Un pare-feu compromis ne se répare pas en appliquant simplement le correctif : si l’attaquant est entré avant la mise à jour, il peut avoir volé la configuration, créé un compte ou installé un implant qui survit au patch. Ce tutoriel vous donne une méthode en 7 étapes pour vérifier, en une demi-journée, si votre pare-feu ou votre VPN a été utilisé contre vous.
Le sujet n’a rien de théorique : en une seule journée, la CISA a ajouté à son catalogue des vulnérabilités exploitées une faille de Palo Alto Networks PAN-OS et une faille de Cisco Secure Email Gateway, deux équipements que l’on retrouve en bordure de réseau dans de nombreuses PME et ETI.
Pourquoi un pare-feu compromis survit au correctif
Un pare-feu, une passerelle VPN ou une passerelle de messagerie voient passer tout votre trafic et stockent des secrets précieux : comptes administrateurs, clés de chiffrement, certificats, identifiants VPN des utilisateurs. Un attaquant qui y obtient un accès root n’a pas besoin de rester bruyant : il copie ce dont il a besoin et revient plus tard par la porte d’entrée normale.
L’enquête publiée par Unit 42 sur l’implant PEERSTITCH l’illustre bien. Après avoir exploité une faille de la console FortiManager, les attaquants ont exfiltré les configurations, le matériel cryptographique et les données de plus de 500 pare-feu FortiGate gérés. Ils ont ensuite conservé un accès de long terme, intercepté du trafic et ouvert des sessions VPN. Corriger la console après coup ne changeait rien aux secrets déjà volés.
Cisco le dit explicitement dans son avis sur la faille Secure Email Gateway : une fois l’exécution de commandes en root obtenue, l’attaquant peut effacer ses traces sur l’équipement. D’où la consigne de recouper avec les journaux du pare-feu et du réseau, et pas seulement avec ceux de l’appareil touché.
Les 7 étapes pour vérifier votre pare-feu ou votre VPN
Étape 1 : inventoriez vos équipements exposés et leurs versions
Dressez la liste de tout ce qui est joignable depuis Internet : pare-feu, passerelle VPN SSL, passerelle de messagerie, console d’administration centralisée, accès distant de votre infogérant. Pour chaque équipement, notez le modèle, la version exacte du système, la date de la dernière mise à jour et qui l’administre. Sans cet inventaire, vous ne saurez pas quels avis de sécurité vous concernent.
Vérifiez aussi un point souvent oublié : l’interface d’administration est-elle accessible depuis Internet ? La faille PAN-OS CVE-2026-0322 vise précisément l’interface de gestion, et Palo Alto Networks précise dans son avis que l’exposition dépend de cette configuration.
Étape 2 : croisez cet inventaire avec les failles exploitées
Comparez vos modèles et versions avec le catalogue KEV de la CISA et les avis du CERT-FR. Une faille qui figure dans le KEV est exploitée en conditions réelles : si votre version était vulnérable pendant la période d’exploitation, partez du principe que l’équipement a pu être visé et poursuivez la vérification.
Étape 3 : appliquez le correctif, puis notez la fenêtre d’exposition
Installez la version corrigée recommandée par l’éditeur. Notez ensuite deux dates : celle de la mise en ligne de la version vulnérable et celle du correctif. C’est la fenêtre d’exposition : toutes les vérifications suivantes portent sur cette période, pas uniquement sur les derniers jours.
Étape 4 : recherchez les indicateurs de compromission publiés
Les éditeurs publient souvent des indicateurs de compromission (IOC) : adresses IP d’attaque, noms de fichiers, hachages. Palo Alto Networks a par exemple communiqué trois adresses IP liées à l’exploitation de CVE-2026-0322, et Cisco un tableau d’IOC pour sa passerelle de messagerie. Recherchez ces éléments dans les journaux de l’équipement, mais aussi dans ceux du pare-feu situé devant ou derrière, de votre proxy et de votre serveur DNS, puisque les journaux locaux ont pu être effacés.
Étape 5 : contrôlez les comptes, la configuration et les sessions VPN
Exportez la configuration actuelle et comparez-la à une sauvegarde antérieure à la fenêtre d’exposition. Cherchez en priorité :
- un compte administrateur ou un compte VPN que personne ne reconnaît ;
- une règle de filtrage ou une redirection de port ajoutée sans ticket ;
- une tâche planifiée, un script ou un fichier inconnu sur le système ;
- des sessions VPN ouvertes depuis des pays ou à des horaires inhabituels pour vos équipes.
Si l’éditeur fournit un outil de vérification d’intégrité, lancez-le : il détecte des modifications que l’interface web n’affiche pas.
Étape 6 : renouvelez les secrets en cas de doute
Au moindre indice, considérez que tout ce que l’équipement stockait est connu de l’attaquant. Changez les mots de passe administrateurs, réinitialisez les comptes VPN des utilisateurs, renouvelez les certificats et les clés prépartagées des tunnels site à site, et vérifiez les comptes de service liés à l’annuaire. C’est l’étape la plus coûteuse, mais c’est elle qui ferme réellement la porte.
Si l’analyse confirme une compromission, l’équipement ne doit plus être considéré comme fiable : la réinstallation complète depuis une image de l’éditeur, suivie d’une reconfiguration propre, est la seule option sûre. Déclenchez alors votre plan de réponse à incident.
Étape 7 : mettez les journaux sous surveillance continue
Une vérification ponctuelle ne vous protège que jusqu’à la prochaine faille. Envoyez les journaux de vos équipements de bordure vers un système centralisé, hors de l’équipement lui-même, et définissez quelques alertes simples : nouvel administrateur créé, connexion à l’interface de gestion depuis Internet, session VPN depuis un pays inattendu. Pour réduire la surface d’attaque en amont, notre tutoriel de durcissement FortiGate détaille les réglages prioritaires.
Quand cette vérification dépasse vos ressources internes
Les étapes 1 à 3 sont à la portée de tout responsable informatique. Les étapes 4 à 6 demandent de lire des journaux sur plusieurs mois et de savoir distinguer une anomalie d’un comportement normal : c’est là que les petites équipes manquent le plus souvent de temps. Si votre prestataire informatique administre vos équipements, demandez-lui par écrit le résultat de chaque étape pour les avis qui vous concernent.
Une compromission d’équipement de bordure se détecte bien plus tôt quand ses journaux sont analysés en continu : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- Un correctif ferme la faille, il ne retire pas un attaquant déjà entré.
- Vérifiez toute la fenêtre d’exposition, pas seulement les derniers jours.
- Cherchez les IOC aussi dans les journaux externes à l’équipement.
- Au moindre doute, renouvelez comptes, certificats et clés VPN.
- N’exposez jamais l’interface d’administration sur Internet.