Une faille de protection des identifiants de Schneider Electric SCADAPack expose les données d’authentification des RTU

Schneider Electric a divulgué une vulnérabilité de protection des identifiants touchant plusieurs familles d’unités terminales distantes SCADAPack utilisées dans les secteurs de l’énergie et de la production industrielle critique à travers le monde.

Répertoriée sous le numéro CVE-2026-81861, la faille concerne la fonction héritée Secure Lock. Des informations d’authentification pourraient être exposées, permettant potentiellement à un tiers non autorisé d’accéder aux fonctionnalités ou à la configuration d’une RTU.

Schneider Electric a publié son premier avis de sécurité le 8 septembre 2026. La CISA a republié cette information le 15 septembre 2026, en attribuant le signalement au chercheur en sécurité Abhinav Agarwal.

La vulnérabilité obtient un score de base CVSS v3.1 de 6,5, ce qui la classe parmi les failles de gravité moyenne. Aucune exploitation active n’a été signalée et la faille ne figure pas dans le catalogue des vulnérabilités exploitées connues de la CISA.

Toutes les versions SCADAPack répertoriées sont considérées comme affectées

L’avis de la CISA consacré aux systèmes de contrôle industriel attribue le statut known_affected à sept familles de produits Schneider Electric :

• SCADAPack 47x — vers:all/*
• SCADAPack 47xi — vers:all/*
• SCADAPack 47xd — vers:all/*
• SCADAPack 470R — vers:all/*
• SCADAPack 57x — vers:all/*
• SCADAPack 3xx — vers:all/*
• SCADAPack 32 — vers:all/*

La désignation vers:all/* signifie que l’avis ne limite pas l’exposition à certaines versions du firmware ou du logiciel. Les opérateurs doivent donc considérer toutes les versions des familles concernées comme potentiellement vulnérables, sauf indication plus précise de Schneider Electric.

Le résumé de l’avis porte principalement sur les gammes 47x, 47xi, 47xd, 470R et 57x, présentées comme des RTU SCADAPack x70. Toutefois, le tableau détaillé des produits affectés mentionne également SCADAPack 3xx et SCADAPack 32. Ces familles supplémentaires ne doivent pas être oubliées lors de l’inventaire des actifs ou de l’évaluation des risques.

Les RTU SCADAPack assurent les communications nécessaires à la supervision et au contrôle à distance. Leur déploiement dans des environnements industriels critiques et dans le secteur de l’énergie rend la tenue d’un inventaire fiable particulièrement importante, même si l’impact documenté de cette faille se limite à la confidentialité.

Secure Lock ne protège pas suffisamment les identifiants

CVE-2026-81861 est classée CWE-522, soit des identifiants insuffisamment protégés. La faiblesse réside dans Secure Lock, une fonction de contrôle d’accès héritée, conservée pour assurer la compatibilité avec les anciens systèmes.

Une exploitation réussie pourrait révéler des informations d’authentification et permettre un accès non autorisé aux fonctions de la RTU. La CISA décrit plus précisément le risque comme un accès non autorisé à la configuration de la RTU via Secure Lock.

Le vecteur CVSS publié est le suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Ce vecteur décrit une vulnérabilité accessible par le réseau, présentant une faible complexité d’exploitation et ne nécessitant aucun privilège préalable. L’exploitation requiert toutefois une interaction de l’utilisateur, sans que l’avis précise l’action que celui-ci devrait effectuer.

La note de confidentialité est élevée. En revanche, l’évaluation n’attribue aucun impact direct à l’intégrité ou à la disponibilité et n’indique pas que l’exploitation franchisse une frontière entre autorités de sécurité.

Cette distinction est importante pour l’analyse des risques opérationnels. L’évaluation publiée ne décrit ni modification des valeurs de procédé par un attaquant, ni perturbation du fonctionnement de la RTU, ni interruption de service résultant de la seule exploitation de cette vulnérabilité. Elle fait en revanche état d’une possible divulgation de données d’authentification et d’un accès à des informations de configuration sensibles.

Ces identifiants pourraient avoir une importance en matière de sécurité au-delà de la simple perte de confidentialité, mais l’avis ne documente aucune étape d’attaque supplémentaire. Les organisations doivent éviter de supposer qu’une compromission plus large est inévitable, tout comme elles doivent s’abstenir de considérer les données d’authentification exposées comme inoffensives.

Aucun correctif ni version corrigée n’a été annoncé

L’avis ne mentionne ni correctif de sécurité, ni version corrigée du firmware, ni version non affectée. Schneider Electric recommande plutôt d’abandonner Secure Lock partout où les exigences opérationnelles et de compatibilité le permettent.

Le contrôle d’accès basé sur les rôles (RBAC) constitue le mécanisme recommandé pour les appareils SCADAPack 47x. Secure Lock ne doit rester activé que lorsque des dépendances à des systèmes existants le rendent nécessaire.

Les opérateurs doivent activer et configurer le RBAC conformément à la documentation produit, notamment aux sections consacrées aux recommandations de sécurité pour les administrateurs et aux contrôles d’accès basés sur les rôles. Schneider Electric renvoie également ses clients au SCADAPack Cybersecurity Guide pour les recommandations relatives au renforcement de la sécurité des appareils et aux communications sécurisées.

La documentation pertinente est disponible sur le portail de documentation RemoteConnect and SCADAPack x70 Utilities de l’entreprise. Les clients qui ont besoin d’une assistance spécifique à un produit peuvent contacter un représentant local de Schneider Electric ou l’équipe Industrial Cybersecurity Services de l’entreprise.

Aucune version corrigée n’étant précisée, la réponse pratique consiste à appliquer des mesures d’atténuation fondées sur la configuration tout en réduisant l’exposition réseau. Les responsables des actifs doivent recenser chaque appareil utilisant encore Secure Lock et déterminer si la dépendance à ce mécanisme hérité peut être supprimée.

La segmentation et le pare-feu RTU peuvent réduire l’exposition

Schneider Electric recommande de séparer les réseaux de confiance et les réseaux non fiables, et de contrôler strictement les flux entre eux. Le RTU Firewall Service doit également être activé afin de bloquer les accès non autorisés aux services des appareils et de réduire la surface d’attaque accessible.

Les réseaux de contrôle et de sécurité doivent rester isolés des systèmes bureautiques. Les RTU et autres appareils de contrôle ne doivent pas être directement accessibles depuis Internet, tandis que les communications entrantes et sortantes doivent être limitées aux hôtes, protocoles et services nécessaires.

Lorsque l’accès à distance est indispensable au fonctionnement, les organisations doivent utiliser des connexions sécurisées telles que des VPN. Les logiciels VPN doivent être maintenus à jour, mais un VPN ne suffit pas à rendre fiable le terminal qui se connecte. Les appareils qui accèdent à l’environnement de contrôle par l’intermédiaire d’une infrastructure d’accès distant doivent faire l’objet de leur propre évaluation de sécurité.

Les protections physiques restent également pertinentes. Les contrôleurs doivent être installés dans des armoires verrouillées et les opérateurs doivent éviter de les laisser en mode Program. Les stations de travail d’ingénierie ou de programmation doivent se connecter uniquement aux réseaux contenant les appareils qu’elles sont censées administrer.

Les supports amovibles doivent être analysés avant d’être introduits dans des réseaux isolés ou connectés à des terminaux. Un équipement mobile qui s’est connecté à un autre réseau ne doit pas ensuite pénétrer dans un environnement de sécurité ou de contrôle sans assainissement approprié.

Toute nouvelle règle de pare-feu, politique de contrôle d’accès ou mesure d’isolation doit faire l’objet d’une analyse d’impact avant son déploiement. Des modifications défensives insuffisamment testées peuvent interrompre des communications industrielles nécessaires, même lorsque l’objectif de sécurité sous-jacent est légitime.

Aucune exploitation n’a été signalée et la faille ne figure pas dans le KEV

Aucun élément ne permet d’affirmer que CVE-2026-81861 est actuellement exploitée dans la nature. La vulnérabilité ne figure pas non plus, dans l’avis disponible, parmi les entrées du catalogue des vulnérabilités exploitées connues de la CISA, et aucune échéance de remédiation KEV ne lui a été attribuée.

L’avis décrit donc une faiblesse exposée plutôt qu’une campagne d’exploitation active confirmée. La possibilité d’un accès par le réseau, l’absence de privilèges requis et le risque de divulgation d’informations d’authentification justifient néanmoins un examen rapide.

Les opérateurs doivent rechercher les accès inattendus aux interfaces de configuration des RTU, les activités d’authentification inexpliquées, les modifications non autorisées des paramètres de contrôle d’accès et les connexions provenant de systèmes qui n’administrent habituellement pas les appareils SCADAPack. Aucun indicateur de compromission propre à cette vulnérabilité n’a été publié.

Les organisations qui détectent une activité suspecte doivent conserver les journaux réseau, d’authentification et d’administration des appareils concernés. Elles doivent ensuite suivre leurs procédures internes de réponse aux incidents et transmettre à la CISA les éléments pertinents à des fins de corrélation et de suivi.

La priorité immédiate est claire : identifier chaque unité SCADAPack affectée, déterminer où Secure Lock est encore utilisé, migrer vers le RBAC lorsque cela est possible et restreindre l’accès aux appareils qui ne peuvent pas encore abandonner ce mécanisme hérité.