- Des vulnérabilités ont été découvertes dans Schneider Electric EcoStruxure, une suite logicielle utilisée pour la gestion d’équipements industriels et de bâtiments.
- Selon le CERT-FR, un attaquant pourrait exploiter ces failles pour exécuter du code à distance ou réaliser des attaques de type SSRF (falsification de requêtes côté serveur).
- Si vous utilisez EcoStruxure dans votre organisation, vérifiez rapidement si des mises à jour sont disponibles auprès de Schneider Electric.
Ce qui se passe
Le CERT-FR a publié un avis signalant plusieurs vulnérabilités affectant Schneider Electric EcoStruxure. Cette plateforme est couramment utilisée pour superviser et gérer des installations industrielles, électriques ou techniques de bâtiment.
Deux types de risques sont identifiés :
- L’exécution de code arbitraire à distance : cela signifie qu’un attaquant pourrait, sans être physiquement présent, faire exécuter des actions malveillantes sur un système vulnérable.
- La falsification de requêtes côté serveur (SSRF) : ce type d’attaque permet à un attaquant de manipuler le serveur pour qu’il envoie des requêtes vers des ressources internes normalement inaccessibles depuis l’extérieur.
Beaucoup de PME pensent que les logiciels de gestion technique ou industrielle sont moins exposés que les outils bureautiques. Ce n’est pas le cas : dès lors qu’un système est connecté à un réseau, il peut être ciblé. Ne retardez pas les mises à jour sous prétexte que « ce n’est pas un PC de bureau ».
Si vous n’êtes pas certain d’utiliser EcoStruxure ou de quelle version il s’agit, demandez à votre prestataire informatique ou à votre responsable technique de vérifier. Il vaut mieux poser la question que laisser une faille ouverte sans le savoir.
Ce qu’il faut faire concrètement
Vérifiez si votre organisation utilise Schneider Electric EcoStruxure. Si c’est le cas, consultez les recommandations officielles de Schneider Electric pour appliquer les correctifs disponibles. En cas de doute, rapprochez-vous de votre prestataire technique. Consultez également l’avis complet publié par le CERT-FR pour suivre les éventuelles mises à jour de cet avis : CERTFR-2026-AVI-1132.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.