Kiteworks a levé sa recommandation préventive de mise à l’arrêt des systèmes après avoir corrigé une vulnérabilité critique dans une fonctionnalité utilisée par moins de 1 % de ses clients, confirmant qu’aucune compromission ni exploitation n’a été détectée. L’entreprise n’a pas encore révélé les détails de la vulnérabilité ni son numéro CVE.
Kiteworks a remis en service les systèmes hébergés de ses clients et levé sa recommandation d’arrêter les serveurs, après avoir développé un correctif pour une vulnérabilité critique dans l’une des fonctionnalités de sa plateforme. L’entreprise a déclaré n’avoir trouvé aucune preuve de compromission de ses systèmes ou de ceux de ses clients, et n’avoir détecté aucune activité suspecte pendant la période de surveillance.
L’entreprise avait demandé samedi à ses clients du monde entier d’arrêter temporairement les serveurs Kiteworks, après avoir reçu une alerte des autorités fédérales du renseignement concernant la possibilité d’une cyberattaque imminente. Le 27 septembre, elle a annoncé que la recommandation d’arrêt n’était plus en vigueur et a invité les clients qui n’avaient pas encore redémarré leurs systèmes à les remettre en service.
Qu’est-ce que l’entreprise a corrigé ?
Kiteworks a expliqué avoir corrigé une vulnérabilité critique dans une fonctionnalité non nommée utilisée par moins de 1 % de l’ensemble de ses clients. Elle a également ajouté une couche de protection supplémentaire à tous les environnements et a indiqué que tous ses autres produits n’avaient pas été affectés, et qu’elle ne disposait d’aucun indicateur d’une exploitation effective de la vulnérabilité.
Les clients qui hébergent une version autogérée de Kiteworks Advanced Forms doivent contacter le support de l’entreprise afin d’obtenir l’assistance nécessaire. Quant aux systèmes hébergés, l’entreprise les a remis en fonctionnement après avoir achevé les procédures de correction et de surveillance.
Pourquoi cette actualité est-elle importante ?
Kiteworks gère un réseau de contenu privé qui regroupe la messagerie électronique d’entreprise, le partage de fichiers, le transfert de fichiers administré, les API et les formulaires web. La plateforme sert des milliers d’entreprises et d’organismes publics, avec plus de 100 millions d’utilisateurs de son réseau de données privé, ce qui confère à la décision d’arrêt préventif un impact opérationnel étendu, même si la fonctionnalité affectée ne concerne qu’une faible proportion des clients.
L’incident revêt une importance supplémentaire parce que les plateformes de partage et de transfert de fichiers traitent généralement des documents sensibles et ont déjà été ciblées par des attaques de vol de données et d’extorsion. Le nom de l’entreprise est également lié à l’histoire d’Accellion, sous lequel Kiteworks était auparavant connue, ainsi qu’à une campagne au cours de laquelle le groupe Clop a exploité des vulnérabilités du logiciel obsolète File Transfer Appliance, entraînant des compromissions touchant plusieurs organismes et entreprises.
Qu’est-ce qui reste inconnu ?
Kiteworks n’a pas révélé les détails de la vulnérabilité qu’elle a corrigée, et aucun numéro CVE permettant de la suivre et de vérifier ses mises à jour ne lui a encore été attribué. Shadowserver a également recensé près de 400 instances de Kiteworks accessibles sur Internet, dont 234 aux États-Unis, sans préciser combien de systèmes ont été mis à jour ni combien correspondent à des honeypots.
Lecture éditoriale : l’élément le plus important ici est le passage de Kiteworks d’une recommandation d’arrêt étendue à une remise en service conditionnée par un correctif centralisé et une surveillance continue, et non l’annonce d’une compromission confirmée. Cependant, l’absence de détails techniques et de numéro CVE limite la capacité des équipes de sécurité à vérifier de manière indépendante l’étendue du risque. La vérification des versions autogérées et la prise de contact avec le support restent donc prioritaires pour les clients concernés.