For the past two years, headlines about edge-device hacking — firewalls, VPN gateways and remote-access controllers — have largely focused on China-linked groups and on vendors such as Ivanti, Fortinet and Palo Alto Networks. A joint study by Tenable and SentinelOne complicates that picture: edge infrastructure is now a shared hunting ground for five distinct attacker categories — China, Russia, North Korea, Iran and financially motivated cybercriminal groups.

The two US vendors reached that conclusion by cross-referencing two independently built datasets: Tenable’s exposure telemetry from thousands of customer environments and SentinelOne’s DFIR incident-response investigations. Their first finding is counterintuitive. At the CVE level, the overlap is small: out of 82 vulnerabilities identified across both datasets, only 17, or 21%, appear in both. In other words, the two companies were mostly not looking at the same flaws. But at the vendor level, the convergence is striking: 11 of the 14 vendors in Tenable’s corpus also appear in SentinelOne’s incident cases, a 79% overlap. Narrowed to edge and remote-access equipment, the overlap reaches 100%: all seven vendors independently identified by Tenable in that category — Fortinet, Citrix, Ivanti, Palo Alto Networks, Cisco, Juniper and VMware — also show up in SentinelOne’s incident files.

The implication is that different threat actors are finding their own paths into the same supplier ecosystems. If the overlap had been concentrated on the same CVEs, the defensive message would have been simpler: patch a handful of flaws and risk drops sharply. Instead, the data suggest that state-backed groups and cybercriminals are independently exploiting different weaknesses in the same products, so fixing one “vulnerability of the quarter” does not remove a vendor from the target list.

Across 93 documented exploitation cases covering roughly 40 identified groups, the study found 12 vulnerabilities with confirmed “multi-nexus” attribution at the highest methodological confidence: direct evidence showed that a state actor and a cybercriminal actor had independently exploited the same flaw in the same vendor’s product. Examples include a zero-day in SonicWall SMA1000 appliances, first used by an espionage group of unknown origin and later by the INC ransomware operators; a PAN-OS GlobalProtect flaw exploited by a China-linked actor and then by INC; and a Check Point Quantum vulnerability used separately by a Chinese group and by the Iranian Fox Kitten group. The remaining eight multi-nexus cases involved Fortinet, Citrix, Cisco and Ivanti products. For the authors, this means enterprise defenses built to withstand state actors do not automatically protect against financially motivated intruders, since both can enter through the same door.

On the exposure side, Tenable’s telemetry paints a more nuanced vendor ranking. Despite the heavy media attention around Fortinet vulnerabilities, Fortinet sits in the middle of the pack, with 24.9% of customer environments exposed to at least one actively exploited vulnerability — close to Check Point’s 18.6% and Ivanti’s 24.1%. F5 stands out for the highest exposure rate among statistically robust samples: 53.8% of 2,784 monitored environments using F5 products had at least one known, actively exploited vulnerability that remained unpatched. Citrix is notable less for exposure volume than for remediation lag: its median patching delay reaches 461 days, and 71% of affected environments still had an unpatched vulnerability one year after disclosure.

Fortinet is also the vendor targeted by the widest range of distinct actors: 29 groups across the five nexus categories studied, ahead of Citrix with 22 and Ivanti with 19. Ivanti, meanwhile, shows a near-automatic vulnerability cycle. On the EPMM line, a new actively exploited flaw appears on average every 8.5 months; for Connect Secure, the interval is 13 months. Tenable and SentinelOne argue that this makes another exploit practically inevitable and that customers should budget now for remediation capacity over the next year.

More broadly, the study finds that the most critical vulnerabilities are not patched faster than others — in fact, they are slower. Among 238 high-priority CVEs tracked by Tenable, the median remediation time is 146 days, versus 122 days for all other vulnerabilities, a statistically significant gap. The authors point to operational reasons: updating a firewall or VPN gateway can disrupt users, these devices require specific maintenance and validation steps, and they rarely benefit from the same security agents deployed on endpoints and servers.

SentinelOne’s incident-response cases show what compromise of an edge device enables in practice. In three separate FortiGate incidents, attackers reached the management plane and created unauthorized administrator accounts; in two of those cases, they also exported device configurations and extracted credentials that could be used to move deeper into the network. Another case involved an Ivanti Cloud Services appliance compromised in late 2024 by a China-linked actor that chained CVE-2024-8963 and CVE-2024-8190 before that combination had been publicly disclosed. After gaining access, the attacker collected SSH keys and other stored credentials. Because these appliances do not generate standard security telemetry, investigators had to reconstruct the intrusions from authentication logs and traces left in Active Directory — a gap that underscores the mismatch between the criticality of these systems and the visibility they provide.

Tenable and SentinelOne close with five recommendations: patch F5 and Citrix devices first, given their high exposure and long remediation delays; reduce attack surface by disabling unnecessary features; harden internal endpoints to limit lateral movement after perimeter compromise; prepare Ivanti Connect Secure and EPMM customers for another actively exploited vulnerability within the next 12 months; and set edge-device patching deadlines that are shorter than the company’s general standards. They also warn against relying on CVSS alone for prioritization, since actively exploited vulnerabilities can carry only moderate severity scores. Enterprises should combine severity, threat intelligence and asset context when deciding what to fix first.

Depuis deux ans, les gros titres consacrés au piratage des équipements de périphérie (pare-feux, passerelles VPN, contrôleurs d’accès distant ) ont surtout mis en avant les groupes liés à la Chine et leurs cibles de prédilection, Ivanti, Fortinet ou Palo Alto Networks.

Une étude conjointe de Tenable et SentinelOne vient nuancer ce récit.

Les deux éditeurs américains ont croisé deux bases de données constituées indépendamment. L’une est issue de la télémétrie d’exposition de Tenable sur des milliers d’environnements clients quand l’autre est tirée des enquêtes de réponse à incident (DFIR) menées par SentinelOne.

Leur conclusion souligne que loin d’être l’apanage d’un seul type d’attaquant, l’infrastructure edge est devenue un terrain de chasse commun à cinq catégories d’acteurs distinctes : la Chine, la Russie, la Corée du Nord, l’Iran et les groupes cybercriminels à motivation financière.

Une convergence à 79 % malgré des vulnérabilités différentes

Le point de départ de l’étude est contre-intuitif.

Au niveau des vulnérabilités et expositions communes (CVE), les deux jeux de données se recoupent très peu. Sur 82 CVE identifiées au total, seules 17, soit 21 %, apparaissent dans les deux corpus. Autrement dit, Tenable et SentinelOne ne regardaient, pour l’essentiel, pas les mêmes failles.

En revanche, au niveau des fournisseurs, la convergence est frappante.

Onze des quatorze éditeurs présents dans le corpus de Tenable se retrouvent également dans les dossiers d’intervention de SentinelOne, soit un taux de recoupement de 79 %.

Recentrée sur les seuls équipements edge et d’accès distant, cette convergence atteint 100 %. Les sept fournisseurs identifiés indépendamment par Tenable dans cette catégorie ( Fortinet, Citrix, Ivanti, Palo Alto Networks, Cisco, Juniper et VMware ) figurent tous dans les dossiers d’incidents traités par SentinelOne.

Pour les deux éditeurs, la portée de ce résultat dépasse le simple constat statistique.

Si les deux jeux de données avaient convergé sur les mêmes CVE précises, le message aurait été rassurant : corriger cette poignée de failles suffirait à limiter le risque.

Ce que montrent les chiffres est différent et plus difficile à traiter. Des acteurs étatiques et des groupes cybercriminels, agissant sans lien entre eux, trouvent chacun leur propre chemin d’accès chez les mêmes fournisseurs.

Corriger la CVE du trimestre ne retire pas un éditeur de la liste des cibles.

Douze failles exploitées à la fois par des Etats et des cybercriminels

L’étude a recensé 93 cas documentés d’exploitation de vulnérabilités par des acteurs de la menace, représentant une quarantaine de groupes identifiés.

Douze vulnérabilités y affichent une attribution dite « multi-nexus » confirmée avec le plus haut niveau de confiance méthodologique. Des preuves directes établissent qu’un acteur étatique et un acteur cybercriminel ont exploité, indépendamment l’un de l’autre, la même faille chez le même fournisseur.

Parmi les exemples cités figure une vulnérabilité zero-day des appliances SonicWall SMA1000. Elle a d’abord été exploitée par un groupe d’espionnage dont l’origine n’a pas pu être établie, avant d’être utilisée à son tour par les opérateurs du ransomware INC.

Le même scénario se retrouve avec une faille de PAN-OS GlobalProtect, le système de sécurité de Palo Alto Networks. Celle-ci a été exploitée par un acteur lié à la Chine, puis par les opérateurs du ransomware INC.

Autre exemple : une vulnérabilité de la plateforme Check Point Quantum a été exploitée séparément par un groupe chinois et par le groupe iranien Fox Kitten.

Au total, douze vulnérabilités présentent ce profil « multi-nexus ». Les huit autres concernent des produits de Fortinet, Citrix, Cisco et Ivanti.

Pour les auteurs de l’étude, cette convergence change la donne pour les entreprises. Une défense conçue pour contrer les groupes étatiques ne les protège pas nécessairement contre les cybercriminels : les uns comme les autres peuvent exploiter les mêmes vulnérabilités et franchir la même porte d’entrée.

F5, en tête de l’exposition ; Citrix, championne de la lenteur des correctifs

Sur le volet strictement technique, la télémétrie de Tenable, portant sur des milliers d’environnements clients, dresse un classement par fournisseur qui bouscule certaines idées reçues.

Malgré la forte exposition médiatique des vulnérabilités affectant ses équipements, Fortinet ne se classe qu’en milieu de tableau avec 24,9 % de ses environnements clients exposés à au moins une vulnérabilité activement exploitée. Un niveau proche de ceux de Check Point (18,6 %) et d’Ivanti (24,1 %).

Deux fournisseurs se distinguent nettement, mais pour des raisons opposées.

F5 affiche le taux d’exposition le plus élevé de l’étude parmi les échantillons statistiquement robustes : 53,8 % des 2 784 environnements clients surveillés utilisant des produits F5 présentaient au moins une vulnérabilité connue et activement exploitée, non corrigée.

Citrix, de son côté, ne domine pas en volume (28,8 % d’exposition) mais en durée. Le délai médian pour appliquer un correctif sur ses équipements atteint 461 jours, et 71 % des environnements concernés hébergent toujours une vulnérabilité non corrigée un an après sa divulgation.

Fortinet apparaît également comme le fournisseur ciblé par le plus grand nombre d’acteurs distincts : 29 groupes répartis dans les cinq catégories de nexus étudiées, contre 22 pour Citrix et 19 pour Ivanti.

Un cycle de failles quasi automatique chez Ivanti

L’étude souligne la récurrence des vulnérabilités activement exploitées dans les produits Ivanti. Sur la gamme EPMM, une nouvelle vulnérabilité de ce type est observée en moyenne tous les 8,5 mois, contre 13 mois pour la gamme Connect Secure.

Pour Tenable et SentinelOne, ce rythme rend la prochaine faille pratiquement inévitable et devrait inciter les entreprises utilisant ces produits à budgéter, dès aujourd’hui, la capacité de correction nécessaire pour l’année à venir.

Plus largement, l’étude constate que les vulnérabilités jugées les plus prioritaires ne sont pas corrigées plus vite que les autres, au contraire.

Sur une liste de 238 CVE hautement prioritaires suivies par Tenable, le délai médian de remédiation atteint 146 jours contre 122 jours pour l’ensemble des autres vulnérabilités.  Un écart que les auteurs qualifient de statistiquement significatif.

Les auteurs avancent plusieurs explications d’ordre opérationnel. La mise à jour d’un pare-feu ou d’une passerelle VPN peut entraîner une interruption de service pour les utilisateurs qui en dépendent. Ces équipements nécessitent également des opérations de maintenance et de validation spécifiques tandis qu’ils disposent rarement des mêmes agents de sécurité que les postes de travail et les serveurs.

Vol d’identifiants et mouvements latéraux : ce que montrent les enquêtes de terrain

Le volet SentinelOne de l’étude, tiré de missions réelles de réponse à incident, illustre concrètement ce que permet la compromission d’un équipement edge.

Lors de trois interventions distinctes impliquant des appliances FortiGate, des attaquants ont atteint le plan de gestion des équipements et créé des comptes administrateurs non autorisés. Dans deux de ces incidents, ils ont également exporté les configurations des appareils et extrait des identifiants qui pouvaient être utilisés pour progresser dans le réseau.

Un autre incident concerne une appliance Ivanti Cloud Services compromise fin 2024 par un acteur lié à la Chine. Celui-ci avait exploité deux vulnérabilités ( CVE-2024-8963 et CVE-2024-8190) en les chaînant avant la première divulgation publique de cette combinaison. Après avoir obtenu l’accès à l’équipement, l’attaquant a collecté des clés SSH et d’autres identifiants qui y étaient stockés.

Ces appliances ne produisant pas de télémétrie de sécurité classique, les enquêteurs ont dû reconstituer les intrusions à partir des journaux d’authentification et des traces laissées dans l’annuaire Active Directory — une difficulté qui, selon les auteurs, illustre le décalage entre la criticité de ces équipements et les moyens de détection dont ils disposent réellement.

Les recommandations des deux éditeurs

Tenable et SentinelOne formulent cinq recommandations pour les entreprises.

En priorité, corriger sans délai les équipements F5 et Citrix qui cumulent des niveaux d’exposition élevés et des délais de remédiation parmi les plus longs constatés.

Ensuite, réduire la surface d’attaque de ces appliances en désactivant les fonctions qui ne sont pas indispensables. Les deux éditeurs recommandent également de renforcer la protection des postes internes afin de limiter les mouvements latéraux d’un attaquant qui serait parvenu à compromettre le périmètre.

Les deux éditeurs recommandent également aux entreprises utilisant Ivanti Connect Secure ou EPMM de se préparer à une nouvelle vulnérabilité activement exploitée dans ces gammes au cours des douze prochains mois. Ils préconisent aussi de définir des délais de correction spécifiques aux équipements edge, plus courts que les standards généraux de l’entreprise.

Enfin, Tenable et SentinelOne recommandent de ne pas fonder la priorisation des correctifs sur le seul score CVSS. Une vulnérabilité présentant des signes d’exploitation active peut en effet avoir un score de sévérité modéré. Les entreprises doivent donc croiser plusieurs indicateurs, notamment la sévérité, les informations sur les menaces et le contexte des actifs concernés.

The post Etats et cybercriminels piratent les mêmes VPN et pare-feux appeared first on Silicon.fr.