Deux zero-day dans Ivanti EPMM, notées 9,8, déclenchent une chaîne d’alertes nationales. Aux Pays-Bas et à la Commission européenne, des intrusions sont confirmées, avec des données professionnelles consultées et exfiltrées.
Une vague de cyberattaques exploite deux vulnérabilités critiques zero-day d’Ivanti Endpoint Manager Mobile (EPMM), CVE-2026-1281 et CVE-2026-1340, corrigées fin janvier 2026. Ces failles, des injections de code notées 9,8 au CVSS, peuvent permettre une prise de contrôle sans identifiant ni mot de passe. Aux Pays-Bas, l’Autorité de protection des données et le Conseil judiciaire confirment des piratages, avec accès à des données professionnelles comme noms, mails et numéros. La Commission européenne signale une attaque sur son infrastructure de gestion mobile, contenue en neuf heures. CISA, Canada et Singapour alertent sur une exploitation active.
Des zero-day à 9,8, et la diplomatie des correctifs
Le signal est parti d’un produit discret, mais placé au centre des architectures modernes : Ivanti Endpoint Manager Mobile. EPMM sert à administrer les téléphones et tablettes d’une organisation, imposer des règles de sécurité, gérer les applications, et, en pratique, tenir la main sur un parc mobile entier. Quand ce type d’outil est percé, c’est la porte d’entrée idéale, car l’administration mobile doit souvent rester accessible depuis Internet.
Ivanti a publié fin janvier un avis et des correctifs sur deux vulnérabilités critiques d’injection de code, référencées CVE-2026-1281 et CVE-2026-1340. Le fournisseur a demandé aux clients de considérer tout système exposé comme potentiellement compromis, et d’examiner les journaux afin d’identifier des traces d’exploitation. Les deux failles ont été classées “critiques” avec un score CVSS de base de 9,8, un niveau qui les place parmi les scénarios les plus dangereux. Ivanti indique avoir connaissance d’un nombre “très limité” de clients touchés avant l’application des correctifs, formulation prudente qui ne dit rien du volume réel d’exploitations en circulation.
SERVICE DE VEILLE ZATAZAlerte : savoir si vos données personnelles ont fuité.
À partir de 0,06 € / jour
Activation rapide • Alertes prioritaires • Veille web, dark web
Sans prestataire extérieur • 100 % souverain
Pays-Bas et Commission européenne, la même surface d’attaque
Aux Pays-Bas, la cyberattaque n’est plus une hypothèse. Dans une déclaration faite vendredi au Parlement, l’Autorité néerlandaise de protection des données et le Conseil judiciaire ont confirmé avoir été victimes d’un piratage, sans préciser la date des faits. Le secrétaire d’État à l’Intérieur et le secrétaire d’État à la Justice et à la Sécurité indiquent que des personnes non autorisées ont consulté des données professionnelles, « telles que le nom, l’adresse électronique professionnelle et le numéro de téléphone », tandis que l’étendue complète reste en cours d’enquête.
Ce détail sur la nature des données est révélateur : même “professionnelles”, ces informations suffisent à alimenter des campagnes de ciblage, du phishing sur mesure, des tentatives d’usurpation, ou des approches d’ingénierie sociale sur des personnels à forte valeur. Dans un appareil d’État, un annuaire exfiltré n’est jamais neutre, il peut devenir un carnet d’adresses opérationnel.
En parallèle, la Commission européenne confirme qu’une cyberattaque a été détectée sur son « infrastructure centrale de gestion des appareils mobiles ». Elle ne nomme pas explicitement Ivanti EPMM, mais décrit un incident similaire à celui observé aux Pays-Bas. Selon la Commission, l’attaque « a pu permettre d’accéder aux noms et numéros de téléphone portable de certains de ses employés ». Elle affirme qu’« une intervention rapide a permis de contenir l’incident et de nettoyer le système en neuf heures. Aucun appareil mobile n’a été compromis. » Le choix des mots compte : a pu permettre indique une évaluation de risque, pas nécessairement une exfiltration démontrée, tout en reconnaissant qu’un accès non autorisé était plausible.
À ce stade, aucune attribution publique n’a été faite. On ignore aussi si l’exploitation relève d’un acteur unique ou de plusieurs groupes opportunistes. Cette absence de signature renforce un constat opérationnel : sur les failles à très forte sévérité, l’adversaire n’a pas besoin d’être sophistiqué pour produire des effets, il lui suffit d’être rapide.
Le précédent norvégien rappelle enfin que la répétition est un facteur de risque en soi. En 2023, des vulnérabilités différentes dans la même gamme EPMM avaient été exploitées, et la Norvège avait annoncé le piratage de 12 agences. Le parallèle n’est pas un détail historique : il montre que la gestion mobile, parce qu’elle concentre l’accès, devient une cible récurrente, et que chaque nouvelle faille transforme la défense en course de vitesse mondiale.
News & Réseaux Sociaux ZATAZChaque vendredi midi, recevez gratuitement les actualités de la semaine.
