Les attaques réseau les plus redoutables, et comment fermer chacune
Les quatre premières sont à l'intérieur du LAN : des valeurs par défaut qui permettent à un seul port d'aller beaucoup trop loin.
Les six dernières font face à Internet : des VPN et des interfaces d'administration, et les six figurent au catalogue des vulnérabilités exploitées de la CISA.
VLAN hopping
Un port qui se négocie lui-même en trunk, ou une trame à deux étiquettes, et tous les VLAN sont à portée.
Pour fermer la porte : mode access sur les ports utilisateurs, pas de négociation de trunk, et un VLAN natif que personne n'utilise.
Manipulation du spanning tree
Tous les constructeurs livrent la même priorité, 32 768, si bien qu'un équipement posé sur un bureau peut se déclarer racine.
Pour fermer la porte : BPDU Guard sur les ports utilisateurs, et Root Guard vers les commutateurs d'accès.
MAC flooding
Remplissez la table d'adresses du commutateur, et il envoie les trames destinées à d'autres hôtes sur tous les ports.
Pour fermer la porte : la port security, avec une limite d'adresses par port.
DHCP pirate et ARP
La fausse passerelle. Un serveur DHCP pirate ou une réponse ARP usurpée, et le trafic passe par l'attaquant.
Pour fermer la porte : DHCP snooping et Dynamic ARP Inspection, en ne faisant confiance qu'à vos liens montants (uplinks).
FortiOS SSL VPN
Trois failles, toutes exploitées et toutes utilisées par des rançongiciels, et les informations d'accès VPN de 87 000 équipements divulguées.
Pour fermer la porte : appliquer le correctif, réinitialiser les mots de passe VPN et activer l'authentification à deux facteurs.
PAN-OS
Du code exécuté en tant que root sur le pare-feu, sans authentification, score de 10,0.
Pour fermer la porte : appliquer le correctif, et garder l'interface d'administration hors d'Internet.
Services d'administration Cisco
Smart Install, l'interface web et SNMP, laissés à l'écoute, et toujours utilisés par des acteurs étatiques.
Pour fermer la porte : no vstack, no ip http server, et une liste d'accès sur chaque community SNMP.
Juniper J-Web
Quatre failles moyennes qui s'enchaînent jusqu'à l'exécution de code, sans authentification.
Pour fermer la porte : appliquer le correctif, et désactiver J-Web ou le limiter aux hôtes de confiance.
MikroTik Winbox
Un port ouvert, et le routeur livre sa base d'utilisateurs.
Pour fermer la porte : mettre à jour, changer tous les mots de passe, et filtrer Winbox depuis Internet.
F5 BIG-IP
L'API d'administration contournait l'authentification, sur un équipement placé devant chaque application.
Pour fermer la porte : appliquer le correctif, verrouiller les self IP, et garder l'administration sur des réseaux de confiance.
En bref
Dix portes, chacune avec sa propre page, les commandes pour chaque constructeur et les sources officielles.
Les épisodes déjà publiés
VLAN hopping
Le saut de VLAN par négociation de trunk et double étiquetage, ce qu'il permet, et les réglages qui le ferment sur quatre constructeurs.
Épisode 2Manipulation STP
Comment un équipement pirate devient racine du spanning tree, ce que cela coûte, et comment BPDU Guard et Root Guard l'empêchent.
Épisode 3Saturation MAC
Quand la table MAC d'un switch déborde, il diffuse chaque trame sur tous ses ports. Les limites par port qui empêchent ce débordement.
Épisode 4Faux DHCP et ARP
La fausse passerelle, par un faux serveur DHCP ou par usurpation ARP, et comment DHCP snooping et l'inspection ARP la ferment.
Épisode 5FortiOS SSL VPN
CVE-2018-13379, CVE-2022-42475 et CVE-2024-21762 sur le VPN SSL de FortiOS : facilité, impact, et les mesures qui les ferment.
Épisode 6PAN-OS
GlobalProtect et l'interface d'administration de PAN-OS : trois CVE au catalogue de la CISA, leur impact et les mesures qui les ferment.
Épisode 7Services de gestion Cisco
Smart Install, l'interface web d'IOS XE et SNMP : les services de gestion Cisco encore exploités, et comment les désactiver.
Épisode 8Juniper J-Web
Quatre failles moyennes de J-Web sur Junos qui, enchaînées, deviennent critiques (CVE-2023-36845), et les mesures qui les ferment.
Épisode 10F5 BIG-IP
CVE-2022-1388 sur l'API iControl REST de F5 BIG-IP : commandes sans authentification sur l'équipement placé devant chaque application.
Épisode 11PHP2Shell
CVE-2026-109618 et CVE-2026-109619 dans le cœur de PHP, de la 5.4 à la 8.5.11 : ce qu'elles permettent, et les versions qui les corrigent.
Épisode 12FortiSIEM
CVE-2026-106173 sur le service phQueryMaster de FortiSIEM : un port joignable suffit pour devenir root. Les versions et la mesure qui la ferment.
Épisode 13GitLab
CVE-2026-110264, un dépassement d'entier dans le moteur d'expressions régulières de GitLab, noté 10,0 : l'impact, et les versions corrigées.
Épisode 14CDPwn
CVE-2020-3118 et quatre autres failles du protocole CDP sur IOS XR, NX-OS, téléphones et caméras IP Cisco : l'impact, et ce qui les ferme.
Sources
Sources : catalogue CISA KEV, avis des constructeurs et éditeurs (Fortinet, Palo Alto Networks, Cisco, Juniper, MikroTik, F5, PHP, GitLab), NVD, avis de la CISA et du FBI, guides de configuration des constructeurs.
Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.