Kiteworks : pourquoi des clients ont été invités à éteindre leurs serveurs

Pour une organisation qui utilise Kiteworks pour transférer des fichiers, arrêter temporairement le service est une mesure lourde. C’est pourtant ce que l’entreprise, anciennement appelée Accellion, a recommandé aux clients qui exploitent eux-mêmes leurs systèmes. Elle disait avoir reçu des renseignements crédibles d’autorités fédérales selon lesquels un acteur malveillant pourrait tenter de cibler certains systèmes Kiteworks. L’entreprise précisait ne disposer d’aucun indice de compromission de ses propres systèmes ou de ceux de ses clients.426

Six heures ou neuf heures : quelle consigne retenir ?

La presse a rapporté qu’un courriel adressé aux clients recommandait une interruption de six heures autour du 26 septembre 2026, voire une mise hors ligne plus précoce si possible.47 Mais l’avis public de Kiteworks prévoyait une fenêtre de précaution de neuf heures, calculée dans le fuseau horaire local des clients. Ces deux durées ne doivent donc pas être présentées comme une seule et même consigne : la recommandation applicable dépendait des instructions reçues pour chaque déploiement.426

Que savait-on de la menace ?

L’alerte portait sur une attaque possible, non sur une exploitation publiquement confirmée. Des articles ont évoqué une éventuelle vulnérabilité « zero-day » — une faille encore inconnue ou sans correctif disponible au moment où elle pourrait être exploitée — mais rien, dans les informations rendues publiques, n’établissait qu’une telle faille avait été utilisée. Aucun identifiant CVE ni détail technique sur une méthode d’exploitation n’avait été publié. L’auteur potentiel de l’attaque n’était pas identifié publiquement, et Kiteworks ne signalait aucune compromission.21726

Quels systèmes étaient concernés ?

La recommandation visait les systèmes Kiteworks administrés par les clients, notamment les installations dans leurs propres locaux et les déploiements dans le cloud qu’ils gèrent eux-mêmes. Kiteworks devait prendre en charge les instances hébergées sous sa gestion. Selon les informations publiées sur ces consignes, DRACOON, ownCloud et totemo n’entraient pas dans leur périmètre.1820

Kiteworks indiquait que la version 9.5.1 corrige toutes les vulnérabilités connues. Cela ne signifie ni que la menace supposée reposait sur une faille connue, ni que cette version corrigeait une « zero-day » dont l’exploitation aurait été confirmée.1626

Pourquoi le passé d’Accellion revient-il dans la discussion ?

En 2020–2021, un produit de transfert de fichiers d’Accellion avait été exploité lors d’une campagne de vol de données et d’extorsion menée par Clop. Cet antécédent rappelle les conséquences possibles d’une attaque contre un service de transfert de fichiers. Il ne permet pas, en revanche, de lier Clop à l’alerte de septembre 2026, ni de conclure qu’une attaque a eu lieu cette fois-ci.226