Acces distant du prestataire IT : faille critique BeyondTrust (15/10)
Le 15 octobre 2026, BeyondTrust a publie une faille critique dans Remote Support, l'outil avec lequel beaucoup de prestataires informatiques prennent la main sur les postes de leurs clients. Le lendemain, la CISA l'inscrivait au catalogue des vulnerabilites activement exploitees. La PME concernee n'heberge pas cet outil : son fournisseur l'heberge pour elle.
En bref
Le 15 octobre 2026, BeyondTrust a publie l'avis BT26-05 et la vulnerabilite CVE-2026-102764, qui touche son produit Remote Support dans les versions 26.2.3 et anterieures[2]. Elle est notee 9,3 sur 10 en CVSS v4.0 — 9,8 en CVSS v3.1 — et s'exploite depuis le reseau, sans compte et sans la moindre action d'un utilisateur[1]. Le 16 octobre 2026, la CISA l'a inscrite a son catalogue des vulnerabilites activement exploitees, avec une date limite de remediation fixee au 19 octobre pour les agences federales americaines[1][4].
Remote Support est l'outil avec lequel un prestataire informatique prend la main a distance sur les postes et les serveurs de ses clients. Si vous etes une PME, ce boitier n'est probablement pas chez vous : il est chez votre fournisseur. Vous n'avez donc aucun correctif a appliquer, et c'est exactement le probleme. L'acces distant du prestataire est le seul point d'entree de votre systeme d'information que vous ne controlez pas et que vous ne surveillez pas.
Ce que fait la faille, en langage clair
L'avis de l'editeur est sobre : des composants internes du produit ne verifiaient pas suffisamment l'origine des messages qu'ils recevaient, ce qui pouvait permettre a un attaquant, dans certaines conditions, d'effectuer des operations sur les fichiers de l'appliance[2]. Le NIST la classe en CWE-290, contournement d'authentification par usurpation[1].
Deux details de la notation comptent plus que le score. D'abord le vecteur : reseau, complexite faible, aucun privilege requis, aucune interaction utilisateur[1]. Autrement dit, il suffit que le boitier soit joignable. Ensuite les trois impacts — confidentialite, integrite, disponibilite — tous juges eleves[1]. Un outil de prise en main a distance detient par construction les acces privilegies de tous ses clients : une ecriture de fichier sur ce type d'equipement n'est jamais un incident local.
Meme semaine, meme famille de probleme : le CERT-FR publiait le 15 octobre un avis sur une vulnerabilite de Cisco AsyncOS pour Secure Email Gateway, que l'editeur indique egalement exploitee[5]. Les equipements de bordure — passerelle de messagerie, VPN, prise en main a distance — concentrent les attaques parce qu'ils sont, par definition, exposes.
Pourquoi c'est votre affaire alors que ce n'est pas votre serveur
Une PME de dix a deux cents personnes externalise presque toujours son informatique. Le contrat porte sur des temps de reponse et un forfait ; il est rare qu'il dise un mot de la securite des outils que le prestataire utilise pour entrer chez vous. C'est le meme angle mort que celui decrit dans notre article sur NIS2 et les prestataires IT belges, et la meme mecanique que celle vecue par les fournisseurs d'Albert Heijn pendant les quatre jours d'arret de la chaine : l'incident se produit chez un tiers, les consequences arrivent chez vous.
Il ne s'agit pas de changer de prestataire. Il s'agit d'ecrire une fois pour toutes ce que vous attendez de lui en matiere d'acces distant, puis de le verifier une fois par an. Les entites visees par NIS2 dans leur pays y sont tenues au titre de la securite de la chaine d'approvisionnement ; les autres y gagnent simplement de savoir qui est entre chez elles, quand, et avec quel compte. La fuite de donnees partie d'un compte d'ancien salarie chez Flink rappelle ce que coute un acces qu'on a oublie de fermer.
Acces distant du prestataire : les six questions a poser
- Avec quel produit prenez-vous la main sur nos postes, en quelle version, et ou est-il heberge ?
- Qui applique les correctifs : vous, votre propre fournisseur, ou l'editeur en mode heberge ?
- En combien de temps appliquez-vous un correctif classe critique et exploite ? Donnez-moi la date du dernier.
- Vos techniciens se connectent-ils avec un compte nominatif et une authentification a deux facteurs ?
- Puis-je recevoir chaque mois la liste des sessions ouvertes sur nos machines : qui, quand, combien de temps ?
- Comment me prevenez-vous si votre outil d'acces distant est compromis, et dans quel delai ?
Les reponses tiennent dans un courriel. L'absence de reponse en est une aussi.
Les quatre pays : a qui vous adressez-vous
| Pays | Autorite a prevenir | Notre fiche de perimetre |
|---|---|---|
| Pays-Bas | NCSC-NL, sous la Cyberbeveiligingswet | NIS2 Pays-Bas, services informatiques geres |
| Belgique | CCB et CERT.be | NIS2 Belgique, services informatiques geres |
| Luxembourg | ILR, loi NIS2 en vigueur depuis le 10 mai 2026[6] | NIS2 Luxembourg, services informatiques geres |
| France | ANSSI et CERT-FR ; au 21 octobre 2026, la transposition de NIS2 etait encore en discussion au Parlement[7] | NIS2 France, ou en est la transposition |
Dans les trois premiers pays, une entite visee doit notifier ses incidents significatifs a son autorite, dans les delais fixes par le texte national ; en France, les obligations issues de NIS2 attendent la loi. Une fuite de donnees personnelles, elle, reste notifiable a l'autorite de protection des donnees — AP, APD/GBA, CNPD, CNIL — independamment de NIS2.
A faire cette semaine
- Envoyez les six questions ci-dessus a votre prestataire informatique, par ecrit, avec une date de reponse.
- Demandez-lui une confirmation ecrite que son outil de prise en main a distance est a jour, en citant CVE-2026-102764 s'il s'agit de BeyondTrust Remote Support.
- Si vous hebergez vous-meme Remote Support, appliquez l'avis BT26-05 de l'editeur avant toute autre tache[3].
- Listez les acces distants ouverts a vos fournisseurs — informatique, comptabilite, caisse, maintenance, telesurveillance — et coupez ceux que plus personne n'utilise.
- Verifiez que chaque intervenant externe a un compte nominatif, jamais un compte partage.
- Notez la date de ce controle dans votre registre : c'est la piece qu'une autorite demandera.
Chez CyberNovaLabs.io
Nous cadrons ce travail sans jargon : inventaire des acces distants de vos fournisseurs, questionnaire prestataire pret a envoyer, registre des controles tenu pour vous. Notre page cybersecurite et conformite NIS2 detaille la methode et le perimetre couvert dans les quatre pays. Prestation sur devis, apres un premier echange de trente minutes : decrivez-nous votre situation.
Sources
- NIST NVD - CVE-2026-102764 (notation CVSS, inscription au catalogue CISA le 16/10/2026)
- CVE Record CVE-2026-102764 - fiche publiee par BeyondTrust le 15/10/2026
- BeyondTrust - avis de securite BT26-05 (15/10/2026)
- CISA - Known Exploited Vulnerabilities Catalog (ajout du 16/10/2026)
- CERT-FR - CERTFR-2026-AVI-1325, Cisco AsyncOS pour Secure Email Gateway (15/10/2026)
- ILR Luxembourg - la loi NIS2 du 5 mai 2026
- Senat - rapport sur le projet de loi resilience des infrastructures critiques et cybersecurite
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Failles critiques PHP : votre site web est concerné (21/10/2026)
Deux vulnérabilités critiques dans PHP, le moteur sous la plupart des sites de PME, permettent une exécution de code à distance sans authentification. Les correctifs sont sortis le 21 octobre 2026. Ce qu'il faut vérifier cette semaine, et ce qui ne sera jamais corrigé.
Lire l'article →22 octobre 2026 · 9 min de lectureNIS2 Pays-Bas : éditeurs de logiciels et prestataires IT, concernés ?
Éditer un logiciel ne figure pas dans la loi néerlandaise. Gérer l'infrastructure d'un client, héberger, surveiller : si. Voici comment trancher votre cas en dix minutes, avec les dates néerlandaises, l'autorité compétente et la règle d'établissement principal qui décide qui vous contrôle.
Lire l'article →21 octobre 2026 · 9 min de lectureNIS2 France : la construction et le BTP sont-ils concernés ?
Les divisions 41, 42 et 43 de la construction ne figurent dans aucune annexe de NIS2, et au 21 octobre 2026 la France n'a pas de loi de transposition. Mais la division 33 y est, votre code APE change au 1er janvier 2027, et la fraude au virement a bondi de 93 % en 2025. Ce qui compte vraiment pour une entreprise du BTP.
Lire l'article →20 octobre 2026 · 7 min de lectureE-mails pro devines : le cadre CNIL pour la prospection B2B (16/10)
Le 16 octobre 2026, la CNIL a encadre la pratique qui alimente la moitie des fichiers de prospection : deviner une adresse professionnelle. Interet legitime possible, sous trois conditions ecrites.
Lire l'article →20 octobre 2026 · 8 min de lectureProspecter aux Pays-Bas : les règles de la prise de rendez-vous B2B
L'article 11.7 de la loi télécom néerlandaise trie vos cibles par forme juridique. Appeler une BV est permis, appeler un indépendant exige un consentement : 76,0 % des entreprises néerlandaises sont des personnes physiques.
Lire l'article →20 octobre 2026 · 9 min de lectureNIS2 Luxembourg : hôtellerie et tourisme sont-ils concernés ?
L'hébergement et la restauration ne figurent dans aucune annexe de la loi luxembourgeoise NIS2. Trois obligations vous rattrapent pourtant, et l'une d'elles décide déjà de vos contrats d'entreprise.
Lire l'article →