Une faille critique de mySCADA myPRO Manager expose des fonctions privilégiées sans authentification

CISA a révélé deux vulnérabilités d’authentification et d’autorisation dans myPRO Manager de mySCADA Technologies, dont une faille critique qui expose des fonctions de gestion privilégiées aux attaquants présents sur le réseau.

Les vulnérabilités affectent les versions 2.1 et antérieures de mySCADA myPRO Manager. Le produit est déployé dans le monde entier dans les secteurs de la fabrication critique, de l’énergie, de l’alimentation et de l’agriculture, des systèmes de transport, ainsi que de l’eau et du traitement des eaux usées.

CISA a publié l’alerte ICSA-26-258-03 le 15 septembre 2026. Shirshak Secnora OÜ a signalé les deux problèmes à l’agence.

Aucune version corrigée ni aucun correctif fourni par l’éditeur n’ont été identifiés. Pour réduire leur exposition, les opérateurs doivent actuellement s’appuyer sur des restrictions réseau, la segmentation et la surveillance.

Une faille de l’API de commande donne aux attaquants un accès privilégié

La vulnérabilité la plus grave, CVE-2026-73807, est une faiblesse liée à l’absence de contrôle d’autorisation dans l’API de commande de myPRO Manager.

Un attaquant capable d’envoyer des requêtes réseau à l’API concernée n’a pas besoin de s’authentifier avant d’invoquer des fonctionnalités privilégiées. L’exploitation ne nécessite aucune interaction de l’utilisateur et est considérée comme peu complexe.

La faille affiche un score CVSS v3.1 de 9,8 et le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Son score CVSS v4.0 est de 9,3 :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CISA classe cette vulnérabilité dans la catégorie CWE-862, ou Missing Authorization. Le problème ne tient pas au fait qu’un attaquant pourrait contourner un mécanisme de connexion particulier. L’API de commande n’applique pas le contrôle d’autorisation requis avant l’exécution d’opérations sensibles.

Les impacts évalués sur la confidentialité, l’intégrité et la disponibilité sont tous élevés. Selon la manière dont une organisation a déployé myPRO Manager, un accès non autorisé pourrait exposer des données de gestion, permettre de modifier des configurations opérationnelles ou système, et interrompre des services.

Cette combinaison est particulièrement grave dans les environnements industriels. Une interface de gestion peut superviser plusieurs appareils ou processus ; sa compromission peut donc avoir des conséquences qui dépassent le serveur qui l’héberge. Les commandes précises exposées par l’exploitation et l’étendue du contrôle en aval n’ont pas été communiquées.

La passerelle de notification permet d’envoyer des SMS arbitraires

Le second problème, CVE-2026-82567, affecte la passerelle de notification utilisée avec un modem GSM connecté.

La passerelle fournit un point de terminaison HTTP qui accepte un numéro de téléphone destinataire et le contenu d’un message. Elle n’exige pas que le demandeur s’authentifie avant de transmettre ces informations au modem pour l’envoi.

Un attaquant disposant de la position réseau nécessaire pourrait donc envoyer des SMS arbitraires à l’aide du modem connecté de l’organisation. Contrairement à CVE-2026-73807, le score publié décrit cette attaque comme provenant d’un réseau adjacent, et non comme une attaque accessible depuis n’importe quel réseau.

CVE-2026-82567 affiche un score CVSS v3.1 de 6,3 :

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Son score CVSS v4.0 est de 5,3 :

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

La faiblesse est classée CWE-306, Missing Authentication for Critical Function. Aucun privilège ni aucune interaction de l’utilisateur ne sont nécessaires dès lors que l’attaquant peut atteindre la passerelle.

Les effets immédiats peuvent inclure des frais de télécommunication, des communications non autorisées, ainsi que l’épuisement ou le détournement des ressources de notification. Le point de terminaison pourrait également servir à envoyer des messages trompeurs depuis un numéro de téléphone que les employés identifient comme appartenant à un système opérationnel de confiance.

Cela crée un problème opérationnel distinct. Même si la faille SMS ne permet pas de prendre le contrôle administratif de myPRO Manager, des alertes frauduleuses pourraient désorienter le personnel ou perturber les flux de travail qui dépendent des SMS pour la notification des incidents.

Les déploiements industriels mondiaux présentent différents chemins d’exposition

Les deux vulnérabilités affectent les versions 2.1 et antérieures de myPRO Manager, mais elles ne doivent pas être considérées comme présentant les mêmes risques réseau.

CVE-2026-73807 est exploitable à distance via le réseau lorsque l’attaquant peut atteindre l’API de commande. Sa gravité critique s’explique par l’absence d’authentification, la faible complexité de l’attaque et l’impact potentiellement étendu sur le système affecté.

Selon ses vecteurs CVSS, CVE-2026-82567 nécessite un accès depuis un réseau adjacent. Cela limite le chemin d’attaque attendu, mais ne rend pas le problème inoffensif. Un attaquant qui compromettrait un autre hôte du segment concerné pourrait être en mesure d’atteindre le point de terminaison SMS depuis l’intérieur de l’environnement.

L’architecture réseau déterminera donc le niveau d’exposition concret. Une interface de gestion accessible depuis Internet présente un risque très différent de celui d’une interface limitée à un segment de contrôle dédié et à un petit nombre d’hôtes d’administration.

L’éditeur concerné, mySCADA Technologies, a son siège en Tchéquie. Le nombre exact de déploiements et l’identité des clients concernés n’ont pas été communiqués.

Aucun correctif ni aucune version corrigée n’ont été annoncés

Les informations de remédiation disponibles n’identifient aucune version corrigée de myPRO Manager. Les organisations qui utilisent la version 2.1 ou une version antérieure ne doivent pas supposer qu’une mise à jour est disponible, sauf si mySCADA Technologies fournit des recommandations distinctes.

Tant qu’un correctif n’aura pas été confirmé, les opérateurs doivent recenser chaque instance concernée et documenter les systèmes capables de communiquer avec son API de commande et sa passerelle de notification. Tout accès depuis Internet doit être supprimé.

Les règles de pare-feu et les listes d’autorisation réseau doivent limiter les deux interfaces au nombre minimal d’hôtes de confiance. Les réseaux des systèmes de contrôle doivent également rester séparés des environnements bureautiques afin de limiter les chemins qu’un attaquant pourrait emprunter après avoir compromis un terminal d’entreprise.

L’administration à distance doit passer par un mécanisme d’accès contrôlé, tel qu’un VPN maintenu à jour. Un VPN ne corrige aucune des deux vulnérabilités ; il réduit uniquement le nombre de personnes pouvant atteindre le service vulnérable. L’infrastructure VPN et les appareils qui s’y connectent doivent eux-mêmes être configurés de manière sécurisée et mis à jour.

Avant leur déploiement, les opérateurs doivent évaluer l’impact opérationnel de toute modification du pare-feu ou de la segmentation. Dans un environnement industriel, bloquer brutalement des communications peut interrompre des fonctions légitimes de gestion, de télémétrie ou de notification.

Lorsque la fonctionnalité GSM est inutile, les organisations devraient envisager d’empêcher l’accès réseau à sa passerelle ou de déconnecter le modem, sous réserve de l’accord des équipes opérationnelles. Si les notifications SMS restent nécessaires, seuls les hôtes applicatifs désignés devraient pouvoir soumettre des requêtes.

Les équipes de défense doivent examiner l’activité de l’API et du modem

CISA a indiqué n’avoir reçu aucun signalement d’exploitation publique connue visant spécifiquement l’une ou l’autre de ces vulnérabilités au moment de la publication de l’alerte. Aucun indicateur de compromission propre à ces vulnérabilités n’a été publié.

Aucune entrée correspondante à ces CVE ne figure non plus dans le catalogue CISA Known Exploited Vulnerabilities, et aucun délai fédéral de remédiation ne leur est associé. L’absence d’exploitation signalée ne permet pas d’établir que les systèmes exposés n’ont pas fait l’objet de sondes ou d’abus.

Les équipes de défense peuvent examiner les journaux web, de reverse proxy, de pare-feu et d’application afin de détecter tout accès inattendu aux fonctions de gestion de myPRO Manager. Les requêtes provenant de systèmes autres que ceux approuvés pour l’administration méritent une attention particulière, surtout si elles coïncident avec des modifications de configuration ou une interruption de service.

Pour CVE-2026-82567, les opérateurs doivent comparer l’activité de la passerelle avec les enregistrements du modem GSM, les journaux de distribution des SMS et la facturation des télécommunications. Des messages envoyés à des numéros inconnus, des volumes inhabituels d’envois ou des contenus qui ne correspondent pas aux modèles d’alerte établis peuvent révéler un usage abusif.

Les organisations qui détectent une activité suspecte doivent suivre leurs procédures de réponse aux incidents industriels, conserver les éléments pertinents provenant du réseau et des applications, puis signaler leurs conclusions à CISA. Tant qu’un correctif de l’éditeur n’est pas disponible, le contrôle strict de l’accessibilité demeure la principale mesure de défense.