<p>L'avis publié par le CERT-FR le 12 août 2026 sur Microsoft Azure vise surtout des services de calcul spécialisés. Deux composants beaucoup plus...
Quand un avis de sécurité porte le nom d'un grand fournisseur de cloud, le premier réflexe consiste souvent à se dire que « le fournisseur s'en occupe ». C'est vrai pour une bonne partie de l'infrastructure, qui est corrigée sans que le client ait quoi que ce soit à faire. Ce n'est pas vrai pour tout. L'avis publié par le CERT-FR le 12 août 2026 au sujet de Microsoft Azure en donne une bonne illustration: l'essentiel ne vous concerne probablement pas, mais deux éléments installés sur vos machines, si. Le CERT-FR a repris dans son avis CERTFR-2026-AVI-1003 une série de vulnérabilités corrigées par Microsoft dans des bulletins datés du 11 août 2026. Les conséquences décrites sont classiques pour ce type de faille: élévation de privilèges, atteinte à la confidentialité des données et contournement de mesures de sécurité.
La majeure partie des composants cités relève d'usages très spécialisés. Azure Confidential Compute concerne des machines virtuelles conçues pour traiter des données sensibles dans un environnement matériel isolé; Azure CycleCloud sert à orchestrer des grappes de calcul intensif. Une PME qui héberge un serveur de fichiers ou une application métier dans Azure n'utilise ni l'un ni l'autre. À la date de l'avis consulté, aucune exploitation de ces failles n'y est signalée comme confirmée — un point qui, par nature, peut évoluer et qu'il faut revérifier auprès de la source officielle. Azure Storage Explorer. C'est l'application de bureau qui permet de parcourir des espaces de stockage Azure comme on parcourt un explorateur de fichiers. Elle s'installe sur un poste de travail, souvent celui d'un responsable informatique, d'un développeur ou d'un prestataire venu faire une reprise de données — puis elle y reste. Selon l'avis, la version corrigée est la 20260730.9 ou une version ultérieure. L'extension Azure Monitor Agent pour Linux. Elle collecte les journaux et les indicateurs de vos serveurs Linux hébergés dans Azure. Personne ne l'installe par hasard: elle est généralement déployée par l'infogéreur au moment de la mise en service, et plus jamais regardée ensuite. La version corrigée indiquée est la 1.43 ou ultérieure.
Pourquoi ces deux-là posent un problème particulier
Ils partagent un défaut commun: ils échappent aux routines de mise à jour habituelles. Un poste bien géré reçoit les correctifs Windows automatiquement, mais un outil installé manuellement il y a deux ans pour un besoin ponctuel ne suit aucun canal. Une extension déployée dans Azure par un prestataire relève, elle, du périmètre du contrat d'infogérance — encore faut-il que quelqu'un ait défini qui la met à jour et à quelle fréquence.
Le risque concret n'est pas l'attaque spectaculaire venue de l'extérieur. C'est plutôt qu'un poste compromis par un autre biais offre à l'attaquant, via un outil oublié, un accès élargi à des espaces de stockage ou des droits supplémentaires sur une machine. Ces composants manipulent des jetons d'accès à votre environnement cloud: c'est ce qui en fait des cibles intéressantes, indépendamment de leur apparente banalité. Si vous n'utilisez pas Azure, l'affaire s'arrête ici. Classez l'alerte sans action. Recensez les postes où Azure Storage Explorer est installé. S'il sert encore, passez-le en version 20260730.9 ou ultérieure; s'il ne sert plus, désinstallez-le. Un outil retiré est un outil qu'il n'y a plus à surveiller.
Demandez à votre prestataire de mettre l'extension Azure Monitor Agent en version 1.43 ou ultérieure sur vos serveurs Linux, et de vous confirmer par écrit la date de l'opération. Cette confirmation datée vaut mieux qu'une assurance verbale. Profitez-en pour réclamer la liste des ressources Azure ouvertes à votre nom. Beaucoup d'entreprises découvrent à cette occasion des environnements créés pour un projet ancien, jamais fermés, qui continuent d'être facturés et de constituer une surface à maintenir.
Vérifiez que l'accès au portail Azure est protégé par une authentification à deux facteurs pour tous les comptes d'administration, y compris ceux de votre prestataire. C'est la mesure qui limite le plus efficacement les conséquences d'un identifiant dérobé.
Les numéros de version cités sont ceux de l'avis à sa date de publication: ils sont donnés à titre indicatif et doivent être confrontés à la documentation de l'éditeur, puis validés sur votre environnement avant toute intervention en production. Cet avis ne demande pas de mobilisation d'urgence. Il demande une vérification ciblée, courte, et une question précise à poser à votre prestataire. C'est souvent ainsi que se joue la sécurité d'un environnement cloud dans une PME: moins dans la réaction aux grandes alertes que dans l'entretien régulier des quelques outils que personne ne regarde plus. CERT-FR, avis CERTFR-2026-AVI-1003 relatif à des vulnérabilités dans Microsoft Azure, 12 août 2026. Microsoft Security Response Center, bulletins de sécurité Azure du 11 août 2026 (Security Update Guide).
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 16 août 2026. Les noms de composants, numéros de version et dates proviennent des avis cités; ils n'ont pas fait l'objet d'une vérification indépendante complémentaire lors de la rédaction, la consultation directe des sources en ligne n'ayant pas été possible. L'absence d'exploitation confirmée est celle constatée dans l'avis à sa date de publication et peut avoir évolué depuis: reportez-vous à la source officielle pour l'état à jour.