandes. Qui prend la console prend le parc. Le client n'a rien à se reprocher, n'a aucun correctif à appliquer de son côté, et ne voit rien venir — l'accès emprunte exactement le chemin prévu pour le support légitime.
Le vrai enseignement : votre surface d'attaque ne s'arrête pas à vos murs
Une PME qui se demande « suis-je exposée ? » regarde en général son pare-feu, ses postes, sa messagerie. Cet inventaire est incomplet. Il manque une catégorie entière : tous ceux qui ont un accès permanent à votre système d'information. Le prestataire informatique, bien sûr, mais aussi l'éditeur de votre logiciel métier qui se connecte pour les mises à jour, le technicien de la photocopieuse qui a un accès réseau, le cabinet comptable qui synchronise vos écritures, l'installateur de la vidéosurveillance.
Chacun de ces accès est un maillon. Et la sécurité de votre entreprise est celle du maillon le plus faible de l'ensemble — pas celle du plus solide. C'est le même raisonnement que nous appliquions à propos des scripts tiers chargés par un site web : du code que vous n'avez pas écrit s'exécute chez vous, avec vos droits, et vous en répondez.
Ce n'est pas un argument pour tout internaliser. Un prestataire correctement outillé applique les correctifs plus vite et plus systématiquement qu'une PME sans équipe dédiée : la centralisation est un gain net de sécurité dans la très grande majorité des cas. C'est un argument pour savoir ce que vous avez délégué, et à quelles conditions.
Cinq questions à poser à votre prestataire
Aucune n'est technique. Toutes se posent par courriel, en dix lignes, et les réponses en disent long.
- Quels outils d'accès distant sont installés sur nos machines, et sous quel nom ? Vous devez pouvoir mettre un nom sur chaque agent qui tourne chez vous. Un prestataire sérieux répond en une phrase.
- Qui, chez vous, peut ouvrir une session sur nos postes, et comment ces comptes sont-ils protégés ? La réponse attendue contient les mots « double authentification ». C'est le sujet que nous détaillons dans notre article sur l'authentification multifacteur — appliqué aux comptes d'administration, il n'est plus optionnel.
- Gardez-vous une trace des connexions à nos machines, et pouvons-nous la consulter ? Sans journal d'accès, personne ne peut dire après coup qui est entré, quand, et ce qui a été fait. C'est ce qui sépare un incident élucidé d'un incident subi.
- En combien de temps appliquez-vous un correctif critique sur votre propre infrastructure ? Dans l'affaire du 2 août, le correctif est arrivé après le début des attaques : les premières victimes n'avaient rien à appliquer. Ce qui se joue ensuite, c'est le délai entre la publication d'un correctif critique et son déploiement. Nous faisions déjà ce constat lors des failles SharePoint : la fenêtre de risque se mesure en heures, pas en semaines.
- Que se passe-t-il, contractuellement, si vous êtes vous-même victime d'une attaque ? Qui nous prévient, sous quel délai, et qui prend en charge quoi. Cette clause est absente de la plupart des contrats de prestation signés par des PME.
Ce qui reste de votre côté
Trois mesures relèvent de vous, quel que soit le sérieux de votre prestataire, parce qu'elles limitent les dégâts d'une compromission survenue ailleurs.
Une sauvegarde hors de portée des comptes d'administration. Si une copie de vos données peut être effacée par un compte administrateur du parc, elle ne vous protège pas d'un attaquant qui a précisément pris ce compte. Une copie hors ligne ou non réinscriptible change tout — c'est le sens de la troisième branche de la règle 3-2-1.
Une supervision que vous pouvez lire. Vous n'avez pas à devenir analyste, mais savoir qu'une alerte existe et où elle atterrit vous évite de dépendre entièrement du même outil que l'attaquant contrôle.
Une procédure de coupure écrite. Si l'on vous annonce demain matin que l'accès distant de votre prestataire est compromis, quelqu'un chez vous doit savoir comment isoler le réseau et sur qui appuyer, sans attendre le rappel d'un support saturé.
Notre position, puisqu'il faut la dire
Nous sommes prestataire, et nous avons donc des accès chez nos clients. L'affaire ne nous permet aucune leçon confortable : elle décrit un risque que nous portons aussi. Notre lecture est simple. Un accès distant se justifie par le service qu'il rend, mais il doit être nommé, tracé, protégé par une double authentification, et révocable en une minute par le client lui-même. Un client qui ne sait pas comment nous couper l'accès n'est pas dans une relation saine avec son prestataire — nous compris.
Si vous ne savez pas aujourd'hui quels outils tournent sur vos machines ni qui peut s'y connecter, l'inventaire est le point de départ. C'est le premier geste de tout audit d'infrastructure IT, et il précède toujours les recommandations de notre offre Matériel professionnel & cybersécurité. Il ne coûte rien d'autre qu'une demi-journée, et il se termine régulièrement par la découverte d'un agent installé par un prestataire avec lequel on ne travaille plus depuis deux ans.