L'infrastructure profonde visée,
du PLM exploité au relais du réseau électrique
Édition hebdomadaire couvrant les vulnérabilités et incidents ciblant les systèmes embarqués, l'IoT et les réseaux d'opérateurs, ainsi que les évolutions réglementaires cyber internationales — avec un focus permanent sur les implications pour l'Afrique subsaharienne.
Pourquoi lire cette édition ?
La semaine du 22 au 28 juin 2026 fait descendre la menace d'un cran : après le périmètre des opérateurs en S25, ce sont les couches profondes et la chaîne d'approvisionnement qui sont visées.
Côté menace, la CISA inscrit le 25 juin deux vulnérabilités au catalogue KEV sur preuve d'exploitation active : une faille de PTC Windchill (logiciel de gestion du cycle de vie des produits), exploitée pour déposer des web shells, et une faille de Cisco Unified Communications Manager. Le lot d'avis ICS des 23 et 25 juin frappe le cœur du réseau électrique, avec les relais Siemens SIPROTEC 5 et la plateforme Schneider PowerLogic P7, tandis qu'une vulnérabilité d'OpenSSL se propage dans les gammes industrielles et que l'imagerie médicale connectée (DICOM) est exposée.
Côté réglementation, la machinerie du CRA mûrit sur le versant de l'évaluation : l'ENISA précise les exigences de compétence des organismes notifiés, et les normes harmonisées verticales atteignent le stade de projet mature. Le tout sur fond d'environnement de menace élevé pour les infrastructures critiques.
Signaux 01 → 02 — l'attaquant passe du périmètre au cœur de l'infrastructure
Le 25 juin 2026, la CISA a ajouté deux vulnérabilités à son catalogue Known Exploited Vulnerabilities, sur preuve d'exploitation active. La première, CVE-2026-12569 (CVSS 9.3), affecte PTC Windchill et FlexPLM — des logiciels de gestion du cycle de vie des produits (PLM) qui centralisent les données d'ingénierie, les plans de conception, les nomenclatures et les flux de fabrication. Le défaut, une validation d'entrée incorrecte exploitable par désérialisation de données non fiables, permet à un attaquant distant et non authentifié d'exécuter du code arbitraire via une simple requête. La seconde, CVE-2026-20230 (CVSS 8.6), est une falsification de requête côté serveur (SSRF) visant Cisco Unified Communications Manager. La CISA a fixé aux agences fédérales une échéance au 28 juin. C'est la première vulnérabilité d'un produit PTC jamais inscrite au KEV.
L'exploitation n'est pas théorique. L'éditeur, qui avait publié correctifs et indicateurs de compromission à compter du 17 juin, a confirmé le 25 juin une activité de menace accrue : des attaquants déposent des web shells JSP sur les instances vulnérables, sous un chemin et un motif de nom de fichier identifiables, pour obtenir un canal de commande persistant, exfiltrer des données et préparer des actions ultérieures. Le PLM est une cible de grande valeur : il concentre la propriété intellectuelle des fabricants, de l'automobile à l'aérospatiale en passant par la défense.
Là où la S25 montrait l'attaquant au périmètre du réseau, la semaine le montre au cœur du logiciel d'infrastructure que beaucoup traitent comme une simple tuyauterie interne : le PLM qui garde les secrets industriels, le serveur de communication unifiée qui orchestre la téléphonie. La leçon d'homologation est directe : un logiciel applicatif d'arrière-plan, exposé sur le réseau et chaîné à d'autres systèmes, mérite la même rigueur qu'un équipement de bord. Restreindre l'exposition du point d'accès, corriger sans délai et, en cas de compromission, présumer la persistance jusqu'à preuve du contraire.Le lot d'avis ICS des 23 et 25 juin a visé le cœur même du réseau électrique. L'avis ICSA-26-174-02 concerne les relais de protection Siemens SIPROTEC 5 : via le protocole d'ingénierie DIGSI 5, un utilisateur authentifié peut déposer des fichiers de configuration arbitraires (CVE-2025-40808), ce qui peut provoquer un déni de service permanent et, potentiellement, l'exécution de code. Ces relais sont les gardiens numériques des sous-stations : ils détectent les défauts et commandent les disjoncteurs en quelques millisecondes ; leur compromission peut se propager en coupures étendues. Siemens recommande la mise à niveau vers les versions 9.90 ou 10.00 selon les modèles, qui introduisent une liste d'autorisation restreignant les dépôts de fichiers.
L'avis ICSA-26-176-07 porte sur la plateforme de protection et de commande Schneider PowerLogic P7. Trois vulnérabilités : une injection de commandes système permettant l'exécution de commandes privilégiées (CVE-2026-9717), et deux défauts conduisant à un déni de service de l'interface opérateur et des fonctions de configuration (CVE-2026-9716, CVE-2026-9718). Le correctif, version V02.004.001, nécessite un redémarrage ; à défaut, restreindre l'accès aux points de service exposés, surveiller les requêtes anormales et appliquer le moindre privilège.
Le message d'ensemble est sobre : l'infrastructure électrique est devenue une infrastructure logicielle. La numérisation des sous-stations (protocoles d'ingénierie comme DIGSI 5, interfaces de configuration à distance) apporte de l'efficacité mais élargit la surface d'attaque. Or les cycles de mise à niveau des utilities sont longs, et l'écart entre la publication d'un avis et la remédiation peut s'étendre sur des années. La priorité reste : isoler les réseaux de contrôle derrière des pare-feu, proscrire toute exposition directe à Internet et restreindre l'accès aux interfaces d'ingénierie.Les deux premiers signaux touchent des actifs au cœur de la souveraineté économique et énergétique africaine. Les réseaux électriques du continent reposent sur les mêmes relais de protection et plateformes de commande importés que ceux visés cette semaine ; or la première ligne n'est pas l'interface utilisateur, mais le protocole d'ingénierie et le plan de configuration de ces équipements de sous-station. L'exploitation d'un PLM rappelle, en parallèle, que les données de conception et la propriété intellectuelle des industriels constituent une cible à part entière, dont la fuite peut être aussi coûteuse qu'une coupure.
La parade relève moins du budget que de la discipline. Pour le réseau électrique, isoler les réseaux de contrôle, proscrire l'exposition directe à Internet et restreindre les interfaces d'ingénierie sont des mesures d'architecture, pas d'investissement. Pour l'homologation des équipements importés, l'enjeu est d'élargir l'évaluation aux protocoles d'ingénierie et aux mécanismes de dépôt de fichiers et de configuration, et non aux seules caractéristiques radio et fonctionnelles. La souveraineté énergétique numérique commence par l'exigence de ces propriétés sur les équipements autorisés et déployés.
Signaux 03 → 04 — le composant partagé et la chaîne médicale
Le 23 juin, la CISA a republié un avis Siemens (ICSA-26-174-03) consacré aux produits intégrant OpenSSL et affectés par la vulnérabilité CVE-2025-15467. Ce défaut — un débordement de tampon sur la pile dans l'analyse des messages CMS chiffrés — peut provoquer un déni de service et, potentiellement, l'exécution de code à distance : lors du traitement de certains messages chiffrés, un vecteur d'initialisation surdimensionné est copié dans un tampon de taille fixe avant toute vérification. Siemens corrige ses gammes affectées — des automates et commutateurs aux services réseau — à mesure que les mises à jour sont disponibles.
L'intérêt du signal n'est pas la vulnérabilité elle-même, mais ce qu'elle révèle. Une faille dans une bibliothèque cryptographique omniprésente ne reste jamais cantonnée à un produit : elle se propage à tout l'écosystème qui l'intègre, souvent à l'insu de l'utilisateur final, et impose une vague de correctifs coordonnée à travers des dizaines de gammes. C'est la signature du risque de composant tiers. Sans inventaire des composants logiciels — sans nomenclature logicielle (SBOM) —, une organisation ne peut même pas répondre à la question élémentaire : suis-je concerné, et où ? Le composant partagé est aussi une exposition partagée ; la réponse passe par la traçabilité.Le lot médical du 25 juin a exposé la chaîne d'imagerie DICOM, standard d'échange des images médicales. L'avis ICSMA-26-176-02 vise le visualiseur OHIF : deux sources de données livrées dans la configuration par défaut récupèrent une URL fournie en paramètre sans validation, et un service d'authentification injecte automatiquement le jeton OIDC du clinicien dans la requête sortante, l'envoyant vers un serveur contrôlé par l'attaquant. Il s'agit d'une falsification de requête côté serveur (CWE-918) permettant le vol du jeton via un simple lien piégé. Le même lot signale, sur les bibliothèques pydicom et pynetdicom, un défaut permettant à un attaquant non authentifié d'écrire dans des chemins de fichiers arbitraires. Correctifs et configurations de durcissement disponibles.
Le secteur de la santé concentre des données parmi les plus sensibles et des dispositifs souvent anciens, peu segmentés et difficiles à interrompre. Un jeton clinicien dérobé, c'est un accès légitime usurpé ; une écriture de fichier arbitraire, c'est un point d'appui vers le reste du système d'imagerie. La leçon d'évaluation rejoint celle de la semaine : la sécurité d'un dispositif connecté ne se juge pas à sa seule fonction médicale, mais à la manière dont il gère l'authentification, les jetons et les entrées réseau — et à la configuration par défaut dans laquelle il est livré.Les signaux OpenSSL et DICOM mettent en lumière une dépendance structurante pour les marchés africains : l'écrasante majorité des composants logiciels et des dispositifs connectés déployés sont importés et reposent sur des briques tierces communes. Lorsqu'une bibliothèque comme OpenSSL est touchée, c'est tout un parc qui devient vulnérable d'un coup ; lorsqu'un visualiseur médical livre une configuration par défaut faible, c'est l'hôpital entier qui hérite du risque. La question n'est pas de produire localement chaque composant, mais de savoir lesquels sont déployés, et où.
L'outil clé est la nomenclature logicielle (SBOM), désormais exigée par les référentiels modernes. Pour un régulateur ou un opérateur africain, demander et conserver un inventaire des composants des équipements autorisés est une mesure peu coûteuse et à fort effet : elle transforme une vulnérabilité de composant en une liste d'actifs à corriger, plutôt qu'en une incertitude généralisée. Bâtir cette capacité de traçabilité, équipement par équipement, est un acte de souveraineté autant que de sécurité.
Boussoles réglementaires — la compétence des évaluateurs et les normes verticales du CRA
Après l'entrée en application du chapitre IV en juin et la mise en place de la plateforme de notification (couvertes en S24 et S25), l'ENISA a publié en juin 2026 un rapport détaillant les exigences de compétence technique des organismes d'évaluation de la conformité qui souhaitent devenir organismes notifiés au titre du CRA. Le document s'adresse aux autorités nationales, aux organismes d'accréditation et de certification, et vise à harmoniser les pratiques à mesure que les États membres désignent leurs organismes notifiés, en vue d'un nombre suffisant au 11 décembre 2026. Il distingue trois groupes de personnels dont la compétence doit être évaluée : les évaluateurs et équipes d'évaluation, le personnel préparant les évaluations, et le personnel chargé de revoir les rapports et de décider de la certification.
Le contenu est directement parlant pour quiconque construit une capacité d'évaluation. Le rapport insiste sur les compétences pratiques : essais, inspection, audit, conduite d'entretiens, rédaction de rapports et gestion de l'évaluation. Surtout, l'ENISA rappelle que la compétence ne se mesure pas aux seuls diplômes : compte tenu de la jeunesse de la profession, elle recommande des approches souples combinant formation initiale, expérience professionnelle, formation pratique et certifications personnelles, et reconnaît la diversité des parcours. Les organismes notifiés doivent en outre établir des processus de gestion et de maintien des compétences dans le temps.
Sur le versant de la normalisation, plusieurs projets de normes développés par l'ETSI, le CEN et le CENELEC, sur la base de la demande de la Commission (décision d'exécution C(2025)618), ont atteint le stade de projet mature. Ils couvrent des normes verticales propres à des catégories de produits : navigateurs, gestionnaires de mots de passe, antivirus, réseaux privés virtuels, systèmes de gestion de réseau, systèmes de gestion des informations et des événements de sécurité (SIEM) et gestionnaires d'amorçage. Une fois citées au Journal officiel de l'Union, ces normes offriront à leurs fabricants une présomption de conformité lors des évaluations CRA. La finalisation des premières normes harmonisées est attendue au troisième trimestre 2026.
La liste résonne avec l'actualité récente de la veille. Les systèmes de gestion de réseau renvoient aux services réseau industriels touchés cette semaine ; les SIEM, à la faille Splunk de la S25 ; les VPN, à la campagne FortiBleed. Les catégories que les attaquants visent sont précisément celles que la normalisation entoure d'exigences. Le même mouvement traverse la chaîne d'approvisionnement logicielle : le CRA tient les fabricants pour responsables sur l'ensemble de la chaîne de valeur et impose, à son annexe I, une nomenclature logicielle et un traitement organisé des vulnérabilités tout au long du cycle de vie.
La propagation d'OpenSSL observée cette semaine en est l'illustration concrète : ce que la norme exige en amont, le composant partagé l'impose en aval.Le rapport de l'ENISA sur la compétence des organismes notifiés touche au cœur de la question africaine : non pas seulement écrire des exigences, mais disposer d'évaluateurs capables de les appliquer. Le modèle européen relie une exigence à une capacité humaine, et c'est exactement le maillon que les laboratoires et autorités du continent ont à bâtir. La leçon prolonge celle des éditions précédentes : la grammaire technique existe, mais la compétence d'évaluation reste à construire et à entretenir.
Un point mérite d'être souligné pour les talents du continent. En rappelant que la compétence ne se réduit pas aux diplômes et qu'elle se construit par la combinaison de formation, d'expérience pratique et de certifications, l'ENISA valide une trajectoire accessible : celle de l'évaluateur formé sur le terrain, à la pratique de l'essai, de l'audit et de la rédaction de rapports. Pour les régulateurs africains, investir dans cette compétence d'évaluation, et la maintenir dans le temps, est un levier de souveraineté plus durable que l'achat d'outils. S'aligner sur la logique internationale, à son rythme et selon ses priorités, relève du choix souverain.
Plan d'action — immédiat, court terme & stratégique
Synthèse opérationnelle des mesures, hiérarchisées par priorité. Les échéances sont indicatives et doivent être ajustées selon l'exposition réelle et la criticité des actifs concernés.
PTC Windchill & FlexPLM — CVE-2026-12569 (KEV du 25 juin)
Appliquer les correctifs de l'avis éditeur sans délai, restreindre l'exposition réseau du point d'accès Windchill, rechercher les web shells JSP selon les indicateurs publiés et, en cas de compromission, présumer la persistance. Exploitation active confirmée, échéance fédérale au 28 juin.
Cisco Unified CM — CVE-2026-20230 (KEV du 25 juin)
Appliquer le correctif Cisco, restreindre l'accès aux interfaces exposées et surveiller les requêtes anormales. Aucune solution de contournement, exploitation active.
Réseau électrique — SIPROTEC 5 & PowerLogic P7
Inventorier les relais et plateformes de protection, appliquer les versions correctives (SIPROTEC 5 : 9.90 ou 10.00 selon modèle ; PowerLogic P7 : V02.004.001), isoler les réseaux de contrôle, proscrire l'exposition Internet et restreindre les interfaces d'ingénierie (DIGSI 5).
OpenSSL CVE-2025-15467 & imagerie DICOM
Recenser les produits intégrant OpenSSL et appliquer les mises à jour éditeurs ; pour l'imagerie médicale, mettre à jour OHIF, retirer les sources de données par défaut inutilisées et corriger pydicom / pynetdicom.
Nomenclature logicielle (SBOM) & composants tiers
Exiger et conserver un inventaire des composants des équipements autorisés et déployés, afin de transformer toute vulnérabilité de composant en une liste d'actifs à corriger plutôt qu'en incertitude.
Compétence d'évaluation (CRA, organismes notifiés)
Investir dans la compétence des évaluateurs (essais, audit, rédaction de rapports), reconnaître les parcours combinant expérience et certifications, et établir des processus de maintien des compétences dans le temps.
Priorisation par le risque (KEV / BOD 26-04)
Maintenir une priorisation fondée sur l'exploitation réelle, concentrer les moyens sur les actifs exposés dont la compromission donne un contrôle, et étendre l'évaluation des objets connectés aux protocoles d'ingénierie et aux configurations par défaut.
Sources publiques ouvertes — sélection vérifiée
Informations issues de sources publiques ouvertes, en privilégiant les sources primaires : avis et alertes de la CISA (ICS, KEV), avis éditeurs, bases de vulnérabilités, pages de mise en œuvre de l'ENISA et de la Commission européenne. Les sources spécialisées complètent l'analyse des impacts. Paraphrase systématique ; aucune reproduction de contenu tiers.
Exploitation active & catalogue KEV
- CISA — ajout de deux vulnérabilités au KEV du 25 juin 2026 (PTC Windchill & FlexPLM, Cisco Unified CM)
- PTC — avis de sécurité CS473270 (CVE-2026-12569, Windchill & FlexPLM)
- NVD — fiche CVE-2026-12569 (validation d'entrée incorrecte, désérialisation, CVSS 9.3)
- Cisco — avis cisco-sa-cucm-ssrf (CVE-2026-20230, Unified CM SSRF)
- CISA — directive opérationnelle contraignante BOD 26-04, priorisation par le risque
Réseau électrique & systèmes industriels (lot des 23-25 juin)
- CISA ICSA-26-174-02 — Siemens SIPROTEC 5 via DIGSI 5 (CVE-2025-40808)
- CISA ICSA-26-176-07 — Schneider PowerLogic P7 (CVE-2026-9716/9717/9718)
Composant tiers — OpenSSL
- CISA ICSA-26-174-03 — produits Siemens intégrant OpenSSL (CVE-2025-15467)
- NVD — fiche CVE-2025-15467 (débordement de tampon sur la pile, analyse CMS) · page des vulnérabilités OpenSSL
Imagerie médicale connectée (DICOM, lot du 25 juin)
- CISA ICSMA-26-176-02 — OHIF Viewers DICOM (CWE-918, SSRF)
- CISA — lot d'avis ICS du 25 juin (pydicom & pynetdicom, écriture de fichier arbitraire)
Réglementaire — CRA (organismes notifiés & normalisation)
- ENISA — rapport de compétence technique des organismes notifiés du CRA (juin 2026)
- Commission européenne — évaluation de la conformité et exigences de compétence
- Commission européenne — mise en œuvre du CRA (normalisation, décision C(2025)618, calendrier)
- Règlement (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex
Afrique
- Union africaine — Convention de Malabo (cybersécurité & protection des données)
- CEDEAO — travaux d'harmonisation de la protection des données et de la cybersécurité
Sources primaires surveillées : CISA ICS/KEV · NVD · ENISA · Commission européenne · éditeurs · Industrial Cyber · The Hacker News · Help Net Security · SecurityWeek.