Alerte pour les systèmes SCADA : une vulnérabilité dans Schneider Electric IGSS permet l'exécution de code via des fichiers CGF

Le 30 juillet 2026, la CISA a publié l'avis ICSA-26-211-04 signalant une vulnérabilité de haute gravité dans le module IGSS Definition (Def.exe) du système SCADA IGSS de Schneider Electric. Référencée sous le code CVE-2026-12927, cette faille est une écriture hors limites (CWE-787) avec un score CVSS 3.1 de 7.8. Son exploitation nécessite qu'un utilisateur importe un fichier CGF spécialement conçu. L'impact potentiel va de l'exécution de code arbitraire à la perte de contrôle du processus industriel surveillé.

Un vecteur local nécessitant une interaction mais offrant un contrôle total

L'attaque présente un profil technique qui mérite attention : le vecteur est local (AV:L), la complexité est faible (AC:L) et aucun privilège système n'est requis (PR:N). Cependant, tout repose sur une interaction humaine indispensable (UI:R) : la victime doit charger dans l'application un fichier portant l'extension CGF contenant la charge malveillante. Si cette condition est remplie, l'attaquant peut déclencher l'écriture hors limites et obtenir une compromission totale de la confidentialité, de l'intégrité et de la disponibilité (C:H/I:H/A:H). En résumé, un double-clic sur le mauvais fichier suffit.

Conséquences de la compromission du module Def.exe

Une fois la vulnérabilité déclenchée, l'attaquant exécute du code avec les privilèges de l'application IGSS Definition. Cette exécution peut être étendue au système d'exploitation sous-jacent via des techniques courantes d'élévation de privilèges, rendant possible le vol ou la corruption de données de processus, la modification non autorisée de la logique de contrôle et l'interruption des flux de production supervisés par la plateforme SCADA. Dans les environnements où IGSS pilote des infrastructures critiques – distribution d'eau, installations énergétiques ou lignes de production – la perte de contrôle peut se traduire par des dommages physiques et des arrêts opérationnels.

Versions concernées et correctif

Les produits concernés sont les versions d'IGSS Definition jusqu'à la 18.0.0.26124 incluse, ainsi que la release 18.0.0.26125. Schneider Electric a déjà publié un correctif (statut « corrigé »), disponible sur le portail de support officiel : https://www.se.com/ww/en/work/support/cybersecurity/overview.jsp. Tous les administrateurs système gérant des installations IGSS doivent vérifier leur version et appliquer la mise à jour sans délai.

Mesures d'atténuation immédiates et stratégies de défense pour l'OT

Ceux qui ne peuvent pas installer immédiatement le correctif peuvent réduire le risque en adoptant certaines contre-mesures. La première, et la plus efficace, consiste à n'importer des fichiers CGF qu'à partir de sources fiables, en vérifiant l'intégrité du contenu avant utilisation. Il convient également de renforcer les bonnes pratiques pour les environnements OT : isolation du réseau SCADA au moyen de pare-feu et de DMZ, accès distants protégés par VPN, assainissement des supports amovibles, désactivation du mode « Program » sur les automates et contrôle physique des accès aux postes de travail IGSS. Enfin, la surveillance proactive des journaux des machines sur lesquelles Def.exe s'exécute peut détecter des tentatives d'exploitation en cours, permettant une intervention avant que les dégâts ne se consolident.

Origine du signalement et références officielles

La vulnérabilité a été signalée à la CISA par Schneider Electric elle-même et par le chercheur indépendant Michael Heinzl. L'avis complet est consultable dans le dépôt CSAF de la CISA (fichier csaf_files/OT/white/2026/icsa-26-211-04.json) et fait référence à l'identifiant CVE-2026-12927.