Mis à jour le vendredi 13 novembre 2026
Réponse courte : pour sécuriser l’accès à distance d’une PME, il faut un VPN à jour, protégé par une double authentification, réservé aux seules personnes et ressources qui en ont besoin, et surveillé. Le point le plus négligé reste la mise à jour de l’équipement VPN lui-même : les failles des passerelles VPN sont parmi les plus exploitées par les groupes de rançongiciel en 2026.
Points clés :
- Le VPN doit être la seule porte d’entrée : aucun bureau à distance (RDP) ni interface d’administration exposé directement sur Internet.
- La double authentification (MFA) sur le VPN est recommandée par Cybermalveillance.gouv.fr pour bloquer l’usurpation de mots de passe.
- Une faille VPN critique doit être corrigée en jours, pas en semaines : la CISA a imposé 3 jours à ses agences pour les failles SonicWall SMA1000 de juillet 2026.
- Corriger ne suffit pas toujours : après une faille exploitée, il faut aussi changer les mots de passe et réinitialiser les jetons MFA.
- Les connexions distantes doivent être journalisées et surveillées (horaires inhabituels, volumes de téléchargement anormaux).
Sécuriser l’accès à distance d’une PME est devenu une question de survie : le télétravail, les commerciaux en déplacement et les prestataires qui se connectent au réseau multiplient les portes d’entrée. Cet article explique comment sécuriser un VPN d’entreprise, quelles erreurs éviter, et comment organiser la maintenance de cet équipement critique.
Pourquoi l’accès à distance est-il la première cible des pirates ?
Parce que la passerelle d’accès à distance est exposée en permanence sur Internet et donne, une fois franchie, un accès direct au réseau interne de l’entreprise.
Un VPN (réseau privé virtuel) est un tunnel chiffré qui relie un poste distant au réseau de l’entreprise. Il est indispensable, mais il concentre aussi le risque : si l’équipement qui le fournit présente une faille, l’attaquant n’a même pas besoin d’un mot de passe.
Les exemples récents ne manquent pas. En juillet 2026, deux failles des appliances SonicWall SMA1000 (CVE-2026-15409 et CVE-2026-15410) ont été exploitées avant même leur publication, selon la société Volexity. En août 2026, la CISA a confirmé leur utilisation par des groupes de rançongiciel. En septembre 2026, une faille de contournement d’authentification de Citrix NetScaler (CVE-2026-19490, score CVSS 9,3) a rejoint à son tour le catalogue des failles activement exploitées.
Une CVE (Common Vulnerabilities and Exposures) est l’identifiant public unique d’une faille. Le score CVSS mesure sa gravité de 0 à 10. Le catalogue KEV (Known Exploited Vulnerabilities) de la CISA, l’agence américaine de cybersécurité, recense les failles dont l’exploitation réelle est prouvée.
Ce que montre le cas SonicWall SMA1000
| Élément | Détail |
|---|---|
| Failles | CVE-2026-15409 (SSRF, CVSS 10,0, sans identifiants) et CVE-2026-15410 (injection de code, CVSS 7,2) |
| Produits touchés | SMA 6210, SMA 7210, SMA 8200v en versions 12.4.3 et 12.5.0 |
| Versions corrigées | 12.4.3-03453 et ultérieures, 12.5.0-02835 et ultérieures |
| Exploitation | Dès le 22 juin 2026, avant divulgation ; puis par un affilié du rançongiciel INC |
| Catalogue KEV | Ajout le 14 juillet 2026, délai fédéral au 17 juillet 2026 |
| Contournement | Aucun : seule la mise à jour protège |
Leçon pour une PME : trois jours séparaient l’ajout au catalogue de la date limite imposée aux agences fédérales américaines. C’est l’ordre de grandeur à viser pour tout équipement exposé sur Internet. Nous avions déjà détaillé un cas similaire dans notre article sur les failles Ivanti Connect Secure et leur impact sur les PME.
Quelles sont les règles de base pour sécuriser un VPN d’entreprise ?
Les règles de base sont simples : un seul point d’entrée chiffré, une double authentification, des accès limités au strict nécessaire et des mises à jour appliquées sans délai.
La fiche « Sécurisation du télétravail » publiée par Cybermalveillance.gouv.fr, en partenariat avec l’ANSSI (Agence nationale de la sécurité des systèmes d’information), formule dix recommandations. Quatre concernent directement l’accès distant.
Maîtriser les accès extérieurs
Il faut limiter les accès distants, comme le bureau à distance (RDP), aux seules personnes et services qui en ont besoin, avec un filtrage strict par le pare-feu. Les accès de télémaintenance des prestataires méritent une attention particulière, car ils sont souvent oubliés.
Faire du VPN la norme
La fiche recommande de généraliser le VPN pour se connecter à l’infrastructure, afin de chiffrer les échanges et de n’autoriser que des équipements authentifiés. Concrètement, aucun service interne ne doit être joignable directement depuis Internet.
Ajouter une double authentification
La double authentification (MFA) demande, en plus du mot de passe, une preuve supplémentaire : code sur une application, notification ou clé physique. Cybermalveillance.gouv.fr recommande de la privilégier sur les connexions VPN. Notre guide sur la double authentification Microsoft 365 en PME détaille les méthodes les plus solides.
Cloisonner le réseau
Les systèmes qui n’ont pas besoin d’être accessibles à distance, comme les sauvegardes et l’administration informatique, doivent être isolés dans des segments séparés. Un utilisateur VPN compromis ne doit pas pouvoir atteindre le serveur de sauvegarde.
Comment sécuriser l’accès à distance de sa PME, étape par étape ?
La méthode consiste à inventorier les accès existants, mettre à jour la passerelle, imposer la MFA, réduire les droits, puis surveiller les connexions.
- Inventorier tous les accès distants : VPN, bureau à distance, logiciels de prise en main (type TeamViewer ou AnyDesk), accès des prestataires, interfaces d’administration du pare-feu et du NAS.
- Fermer tout ce qui est exposé sans VPN : RDP, interfaces web d’administration, partages de fichiers. Vérifier les règles de redirection de ports de la box ou du pare-feu.
- Mettre à jour la passerelle VPN : relever la version du firmware, la comparer au dernier bulletin de l’éditeur et appliquer le correctif. S’abonner aux alertes de l’éditeur et du CERT-FR.
- Activer la double authentification pour tous les comptes VPN, sans exception pour la direction ni pour les prestataires.
- Appliquer le moindre privilège : chaque utilisateur n’accède qu’aux serveurs et dossiers dont il a besoin. Désactiver immédiatement les comptes des salariés partis.
- Journaliser et surveiller : conserver les journaux de connexion, alerter sur les connexions la nuit, depuis l’étranger ou avec des volumes de téléchargement anormaux.
- Tester régulièrement : vérifier chaque trimestre depuis l’extérieur qu’aucun service non prévu n’est exposé, et faire un audit annuel.
Pour un regard extérieur sur votre exposition, un audit de cybersécurité PME permet de recenser en une journée les portes ouvertes oubliées.
Faut-il encore utiliser le bureau à distance (RDP) en PME ?
Oui, mais uniquement à travers le VPN : un bureau à distance Windows exposé directement sur Internet est une invitation aux attaques par force brute et aux rançongiciels.
Le protocole RDP permet de prendre le contrôle d’un poste ou d’un serveur Windows à distance. Exposé sans protection, il est scanné en permanence par des robots qui testent des millions de combinaisons de mots de passe. Cybermalveillance.gouv.fr cite explicitement le RDP parmi les accès à restreindre par pare-feu.
Les logiciels de prise en main à distance posent un problème proche. Installés « pour dépanner » puis oubliés, ils restent actifs avec des mots de passe faibles. Il faut les recenser, supprimer ceux qui ne servent plus et protéger les autres par MFA.
| Mode d’accès | Niveau de risque | Recommandation |
|---|---|---|
| RDP exposé directement sur Internet | Très élevé | À fermer immédiatement |
| Logiciel de prise en main sans MFA | Élevé | Activer la MFA ou désinstaller |
| VPN avec mot de passe seul | Élevé | Ajouter la double authentification |
| VPN à jour avec MFA | Maîtrisé | Maintenir et surveiller |
| VPN à jour, MFA et accès cloisonnés | Faible | Cible à atteindre |
À quelle vitesse faut-il corriger une faille VPN ?
Une faille critique sur un équipement VPN exposé doit être corrigée dans les 72 heures, et immédiatement si elle figure au catalogue KEV de la CISA.
Le patch management, ou gestion des correctifs, est le processus qui consiste à repérer, tester et déployer les mises à jour de sécurité. Pour une passerelle VPN, il n’est pas possible d’attendre le cycle mensuel des postes de travail. Cybermalveillance.gouv.fr rappelle que les attaquants exploitent les failles rapidement après leur publication, et que les correctifs concernent aussi les équipements réseau et de sécurité.
Le cas Citrix NetScaler l’illustre : selon Hexnode, des requêtes d’exploitation de CVE-2026-19490 ont été détectées le 3 septembre 2026. La CISA l’a ajoutée au catalogue KEV le 9 septembre, avec une échéance fédérale au 12 septembre. Une PME qui met à jour ses équipements réseau une fois par trimestre laisse donc une fenêtre de plusieurs semaines aux attaquants.
Notre article sur les failles SonicWall GMS et la fin de vie des équipements rappelle un autre piège : un boîtier qui ne reçoit plus de correctifs doit être remplacé, pas conservé.
Pour organiser ce suivi sans y passer vos soirées, la gestion des correctifs peut être confiée à un prestataire qui surveille les bulletins et applique les mises à jour urgentes.
Que faire si la passerelle VPN a été compromise ?
Il faut isoler l’équipement, appliquer le correctif, puis considérer tous les identifiants passés par la passerelle comme compromis et les renouveler.
Corriger une faille ne supprime pas une intrusion déjà réalisée. Pour les SMA1000 compromis, SonicWall recommande de réinstaller les appliances physiques ou de redéployer les machines virtuelles, de changer tous les mots de passe utilisateurs et administrateurs, et de réinitialiser les jetons TOTP de double authentification. Hexnode rappelle la même logique pour NetScaler : renouveler les identifiants et secrets de session qui ont transité par la passerelle.
Il faut aussi conserver les journaux avant toute réinstallation, car ils permettront de savoir ce que l’attaquant a fait. En cas de doute, faites appel à une équipe de réponse à incident cyber et consultez notre guide rançongiciel en PME : que faire. Si des données personnelles ont pu être consultées, une notification à la CNIL peut être obligatoire sous 72 heures.
Combien coûte la sécurisation de l’accès à distance d’une PME ?
L’essentiel ne coûte presque rien en licences : la MFA et les mises à jour sont souvent incluses, et le vrai coût est le temps de suivi.
La plupart des pare-feu et passerelles VPN du marché intègrent la double authentification. Les applications d’authentification sont gratuites. Le correctif lui-même est fourni par l’éditeur tant que l’équipement est sous support. Ce qui manque le plus souvent dans une PME, c’est une personne qui surveille les alertes et intervient le jour même.
C’est précisément l’objet de l’infogérance PME et TPE : la supervision des équipements, l’application des correctifs urgents et la gestion des comptes sont assurées par un prestataire. Chez SOSPC82, les formules d’infogérance vont de 19,99 € HT (Essentiel) à 79,99 € HT (Premium) par poste et par mois. Les comptes Microsoft 365 utilisés à distance peuvent aussi être sécurisés via notre service Microsoft 365 et Google Workspace.
Erreurs à éviter
- Laisser un bureau à distance ou une interface d’administration ouverts « temporairement » sur Internet.
- Exempter la direction ou les prestataires de la double authentification.
- Attendre la maintenance trimestrielle pour corriger une faille VPN classée critique.
- Se contenter de mettre à jour après une exploitation, sans changer les mots de passe ni les jetons MFA.
- Garder un boîtier VPN en fin de vie qui ne reçoit plus de correctifs.
L’avis de l’expert
Dans les grands comptes où j’ai piloté le patch management, les équipements exposés sur Internet avaient leur propre circuit : pas de file d’attente, pas de comité mensuel. Une alerte critique sur un VPN déclenchait une analyse dans l’heure et un correctif sous 72 heures. Les PME peuvent appliquer exactement la même discipline, à leur échelle.
Ma méthode tient en une fiche : la liste des équipements exposés (VPN, pare-feu, NAS, messagerie), leur version, leur date de fin de support et l’adresse des bulletins de l’éditeur. Je l’appelle la « liste des portes ». Chaque lundi, cinq minutes suffisent pour la comparer au catalogue KEV de la CISA et aux alertes du CERT-FR. Dans la plupart des PME que j’accompagne, cette seule fiche révèle au moins un accès oublié.
Et pour les PME du 92 ?
SOSPC82, basé à La Garenne-Colombes, accompagne les TPE et PME des Hauts-de-Seine pour sécuriser leurs accès distants : Nanterre, Courbevoie, Colombes, Puteaux, Rueil-Malmaison, Bois-Colombes, Asnières-sur-Seine, Suresnes ou Levallois-Perret. Nous auditons les accès existants, mettons à jour les passerelles VPN, activons la double authentification et surveillons les connexions.
En cas de faille critique ou de suspicion d’intrusion, nous intervenons sur place 24 h/24 et 7 j/7 dans le 92, et à distance partout en France. Consultez nos zones d’intervention.
Questions fréquentes
Un VPN suffit-il à sécuriser le télétravail ?
Non. Le VPN chiffre la connexion, mais il doit être à jour, protégé par une double authentification et limité aux ressources nécessaires. Les postes des télétravailleurs doivent aussi être mis à jour et protégés.
Quel est le risque d’un VPN non mis à jour ?
Une faille sur la passerelle peut permettre à un attaquant d’entrer sans mot de passe. En 2026, des failles SonicWall et Citrix ont été exploitées par des groupes de rançongiciel pour pénétrer des réseaux d’entreprise.
Faut-il activer la double authentification sur le VPN ?
Oui. Cybermalveillance.gouv.fr recommande de la privilégier sur les connexions VPN. Elle bloque l’essentiel des connexions réalisées avec des mots de passe volés.
Comment savoir si mon VPN est concerné par une faille ?
Relevez le modèle et la version de votre équipement, puis comparez-les aux bulletins de l’éditeur et aux alertes du CERT-FR. Si la CVE figure au catalogue KEV de la CISA, la correction est urgente.
Est-il dangereux d’ouvrir le bureau à distance sur Internet ?
Oui. Un RDP exposé est attaqué en permanence par des robots qui testent des mots de passe. Il doit être accessible uniquement à travers le VPN.
Que faire après une faille VPN exploitée ?
Appliquez le correctif, conservez les journaux, puis changez tous les mots de passe et réinitialisez les jetons de double authentification. Faites analyser le réseau pour vérifier qu’aucun attaquant n’y est resté.
En résumé
- Le VPN doit être l’unique porte d’entrée, protégé par une double authentification et des accès limités.
- Les failles de passerelles VPN sont exploitées en quelques jours : visez un correctif sous 72 heures.
- Après une compromission, corriger ne suffit pas : renouvelez tous les identifiants.
Vous voulez savoir si vos accès distants sont exposés ? Découvrez notre patch management PME ou appelez le 07 69 36 92 60 : devis gratuit sous 24 h.
K.A, fondateur SOSPC82
Sources :
- Sécurisation du télétravail : adopter les bonnes pratiques, Cybermalveillance.gouv.fr avec l’ANSSI, version 2.0
- CISA: SonicWall SMA1000 flaws now exploited by ransomware gangs, BleepingComputer, 10 août 2026
- CISA Warns of SonicWall SMA1000 Vulnerabilities Exploited in Attacks to Deploy Ransomware, Cyber Security News, 11 août 2026
- CVE-2026-19490: Citrix NetScaler Flaw Joins CISA KEV List, Hexnode Threat Watch, 14 septembre 2026
- Known Exploited Vulnerabilities Catalog, CISA