VPN, pare-feux, passerelles : quand la boîte qui protège devient la porte d'entrée
Pendant vingt ans, l'architecture de sécurité des organisations a reposé sur une image simple : un périmètre, et des boîtiers pour le garder. Le pare-feu filtre, la passerelle VPN authentifie, le concentrateur d'accès distant fait entrer les employés légitimes et personne d'autre. Cette image vient de se retourner. En 2026, l'équipement qui garde la porte est la porte : les VPN, pare-feux et passerelles concentrent désormais une part record des intrusions, et le basculement est mesurable, dans les grands rapports du secteur comme dans nos propres données.
Notre rapport du premier semestre 2026 le pointait en une phrase : « les éditeurs de bordure (VPN, pare-feux) restent la porte d'entrée privilégiée ». Cet article est l'analyse détaillée que cette phrase appelait. Nous avons repris notre miroir du catalogue des vulnérabilités activement exploitées (KEV) de la CISA, classé ses 1 647 entrées par famille de produits, croisé le tout avec les campagnes de ransomware, et mesuré la vitesse à laquelle la fenêtre de correction se referme. Trois constats en ressortent : le périmètre pèse bien plus lourd que sa taille réelle, le ransomware s'y concentre, et le délai pour corriger se compte désormais en jours.
2026, l'année de la bascule
La rupture est d'abord documentée par le rapport le plus regardé du secteur. L'édition 2026 du Data Breach Investigations Report (DBIR) de Verizon enregistre une première en dix-neuf ans de publication : l'exploitation de vulnérabilités a dépassé les identifiants volés comme premier vecteur d'accès initial, à 31 % des intrusions contre 20 % l'année précédente. Depuis toujours, le vol d'identifiants (hameçonnage, infostealers, réutilisation de mots de passe) dominait ce classement. Ce n'est plus le cas.
Et le moteur de cette bascule est identifié : les équipements de périphérie. Toujours selon le DBIR, les équipements de bordure et VPN sont passés de 3 % à 22 % des compromissions par exploitation en un an, une multiplication par sept. Pour plusieurs vulnérabilités d'appliances divulguées en 2025, les campagnes de scan ont démarré en quelques heures après l'avis de sécurité, avant même que certains éditeurs n'aient publié un firmware corrigé.
En face, la défense ne suit pas : le délai médian de correction d'une faille connue comme exploitée s'est allongé à 43 jours, contre 32 un an plus tôt. L'écart entre le temps de l'attaquant (des heures) et le temps du défenseur (des semaines) est le vrai sujet de cet article. La suite le décline en trois questions : où frappent les attaquants, pour quoi faire, et à quelle vitesse.
Ce que le catalogue KEV révèle, lu par famille de produits
Commençons par la première question : où frappent-ils ? Les rapports d'éditeurs ont un biais structurel, chacun voit la menace à travers sa propre télémétrie. Nous avons donc voulu un chiffre neutre et vérifiable, calculé sur une source publique que chacun peut retélécharger : le catalogue KEV de la CISA, dont nous maintenons un miroir continu. Il suit aujourd'hui 1 647 vulnérabilités dont l'exploitation active est confirmée.
Nous avons classé chaque entrée, produit par produit, en quatre familles :
- les applicatifs et serveurs : messageries, CMS, outils de transfert de fichiers, solutions de sauvegarde ;
- les systèmes d'exploitation et terminaux : Windows, navigateurs, mobiles ;
- le périmètre réseau : VPN, pare-feux, passerelles d'accès, contrôleurs de livraison applicative ;
- les NAS et objets exposés : stockage en réseau et équipements connectés visibles depuis Internet.
Le constat : le périmètre représente une vulnérabilité activement exploitée sur six (272 entrées, 16,5 % du catalogue). Le chiffre peut sembler modeste à côté des applicatifs, qui en concentrent près de la moitié. Il ne l'est pas, et l'explication tient à la surface réelle de chaque famille : le monde fait tourner des dizaines de milliers d'applications serveur différentes, mais seulement une poignée de gammes d'équipements de périmètre. Ramené à ce dénominateur, le périmètre est de très loin la famille la plus attaquée par produit.
La conclusion s'impose d'elle-même : pour qu'une catégorie aussi étroite, quelques éditeurs et quelques gammes, concentre un sixième de toutes les vulnérabilités exploitées, il faut que les attaquants s'y soient massivement investis. Et ce ratio décrit le stock accumulé depuis 2021 ; le flux récent, on va le voir, est encore plus déséquilibré.
Une précision de méthode avant d'aller plus loin : notre veille a élargi en juin 2026 son ingestion de CVE au-delà du seul catalogue KEV. Tous les chiffres de cet article sont calculés exclusivement sur le miroir KEV strict, précisément pour éviter ce biais de composition. La classification par famille est éditoriale et assumée : les éditeurs mixtes (Cisco, Citrix, F5...) sont ventilés produit par produit, un routeur côté périmètre, un outil de visioconférence côté applicatif.
Le périmètre, matière première du ransomware
Deuxième question : ces failles de périmètre, les attaquants s'en servent pour quoi ? La réponse qui compte pour les organisations est le ransomware, car c'est là que se concentrent les dégâts. La CISA marque dans son catalogue les vulnérabilités instrumentalisées dans des campagnes de rançonnage : une entrée sur cinq porte ce marqueur. Ce taux moyen sert de point de comparaison pour la suite.
Regardons maintenant ce taux éditeur par éditeur. C'est là que le retournement devient spectaculaire : chez SonicWall, plus d'une CVE exploitée sur deux a servi à du ransomware ; près d'une sur deux chez Fortinet ; environ une sur trois chez Ivanti, Palo Alto Networks et Citrix. Tous les grands noms de la sécurité périmétrique sont au-dessus de la moyenne du catalogue. À l'autre extrémité, Apple et Google, qui comptent pourtant des dizaines de CVE exploitées chacun, sont à zéro : leurs failles servent l'espionnage et le ciblage de terminaux, pas le rançonnage d'infrastructures.
Comment l'expliquer ? Une passerelle compromise donne exactement ce dont un groupe de ransomware a besoin : un pied dans le réseau interne, des identifiants qui transitent, et un accès obtenu dès le premier jour. Pris ensemble, les cinq grands éditeurs de sécurité périmétrique affichent un taux d'instrumentalisation de 40 %, le double de la moyenne du catalogue : une vulnérabilité exploitée sur un équipement de sécurité a deux fois plus de chances de finir dans une chaîne de rançonnage qu'une vulnérabilité exploitée quelconque. Le cas Cisco (6 %) confirme la lecture plutôt qu'il ne l'infirme : son stock KEV est dominé par de vieilles failles d'espionnage d'infrastructure ; sa gamme d'accès distant (ASA, AnyConnect), elle, est bien dans le viseur ransomware.
Deux précisions pour rester honnête. D'abord, en volume absolu, l'applicatif reste la première famille du sous-ensemble ransomware : Exchange, outils de transfert de fichiers type MOVEit, solutions de sauvegarde, la surface y est immense. Le point n'est pas que le périmètre domine en volume, mais qu'il est sur-représenté par rapport à sa taille, et que l'écart se creuse : dans les entrées ajoutées au catalogue depuis 2024, le périmètre porte 29 % du ransomware, contre 19 % dans le stock complet. Le ransomware moderne n'entre plus par la pièce jointe ; il entre par la passerelle.
Ensuite, ces marqueurs ransomware sont un plancher, pas un plafond. Les chercheurs de GreyNoise ont montré qu'en 2025, la CISA a discrètement basculé 59 vulnérabilités existantes du catalogue vers le statut « exploitation ransomware connue », sans annonce, par simple changement de champ dans un fichier JSON. Un tiers de ces requalifications silencieuses visent des équipements de sécurité réseau : Fortinet SSL-VPN, Ivanti Connect Secure, Palo Alto GlobalProtect, Check Point Security Gateway. Même la comptabilité officielle de la menace rattrape le périmètre avec retard.
| Indicateur | Valeur |
|---|---|
| CVE activement exploitées suivies (miroir KEV) | 1 647 |
| ... dont instrumentalisées en ransomware | 329 (20 %) |
| Entrées « périmètre réseau » (VPN, pare-feux, passerelles) | 272 (16,5 %) |
| Part du périmètre dans le ransomware ajouté depuis 2024 | 29 % |
| Taux ransomware des 5 grands éditeurs de sécurité périmétrique | 40 % (vs 20 % de moyenne) |
Notre propre suivi des groupes le confirme sur le terrain : le nouvel entrant le plus remarqué de 2026, The Gentlemen, s'est hissé au deuxième rang des acteurs les plus actifs précisément en industrialisant l'exploitation d'équipements de bordure (FortiOS, SonicWall VPN, Cisco ASA) comme accès initial (rapport S1 2026, chapitre ransomware).
La fenêtre de correction se referme
Reste la troisième question, la moins visible et peut-être la plus importante pour les équipes : le calendrier. Nous avons mesuré, pour chaque année, l'âge des vulnérabilités au moment de leur entrée au catalogue KEV, c'est-à-dire le retard entre l'existence d'une faille (l'année de son identifiant CVE) et la confirmation de son exploitation active.
Depuis 2023, le régime de croisière est stable et brutal : l'âge médian d'une vulnérabilité à son entrée au catalogue est de zéro an, et environ 77 % des entrées ont un an ou moins. Autrement dit, quand une faille est exploitée, elle l'est presque toujours dans l'année de sa divulgation : le catalogue ne « déterre » plus du vieux stock, il court derrière le flux. (L'année 2022 se lit différemment : le catalogue, créé fin 2021, absorbait encore son retard historique, et près de la moitié des ajouts de cette année-là avaient cinq ans ou plus. Le point bas de départ est un artefact de constitution, pas une tendance.)
Mise en regard du chiffre défensif du DBIR (43 jours de délai médian de remédiation, en hausse), la conclusion est arithmétique : pour les équipements de périphérie, la fenêtre entre divulgation et exploitation est plus courte que le cycle de patch de la majorité des organisations. Le DBIR documente des scans en quelques heures sur les CVE d'appliances 2025 ; en face, le correctif attendra le prochain créneau de maintenance.
Ce constat prolonge directement la thèse de notre article sur les vulnérabilités mineures à l'ère de l'IA : l'automatisation effondre le coût d'exploitation, donc aussi le calendrier. Un équipement de périphérie est l'aboutissement logique de cette économie : une cible identique chez des dizaines de milliers d'organisations, énumérable par un scan Internet, exploitable par un script unique. Quand l'exploitation coûte quelques dollars et se parallélise, l'équipement exposé et standardisé est le meilleur rendement du marché.
Pourquoi l'équipement de sécurité est une cible idéale
Le paradoxe n'en est un qu'en apparence. Du point de vue de l'attaquant, l'équipement de sécurité périmétrique cumule tout ce qu'on peut souhaiter d'une cible :
- Il est exposé par construction. Un VPN sert à être joignable depuis Internet ; on ne peut pas le cacher derrière autre chose. Chaque appliance est visible dans Shodan ou Censys, avec sa version.
- Il est le point de passage de tout. Compromettre la passerelle, c'est se placer là où transitent les identifiants, les sessions et les flux de toute l'organisation : la position que des mois de mouvement latéral visent à atteindre, obtenue au premier jour.
- Il échappe aux défenses internes. Pas d'agent EDR sur un firmware propriétaire fermé, une journalisation souvent pauvre, peu de moyens forensiques : c'est l'angle mort exact des investissements de détection de la décennie écoulée.
- C'est une monoculture. Quelques gammes équipent une part énorme du parc mondial. Une seule CVE ouvre des dizaines de milliers de portes identiques, là où une faille applicative doit composer avec la diversité des déploiements.
- Sa configuration est un exercice d'équilibriste. Des centaines de règles, d'options et d'exceptions accumulées au fil des ans : il est facile de faire une erreur de configuration, ça reste humain. Une interface d'administration laissée exposée ou une règle trop permissive suffit à annuler tout ce que l'équipement apporte.
- Il est mal entretenu. Redémarrer la passerelle VPN coupe l'accès de tous les télétravailleurs ; l'appliance en fin de vie « qui marche » reste en production des années. Le DBIR chiffre ce retard : 43 jours de médiane pour corriger une faille pourtant connue comme exploitée.
Ajoutons l'ironie de fond : ces boîtiers sont achetés, précisément, pour réduire le risque. Chaque fonction de sécurité embarquée (inspection TLS, portail d'authentification, agent de conformité) est du code privilégié supplémentaire, donc de la surface d'attaque supplémentaire. La confiance accordée à l'équipement ne repose pas sur une propriété vérifiable de son logiciel ; elle repose sur sa fonction déclarée. C'est exactement la définition d'une confiance mal placée.
Le VPN, ou la confiance déplacée
Ce glissement, faire confiance à la fonction plutôt qu'au code, dépasse le monde de l'entreprise, et l'actualité vient d'en fournir une illustration remarquable. En juillet 2026, le Trésor américain a sanctionné pour la première fois de son histoire un service VPN : First VPN Service (1VPNS), et son administrateur. Depuis 2014, ce service se vendait sur les forums cybercriminels avec un argument massue, « aucun log, aucune coopération avec les autorités », et servait d'infrastructure d'anonymisation aux groupes ransomware attaquant les organisations occidentales, pour des pertes chiffrées en milliards. Les sanctions suivent le démantèlement de son infrastructure lors d'une opération internationale en mai 2026.
L'affaire est instructive au-delà du cas d'espèce : l'argument commercial de 1VPNS auprès des criminels (no-logs, opacité, juridiction inatteignable) est mot pour mot celui que le marché grand public du VPN vend au consommateur comme une promesse de sécurité. La même propriété, l'invérifiabilité, est vendue d'un côté comme un service au crime, de l'autre comme une protection. Cela devrait interroger.
Le VPN grand public : passer par l'ordinateur de quelqu'un d'autre
Il faut dire simplement ce qu'est, techniquement, un VPN commercial : un tunnel chiffré vers l'ordinateur de quelqu'un d'autre, qui ressort ensuite votre trafic vers Internet. Le chiffrement ne couvre que le trajet entre vous et le fournisseur. Au point de sortie, le fournisseur voit tout ce que votre fournisseur d'accès voyait : chaque site contacté, chaque horodatage, chaque volume, et il associe le tout à un compte, souvent à un moyen de paiement. Un VPN ne supprime pas l'observateur de votre trafic ; il choisit un autre observateur. La question n'est donc jamais « suis-je protégé ? » mais « à qui ai-je transféré la visibilité, et pourquoi lui ferais-je plus confiance qu'à mon opérateur ? ».
Le marketing raconte l'inverse. Le marché du VPN grand public finance massivement les créateurs de contenu (le sponsoring VPN est un des formats les plus rentables de YouTube) sur un discours de peur technique inexacte : le Wi-Fi public qui « expose vos mots de passe », la banque « piratable » sans VPN. En 2026, l'écrasante majorité du trafic web est chiffrée de bout en bout par TLS : votre session bancaire est chiffrée par votre banque, VPN ou pas. Ce que l'abonnement change réellement, c'est que l'intégralité de votre activité transite désormais par un tiers que vous n'avez aucun moyen d'auditer.
Et ce tiers n'est pas toujours celui qu'on croit. L'ONG Tech Transparency Project a montré que 20 des 100 applications VPN gratuites les plus populaires de l'App Store américain appartenaient discrètement à des sociétés chinoises, dissimulées derrière des cascades de coquilles offshore, dont plusieurs liées à Qihoo 360, entreprise sous sanctions américaines et classée « société militaire chinoise » par le Pentagone. Plus de 70 millions de téléchargements, et des utilisateurs qui, pensant se protéger, routent volontairement l'intégralité de leur navigation vers des entités soumises à des lois de sécurité nationale imposant la remise des données. Le modèle économique du VPN gratuit n'a d'ailleurs jamais été mystérieux : quand le tunnel ne se fait pas payer, c'est que le trafic est la marchandise.
Soyons précis sur le verdict, car l'outil n'est pas le problème, l'usage l'est. Utiliser un VPN commercial pour un usage de confort (regarder un catalogue de streaming étranger, contourner un géoblocage) est un arbitrage parfaitement raisonnable : l'enjeu est faible, le service rendu est réel. Utiliser ce même tunnel pour son activité professionnelle ou ses comptes bancaires inverse le rapport bénéfice/risque : on n'y gagne aucune protection que TLS n'apporte déjà, et on y ajoute un intermédiaire invérifiable en position d'observer, dans le pire des cas d'altérer, tout ce qui compte. La règle tient en une phrase : plus ce qui transite est sensible, moins il doit passer par un tunnel qu'on ne contrôle pas.
Le VPN qui a vraiment un intérêt chez soi : le sien
Il existe pourtant un usage du VPN réellement utile pour un particulier : héberger le sien, à la maison. Le principe est le même tunnel chiffré, mais il aboutit sur votre box ou sur une petite machine de votre salon plutôt que sur le serveur d'un inconnu. En déplacement, vous vous connectez à votre propre réseau : vous ressortez sur Internet par votre connexion domestique, et vous accédez au passage à tout ce qui reste à la maison (NAS, imprimante, domotique, l'ordinateur resté allumé) sans jamais exposer ces équipements à Internet.
La comparaison tient en un schéma. Dans les deux cas, un tunnel chiffré ; toute la différence est ce qu'il y a au bout : d'un côté un tiers que vous payez pour observer votre trafic, de l'autre votre propre réseau, avec l'accès à votre infrastructure locale en prime.
Et contrairement à l'abonnement, c'est gratuit pour peu qu'on soit un peu à l'aise techniquement : beaucoup de box et de routeurs intègrent déjà un serveur VPN, et des logiciels libres comme WireGuard ou OpenVPN font le reste. Passer par un tiers commercial n'apporte aucune protection supplémentaire ; passer par chez soi apporte, en plus du tunnel, l'accès à son propre réseau. À service égal, aucun intérêt de payer pour y perdre.
Que faire
Pour les organisations. Le périmètre exige désormais le traitement qu'on réservait aux serveurs critiques exposés :
- Inventorier les équipements de bordure : chaque appliance joignable depuis Internet, sa version, sa date de fin de support. Une passerelle oubliée d'une filiale est une cible aussi valable que le siège ; les attaquants énumèrent, eux.
- Patcher les équipements de bordure en jours, pas en semaines. Une CVE KEV sur un équipement de périphérie mérite un traitement d'urgence (24-72 h), déclenché par le statut d'exploitation, pas par le score CVSS ni par le cycle mensuel. Les 43 jours de médiane du DBIR sont, pour cette famille précise, une fenêtre d'intrusion.
- Réduire ce qui est exposé : interfaces d'administration jamais accessibles depuis Internet ; portails VPN limités quand c'est possible (filtrage géographique ou par plages) ; services inutilisés désactivés.
- Cesser de considérer l'appliance comme un composant de confiance : journaux exportés hors de la boîte en temps réel (l'intrus les effacera sur place), authentification résistante à l'hameçonnage devant chaque accès distant, et supervision des comportements de l'équipement lui-même. Une passerelle qui ouvre des connexions sortantes inhabituelles est un signal, pas un bruit.
- Planifier la fin de vie : une appliance qui ne reçoit plus de correctifs n'est pas un actif amorti, c'est une porte sans serrure. Les campagnes 2025-2026 ont massivement ciblé du matériel en fin de support.
Pour les particuliers. Trois questions avant de payer un abonnement VPN : qu'est-ce que je cherche à protéger, de qui, et le fournisseur est-il plus digne de confiance que mon opérateur ? Pour le streaming et le géoblocage : allez-y. Pour la banque, les démarches et le travail : le VPN commercial n'ajoute rien que TLS ne fasse déjà, abstenez-vous. Pour accéder à distance à votre réseau et à vos appareils : un VPN hébergé chez vous (box, WireGuard, OpenVPN), gratuit et sous votre contrôle. Et pour les ressources de votre employeur, une seule règle : exclusivement le VPN fourni et géré par lui.
Le périmètre s'est retourné
Le périmètre n'est pas mort ; l'industrie l'annonce depuis quinze ans, et il est toujours là. Il a fait pire : il s'est retourné. L'équipement acheté pour filtrer les intrusions est devenu, statistiquement, leur premier vecteur ; le tunnel vendu pour protéger la navigation est devenu un point d'observation privé ; et la comptabilité publique de la menace confirme, chiffre après chiffre, que l'équipement de confiance est l'endroit précis où la confiance est le moins vérifiable. La leçon de 2026 tient en une ligne : la confiance ne se décrète pas par la fonction d'un équipement, elle se limite, se surveille et se révoque, que la boîte soit une passerelle d'entreprise à six chiffres ou une application VPN gratuite.
Sources
- Verizon, 2026 Data Breach Investigations Report (exploitation = 1er vecteur d'accès initial à 31 %, une première en 19 ans ; bordure/VPN de 3 % à 22 % des compromissions par exploitation ; 26 % du KEV remédié ; médiane de remédiation 43 jours) : verizon.com
- GreyNoise, The Noise in the Silence: Unmasking CISA's Hidden KEV Ransomware Updates (59 requalifications ransomware silencieuses en 2025, dont 19 équipements de sécurité réseau) : greynoise.io ; couverture SecurityWeek
- CISA, Known Exploited Vulnerabilities Catalog (source publique de notre miroir) : cisa.gov
- U.S. Treasury / OFAC, première sanction d'un service VPN (First VPN Service/1VPNS, juillet 2026) : The Hacker News, BleepingComputer
- Tech Transparency Project, Apple Offers Apps With Ties to Chinese Military (20 des 100 VPN gratuits les plus populaires de l'App Store US à capitaux chinois dissimulés ; 70 M+ téléchargements) : techtransparencyproject.org ; couverture NBC News
- LuksMentis, Rapport : l'état de la menace cyber au 1er semestre 2026 (chapitres ransomware et vulnérabilités) et Vulnérabilités mineures : la fin de l'acceptation tacite à l'ère de l'IA
- Données primaires : miroir LuksMentis du catalogue KEV de la CISA, extrait de juillet 2026 (1 647 CVE, dont 329 liées au ransomware ; classification par famille de produits établie produit par produit ; analyse restreinte au périmètre KEV strict, indépendante de l'élargissement de notre ingestion CVE de juin 2026)