Faille VMware vCenter : votre entreprise est-elle concernée ?

9,8 sur 10. Sur l'échelle qui mesure la gravité des failles informatiques, on ne fait guère pire. C'est pourtant la note de la faille corrigée fin juillet dans VMware vCenter, le logiciel qui pilote les serveurs virtuels de milliers d'entreprises françaises.

Si votre informatique repose sur des serveurs virtualisés, et c'est le cas de la plupart des entreprises équipées de serveurs, vCenter en est le concierge : il tient le trousseau de toutes vos machines. Broadcom, l'éditeur de VMware, vient de publier des correctifs pour trois failles critiques. Cet article reprend, sans jargon, ce qu'un dirigeant doit savoir : ce que permettent ces failles, comment vérifier si votre entreprise est concernée, quels correctifs appliquer et dans quel ordre.

Trois failles, trois portes qui ferment mal

La première, référencée CVE-2026-59309, est la plus grave : 9,8 sur 10 sur l'échelle CVSS, qui va de 0 à 10. Elle permet de contourner l'authentification de vCenter. Concrètement : un attaquant qui parvient à joindre vCenter sur le réseau peut entrer sans identifiant ni mot de passe. Le concierge ouvre la porte sans demander qui sonne.

La deuxième permet l'exécution de code à distance : une fois entré, l'attaquant fait tourner ses propres programmes sur vos serveurs. Il ne visite plus le bâtiment, il s'y installe.

La troisième est une évasion de machine virtuelle. En temps normal, chaque machine virtuelle est isolée des autres, comme des appartements séparés par des murs porteurs. Cette faille permet de traverser le mur : depuis une seule machine compromise, l'attaquant atteint le serveur physique qui les héberge toutes. Elle concerne aussi VMware ESX, Workstation et Fusion.

Aucune de ces failles n'exige de complicité interne ni de mot de passe volé. Un accès réseau suffit. C'est ce qui justifie les notes attribuées.

Comment savoir si votre entreprise est concernée

Beaucoup de dirigeants ignorent qu'ils utilisent VMware : c'est un choix technique fait par le prestataire ou le service informatique, souvent il y a des années. Trois vérifications permettent d'y voir clair.

Un, l'inventaire. Votre entreprise possède-t-elle des serveurs physiques, dans vos locaux ou dans un centre d'hébergement ? Si oui, il y a de fortes chances qu'ils fassent tourner plusieurs serveurs virtuels, et VMware reste l'outil le plus répandu pour cela.

Deux, les versions. Les failles touchent VMware vCenter, ESX, Workstation et Fusion. Votre prestataire peut vous donner les numéros de version en quelques minutes : c'est une information qu'il a sous la main, ou qu'il devrait avoir.

Trois, l'exposition. Un vCenter ne devrait jamais être accessible depuis internet. Il ne devrait même pas être joignable depuis tous les postes de l'entreprise : seuls les administrateurs ont besoin de lui parler. Si votre concierge reçoit les visiteurs sur le trottoir, le correctif ne suffira pas : il faudra aussi déplacer sa loge.

Les correctifs à appliquer, et dans quel ordre

Broadcom a publié les correctifs pour l'ensemble des produits touchés. L'ordre d'application compte.

D'abord vCenter. C'est lui qui tient le trousseau, et c'est lui que vise la faille la plus grave, celle qui se passe de mot de passe.

Ensuite les serveurs ESX, ceux qui hébergent physiquement vos machines virtuelles. Leur mise à jour demande plus de préparation : il faut déplacer les machines virtuelles vers un autre serveur pendant l'opération, ou accepter une coupure planifiée.

Enfin les postes de travail équipés de Workstation ou Fusion, souvent ceux des équipes techniques.

Trois pièges classiques à éviter. Le premier : appliquer le correctif sans sauvegarde préalable ni fenêtre de maintenance, et transformer une opération de routine en panne. Le deuxième : oublier le serveur de test installé il y a quatre ans, que plus personne n'administre mais qui reste branché au même réseau. Le troisième : se dire que le pare-feu protège déjà tout. Il limite l'exposition, il ne répare pas la serrure.

Point de vigilance supplémentaire : depuis le rachat de VMware par Broadcom, l'accès aux mises à jour dépend de votre contrat de licence et de support. Si le vôtre est flou sur ce point, c'est le moment de le clarifier avec votre prestataire.

Un exemple chiffré : ce que coûte un trousseau volé

Le scénario n'a rien de théorique. En février 2023, la vague de rançongiciels ESXiArgs a chiffré plus de 3 000 serveurs VMware dans le monde en quelques jours, en exploitant une faille corrigée deux ans plus tôt. Les attaquants visent les serveurs de virtualisation précisément parce qu'une seule clé y ouvre toutes les portes.

Prenons une entreprise de 60 personnes : 3 serveurs physiques, 35 machines virtuelles, dont la messagerie, la gestion commerciale et, erreur fréquente, le serveur de sauvegarde lui-même. Un attaquant entre par un vCenter non corrigé et chiffre tout au niveau du serveur hôte, c'est-à-dire sous les machines virtuelles : l'antivirus installé dans chacune d'elles ne voit rien passer.

Résultat : toute l'activité s'arrête d'un coup, sauvegardes comprises. Comptez 10 jours d'interruption au mieux. À 8 000 € de chiffre d'affaires quotidien, cela fait 80 000 € de manque à gagner, auxquels s'ajoutent 15 000 à 25 000 € de reconstruction avec un prestataire spécialisé, sans compter les clients perdus pendant le silence. En face : les correctifs représentent une soirée de maintenance planifiée.

Les cinq questions à poser à votre prestataire informatique

Vous n'avez pas besoin d'être technicien pour piloter le sujet. Cinq questions suffisent, et la qualité des réponses vous en dira long.

1. Utilisons-nous VMware, et en quelles versions ?
2. Les correctifs publiés par Broadcom fin juillet sont-ils appliqués ? Sinon, à quelle date le seront-ils ?
3. Notre vCenter est-il joignable depuis internet, ou depuis tous les postes de l'entreprise ?
4. Qui détient aujourd'hui les accès d'administration, et depuis quand ces mots de passe n'ont-ils pas changé ?
5. Si nos serveurs virtuels étaient chiffrés demain matin, nos sauvegardes survivraient-elles, et en combien de temps redémarrerions-nous ?

Une bonne réponse est datée et précise : correctifs appliqués le 28 juillet, vCenter accessible uniquement depuis le réseau d'administration, dernière restauration testée en juin. Une réponse évasive, du type « on gère, ne vous inquiétez pas », mérite une seconde question.

L'été, le bon moment pour compter ses clés

Rien dans ce dossier n'appelle la panique : les correctifs existent et la démarche tient en quelques heures de travail planifié. Ce qu'il appelle, c'est une vérification posée, et l'été s'y prête bien. L'activité ralentit, les fenêtres de maintenance sont faciles à trouver, et une mise à jour faite au calme en août vaut mieux qu'une crise gérée dans l'agitation de septembre.

Si vous souhaitez faire le point sur vos serveurs virtuels, vos accès et vos sauvegardes, nous pouvons en parler : réservez un créneau sur https://autens.ai/rdv. Trente minutes suffisent pour savoir où vous en êtes.

Et avant de fermer pour les vacances, une dernière consigne au bâtiment : tout le monde part en congés, sauf le concierge.