Et si la prochaine cyberattaque ne visait plus des réfrigérateurs, mais des hôpitaux, des stations de traitement de l’eau ou des installations électriques ? Après les cyberattaques qui ont perturbé les systèmes frigorifiques de centaines de supermarchés français en octobre 2026, une question se pose : combien d’autres infrastructures essentielles fonctionnent encore avec des vulnérabilités connues depuis des mois, voire des années ?
Les alertes existent. Les chercheurs publient leurs découvertes. Les fabricants diffusent des correctifs et les autorités multiplient les recommandations. Pourtant, plusieurs rapports officiels montrent que des systèmes industriels et médicaux continuent de présenter des failles exploitables, parfois avec des conséquences directes sur leur fonctionnement.
Cyberattaque.org a examiné plusieurs études et bulletins de sécurité publiés entre 2023 et octobre 2026. Des dispositifs médicaux aux automates de distribution d’eau, en passant par les systèmes de régulation électrique, les exemples sont nombreux. Certains concernent des vulnérabilités théoriques, d’autres des équipements effectivement attaqués. Et contrairement à ce que l’on pourrait croire, la France n’est pas épargnée.
L’affaire Danfoss : des failles documentées plusieurs années avant les attaques
Les cyberattaques des 11 et 12 octobre 2026 contre les équipements frigorifiques de plusieurs enseignes françaises ont provoqué des pertes importantes de marchandises. En manipulant les systèmes de régulation à distance, des attaquants ont perturbé le fonctionnement des installations frigorifiques.
Mais l’existence de vulnérabilités dans certains contrôleurs Danfoss n’était pas une découverte récente. Dès août 2023, le fabricant publiait un avis de sécurité concernant les références CVE-2023-25913, CVE-2023-25914 et CVE-2023-25915, affectant les contrôleurs AK-SM 800A dans leurs versions antérieures à 3.3.
De nouvelles vulnérabilités ont ensuite été rendues publiques :
- CVE-2025-41450 (CVSS 8,2) : un défaut d’authentification permettant de contourner les mécanismes de connexion habituels sur certaines versions des AK-SM 8xxA.
- CVE-2025-41451 (CVSS 7,6) : une injection de commandes susceptible de permettre une exécution de code à distance après authentification.
- CVE-2025-41452 (CVSS 5,4) : une modification non sécurisée de la configuration du serveur web pouvant entraîner un déni de service.
Le 9 août 2026, Amir Zaltzman, chercheur de Claroty Team82, détaillait ces découvertes dans son étude intitulée Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers. Les chercheurs avaient également identifié de nombreuses interfaces de gestion directement accessibles depuis Internet.
Danfoss avait publié des correctifs, notamment les versions 4.2 et 4.3.1 pour les vulnérabilités de 2025. Il n’est toutefois pas établi que ces CVE précises aient été utilisées dans les attaques d’octobre 2026.
Le 13 octobre, l’entreprise de cybersécurité SOCRadar révélait, à partir de recherches Shodan, que 2 898 des 4 481 résultats mondiaux correspondant à l’interface Danfoss StoreView se trouvaient en France, soit environ 65 %. Ce chiffre porte sur des services détectés et non sur autant de machines distinctes ou nécessairement vulnérables.
L’enseignement est néanmoins majeur : une vulnérabilité documentée, un équipement exposé et une maintenance insuffisante peuvent finir par produire des conséquences très concrètes.
Hôpitaux : 99 % des organisations étudiées possèdent des équipements avec des failles déjà exploitées
C’est probablement le secteur qui soulève les inquiétudes les plus importantes. Dans un hôpital, une cyberattaque ne menace pas uniquement les dossiers médicaux. Elle peut également perturber les équipements de diagnostic, les systèmes de surveillance des patients, les laboratoires ou les installations techniques indispensables au fonctionnement de l’établissement.
Le 26 mars 2025, les chercheurs de Claroty Team82 publiaient leur rapport State of CPS Security: Healthcare Exposures 2025. Ils avaient analysé plus de 2,25 millions d’équipements médicaux connectés et plus de 647 000 équipements industriels répartis dans 351 organisations de santé.
Les résultats sont particulièrement préoccupants :
- 99 % des organisations étudiées possédaient des équipements présentant des vulnérabilités connues comme déjà exploitées par des attaquants.
- 89 % hébergeaient des dispositifs médicaux combinant des vulnérabilités associées aux rançongiciels et des connexions réseau insuffisamment sécurisées.
- 85 % des organisations étaient concernées par des équipements d’imagerie médicale cumulant ces deux facteurs de risque.
- 78 % possédaient des équipements industriels présentant des vulnérabilités connues comme exploitées.
Les systèmes d’imagerie médicale font partie des catégories particulièrement exposées : scanners, IRM, radiographies et échographies. Certains dispositifs fonctionnent sur des systèmes d’exploitation anciens ou devenus difficiles à maintenir.
Ces résultats ne signifient pas que 99 % des hôpitaux ont été piratés. Ils indiquent que presque toutes les organisations de l’échantillon possédaient au moins un équipement affecté par une vulnérabilité déjà exploitée quelque part dans le monde. L’étude ne constitue pas non plus un recensement des établissements français.
Mais le risque est réel : l’indisponibilité d’un scanner ou d’un système de surveillance peut retarder des diagnostics, compliquer la prise en charge et contraindre des établissements à transférer des patients.
Contec CMS8000 : une porte dérobée dans un moniteur de patients
Un cas particulièrement révélateur a été documenté par l’agence américaine de cybersécurité CISA et l’autorité sanitaire FDA, le 30 janvier 2025.
Les appareils concernés sont les moniteurs de patients Contec CMS8000 et Epsimed MN-120, utilisés pour mesurer et afficher différentes constantes vitales, notamment le rythme cardiaque, la pression artérielle et la température.
Deux vulnérabilités ont été particulièrement mises en avant :
- CVE-2025-0626 : une fonctionnalité cachée dans le micrologiciel peut contourner certains paramètres réseau et permettre des opérations non autorisées sur l’appareil.
- CVE-2025-0683 : dans sa configuration par défaut, le dispositif peut transmettre des données médicales non chiffrées vers une adresse réseau externe codée en dur.
Dans son analyse Contec CMS8000 Contains a Backdoor, la CISA expliquait que la présence de cette fonctionnalité cachée pouvait créer des conditions permettant la modification de l’appareil et potentiellement l’exécution de code à distance.
La FDA avertissait également qu’un équipement vulnérable pouvait cesser de fonctionner normalement ou être manipulé pour afficher des données altérées.
Le 2 juillet 2025, le fabricant a finalement proposé un correctif. Sa particularité : il supprime entièrement les fonctions réseau des appareils concernés. Les moniteurs deviennent ainsi utilisables uniquement pour une surveillance locale, et l’installation du correctif nécessite une intervention spécialisée.
La FDA précisait ne pas avoir connaissance d’incidents ayant entraîné des blessures ou des décès liés à ces vulnérabilités. Aucune donnée vérifiée ne permet aujourd’hui d’affirmer que des hôpitaux français utilisent encore ces modèles sans correction.
En France, les autorités alertent elles aussi sur des vulnérabilités critiques dans les logiciels de santé
Le 2 octobre 2026, soit dix jours avant les attaques contre les supermarchés, le CERT Santé et le CERT-FR ont publié un rapport commun intitulé Vulnérabilités de produits du secteur santé : Retour d’expérience du CERT Santé et du CERT-FR, référencé CERTFR-2026-CTI-007.
Les deux organismes français y indiquent avoir observé des vulnérabilités critiques, parfois facilement exploitables depuis Internet, dans plusieurs solutions numériques déployées au sein de structures de santé.
Le rapport souligne que certains logiciels très largement déployés peuvent exposer simultanément un grand nombre d’établissements à une même faiblesse de sécurité. Les autorités jugent les pratiques encore insuffisantes au regard de la menace, malgré les progrès réalisés par plusieurs éditeurs.
Ce constat s’ajoute aux données de l’Observatoire des incidents de sécurité de l’Agence du Numérique en Santé : 764 incidents ont été déclarés au CERT Santé en 2025, par 606 structures. Les incidents majeurs ont toutefois diminué et les efforts de résilience progressent.
En France aussi, le problème est donc identifié, surveillé et officiellement documenté.
Eau potable : des automates piratés et des installations réellement perturbées
Le risque est tout aussi préoccupant dans les infrastructures de traitement et de distribution d’eau potable. Ces installations reposent sur des automates industriels, appelés PLC, capables de piloter des pompes, des vannes et d’autres équipements physiques.
Le 30 juillet 2026, le FBI et l’Environmental Protection Agency (EPA) ont publié une alerte conjointe concernant des cyberattaques visant notamment les automates Rockwell Automation / Allen-Bradley MicroLogix 1100 et 1400.
Depuis le 27 juillet, des exploitants d’au moins sept États américains avaient signalé des incidents. Certaines attaques avaient effectivement dégradé le fonctionnement des installations d’eau.
Les attaquants ont notamment ciblé des contrôleurs accessibles à distance et modifié des paramètres d’administration, privant certains opérateurs de leurs capacités habituelles de supervision.
La campagne est également documentée par le référentiel MITRE ATT&CK for ICS, sous la référence C0066 – 2026 U.S. Water Utilities Attacks. Celui-ci rapporte notamment des pertes de contrôle, des problèmes de pression et des perturbations d’exploitation dans certaines installations.
Un élément mérite d’être souligné : contrairement aux autres exemples de cet article, ces incidents ne reposent pas nécessairement sur l’exploitation d’une vulnérabilité logicielle portant un numéro CVE. Rockwell Automation a publié l’avis SD1790 le 30 juillet 2026, consacré au durcissement des contrôleurs et au rétablissement des accès. Le fabricant précise expressément qu’aucune CVE n’est associée à cet avis.
Autrement dit, un équipement industriel peut être compromis sans qu’un pirate ait besoin d’exploiter une faille informatique sophistiquée. Une interface accessible sur Internet, des protections insuffisantes ou une configuration inadaptée peuvent suffire.
En France, l’ANSSI avait déjà identifié des compromissions dans le secteur de l’eau
Dès le 28 novembre 2024, l’ANSSI publiait son rapport CERTFR-2024-CTI-011, intitulé Secteur de l’eau : état de la menace informatique.
L’agence française y décrivait un secteur caractérisé par des installations parfois anciennes, dispersées géographiquement, avec des niveaux de sécurité très variables et un recours croissant à la télégestion.
Entre janvier 2021 et août 2024, 46 entités françaises du secteur de la gestion de l’eau avaient été concernées par des événements de sécurité informatique traités par l’ANSSI. Parmi 28 compromissions signalées, huit avaient conduit au déploiement d’un rançongiciel.
Ces chiffres ne démontrent pas que l’ensemble des systèmes industriels de distribution d’eau étaient directement compromis. Ils confirment cependant que les attaques informatiques contre ce secteur ne sont pas seulement un scénario observé à l’étranger.
Plus récemment, dans une note publiée le 22 janvier 2026 sous la référence CERTFR-2025-DUR-003, l’ANSSI indiquait recevoir depuis plusieurs mois de nombreux signalements de ciblage d’installations françaises de production d’énergie renouvelable et de gestion de l’eau par des groupes hacktivistes.
Les autorités avaient notamment constaté des équipements accessibles sur Internet sans authentification suffisante, parfois avec des mots de passe par défaut, ainsi que des protocoles industriels exposés directement.
Il ne s’agit donc pas simplement d’imaginer ce qui pourrait se produire en France : les autorités françaises documentent déjà des compromissions de ces installations.
Électricité : des vulnérabilités atteignant 9,9/10 dans des systèmes de régulation
Les réseaux électriques constituent un autre secteur particulièrement sensible. Leur fonctionnement dépend d’une multitude de dispositifs de mesure, de protection, de communication et de régulation.
Le 17 septembre 2026, l’agence américaine CISA a relayé un bulletin concernant plusieurs vulnérabilités dans la FACTS Control Platform (FCP) d’Hitachi Energy, un système intervenant dans la régulation des réseaux de transport d’électricité.
Ce bulletin, référencé ICSA-26-260-03, reprend l’avis de sécurité 8DBD000229 d’Hitachi Energy, initialement publié le 28 juillet 2026.
Cinq vulnérabilités y sont documentées :
- CVE-2024-4872 (CVSS 9,9) : une vulnérabilité dans la validation des requêtes permettant à un utilisateur authentifié d’injecter du code dans des données persistantes.
- CVE-2024-3980 (CVSS 9,9) : un défaut de restriction des chemins d’accès aux fichiers, susceptible d’affecter la sécurité du système.
- CVE-2024-7940 : une faiblesse d’authentification concernant un service qui ne devrait pas être accessible de la même manière depuis le réseau.
- CVE-2024-3982 : une vulnérabilité pouvant affecter la sécurité des sessions.
- CVE-2024-7941 : une redirection vers un site non fiable pouvant faciliter certaines attaques.
Les équipements concernés sont des configurations précises de FACTS Control Platform intégrant le composant GWS. Les systèmes dépourvus de ce composant ne sont pas concernés par cet avis.
Les technologies FACTS servent notamment à réguler les flux de puissance et à contribuer à la stabilité électrique. Leur compromission pourrait avoir des conséquences opérationnelles sérieuses dans certaines conditions.
Mais il faut rester précis : les scores CVSS mesurent la gravité technique des failles, et non la probabilité d’une panne générale. Les deux vulnérabilités les plus sévères nécessitent notamment des conditions d’accès spécifiques. Aucune information vérifiée ne permet d’affirmer que ces failles ont été utilisées pour provoquer une coupure électrique en France.
Schneider Electric : des identifiants intégrés dans certains relais de protection
Le constructeur français Schneider Electric a également publié plusieurs avis de sécurité concernant ses technologies de gestion et de protection électriques.
Le 14 avril 2026, le CERT-FR publiait l’avis CERTFR-2026-AVI-0433, recensant notamment la vulnérabilité CVE-2026-4832 dans plusieurs références de relais Easergy MiCOM.
Cette vulnérabilité porte sur l’utilisation d’identifiants codés en dur et peut permettre à un attaquant non authentifié d’accéder à certaines informations sensibles de l’équipement lorsque les conditions d’accès réseau sont réunies.
Le bulletin de Schneider Electric SEVD-2026-104-03 identifie les produits et versions concernés ainsi que les mesures correctives.
Il ne s’agit pas d’une preuve qu’un attaquant pourrait couper directement un réseau électrique national avec cette seule faille. Elle illustre néanmoins la présence de vulnérabilités jusque dans des dispositifs spécialisés de protection électrique.
Une installation éolienne française a déjà été arrêtée après une intrusion
C’est peut-être l’information la plus révélatrice des documents publiés par l’ANSSI.
Dans ses recommandations du 22 janvier 2026 destinées aux secteurs de l’eau et de l’énergie, l’agence confirme que des groupes hacktivistes sont parvenus à accéder à distance à des interfaces de gestion d’installations industrielles françaises exposées sur Internet.
L’action la plus aboutie a entraîné l’arrêt d’un parc éolien pendant plusieurs heures, avec des pertes financières pour l’exploitant.
Selon l’ANSSI, les activités revendiquées par ces groupes présentent souvent un niveau de technicité relativement faible.
Cette situation démontre qu’il n’est pas nécessaire de disposer de compétences exceptionnelles pour provoquer une perturbation physique lorsqu’une installation industrielle souffre de défauts de protection importants.
Il serait toutefois excessif d’en conclure que le réseau électrique français pourrait être paralysé dans son ensemble par un attaquant isolé. Les architectures et les mécanismes de protection des réseaux de transport et de distribution sont beaucoup plus complexes.
Le fait établi reste préoccupant : des installations françaises de production d’énergie ont déjà été perturbées à distance.
La menace invisible : les systèmes techniques qui font fonctionner les hôpitaux
Un hôpital ne dépend pas uniquement de ses ordinateurs et de ses appareils médicaux. Il s’appuie également sur une infrastructure technique complexe : ventilation, chauffage, climatisation, gestion électrique, ascenseurs, surveillance des températures, distribution d’eau et systèmes de sécurité.
Ces installations sont souvent supervisées par des systèmes de gestion technique du bâtiment, appelés GTB ou BMS. Leur compromission peut avoir des conséquences importantes, même sans accès direct aux dossiers des patients ou aux équipements de soins.
Schneider Electric EcoStruxure : deux failles signalées en février 2026
Le 10 février 2026, le CERT-FR publiait l’avis CERTFR-2026-AVI-0138, concernant plusieurs vulnérabilités affectant Schneider Electric EcoStruxure Building Operation WebStation et WorkStation.
Les références CVE-2026-1226 et CVE-2026-1227 concernent notamment des faiblesses dans le traitement de contenus XML et la génération de code.
Selon les avis de sécurité, les impacts possibles comprennent l’exposition de fichiers, des dénis de service et, sous certaines conditions, l’exécution de code à distance.
Les vulnérabilités concernent des versions précises des logiciels des branches 6.x et 7.0.x. Des versions correctives ont été indiquées par le fabricant.
Ces plateformes peuvent être utilisées dans différents bâtiments complexes. Leur présence éventuelle dans un hôpital donné, et surtout l’état de ses correctifs, doivent cependant être vérifiés individuellement.
Siemens Desigo : une vulnérabilité permettant de rendre certains contrôleurs indisponibles
Autre exemple : le 11 août 2026, Siemens publiait le bulletin de sécurité SSA-781903 concernant la vulnérabilité CVE-2026-59693 dans certains contrôleurs Desigo DXR et PXC.
Cette faiblesse peut entraîner un déni de service sur les équipements concernés. Leur récupération nécessite un redémarrage ou une réinitialisation, selon le fabricant.
Siemens a publié des versions corrigées. Le CERT-FR a également signalé cette vulnérabilité le 12 août 2026 dans son avis CERTFR-2026-AVI-1009.
Le niveau de gravité attribué à cette CVE est modéré et son exploitation nécessite une accessibilité réseau adaptée. Il ne faut donc pas la présenter comme une capacité universelle à arrêter à distance n’importe quel bâtiment.
Mais elle rappelle que des contrôleurs chargés de fonctions techniques du quotidien peuvent eux aussi connaître des interruptions provoquées par une attaque informatique.
Pourquoi des failles connues peuvent-elles rester présentes pendant des années ?
Dans les environnements industriels et hospitaliers, appliquer un correctif est souvent beaucoup plus complexe que mettre à jour un ordinateur personnel.
Un équipement peut devoir fonctionner sans interruption, nécessiter une intervention sur site ou dépendre d’un logiciel ancien dont la compatibilité avec les nouvelles versions n’est pas garantie.
Certains appareils médicaux nécessitent par ailleurs des validations techniques et réglementaires. Une modification du logiciel peut imposer des tests supplémentaires afin de garantir que le correctif ne perturbe pas les fonctions cliniques.
À ces contraintes s’ajoutent la durée de vie des installations, les budgets de maintenance, le manque d’inventaire précis des équipements et la multiplicité des intervenants.
Dans un même établissement, un système peut avoir été fourni par un fabricant, installé par un intégrateur, configuré par un sous-traitant et entretenu par un prestataire extérieur. La responsabilité du maintien en conditions de sécurité peut alors devenir difficile à suivre.
Une faille publiée ne signifie pas automatiquement qu’un exploitant est négligent. Il peut exister des mesures compensatoires efficaces : isolation du réseau, restrictions d’accès, surveillance renforcée ou remplacement progressif des équipements.
En revanche, maintenir sur Internet une interface d’administration vulnérable, sans protection adaptée, représente un risque bien documenté par les autorités.
La France ne peut plus considérer ces alertes comme des problèmes étrangers
Les exemples américains peuvent donner le sentiment que ces incidents sont éloignés de notre quotidien. Pourtant, les fabricants d’automates, de dispositifs médicaux et de systèmes de gestion des bâtiments sont présents sur les marchés internationaux.
Un équipement concerné par une vulnérabilité aux États-Unis peut également être commercialisé dans un autre pays. Cela ne prouve pas sa présence dans une installation française donnée, mais justifie que les exploitants vérifient leurs inventaires et les alertes fournisseurs.
Les publications de l’ANSSI montrent d’ailleurs que la menace n’est pas hypothétique sur le territoire français : des systèmes industriels de gestion de l’eau et de production d’énergie ont déjà été compromis, et certaines installations ont subi des perturbations physiques.
Dans le secteur hospitalier, les rapports du CERT Santé confirment également que les vulnérabilités critiques et les incidents de sécurité constituent des préoccupations permanentes.
Le véritable enjeu n’est donc pas de savoir si une vulnérabilité porte un score de 7,5, de 9,8 ou de 9,9. Il est de déterminer quels équipements restent vulnérables, lesquels sont exposés et quelles conséquences une exploitation pourrait avoir sur les services essentiels.
Études et bulletins de référence
- Claroty Team82 — State of CPS Security: Healthcare Exposures 2025, 26 mars 2025.
- Claroty Team82, Amir Zaltzman — Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers, 9 août 2026.
- Danfoss — Avis DSA-2023-08-01, DSA-2025-03-01 et DSA-2025-08-01.
- SOCRadar — French Supermarket Cyberattack: Exposed OT Behind France’s Food Supply, 13 octobre 2026.
- FDA et CISA — Cybersecurity Vulnerabilities with Certain Patient Monitors from Contec and Epsimed, 30 janvier 2025, actualisé le 2 juillet 2025 ; Contec CMS8000 Contains a Backdoor.
- CERT Santé et CERT-FR — Vulnérabilités de produits du secteur santé : Retour d’expérience, CERTFR-2026-CTI-007, 2 octobre 2026.
- Agence du Numérique en Santé — Observatoire des incidents de sécurité des systèmes d’information, bilan 2025 publié en 2026.
- FBI et EPA — Malicious Cyber Actors Targeting Water and Wastewater Sector Internet-Facing Programmable Logic Controllers, 30 juillet 2026.
- Rockwell Automation — Avis de sécurité SD1790, 30 juillet 2026, actualisé en septembre 2026.
- MITRE ATT&CK for ICS — 2026 U.S. Water Utilities Attacks, campagne C0066.
- ANSSI / CERT-FR — Secteur de l’eau : état de la menace informatique, CERTFR-2024-CTI-011, 28 novembre 2024.
- ANSSI / CERT-FR — Recommandations à destination des acteurs du secteur de l’énergie et de l’eau, CERTFR-2025-DUR-003, 22 janvier 2026.
- Hitachi Energy / CISA — Avis 8DBD000229 et ICSA-26-260-03, juillet et septembre 2026.
- Schneider Electric / CERT-FR — Avis SEVD-2026-104-03, SEVD-2026-041-02 et CERTFR-2026-AVI-0433, CERTFR-2026-AVI-0138.
- Siemens ProductCERT / CERT-FR — SSA-781903 et CERTFR-2026-AVI-1009, août 2026.