Blog de Cyberwatch

La gestion des vulnérabilités à l’ère de l’IA générative - Cyberwatch

cyberwatch — Thu, 26 Feb 2026 08:18:02 GMT

À l’occasion de la Cyber-IA expo, Florian Wininger, CTO et cofondateur de Cyberwatch a dressé un état des lieux et donné sa vision de l’évolution de la gestion des vulnérabilités dans les prochaines années. En 2025, pas moins de 48 000 CVE ont été publiées, soit une moyenne de 130 par jour. Face à cette explosion, un nombre croissant d’entre elles ne sont pas enrichies dans les temps, ce qui rend impossible une remédiation rapide. L’IA va devenir indispensable pour identifier, enrichir et prioriser les risques, mais aussi pour automatiser les remédiations.

Vulnérabilités en nette augmentation : la fin de la centralisation

Historiquement, la gestion des vulnérabilités reposait sur un acteur central : la National Vulnerability Database (NVD), gérée par le National Institute of Standards and Technology (NIST). Son rôle était de répertorier les CVE, de leur attribuer un score de sévérité (CVSS) et de les lier aux produits concernés (avec des identifiants CPE, Common Platform Enumeration).

Cependant, avec l’explosion du nombre de vulnérabilités, la NVD ne suit plus, avec comme conséquences des retards de publication, des scores de criticité manquants et une absence d’informations sur les produits affectés. Lors de sa dernière réunion trimestrielle, qui s’est tenue en janvier 2026, les responsables du NIST ont reconnu mener « un combat perdu d’avance » et ont indiqué vouloir basculer vers un modèle où l’enrichissement serait confié aux CVE Numbering Authorities (CNA).

Enrichissement des données CVE : des sources multiples

Pour permettre de recenser et enrichir les informations liées aux vulnérabilités, tout un écosystème s’est progressivement organisé.

Les CNA (CVE Numbering Authorities)

Il existe aujourd’hui près de 490 organismes habilités à documenter les CVE, dont une dizaine au niveau « racine », dotés d’une autorité pleine et entière pour émettre des numéros de CVE.

À noter : depuis novembre 2025, l’ENISA, agence européenne de cybersécurité, est désormais reconnue comme autorité racine. L’Europe, conformément à l’article 12 de la directive NIS2, dispose enfin de sa propre base de données, baptisée EUVD (European Union Vulnerability Database).

Les ADP (Authorized Data Publishers)

Lorsqu’une CNA publie une CVE, elle renseigne l’existence d’une faille, mais ne fournit pas toujours les métadonnées essentielles à sa priorisation, tels que le score CVSS ou le CPE (identifiant du produit affecté). C’est le rôle des ADP (Authorized Data Publishers) que de compléter ces informations après coup. Aujourd’hui, l’agence américaine de cybersécurité CISA est quasiment le seul ADP opérant à grande échelle.

Les CERT européen et nationaux

Les CERT européen et nationaux jouent un rôle essentiel dans la qualification et le déclenchement d’alertes sur les vulnérabilités les plus critiques. Mais aucun CERT ne couvre l’intégralité du spectre technologique. Par exemple :

Le CERT-FR sera particulièrement pertinent sur des outils très répandus en France comme la solution open source GLPI, moins systématiquement sur des technologies comme SAP ou AIX ;
Le CERT belge a émis récemment des alertes très réactives sur des produits émergents comme Moltbot ou OpenClaw.

L’initiative open source Vulnrichment

Pour enrichir collectivement la donnée CVE à l’échelle mondiale, est également né le projet open source Vulnrichment (contraction de Vulnerability + Enrichment) sur GitHub, qui compte une dizaine de contributeurs actifs, parmi lesquels Cyberwatch.

L’IA au service de l’enrichissement automatique des CVE

Pour effectuer une veille à spectre large et accélérer l’identification de nouvelles CVE, Cyberwatch exploite la complémentarité de l’ensemble de ces sources publiques : NVD, CNA, ADP, CERT, contributions open source…

Au-delà de la veille sur les vulnérabilités, et de leur niveau de criticité, l’un des défis majeurs est d’associer à chaque CVE les bons CPE, c’est-à-dire d’identifier précisément les produits et versions concernés. Sans cette information, détecter si une vulnérabilité affecte un système d’information donné est impossible.

Cependant, en 2025, une part significative des CVE n’ont pas bénéficié de cet enrichissement en temps utile, parfois pendant plusieurs jours, parfois même jamais.

C’est ici que l’intelligence artificielle entre en jeu.

Face à la multiplicité des sources d’informations sur les CVE, Cyberwatch a développé un modèle d’enrichissement automatique par IA qui permet de :

Identifier automatiquement les CPE associés aux CVE publiées ;
Réconcilier les noms de produits et de vendeurs avec les nomenclatures CPE ;
Traiter les vulnérabilités à l’échelle de l’heure, sans attendre les mises à jour de la NVD.

Résultat : sur les 48 000 vulnérabilités de 2025, 13 000 ont fait l’objet d’un enrichissement automatique, avec un taux de faux positifs relativement faible. L’IA ne crée pas la donnée, mais elle la rend exploitable en temps réel, là où l’attente d’une mise à jour humaine prendrait des jours, voire des semaines.

Identification, priorisation et remédiation des CVE assistée par LLM

D’autre part, Cyberwatch a intégré un serveur MCP (Model Context Protocol) dans sa solution de gestion des vulnérabilités. Ce dernier permet d’interagir avec notre plateforme directement depuis un client LLM (Claude, Copilot, ChatGPT, etc.) en langage naturel.

Concrètement, l’utilisateur peut poser des questions comme « Quelles sont les dernières vulnérabilités critiques sur mes équipements Fortinet ? » et obtenir en temps réel :

La liste des CVE récentes concernant les actifs Fortinet ;
L’identification des machines affectées dans le parc (par exemple : 6 assets FortiOS, 3 FortiAnalyzer, 3 FortiManager, 1 FortiWeb) ;
Le niveau de criticité de chaque vulnérabilité ;
Une proposition de plan de remédiation.

L’intérêt de cette approche, par rapport à une recherche effectuée à partir d’un LLM qui interroge le web, est que Cyberwatch consulte directement sa base de données en temps réel et retourne les vulnérabilités publiées dans les dernières heures, sans risque de décalage de plusieurs semaines.

Il est même envisageable d’aller plus loin avec des agents IA autonomes capables d’effectuer, chaque jour, une synthèse des nouvelles vulnérabilités, d’identifier les actions prioritaires à réaliser et de les exécuter automatiquement, sans intervention humaine. Cette approche pourrait bien révolutionner les workflows de détection, priorisation et remédiation des CVE dans les années à venir.

Vous souhaitez en savoir plus ? Prenez contact avec nos équipes.

EASM : gérer votre surface d’attaque externe avec Cyberwatch

Charlotte Millot — Wed, 18 Feb 2026 11:15:40 GMT

Vous pensez maîtriser votre cybersécurité en contrôlant votre infrastructure interne ? C’est un bon début, mais c’est loin d’être suffisant !

D’après une étude récente, environ 79% des risques cyber se situent en effet hors de votre périmètre IT interne, notamment sur Internet (services cloud, API exposées, infrastructures externalisées…).

Un angle mort massif qui ne cesse de croître. Et qui représente autant de portes d’entrée potentielles pour les cybercriminels.

Alors comment reprendre le contrôle ? C’est tout l’enjeu de l’EASM (External Attack Surface Management), une approche dédiée à la gestion de votre surface d’attaque externe.

Découvrez en quoi elle consiste, pourquoi elle est devenue incontournable, et comment Cyberwatch vous aide à cartographier, analyser et surveiller votre surface d’attaque externe.

Qu’est-ce que la gestion de la surface d’attaque externe (EASM) ?

Définition et principes clés

L’EASM est une approche de cybersécurité qui consiste à identifier, analyser et surveiller en continu tous les actifs numériques d’une organisation exposés sur Internet, pour les sécuriser avant qu’un éventuel acteur malveillant ne les exploite.

Le principe est simple : adopter le point de vue de l’attaquant.

Concrètement, il s’agit de scanner Internet pour détecter tout ce qui est visible et accessible au nom de votre organisation : serveurs mal configurés, certificats expirés, API ouvertes… et de corriger ensuite ces failles de manière proactive.

Que recouvre la surface d’attaque externe d’une organisation ?

La surface d’attaque externe correspond à l’ensemble des points d’exposition numériques par lesquels votre organisation est visible (et potentiellement attaquable) depuis Internet. Notamment :

Les domaines et sous-domaines : sites institutionnels, portails clients, extranets, environnements de test, préproduction, microsites marketing, domaines rachetés ou abandonnés mais toujours actifs…
Les serveurs et infrastructures exposés : serveurs web, VPN, passerelles d’accès distant, bastions, appliances de sécurité…
Les services cloud et environnements externalisés : instances cloud, stockages publics, services SaaS mal configurés, buckets exposés, environnements IaaS ou PaaS ouverts par défaut…
Les API et services applicatifs : API publiques, endpoints non authentifiés, services métiers exposés pour des intégrations partenaires ou mobiles…
Les ports et services réseau accessibles : protocoles obsolètes, services inutiles restés ouverts, interfaces d’administration exposées…
Les certificats, identités et dépendances techniques : certificats expirés, mal configurés ou compromis, dépendances logicielles vulnérables, briques techniques non maintenues…

La surface d’attaque externe englobe donc une multitude d’actifs, souvent dispersés, parfois mal documentés, et fréquemment oubliés.

Pourquoi l’EASM s’impose dans les stratégies de cybersécurité des organisations

Une approche portée par la reconnaissance des analystes et du marché

Le concept d’External Attack Surface Management (EASM) a été introduit par Gartner en 2021 dans son rapport Hype Cycle for Security Operations. Dès l’année suivante, l’analyste positionnait l’EASM dans la catégorie « Innovation Trigger », anticipant une adoption progressive sur 5 à 10 ans et soulignant la nécessité pour les organisations de développer de nouvelles compétences pour exploiter pleinement ces approches.

Mais la réalité du terrain a largement accéléré cette trajectoire.

En 2024, Gartner confirme déjà l’EASM comme un pilier de la cybersécurité moderne.

L’EASM est désormais pleinement intégrée dans la démarche de Continuous Threat Exposure Management (CTEM) recommandée par Gartner. Elle en constitue la première brique : avant de gérer les menaces, il faut d’abord savoir précisément ce qui est exposé.

Une adoption accélérée par l’explosion de la surface d’attaque externe

Si l’EASM s’est imposée si vite dans les stratégies de cybersécurité, c’est avant tout parce que le système d’information des organisations a profondément changé. En quelques années, la surface d’attaque externe a fortement augmenté sous l’effet de plusieurs évolutions majeures :

Le cloud a multiplié les points d’exposition : services SaaS, instances AWS, Azure ou GCP, environnements créés à la volée, souvent sans inventaire centralisé.
Le télétravail a ouvert de nouveaux accès critiques : VPN déployés en urgence, applications métiers exposées, accès distants étendus.
Le Shadow IT échappe encore au contrôle des équipes sécurité : outils cloud utilisés par les métiers, sous-domaines marketing, plateformes collaboratives non référencées.

Résultat : une surface d’attaque mouvante, fragmentée, difficile à cartographier… et truffée de zones d’ombre. C’est précisément ce vide opérationnel que l’EASM vient combler.

Les bénéfices concrets de l’EASM

Le succès de l’EASM au sein des organisations s’explique enfin par ses bénéfices concrets et immédiatement mesurables :

Une visibilité complète sur votre exposition réelle : vous identifiez tous vos actifs visibles sur Internet, y compris ceux oubliés ou inconnus.
Une réduction proactive du risque : vous détectez et corrigez les failles avant qu’elles ne soient exploitées.
Une meilleure conformité réglementaire : vous répondez plus facilement aux exigences NIS2, DORA, ISO 27001 et autres référentiels.

Les organisations qui ont adopté l’EASM renforcent leur posture de sécurité, et gagnent en résilience.

L’EASM en pratique

Les 3 étapes clés de l’EASM

L’EASM s’appuie sur un cycle opérationnel continu en trois étapes :

Découverte : les outils EASM scannent Internet comme le ferait un attaquant pour identifier tous les actifs exposés : domaines, sous-domaines, adresses IP, services réseau, certificats, instances cloud, API, environnements oubliés ou Shadow IT.

Analyse et évaluation des risques : chaque actif est analysé afin de détecter les failles exploitables : mauvaises configurations, logiciels obsolètes, vulnérabilités connues, ports ouverts inutilement, interfaces d’administration exposées. Les risques sont qualifiés et priorisés selon leur impact réel.

Surveillance continue : la surface d’attaque évolue en permanence. L’EASM surveille les changements, détecte les nouvelles expositions et alerte en temps réel dès qu’une dérive apparaît.

Ces trois étapes fonctionnent en boucle : c’est cette approche dynamique et continue qui distingue l’EASM d’un audit ponctuel ou d’un simple scan de vulnérabilités.

Les outils pour piloter sa surface d’attaque externe

L’EASM est une démarche globale qui combine processus, technologies et services. Mais dans la pratique, la technologie en constitue le socle opérationnel. Sans plateforme capable d’observer Internet à grande échelle, de cartographier automatiquement vos actifs et d’analyser en continu votre exposition, il est tout simplement impossible de maîtriser votre surface d’attaque externe.

Les solutions EASM modernes s’appuient sur des plateformes dédiées, généralement déployées en mode SaaS pour une mise en œuvre rapide et une couverture étendue, ou en on-premise pour répondre aux exigences de sécurité, de conformité et de souveraineté les plus strictes.

Mais toutes les plateformes EASM ne se valent pas, et leur efficacité dépend directement de la profondeur de découverte, de la qualité d’analyse et de la capacité à prioriser les risques.

C’est précisément sur ces enjeux que se positionne Cyberwatch, notre plateforme de gestion des vulnérabilités et de gestion de la conformité, qui intègre nativement des capacités d’External Attack Surface Management.

Comment Cyberwatch vous aide à maîtriser votre surface d’attaque externe

Cartographiez automatiquement vos actifs exposés

Cyberwatch s’appuie sur un puissant moteur de découvertes (asset discovery), capable d’identifier automatiquement les actifs de votre organisation accessibles sur Internet.

Les actifs identifiés sont ensuite intégrés dans un inventaire centralisé, ce qui permet de les superviser, de les analyser et d’en assurer le suivi dans le temps.

Pour construire cette cartographie, Cyberwatch s’appuie sur plusieurs méthodes complémentaires :

Cartographie des noms de domaine et sous-domaines

Cyberwatch met en œuvre plusieurs techniques d’identification :

Les découvertes WHOIS : l’analyse des bases d’enregistrement des noms de domaine permet d’identifier les domaines appartenant à l’organisation, à ses filiales ou à ses prestataires. Cette étape constitue le point de départ du périmètre de référence.
Les découvertes d’énumération DNS : une fois les domaines identifiés, Cyberwatch recherche automatiquement les sous-domaines qui leur sont rattachés (par exemple : www, api, admin, dev). Cette méthode permet de cartographier les interfaces web et les services associés.
Les découvertes Certificate Transparency : Cyberwatch interroge les journaux publics d’émission de certificats TLS afin d’identifier les sous-domaines pour lesquels un certificat HTTPS a été délivré. La présence d’un certificat traduit une intention d’exposition publique et permet de valider l’exposition réelle des services.

La combinaison de ces trois approches offre une couverture exhaustive de votre espace de noms de domaines. Cette corrélation multisources permet par ailleurs de prioriser les contrôles de sécurité sur les actifs dont l’exposition est confirmée par plusieurs indicateurs.

Cartographie des infrastructures cloud

Cyberwatch propose également plusieurs mécanismes d’identification permettant de recenser les ressources présentes sur les infrastructures Cloud :

AWS (EC2 notamment)
Microsoft Azure
Google Cloud Platform
OpenStack

En interrogeant directement les API de ces plateformes, la solution recense automatiquement les instances, machines virtuelles, adresses IP publiques et autres ressources actives.

Cette approche répond à un enjeu majeur : les environnements multi-cloud, souvent gérés par plusieurs équipes, facilitent la perte de traçabilité et la prolifération du shadow IT.

Les découvertes cloud permettent ainsi de détecter ces actifs avant qu’ils ne deviennent des vecteurs d’attaque, et de prioriser les contrôles de sécurité sur les ressources réellement exposées sur Internet.

Cartographie des plages réseau publiques

Cyberwatch permet enfin d’identifier les machines accessibles sur des plages d’adresses IP publiques (datacenters, environnements Cloud, filiales, hébergeurs) à l’aide de scans réseau (Nmap).

Cette étape permet d’établir la cartographie réelle du périmètre réseau externe, et de disposer d’une vision fiable des hôtes accessibles depuis Internet.

Analysez la surface exposée et identifiez les points d’entrée

Une fois les actifs découverts, Cyberwatch permet d’analyser leur exposition réelle et d’identifier les points d’entrée potentiels pour un attaquant.

Les scans réseau et web permettent notamment de :

Confirmer qu’un service est actif et répond
Identifier quels ports sont ouverts
Déterminer quels services tournent sur une IP ou un sous-domaine
Détecter les technologies utilisées
Remonter les défauts de configuration visibles

Cette analyse en surface permet de distinguer un actif théorique d’un point d’entrée réellement exploitable, et de concentrer les contrôles sur les ressources effectivement accessibles depuis Internet.

Pilotez votre surface d’attaque grâce aux tableaux de bord et aux rapports

Cyberwatch met à disposition des tableaux de bord et des modules de reporting permettant de suivre dans le temps l’évolution de votre surface d’attaque externe.

La plateforme permet notamment de :

Générer un export de la liste des actifs découverts (Cloud, DNS, WHOIS, Certificate Transparency, réseaux),
Visualiser les actifs les plus vulnérables ou ne respectant pas les bonnes pratiques de sécurité,
Suivre l’évolution de l’exposition via des indicateurs synthétiques.

Des cartographies visuelles permettent également de représenter graphiquement les actifs exposés, les ports ouverts, les vulnérabilités (CVE), les services web hébergés ainsi que les sources de découverte associées.

Priorisez vos vulnérabilités selon votre contexte réel d’exposition

Identifier des vulnérabilités ne suffit pas. L’enjeu est de savoir lesquelles représentent un risque réel.

C’est pourquoi Cyberwatch vous aide à hiérarchiser vos vulnérabilités en fonction de votre contexte d’exposition et de la criticité de vos actifs, afin de concentrer vos efforts de remédiation là où ils ont le plus d’impact.

La plateforme vous permet notamment de :

Qualifier la criticité métier et technique de vos actifs,
Définir des règles de priorisation adaptées à votre environnement,
Faire ressortir en priorité les vulnérabilités exploitables depuis les réseaux publics.

Vous passez ainsi d’une gestion volumétrique des vulnérabilités à une approche pilotée par le risque, fondée sur l’exposition réelle et les scénarios d’attaque.

Inscrivez votre démarche EASM dans une démarche CTEM complète

Pour aller plus loin et dépasser la simple cartographie de votre surface d’attaque, Cyberwatch vous permet d’inscrire votre démarche EASM dans le framework CTEM (Continuous Threat Exposure Management) avec :

Un contrôle de conformité des plateformes cloud accessibles publiquement
Des scans OWASP des sites web et serveurs exposés
Des scans applicatifs authentifiés pour identifier les applications installées sur les serveurs exposés
Des mécanismes avancés de priorisation basés sur la criticité des actifs et leur exposition réseau

Ces capacités permettent de qualifier finement les risques, de limiter le Shadow IT et de prioriser les vulnérabilités réellement exploitables depuis les réseaux publics.

Ce qu’il faut retenir

79% des risques cyber se situent hors de votre périmètre interne. L’EASM vous permet de reprendre le contrôle en identifiant automatiquement tous vos actifs exposés sur Internet (domaines oubliés, services cloud, API ouvertes), en détectant les failles exploitables et en surveillant les changements en continu.

Avec Cyberwatch, vous transformez cette visibilité en action concrète : cartographie automatique, analyse des risques réels, priorisation intelligente selon votre contexte d’exposition, et pilotage dans la durée via des tableaux de bord dédiés.

Demandez une démo gratuite et identifiez enfin vos vraies zones d’exposition sur Internet !

FAQ

Quelle est la différence entre l’EASM et la gestion des vulnérabilités classique ?

L’EASM adopte le point de vue de l’attaquant en scannant Internet pour découvrir tous vos actifs exposés (y compris ceux que vous ignorez), là où la gestion des vulnérabilités classique se concentre sur l’analyse de votre infrastructure interne déjà inventoriée.

L’EASM est-elle réservée aux grandes entreprises ?

Non. Toute organisation exposée sur Internet peut en bénéficier. Les PME, qui disposent souvent d’équipes sécurité réduites, gagnent particulièrement à automatiser ce que leurs équipes ne peuvent pas surveiller manuellement.

L’EASM remplace-t-elle les tests d’intrusion ?

Non, ces approches sont complémentaires. L’EASM assure une surveillance continue et automatisée de vos expositions, tandis que les tests d’intrusion valident ponctuellement l’exploitabilité réelle des vulnérabilités.

Quelle est la différence entre l’EASM et le CTEM ?

L’EASM se concentre sur la découverte et la surveillance de votre surface d’attaque externe. Le CTEM est un framework plus large qui englobe l’EASM et y ajoute la gestion des menaces internes, la validation de l’exploitabilité et la mesure continue de l’efficacité.

Net-NTLMv1 : le talon d’Achille des environnements Windows vieillissants - Cyberwatch

Charlotte Millot — Wed, 21 Jan 2026 08:56:37 GMT

Ce protocole, considéré comme peu sécurisé depuis une dizaine d’années, refait surface avec la publication par Mandiant, une société filiale de Google, d’une rainbow table spécifiquement conçue pour s’attaquer au hash Net-NTLMv1.

En résumé, cette table permet, à l’aide de matériel grand public à moins de 600 $, de décrypter les clés NTLMv1 utilisées en moins de 12 heures, et permet donc à un serveur Windows affecté de devenir une passoire en moins d’une journée.

Comment faire alors pour s’en prémunir ? Et comment s’aider de Cyberwatch pour y arriver ?

Net-NTLMv1 : contexte de la publication et remédiation

Tout d’abord, revenons sur cette publication. Le 15 janvier, Mandiant a publié une rainbow table. Il s’agit d’une table précalculée permettant de mettre en cache les résultats d’une fonction de hachage cryptographique, généralement dans le but de cracker des hachages de mots de passe.

Cette publication avait pour but de marquer l’urgence de migrer vers un autre protocole que celui-ci, désormais obsolète. En effet, bien que Net-NTLMv1 (aussi appelé NT LAN Manager) soit obsolète et connu pour être peu sûr depuis des décennies, les consultants de Mandiant continuent d’identifier son utilisation dans des environnements actifs.

Même si Net-NTLMv1 n’est pas utilisé dans votre contexte, il est essentiel de désactiver au plus vite cette fonctionnalité, afin d’éviter que d’anciens serveurs abandonnés en servent de porte d’entrée dans votre IT.

Net-NTLMv1 n’est plus présent par défaut sur les environnements Windows 11 24H2, Windows Server 2025 et les versions ultérieures.

Comme toujours, la meilleure approche est de faire la chasse aux actifs obsolètes, et Cyberwatch vous permet d’ailleurs de les découvrir et de les lister en vue de les migrer ou de les décommissionner.

Il est donc important de veiller à sa désactivation pour les environnements plus anciens ou non mis à jour restants. Heureusement, Windows permet de vérifier cette configuration, et Cyberwatch de le faire automatiquement.

Utiliser Cyberwatch pour vérifier la désactivation

Le module de conformité de Cyberwatch permet de s’assurer de sa désactivation en utilisant les stratégies de groupes (GPO).

Afin de remédier à ce problème, le paramètre suivant doit être configuré avec la valeur « Send NTLMv2 response only. Refuse LM & NTLM » :

Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\Network security: LAN Manager authentication level

La règle « Set ‘Network security: LAN Manager authentication level’ to ‘Send NTLMv2 response only. Refuse LM & NTLM’ » est déjà présente dans le référentiel CIS_Benchmark et permet la vérification de ce paramètre :

Une fois le référentiel (CIS_Benchmark ou référentiel customisé) ajouté à vos actifs, si ce n’est pas déjà fait, il vous suffit ensuite de vous rendre sur la page de la règle afin de vérifier quelles machines ne sont pas conformes.

En complément, vous pouvez directement vérifier dans les journaux d’événements des machines si Net‑NTLMv1 a été utilisé.

Pour cela, vous pouvez rechercher l’ID 4624 : « An Account was successfully logged on. » > « Detailed Authentication Information » > « Authentication Package » > « Package Name (NTLM only) ». Si l’attribut est “LM” ou “NTLMv1”, cela signifie que LAN Manager ou Net-NTLMv1 a été utilisé.

N’hésitez plus : utilisez Cyberwatch pour identifier les actifs obsolètes et mal configurés afin d’accélérer la remédiation !

CVE-2025-55182 React2Shell - Scannez vos actifs sur Cyberwatch

Nicolas Auguste — Tue, 09 Dec 2025 15:23:42 GMT

CVE-2025-55182 React2Shell une vulnérabilité de type exécution de code à distance qui affecte les logiciels React et Next.js.

Cette faille, référencée sous CVE-2025-55182, touche des composants de React.js utilisés dans le framework Next.js ainsi que dans plusieurs autres environnements, représente un risque majeur pour les applications web.

La vulnérabilité a été divulguée de manière responsable par Lachlan Davidson le 29 novembre 2025 auprès de l’équipe Meta.

Le 3 décembre 2025, la publication initiale de la CVE-2025-55182, une faille critique d’exécution de code à distance (RCE) non authentifiée affectant les React Server Components (RSCs), ainsi que la mise à disposition du correctif ont été réalisées par les équipes de React et Vercel.

React.js est une bibliothèque JavaScript open source développée par Meta, largement utilisée pour créer des interfaces utilisateur dynamiques et performantes.

Next.js, quant à lui, est un framework basé sur React, conçu par Vercel, qui apporte des fonctionnalités avancées comme le rendu côté serveur (SSR) et l’optimisation des performances pour des applications web modernes.

Cette vulnérabilité fait également l’objet de l’alerte CERTFR-2025-ALE-014 et est répertoriée dans le CISA Known Exploited Vulnerability Catalog.

Quels sont les systèmes affectés par la CVE-2025-55182

La vulnérabilité est présente dans les versions 19.0, 19.1.0, 19.1.1 et 19.2.0 des paquets suivants :

react-server-dom-webpack
react-server-dom-parcel
react-server-dom-turbopack

Ces paquets sont utilisés lorsque votre application implémente React Server Components ou si elle est compatible avec cette fonctionnalité.

En plus de ces paquets, plusieurs frameworks et bundlers basés sur React ou compatibles avec React Server sont également vulnérables. Voici la liste :
next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc, et rwsdk.

Cette large surface d’exposition, combinée à la popularité de ces outils, accentue le risque d’exploitation massive.

À noter que notre application n’utilise pas ces composants vulnérables et n’est donc pas affectée par la CVE-2025-55182.

Impact et risques liés à la faille React2Shell

L’exploitation de cette vulnérabilité permet à un attaquant d’exécuter du code côté serveur, sans authentification préalable. Cette capacité ouvre la voie à une liste non exhaustive de scénarios particulièrement dangereux tels que :

Exfiltration de données sensibles : accès aux secrets, identifiants et informations utilisateurs.
Persistance : déploiement de backdoors ou web shells pour maintenir un accès prolongé.
Mouvement latéral : pivot vers des systèmes internes pour étendre la compromission.
Déploiement de ransomware : chiffrement des données à des fins d’extorsion.

De plus, un nombre élevé de proof-of-concept (PoC) public sont déjà disponibles.

L’attaque repose sur la création d’une requête HTTP malveillante vers un endpoint exposant une Server Function, une fois désérialisée par React. Elle permet l’exécution de code à distance sur le serveur.

L’absence d’authentification, la possibilité d’exploiter à distance et la large adoption de React et Next.js créent un risque extrême, confirmé par le score CVSS maximal. Ce type d’attaque peut être automatisé et utilisé pour balayer Internet à la recherche de serveurs vulnérables, augmentant considérablement le potentiel d’abus.

Pourquoi deux CVE pour la même vulnérabilité ?

Bien que l’identifiant CVE-2025-55182 ait été attribué à la faille React2Shell et à la technologie React, une seconde vulnérabilité, la CVE-2025-66478, a été publiée sur cette même exposition et est marquée comme doublon sur le site du NVD. Ce second identifiant concerne Next.js en raison d’une particularité, React n’y est pas inclus comme dépendance classique, mais intégré directement (« vendored »). Cette approche empêche de nombreux outils de gestion de dépendances de détecter automatiquement la vulnérabilité. La création d’une CVE spécifique garantit que les utilisateurs de Next.js soient alertés et puissent appliquer les correctifs nécessaires.

Comment détecter la CVE-2025-55182 ?

Les utilisateurs de Cyberwatch Vulnerability Manager peuvent détecter cette vulnérabilité depuis le 3 décembre 2025. N’hésitez pas à contacter notre équipe pour toute demande d’information à ce sujet.

Grâce à ses outils de scans réseau et site web, Cyberwatch peut vous permettre de vérifier si vos serveurs utilisent des versions vulnérables de React ou Next.js directement via nos scans externes.

Cependant, l’identification de la technologie et de sa version peuvent dépendre des configurations en place et de l’offuscation de ces informations, souvent le cas en environnement de production React.

Dans une installation Next.js, React reste utilisé, même s’il n’est pas toujours déclaré comme dépendance dans le fichier package.json. Par exemple, avec l’App Router, Next.js intègre directement une version de React, ce qui peut modifier les méthodes classiques de détection basées sur sa présence explicite.

En analysant les informations issues des deux CVE liées à react2shell et en les croisant avec des sources fiables comme GitHub, Cyberwatch vous proposera une détection optimisée et un patch adapté aux technologies détectées sur vos actifs.

Notre outil vous permet aussi de réaliser un scan authentifié sur vos machines, qui audite beaucoup plus précisément le serveur et est en capacité de détecter directement les packages React à l’origine de la vulnérabilité afin de pouvoir les patcher plus rapidement.

Voici un exemple de commandes utilisées par Cyberwatch pour extraire les packages depuis package-lock.json :

jq -r '

  .packages

  | to_entries[]

  | select(.key | startswith("node_modules/"))

  | "\(.key)\t\(.value.version)"

' package-lock.json

Cette commande liste tous les modules installés avec leur version, ce qui permet de vérifier si React ou Next.js sont présents et vulnérables. Vous pouvez activer le script d’analyse depuis l’interface de configuration de l’application Cyberwatch, dans la section Politique d’analyse, puis ajouter le scan intitulé « Scan des paquets applicatifs Linux ».

Cyberwatch vous proposera ensuite les actions correctives adéquates.

Comment neutraliser cette vulnérabilité ?

Un correctif a été introduit dans les versions 19.0.1, 19.1.2 et 19.2.1 des paquets affectés ci-dessous :

react-server-dom-webpack
react-server-dom-parcel
react-server-dom-turbopack

La priorité est d’auditer la présence de ses dépendances et de mettre à jour immédiatement ces paquets.

Pour les frameworks et bundlers basés sur React (comme next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc, et rwsdk.), il est impératif de mettre à jour le framework complet, car React est intégré directement et non comme dépendance classique. Une simple mise à jour des paquets RSC ne suffit pas. Vous pouvez retrouver sur le site de React la liste de toutes les commandes permettant de faire ses mises à jour.

Utilisez notre produit pour identifier efficacement la présence des vulnérabilités CVE-2025-55182 et CVE-2025-66478, et déployer vos actions correctives au plus vite. Pour toute question concernant ces détections, contactez notre équipe sur support@cyberwatch.com ou demandez une démonstration via le formulaire dédié.

Cyberwatch 15.0 - Découvrez notre nouvelle version majeure

cyberwatch — Mon, 06 Oct 2025 15:01:03 GMT

La version 15.0 de Cyberwatch est disponible depuis le 29 septembre 2025. Cette nouvelle release apporte des évolutions clés qui simplifient la supervision des vulnérabilités et de la conformité, tout en améliorant l’expérience d’utilisation.

Les fonctionnalités mises en avant

Suivi de la vélocité de vos équipes sécurité

Un nouvel indicateur fait son apparition dans la gestion des actifs : la vélocité de traitement des vulnérabilités. Vous pouvez désormais suivre le temps de réponse de vos équipes par rapport aux objectifs que vous avez définis, et mesurer concrètement la réactivité de vos processus de remédiation.

Figure 1 – Ajout d’indicateurs de vélocité.

Une expérience utilisateur améliorée

Cyberwatch 15.0 apporte plusieurs évolutions pour fluidifier la navigation :

Il est désormais possible de se focaliser sur un projet facilement via un sélecteur dédié.
La sélection d’une CVE, d’un correctif, d’un défaut de sécurité, d’une règle de conformité ou d’une découverte ouvre maintenant un panneau latéral avec toutes les informations détaillées, sans perdre la vue principale.

Figure 2 – Améliorations de l’expérience utilisateur.

Plus de souplesse et de contrôle dans la gestion des projets

La gestion des projets évolue avec l’introduction des identifiants enregistrés par projet. Cette nouveauté permet aux administrateurs système limités d’ajouter des actifs pour l’ensemble des modes de scan. De cette façon, ils gagnent en autonomie tout en restant dans un cadre maîtrisé.

Figure 3 – Améliorations significatives, dont l’introduction des identifiants enregistrés par projet.

Visualisation cartographique des actifs

Les détails d’un actif incluent maintenant une cartographie de ses relations. Cette vue permet de mieux comprendre l’environnement de votre système et ses dépendances, afin de faciliter l’analyse des impacts en cas de vulnérabilité critique.

Figure 4 – Ajout d’une visualisation cartographique d’un actif et de ses relations.

Intégration native avec AWS CloudFormation

Cyberwatch prend désormais en charge l’intégration de CloudFormation. L’ajout de vos environnements AWS devient plus fluide, et vous gagnez une visibilité renforcée sur l’ensemble de vos ressources cloud directement dans la plateforme.

Figure 5 – Prise en charge de l’intégration avec CloudFormation.

Les nouvelles fonctionnalités de Cyberwatch 15.0

API : un accès généralisé

Tous les utilisateurs disposent désormais d’un accès à l’API Cyberwatch, facilitant l’intégration de la plateforme avec vos outils existants.

Cibles réseau et sites web : visibilité renforcée

Les pages parcourues lors d’un scan sont maintenant accessibles directement dans l’onglet Pages web de la fiche d’un actif. Cette transparence permet de mieux comprendre la couverture réelle des analyses.

Conformité : nouveau référentiel pour EKS

Cyberwatch intègre désormais le référentiel CIS Amazon Elastic Kubernetes Service (EKS), élargissant vos possibilités de contrôle de conformité pour les environnements Kubernetes managés.

Découvertes : élargissement du périmètre

Deux nouvelles découvertes sont disponibles :

AWS Organizations, pour identifier et suivre la structure de vos comptes cloud.
Microsoft Hyper-V, pour détecter automatiquement vos environnements virtualisés.

Fournisseurs d’identité : gestion affinée des utilisateurs

Il est maintenant possible de définir un délai avant la désactivation ou la suppression des utilisateurs issus d’un fournisseur d’identité, permettant plus de flexibilité dans la gestion des comptes.

Images Docker : support de Podman

Cyberwatch prend en charge le scan des conteneurs Podman sur des actifs Linux, renforçant les capacités d’analyse de vos environnements containerisés.

Kibana : priorisation des vulnérabilités

Un nouveau tableau de bord Kibana met en avant les vulnérabilités prioritaires, pour vous permettre de concentrer vos efforts là où l’impact est le plus critique.

Périmètre : enrichissement des technologies supportées

Cyberwatch 15.0 élargit la couverture de son périmètre avec :

Les alertes de sécurité Veeam Backup & Replication.
Le support de Debian 13.
Le support de Erlang OTP.
Le support de l’agent Amazon SSM sur Windows.
Le support de ManageEngine ADSelfService Plus.
Le support de Rocky Linux 10.

Explorez toutes les nouveautés de Cyberwatch 15.0

Cette version 15.0 de Cyberwatch va bien au-delà des nouveautés mises en avant ici : consultez l’intégralité du changelog pour découvrir toutes les évolutions. Nous la présenterons en avant-première aux Assises de la Sécurité : rendez-vous au stand K13 pour échanger directement avec nos experts.

Vous ne serez pas présent aux Assises ? Contactez-nous dès maintenant pour une démonstration personnalisée.

AWS Session Manager - Scannez vos actifs sur Cyberwatch

Amel KACHETEL — Fri, 26 Sep 2025 05:57:53 GMT

AWS Systems Manager (SSM) vous permet de gérer vos ressources Amazon Web Services de façon simple et sécurisée, sans vous encombrer d’infrastructures complexes. Dans cet article découvrez comment AWS Systems Manager Session Manager permet à Cyberwatch d’accéder à vos actifs Cloud de manière rapide et sécurisée, sans déploiement supplémentaire, pour simplifier la gestion de leurs vulnérabilités.

Qu’est-ce que AWS Session Manager ?

Session Manager est une fonctionnalité d’AWS Systems Manager qui permet d’ouvrir des sessions sécurisées sur des instances EC2 sans avoir besoin d’un accès SSH ou RDP/WinRM.

Ainsi, Session Manager supprime la nécessité d’ouvrir des ports SSH ou RDP/WinRM, renforçant la sécurité.

Cyberwatch permet de configurer des connexions sans agent via AWS Session Manager.

Etapes de configuration sur AWS

Côté AWS, il est nécessaire de configurer l’EC2 pour autoriser Session Manager. Votre utilisateur doit également disposer des autorisations nécessaires pour utiliser Session Manager sur votre EC2 et exécuter des commandes dessus.

1. Configuration de l’EC2 

Vérifier que l’agent SSM est installé sur votre instance EC2 :

L’agent SSM est installé par défaut sur certaines images fournies par AWS ou par des fournisseurs de confiance.

Si votre image ne l’inclut pas, vous devrez l’installer manuellement en suivant la documentation AWS.

Pour vérifier s’il est bien installé sur votre instance, vous pouvez suivre les étapes fournies par AWS.

Créer le rôle IAM pour l’EC2 :

 Aller dans la console AWS IAM et créer un rôle.
Sélectionnez « Service AWS » comme type d’identité approuvée, puis choisissez « EC2 » comme service ou cas d’utilisation.
À l’étape 2, choisissez la politique « AmazonSSMManagedInstanceCore » fournie par AWS.
À l’étape 3, donnez un nom au rôle (Par exemple : Cyberwatch-EC2-SSM) et créez-le.

Attacher le rôle IAM à l’instance EC2 :

Aller dans la page de détails de votre instance EC2.
Dans l’onglet « Actions → Sécurité → Modifier le rôle IAM », sélectionnez le rôle que vous venez de créer.

2. Configuration des autorisations pour l’utilisateur 

Aller dans la console AWS IAM et créer la politique suivante en format JSON (dans « AWS IAM → Politiques → Créer une politique ») :

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
        { 
            "Effect": "Allow", 
            "Action": [ 
                "ssm:DescribeInstanceInformation", 
                "ssm:SendCommand", 
                "ssm:GetCommandInvocation" 
            ], 
            "Resource": "*" 
        } 
    ] 
}

Cette politique permet à Cyberwatch d’interagir avec AWS Session Manager pour exécuter des commandes sur vos instances EC2. Elle ne permet cependant pas l’accès à Session Manager via l’interface AWS.

Associez cette politique à votre utilisateur.

Une fois ces étapes complétées, vous pourrez utiliser AWS Session Manager comme connecteur pour scanner vos EC2 dans Cyberwatch.

3. Etapes de configuration sur Cyberwatch

Maintenant que votre environnement AWS est prêt, il faut configurer Cyberwatch pour utiliser AWS Session Manager comme connecteur et scanner vos instances EC2. Voici les étapes à suivre :

Activer le connecteur AWS Session Manager :

Par défaut, le connecteur AWS Session Manager est désactivé. Pour l’activer : rendez-vous dans « Administration → Gestion des connecteurs » et activez « AWS Session Manager » dans « Types de connexions sans agent » :

Ajouter votre actif :

Allez dans « Gestion des actifs → Connexions sans agent ».
Cliquez sur « Ajouter » pour créer une nouvelle connexion.
Remplissez les champs requis (nom, identifiants AWS, etc.).
Validez la connexion et lancez un scan pour tester.

Voici un exemple :

Les clés de connexion AWS peuvent être créées depuis l’interface AWS en cliquant sur le nom du compte en haut à droite, puis « Mes identifiants de sécurité ».

Une fois ces étapes complétées, vous pourrez consulter les résultats du scan et surveiller vos actifs en continu. Pour aller plus loin, pensez à configurer une découverte « Amazon Web Services » afin d’ajouter automatiquement plusieurs actifs.

Patch Tuesday Septembre 2025 - Cyberwatch

cyberwatch — Wed, 10 Sep 2025 08:02:06 GMT

Microsoft a publié sa mise à jour de sécurité mensuelle pour septembre 2025, corrigeant un total de 80 vulnérabilités. Parmi elles figurent :

8 vulnérabilités critiques,
72 failles classées comme importantes.

Analyse de risque septembre 2025

Répartition de la sévérité des CVE

Microsoft a corrigé 80 CVE dans sa mise à jour Patch Tuesday de septembre 2025, dont 8 ont été classées comme critiques (10%) et 72 comme importantes (90%).

Figure 1. Répartition de la sévérité des CVE

Répartition des catégories de vulnérabilités.

Les principaux types de risques observés ce mois-ci, classés par technique d’exploitation, sont :

l’élévation des privilèges avec 38 correctifs (47,5 %) ;
l’exécution de code à distance (RCE) avec 22 correctifs (27,5 %) ;
la divulgation d’informations avec 14 correctifs (17,5 %) ;
le déni de service avec 3 correctifs (3,8 %) ;
le contournement de la fonctionnalité de sécurité avec 2 correctifs (2,5 %) ;
et enfin l’usurpation d’identité avec 1 correctif (1,2 %).

Figure 2. Répartition des catégories de vulnérabilités.

Détail sur les vulnérabilités critiques

Sévérité	Score CVSS	CVE	Description
Critique	7.8	CVE-2025-53800	Vulnérabilité d’élévation de privilèges dans le composant graphique de Windows.
Critique	8.8	CVE-2025-54918	Vulnérabilité d’élévation de privilèges dans Windows NTLM.
Critique	5.5	CVE-2025-53799	Vulnérabilité de divulgation d’informations dans le composant Imagerie Windows.
Critique	7.8	CVE-2025-55224	Vulnérabilité d’exécution de code à distance dans Windows Hyper-V.
Critique	8.4	CVE-2025-54910	Vulnérabilité d’exécution de code à distance dans Microsoft Office.
Critique	7.3	CVE-2025-55236	Vulnérabilité d’exécution de code à distance dans le noyau graphique.

Passez à une approche DevSecOps avec Cyberwatch

Amine Ait Kaci — Thu, 10 Jul 2025 10:06:42 GMT

Historiquement, le DevOps est une approche qui vise à améliorer la collaboration entre les développeurs afin d’accélérer les cycles de développement, de déploiement et de maintenance des applications. Il repose sur l’automatisation, l’intégration continue (CI) et le déploiement continu (CD) pour garantir une livraison rapide et efficace des logiciels. Aujourd’hui, le DevSecOps, pour Development, Security, and Operations, constitue une évolution naturelle du DevOps, de plus en plus adoptée. Cette approche permet d’intégrer la sécurité comme un élément central du cycle de vie du développement logiciel, en s’assurant que la sécurité est prise en compte dès la conception.

Les principes clés du DevSecOps :

L’intégration continue de la sécurité : ce pilier vise à inclure la sécurité dès le début du développement en intégrant des tests et des analyses automatisés dans le pipeline CI/CD, garantissant ainsi une détection précoce des vulnérabilités.
L’automatisation des contrôles de sécurité : l’automatisation permet d’identifier et de corriger rapidement les vulnérabilités en réduisant l’intervention humaine, ce qui garantit un déploiement plus fluide et sécurisé des applications.
Une collaboration permanente entre développeurs, opérations et équipes de sécurité : une approche DevSecOps réussie repose sur une culture de collaboration où chaque acteur du développement prend en compte la sécurité, favorisant ainsi une communication efficace et une responsabilité partagée.

Comment Cyberwatch peut vous accompagner dans le cycle DevSecOps de vos environnements

Lors de la phase de build / CI

La phase de build correspond à l’étape où le code source d’un projet est transformé en élément exécutable, souvent sous la forme d’une image Docker. Cette phase est critique pour intégrer des contrôles de sécurité en amont et éviter la propagation de vulnérabilités dans les environnements de production.

Cyberwatch intervient dès cette étape en tant que scanneur externe pour analyser les images Docker et identifier leurs vulnérabilités directement depuis une chaîne d’intégration continue (CI), que ce soit avec GitLab CI/CD ou GitHub Actions.

Pourquoi intégrer un scan de vulnérabilités dès la phase de build ?

Détection anticipée des failles : les images sont scannées dès leur création, limitant ainsi la diffusion de vulnérabilités dans les environnements suivants.
Automatisation des contrôles : chaque pipeline déclenche une analyse sans intervention manuelle, garantissant un suivi continu.
Blocage des images à risque : en cas de détection de vulnérabilités critiques, il est possible d’empêcher le déploiement d’images non conformes.

Le scan de registre Docker

Une fois les images construites et validées, elles sont stockées, partagées et déployées depuis des registres Docker. Ces registres, qu’ils soient privés ou publics, facilitent la gestion, le suivi et le déploiement des images au sein des différents environnements.

Cependant, des vulnérabilités peuvent apparaître au fil du temps sur des images initialement conformes et actuellement utilisées en production. Pour anticiper ces risques, Cyberwatch assure un suivi continu et réalise des scans réguliers de vos images, permettant de détecter toute nouvelle vulnérabilité qui ne respecterait pas vos politiques de sécurité.

Grâce à ce suivi automatisé, vous êtes immédiatement alerté en cas de découverte d’une vulnérabilité critique, vous permettant ainsi d’agir rapidement pour appliquer les mesures correctives nécessaires.

Depuis Cyberwatch, il est ainsi possible de :

Lister en continu les images présentes sur votre registre Docker ;
Supprimer automatiquement les images qui ne sont plus référencées dans votre registre ;
Ajouter et scanner en continu les nouvelles images détectées pour identifier d’éventuelles vulnérabilités ;
Recevoir des alertes en fonction de vos critères de sécurité, vous informant immédiatement si des vulnérabilités critiques apparaissent.

Atelier : Comment effectuer un scan de registre Docker depuis Cyberwatch

Imaginons un registre Docker largement utilisé, comme Harbor, où sont stockées l’ensemble des images de votre organisation. Avec Cyberwatch, vous pouvez lancer une découverte spécifique sur Harbor ou tout autre registre :

Lors de la configuration d’une découverte, vous pouvez définir le registre Docker à analyser et activer l’enregistrement automatique des images détectées.

De plus, Cyberwatch permet de supprimer automatiquement les actifs sur Cyberwatch qui correspondent à des images qui ne sont plus présentes dans le registre, garantissant ainsi un inventaire toujours à jour.

Une fois la découverte terminée, si l’option d’enregistrement automatique a été activée, les images détectées seront ajoutées directement à Cyberwatch, où elles seront analysées afin d’identifier d’éventuelles vulnérabilités. Cette découverte peut ainsi être effectuée périodiquement par Cyberwatch, qui s’assurera de garder l’inventaire conforme à l’état réel du registre, et d’en remonter les vulnérabilités présentes.

Afin d’être tenu au courant des nouvelles vulnérabilités issues de ces analyses, il est également recommandé de mettre en place des alertes, pouvant être configurées sur le périmètre des images Docker, et qui vous enverra par mail la liste des vulnérabilités impactantes selon vos critères de priorisation.

Le scan Harbor

Dans la section précédente, nous avons exploré la manière de superviser un registre Docker directement depuis Cyberwatch. Toutefois, dans le cas d’Harbor, le sujet peut être abordé dans l’autre sens, et ainsi scanner les images Docker directement depuis Harbor, en utilisant Cyberwatch comme scanneur de vulnérabilités externe.

Concrètement, il vous sera possible d’exécuter un scan de vulnérabilités, et d’afficher le résultat directement depuis l’interface d’Harbor. Cette configuration permet d’améliorer l’automatisation et l’analyse de sécurité des images, toujours dans le but de détecter rapidement les vulnérabilités.

Atelier : Comment ajouter Cyberwatch comme scanneur de vulnérabilité externe

La procédure présentée est complètement décrite dans la documentation.

La première étape consiste à configurer Cyberwatch comme scanneur de vulnérabilité sur Harbor. Les éléments de configuration, notamment les clés d’API et d’authentification nécessaires peuvent être obtenus depuis la section d’administration de Cyberwatch.

Une fois le scanneur configuré, il sera possible de le sélectionner par défaut :

De cette manière, toujours depuis l’interface d’Harbor, il vous sera possible d’exécuter une analyse de vulnérabilités sur les images souhaitées, et d’en obtenir les résultats directement.

Partage d’informations, exports et métriques

Dans une approche DevSecOps, la gestion, le traitement et le partage pertinent des informations sont aussi importants que l’analyse des risques et des vulnérabilités.

En effet, une analyse, aussi optimale soit-elle, n’est efficace que si l’information est correctement diffusée aux parties prenantes. La capacité à extraire, structurer et exploiter les résultats des analyses permet d’optimiser la remédiation des vulnérabilités et d’assurer un suivi efficace des mesures de sécurité mises en place.

Pour faciliter cette gestion, Cyberwatch propose plusieurs mécanismes de récupération et de visualisation des données :

La génération d’exports : différents types d’exports peuvent être générés depuis Cyberwatch, comme des synthèses managériales, des rapports techniques détaillés, ou bien des rapports d’informations brutes sur un actif, un périmètre d’actifs ou tout le parc.

La mise en place d’alertes : il est possible d’être notifié automatiquement par e-mail, via un webhook ou directement sur Teams en cas de détection de vulnérabilités critiques et/ou selon vos propres critères ;

Kibana : L’outil Kibana est automatiquement intégré à Cyberwatch, avec des tableaux de bord pré-configurés et personnalisables permettant un suivi des métriques de sécurité.

Pour aller plus loin

Envie de scanner vos images Docker avant même qu’elles ne soient déployées dans votre registre ?

Nous allons prochainement publier un article pour vous montrer comment intégrer le scan de vulnérabilités Cyberwatch dans un pipeline CI/CD, afin d’identifier les vulnérabilités dès la phase de build !

Comment fonctionnent les alertes Cyberwatch ?

Théo Mauri — Mon, 30 Jun 2025 08:52:33 GMT

Les 9 et 10 décembre 2021, Julien, administrateur sécurité dans une PME d’e-commerce, préparait la mise en production d’un nouvel applicatif prévu pour le retour du weekend. De retour le 13 décembre 2021, il découvrit trop tard que Log4Shell, révélée le 9 décembre, avait déjà été exploitée sur ses serveurs.

Un simple patch publié le 10 décembre aurait évité l’attaque mais non informé, des données avaient fui, le système était compromis.

En cybersécurité, chaque heure compte. C’est pourquoi Cyberwatch vous permet de vous informer nativement des CVE jugées comme critiques par les autorités CISA-KEV et CERTFR présentes sur vos actifs dans l’heure.

Ainsi, Julien aurait reçu un mail lui informant de la présence de Log4Shell sur son SI et éviter les dommages encourus.

Les alertes Cyberwatch permettent d’optimiser votre temps

Dans un environnement où la sécurité informatique est une priorité, il est crucial de savoir quand et comment réagir face aux nouvelles vulnérabilités et être vigilant aux actifs qui échappent à toute supervision.

Cyberwatch, depuis sa version 14.0 (septembre 2024), a introduit une fonctionnalité d’alertes permettant aux utilisateurs de recevoir des notifications personnalisées pour gérer leur parc informatique de manière plus proactive.

Dans cet article, nous vous présentons des cas d’usages concrets des alertes, vous expliquons comment les configurer, comment elles fonctionnent, et comment les adapter à vos besoins spécifiques. À travers un tutoriel pas-à-pas, vous serez en mesure de mettre en place des alertes qui vous tiendront informés des risques et de la santé de votre SI.

Pourquoi utiliser les alertes Cyberwatch ?

Les alertes Cyberwatch sont un excellent moyen d’être notifié en temps réel sur les éléments critiques de votre système, comme les nouvelles vulnérabilités, les défauts de sécurité ou encore des actifs non supervisés.

Plutôt que de consulter constamment l’outil, vous pouvez vous reposer sur ces notifications pour être réactif à toute évolution de votre infrastructure.

Les différents canaux de notification

Les alertes peuvent être envoyées par différents canaux pour que vous ne manquiez aucune information importante doit voici quelques exemples :

Notifications dans l’interface Cyberwatch
E-mail
Canaux de discussion d’équipe
Service de ticketing

Comment fonctionnent les alertes Cyberwatch ?

1. Création de l’alerte (le filtre)

La première étape consiste à créer l’alerte dans Cyberwatch. Cela se fait depuis la section Réglages > Alertes. Cyberwatch vous permet de choisir exactement ce que vous souhaitez suivre.

Par exemple, vous pouvez définir une alerte pour être averti lorsqu’une vulnérabilité est détectée dans vos actifs, lorsqu’un OS devient obsolète, ou lorsqu’un serveur ne reçoit pas la supervision nécessaire.

2. Mise en place de l’intégration (la mise en forme de l’alerte)

Les alertes ne suffisent pas à elles seules. Pour pouvoir les visualiser, vous devez configurer une intégration. Cela se fait depuis le menu Administration. Cyberwatch prend en charge nativement les protocoles HTTP et SMTP. Ces intégrations vous permettent d’envoyer les alertes vers différents systèmes, comme des mails ou des messages sur des webhooks de n’importe quelle application ayant une API REST.

3. Les alertes ne se déclenchent que sur les nouvelles informations

Pour éviter d’être inondé d’informations répétitives, Cyberwatch ne déclenche les alertes que lorsqu’il y a de nouvelles informations ou un changement dans votre infrastructure. Cela permet de vous tenir informé des évolutions sans perdre de temps.

À vous de jouer : créez une alerte Cyberwatch !

Maintenant que nous avons vu les bases du fonctionnement des alertes, plongeons dans la création d’exemples concrets d’alertes.

Cas 1 : Recevoir un E-mail si un certificat d’un serveur va expirer

L’expiration d’un certificat TLS, c’est ouvrir une brèche béante dans votre forteresse numérique. Sans cette clé de sécurité, vos données deviennent une cible facile pour les cybercriminels. Imaginez les conséquences : interception de données sensibles, usurpation d’identité, et une vulnérabilité accrue face aux attaques. Être informé et agir à temps, c’est le bouclier qui protège votre entreprise des menaces invisibles.

Vous trouverez ci-dessous notre protocole afin d’être alerté par mail lorsque vos certificats sont sur le point d’expirer :

Étape 1 : Création de l’intégration SMTP

Allez dans Administration > Intégrations et cliquez sur Ajouter.
Sélectionnez SMTP comme protocole et utilisez le code Liquid ci-dessous pour formater le mail :

 
 
 
 
 
 
 
<br />

Le résultat ressemblera à :

Configuration de l’alerte planifiée

Allez dans Réglages > Alertes planifiées > Ajouter.
Sélectionnez l’emplacement d’alerte « Encyclopédie – Défauts de sécurité ».
Filtrer sur le défaut de sécurité voulu (ici “TLS Certificate (about to expire)”).
Associez-le à l’intégration SMTP que vous venez de configurer.

Le résultat ressemblera à :

Cas 2 : Recevoir une Alerte Teams si un serveur présent sur votre environnement Azure n’est pas supervisé

L’absence de supervision d’un actif, y compris ceux déployés dans Azure, par Cyberwatch, crée un angle mort dangereux dans votre dispositif de sécurité.

Dans un environnement cloud comme Azure, où les ressources sont dynamiques et évolutives, cette lacune est particulièrement préoccupante.
Sans la surveillance continue de Cyberwatch, les vulnérabilités potentielles de ces actifs Azure restent non détectées, exposant votre organisation à des risques accrus d’attaques. Être alerté de l’absence de supervision de ces actifs permet une action rapide pour les intégrer à la surveillance, renforçant ainsi la posture globale de cybersécurité de votre organisation.

Vous trouverez ci-dessous le protocole pour être alerté en cas de Shadow IT sur vos découvertes :

Prérequis

Avoir configurer une découverte Azure avec une récurrence
Avoir les droits nécessaires sur Teams pour créer un canal et ajouter une application

Étape 1 : Configurer Microsoft Teams

Créez une équipe dédiée à Cyberwatch dans Teams.
Ensuite, créez un canal spécifique pour recevoir les alertes sur le Shadow IT.
Ajouter un Connecteur Teams (Incoming Webhook).
Dans votre canal Teams, ajoutez un connecteur “Incoming Webhook” et configurez-le pour recevoir des messages.

Étape 2 : Créer l’Intégration HTTP

Allez dans Administration > Intégrations et cliquez sur Ajouter.
Sélectionnez HTTP comme protocole et utilisez le code Liquid ci-dessous pour formater le mail :

{ 
  "type": "message", 
  "attachments": [{ 
    "contentType": "application/vnd.microsoft.card.adaptive", 
    "content": { 
      "msteams": { 
        "width": "full" 
      }, 
      "type": "AdaptiveCard", 
      "body": [ 
       { 
            "type": "Container", 
            "separator": true, 
            "items": [{ 
              "type": "TextBlock", 
              "size": "large", 
              "weight": "bolder", 
              "text": "Actif(s) non supervisé(s) par Cyberwatch :" 
            }] 
          }, 
         
      ], 
      "$schema": "http://adaptivecards.io/schemas/adaptive-card.json", 
      "version": "1.5" 
    } 
  }] 
}

Cela devrait ressembler à cela :

Étape 3 : Configuration de l’Alerte planifiée

a) Créer l’alerte directement à partir d’une recherche Cyberwatch :

b) Configurez la récurrence de l’alerte et choisissez l’intégration créée précédemment :

Idées d’alertes pour maximiser votre gestion de parc

Les alertes Cyberwatch sont extrêmement flexibles et peuvent être adaptées à vos besoins spécifiques. Voici quelques scenarios d’alertes à mettre en place pour mieux gérer votre parc informatique :

Votre entreprise utilise un serveur exposé sur Internet. Une nouvelle CVE critique avec un exploit actif est publiée. Grâce au système d’alerte de la plateforme Cyberwatch, vous recevez immédiatement une notification et un ticket est automatiquement créé dans Jira, ServiceNow, GLPI ou encore Hackuity. Votre équipe cybersécurité est informée et peut réagir rapidement pour appliquer un correctif avant qu’une attaque ne survienne.

Votre équipe cybersécurité suit de près les menaces émergentes. Un nouvel ajout est détecté dans la base CERTFR ALE ou CISA KEV. Vous recevez automatiquement un email vous informant de cette nouvelle vulnérabilité critique. Cela permet à votre équipe d’évaluer rapidement l’impact potentiel et d’anticiper les mesures de protection nécessaires.

Restez informé, sans effort !

Avec les alertes de la plateforme Cyberwatch, suivez en temps réel les risques et l’état de santé de votre infrastructure. Intégrez-les facilement à Microsoft Teams ou par email pour recevoir instantanément les informations critiques. Plus besoin de surveillance manuelle, restez concentré sur l’essentiel.

Activez vos alertes dès maintenant et sécurisez votre parc informatique.

Besoin d’aide ? Notre support est là pour vous accompagner !

Cybersécurité : Cyberwatch renforce sa veille européenne

cyberwatch — Wed, 25 Jun 2025 13:42:32 GMT

Chez Cyberwatch, notre mission est claire : aider les entreprises à comprendre leurs vulnérabilités et à maintenir en condition de sécurité leurs systèmes d’information. Engagés au cœur des enjeux de cybersécurité, nous avons franchi une nouvelle étape en intégrant de nombreuses sources européennes d’alertes de sécurité à notre plateforme.

Une réponse concrète aux enjeux de souveraineté numérique

Jusqu’à présent, la majorité des données sur les vulnérabilités disponibles sur le marché provenait de sources nord-américaines, comme la NVD (National Vulnerability Database). Bien qu’indispensables, ces bases ne couvrent pas toujours avec précision les enjeux spécifiques du territoire européen, notamment en matière de réglementation ou de standards industriels.

C’est pourquoi notre plateforme Cyberwatch intègre désormais les principales sources institutionnelles européennes, afin d’enrichir la précision et la pertinence de ses alertes.

Focus sur l’EUVD, une base souveraine et stratégique

Parmi les apports majeurs de cette évolution, nous soulignons l’intégration de l’EUVD (European Union Vulnerability Database), développée par l’ENISA. Cette base de données vient compléter les référentiels existants en mettant l’accent sur les vulnérabilités identifiées au sein de l’Union européenne, dans un cadre conforme aux réglementations en vigueur.

Grâce à ces nouvelles intégrations, Cyberwatch :

Détecte plus tôt les vulnérabilités critiques signalées localement,
Assure une veille réglementaire alignée avec les cadres européens comme la Directive NIS2 ou la RGPD,
Offre une alternative souveraine aux bases américaines, pour les organisations soucieuses de l’origine et de la gouvernance des données qu’elles exploitent.

Panorama des nouvelles sources intégrées

Voici la liste des nouvelles sources désormais intégrées dans la plateforme Cyberwatch :

🇫🇷 France :

ANSSI / CERT-FR : autorité nationale en matière de sécurité des systèmes d’information.
RENATER : infrastructure de recherche.
CERT Santé : dédié au secteur de la santé.
CERT EDF : pour les infrastructures énergétiques.
CERT-IST : spécialisé dans les industries technologiques et de défense (Thales).

🇪🇺 Europe (organismes transnationaux)

CERT-EU : protection des institutions de l’Union européenne.
CSIRTs Network : réseau de coopération des équipes de réponse européennes.
EUVD : base de vulnérabilités de référence en Europe.

🇩🇪 Allemagne :

CERT-VDE : pour les systèmes industriels et énergétiques.
BSI / CERT-Bund : autorité nationale en cybersécurité.

🇮🇹 Italie :

ACN : agence nationale de cybersécurité.

🇪🇸 Espagne :

CCN-CERT : rattaché au Centre national de renseignement.
INCIBE : Institut national de cybersécurité.

🇦🇹 Autriche :

CERT-AT : équipe nationale de réponse aux incidents.

🇧🇪 Belgique :

Centre for Cybersecurity Belgium : autorité fédérale en cybersécurité.

Envie d’en savoir plus ?

Contactez notre équipe dès maintenant pour découvrir comment ces nouvelles alertes peuvent vous aider à renforcer votre posture de cybersécurité.

Blog de Cyberwatch

La gestion des vulnérabilités à l’ère de l’IA générative - Cyberwatch

Vulnérabilités en nette augmentation : la fin de la centralisation

Enrichissement des données CVE : des sources multiples

Les CNA (CVE Numbering Authorities)

Les ADP (Authorized Data Publishers)

Les CERT européen et nationaux

L’initiative open source Vulnrichment

L’IA au service de l’enrichissement automatique des CVE

Identification, priorisation et remédiation des CVE assistée par LLM

EASM : gérer votre surface d’attaque externe avec Cyberwatch

Qu’est-ce que la gestion de la surface d’attaque externe (EASM) ?

Définition et principes clés

Que recouvre la surface d’attaque externe d’une organisation ?

Pourquoi l’EASM s’impose dans les stratégies de cybersécurité des organisations

Une approche portée par la reconnaissance des analystes et du marché

Une adoption accélérée par l’explosion de la surface d’attaque externe

Les bénéfices concrets de l’EASM

L’EASM en pratique

Les 3 étapes clés de l’EASM

Les outils pour piloter sa surface d’attaque externe

Comment Cyberwatch vous aide à maîtriser votre surface d’attaque externe

Cartographiez automatiquement vos actifs exposés

Cartographie des noms de domaine et sous-domaines

Cartographie des infrastructures cloud

Cartographie des plages réseau publiques

Analysez la surface exposée et identifiez les points d’entrée

Pilotez votre surface d’attaque grâce aux tableaux de bord et aux rapports

Priorisez vos vulnérabilités selon votre contexte réel d’exposition

Inscrivez votre démarche EASM dans une démarche CTEM complète

Ce qu’il faut retenir

FAQ

Quelle est la différence entre l’EASM et la gestion des vulnérabilités classique ?

L’EASM est-elle réservée aux grandes entreprises ?

L’EASM remplace-t-elle les tests d’intrusion ?

Quelle est la différence entre l’EASM et le CTEM ?

Net-NTLMv1 : le talon d’Achille des environnements Windows vieillissants - Cyberwatch

Net-NTLMv1 : contexte de la publication et remédiation

Utiliser Cyberwatch pour vérifier la désactivation

CVE-2025-55182 React2Shell - Scannez vos actifs sur Cyberwatch

CVE-2025-55182 React2Shell une vulnérabilité de type exécution de code à distance qui affecte les logiciels React et Next.js.

Quels sont les systèmes affectés par la CVE-2025-55182

Impact et risques liés à la faille React2Shell

Pourquoi deux CVE pour la même vulnérabilité ?

Comment détecter la CVE-2025-55182 ?

Comment neutraliser cette vulnérabilité ?

Cyberwatch 15.0 - Découvrez notre nouvelle version majeure

Les fonctionnalités mises en avant

Suivi de la vélocité de vos équipes sécurité

Une expérience utilisateur améliorée

Plus de souplesse et de contrôle dans la gestion des projets

Visualisation cartographique des actifs

Intégration native avec AWS CloudFormation

Les nouvelles fonctionnalités de Cyberwatch 15.0

API : un accès généralisé

Cibles réseau et sites web : visibilité renforcée

Conformité : nouveau référentiel pour EKS

Découvertes : élargissement du périmètre

Fournisseurs d’identité : gestion affinée des utilisateurs

Images Docker : support de Podman

Kibana : priorisation des vulnérabilités

Périmètre : enrichissement des technologies supportées

Explorez toutes les nouveautés de Cyberwatch 15.0

AWS Session Manager - Scannez vos actifs sur Cyberwatch

Qu’est-ce que AWS Session Manager ?

Etapes de configuration sur AWS

1. Configuration de l’EC2

2. Configuration des autorisations pour l’utilisateur

3. Etapes de configuration sur Cyberwatch

Patch Tuesday Septembre 2025 - Cyberwatch

Analyse de risque septembre 2025

Répartition de la sévérité des CVE

Répartition des catégories de vulnérabilités.

Détail sur les vulnérabilités critiques

Passez à une approche DevSecOps avec Cyberwatch

Comment Cyberwatch peut vous accompagner dans le cycle DevSecOps de vos environnements

Lors de la phase de build / CI

Le scan de registre Docker

Atelier : Comment effectuer un scan de registre Docker depuis Cyberwatch

Le scan Harbor

Qu’est-ce que AWS Session Manager ?

1. Configuration de l’EC2 

2. Configuration des autorisations pour l’utilisateur 