Faille F5 BIG-IP : votre entreprise est-elle concernée et que faire ?

Un portier contrôle l'entrée de votre immeuble. Un matin, vous apprenez qu'il laisse passer n'importe qui, sans badge, depuis des mois. Combien de temps mettriez-vous à réagir ?

Pour de nombreuses entreprises, la réponse se compte en mois. Le 15 octobre 2025, F5 publie un avis de sécurité sur la faille CVE-2025-53521, qui touche son produit BIG-IP APM. Le 29 mars 2026, l'éditeur confirme que des attaquants l'exploitent activement. Le 31 mars, le CERT-FR, le centre d'alerte de l'État français, publie à son tour une alerte. Cinq mois se sont écoulés, et des équipements jamais mis à jour continuent de monter la garde. Voici ce que cette faille signifie pour votre entreprise, et les vérifications à demander à votre équipe informatique.

F5 BIG-IP APM : le portier de votre informatique

BIG-IP APM (Access Policy Manager) est un équipement placé à l'entrée du réseau de l'entreprise. Son rôle : vérifier l'identité de chaque personne qui demande à entrer. Connexion à distance des salariés, accès aux applications internes, portail de télétravail : tout passe par lui.

Vous ne connaissez peut-être pas son nom, mais vos équipes le croisent tous les jours. C'est souvent la page de connexion qui s'affiche avant d'accéder aux outils de l'entreprise depuis la maison ou en déplacement. On le trouve dans des entreprises de toutes tailles, et aussi chez des prestataires informatiques qui font transiter les accès de leurs clients par leurs propres équipements.

Un point le distingue du reste de votre informatique : il est, par construction, exposé sur internet. C'est sa fonction. Un portier ne sert à rien derrière une porte fermée.

La faille CVE-2025-53521 expliquée sans jargon

La faille permet à un inconnu, sans identifiant ni mot de passe, d'exécuter du code à distance sur l'équipement. En clair : une personne qui n'a jamais prouvé son identité prend les commandes de la machine chargée de vérifier les identités.

Un portier qui obéit au premier venu n'est plus un portier : c'est une porte.

Une fois l'équipement sous contrôle, l'attaquant peut lire ce qui y transite, ouvrir des accès vers le réseau interne, ou s'installer discrètement en attendant le bon moment. Le correctif existe depuis le 15 octobre 2025. Depuis le 29 mars 2026, l'exploitation active est confirmée : des groupes parcourent internet à la recherche des équipements restés en version vulnérable. Ce repérage est automatisé. Il ne vise pas votre entreprise en particulier : il vise tous les portiers qui n'ont pas été mis à jour.

Comment savoir si votre entreprise est concernée

Trois cas de figure.

Votre entreprise gère son informatique en interne : posez la question directement. "Utilisons-nous un équipement F5 BIG-IP, et le module APM est-il activé ?" La réponse tient en une phrase.

Votre informatique est confiée à un prestataire : la question vaut double. D'abord pour vos propres accès, ensuite pour les siens, car certains prestataires font passer les connexions de leurs clients par leurs équipements F5. Sa faille devient la vôtre.

Vous n'utilisez pas F5 : la démarche reste la même, avec un autre nom. Tout accès à distance passe par un portier, quel que soit son fabricant, et chaque fabricant publie ses avis de sécurité. La méthode de vérification qui suit s'applique à tous.

Les 3 vérifications à demander à votre équipe informatique

Vous n'avez pas besoin de comprendre la technique pour piloter le sujet. Trois questions, formulées telles quelles, suffisent.

1. "Quelle version de BIG-IP utilisons-nous, et le correctif d'octobre 2025 est-il appliqué ?" L'avis de F5 liste les versions corrigées. La réponse attendue est un numéro de version, pas un "oui, tout va bien". Si la mise à jour n'a pas été faite, demandez une date.

2. "L'interface d'administration de l'équipement est-elle accessible depuis internet ?" La page de connexion des salariés doit l'être. La console de gestion, jamais. Le CERT-FR recommande de la restreindre au réseau interne : c'est une modification de configuration, pas un chantier.

3. "Avons-nous cherché des traces d'intrusion depuis octobre 2025 ?" C'est la question qu'on oublie. Mettre à jour ferme la porte, mais n'expulse pas celui qui serait déjà entré. Une revue des journaux de connexion sur la période s'impose, surtout si le correctif a été appliqué tardivement.

Demandez trois réponses écrites. Un tableau de bord de dirigeant tient parfois en un e-mail.

Un scénario chiffré : ce que coûte un portier défaillant

Prenons une entreprise de négoce de 120 salariés, 15 millions d'euros de chiffre d'affaires, dont les commerciaux se connectent à distance via un boîtier BIG-IP installé en 2022 et jamais mis à jour depuis.

Février 2026 : un groupe d'attaquants repère l'équipement lors d'un balayage automatique, en prend le contrôle, puis progresse pendant trois semaines vers les serveurs internes. Un vendredi soir, il chiffre les données et réclame une rançon.

L'addition, reconstituée à partir de cas publics comparables :

• 5 jours d'arrêt d'activité, soit environ 300 000 euros de chiffre d'affaires non réalisé (60 000 euros par jour ouvré) ;
• intervention d'urgence d'une équipe spécialisée : 40 000 à 80 000 euros ;
• notification à la CNIL et information des clients : plusieurs semaines de temps de direction ;
• renégociation de l'assurance cyber à la hausse l'année suivante.

En face, le coût de la prévention : une fenêtre de maintenance de deux heures, un soir, planifiée depuis octobre 2025. Le rapport est de l'ordre de un pour mille.

Le réflexe d'été : l'audit de vos accès avant la rentrée

Cette faille sera corrigée, une autre la remplacera. Ce qui distingue les entreprises, ce n'est pas d'échapper aux failles : c'est le délai entre l'avis de l'éditeur et la mise à jour. Cinq mois, c'est un délai qui se choisit, pas un délai qui se subit.

L'été s'y prête. L'activité ralentit, les urgences se font rares : le bon moment pour prendre une demi-journée et poser à plat la liste de vos portiers. Concrètement, un audit des accès répond à quatre questions :

• Par où entre-t-on dans votre informatique : connexions à distance, portails, accès de prestataires ?
• Qui détient un accès aujourd'hui, et lesquels sont encore justifiés ?
• Ces équipements d'entrée sont-ils à jour, et qui surveille les avis de sécurité des fabricants ?
• Combien de temps s'écoule, chez vous, entre la publication d'un correctif et son application ?

Ce travail ne demande pas de refondre votre informatique. Il demande un inventaire honnête, posé au calme, avant que la rentrée ne remette tout le monde en mouvement.

En parler, posément

Si vous ne savez pas qui joue le rôle de portier dans votre informatique, c'est la première question à laquelle répondre : elle ouvre toutes les autres. Nous la traitons régulièrement avec des dirigeants d'entreprises françaises, lors d'un échange d'une demi-heure, sans engagement.

Prendre rendez-vous pour parler de vos accès

À la rentrée, votre portier fera à nouveau le tri. C'est bien la seule chose qu'on lui demande.