État de la menace

Quelle est la situation actuelle dans les bureaux en Allemagne ?

Période pour toute la page

Cette année : du 01.01.2026 à aujourd'hui. S'applique à la carte de situation, à l'évolution et aux listes ; la carte du monde a des périodes fixes, indiquées sous chaque carte.

Carte de la situation

Où se trouvent les failles actuelles dans une entreprise

Cette année, l’agence américaine CISA a ajouté à son catalogue des vulnérabilités exploitées 199 failles que l’on peut rattacher à un endroit de l’entreprise. Le catalogue n’indique pas de gravité : chacune de ces failles est déjà utilisée dans des attaques.

Infrastructure de bureau vue du dessus, avec le nombre d’alertes actuelles par zone Pare-feu, VPN et routeur: 67, Salle des serveurs: 42, Postes de travail: 37, Site web, hébergement et cloud: 22, Développement logiciel: 12, Services d’IA centraux: 10, Travail mobile et accès à distance: 9 Votre entreprise Internet Postes de travail 37 Salle des serveurs 42 Développement 12 IA centrale 10 Pare-feu · VPN 67 Hébergement & cloud 22 Mobile & accès à distance 9

Cliquez sur un cercle ou une zone pour voir chaque alerte. Image : générée par IA.

Plus le cercle est grand, plus il y a d’alertes bord rouge : au moins une critique ou exploitée

Carte de la situation

Services d’IA centraux

×

10 alertes 10 exploitée

Les services d’IA disposent souvent d’un large accès aux documents, aux boîtes mail et aux clés – qui les prend en main voit tout ce que voit l’IA.

Logiciels concernés

  • exploitée BerriAI LiteLLM 3 alertes
    • CVE-2026-59822 exploitée · BerriAI LiteLLM Improper Authentication Vulnerability
    • CVE-2026-42271 exploitée · BerriAI LiteLLM Command Injection Vulnerability
    • CVE-2026-42208 exploitée · BerriAI LiteLLM SQL Injection Vulnerability
  • exploitée MLflow
  • exploitée IBM Langflow
  • exploitée Langflow 4 alertes
    • CVE-2026-0770 exploitée · Langflow Inclusion of Functionality from Untrusted Control Sphere Vulnerability
    • CVE-2026-55255 exploitée · Langflow Authorization Bypass Through User-Controlled Key Vulnerability
    • CVE-2025-34291 exploitée · Langflow Origin Validation Error Vulnerability
    • CVE-2026-33017 exploitée · Langflow Code Injection Vulnerability
  • exploitée n8n

Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA, catalogue des vulnérabilités exploitées connues. Les liens ouvrent l’alerte originale.
Carte de la situation

Pare-feu, VPN et routeur

×

67 alertes 67 exploitée

Ces appareils se trouvent à la frontière avec Internet. Les attaquants les repèrent par balayage automatique, sans aucune action de vos équipes.

Logiciels concernés

Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA, catalogue des vulnérabilités exploitées connues. Les liens ouvrent l’alerte originale.
Carte de la situation

Travail mobile et accès à distance

×

9 alertes 9 exploitée

La porte d’entrée est le plus souvent un message, un lien ou un accès à distance ouvert – en déplacement, sans la protection du réseau du bureau.

Logiciels concernés

Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA, catalogue des vulnérabilités exploitées connues. Les liens ouvrent l’alerte originale.
Carte de la situation

Site web, hébergement et cloud

×

22 alertes 22 exploitée

L’application est accessible depuis Internet et fait l’objet de recherches automatisées jour et nuit.

Je classe ici les logiciels qui composent un site web ou une boutique (par exemple WordPress, TYPO3, serveurs web, PHP) et les plateformes cloud sur lesquelles vous exploitez vous-même quelque chose. Un serveur web sur Internet peut donc présenter des failles de deux domaines : le logiciel du site figure ici, le Linux, la base de données et la sauvegarde en dessous figurent sous « Salle des serveurs ».

Logiciels concernés

Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA, catalogue des vulnérabilités exploitées connues. Les liens ouvrent l’alerte originale.
Carte de la situation

Salle des serveurs

×

42 alertes 42 exploitée

Si un serveur se trouve uniquement dans les locaux, il est le plus souvent la deuxième étape : celui qui est déjà dans le réseau, par exemple après un e-mail d’hameçonnage, rebondit d’ici vers les données et les sauvegardes. Les serveurs de messagerie et de fichiers comme Exchange, SharePoint Server ou Nextcloud sont toutefois souvent reliés directement à Internet et sont alors aussi exposés qu’un site web.

Je classe ici les logiciels que votre entreprise exploite elle-même sur ses serveurs et doit mettre à jour elle-même : systèmes d’exploitation, bases de données, virtualisation, sauvegarde ainsi que vos propres serveurs de messagerie et de fichiers. Que le serveur soit à la cave ou loué chez un hébergeur ne change rien.

Logiciels concernés

Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA, catalogue des vulnérabilités exploitées connues. Les liens ouvrent l’alerte originale.
Carte de la situation

Développement logiciel

×

12 alertes 12 exploitée

Qui entre ici peut glisser du code malveillant dans vos propres logiciels et le livrer ainsi à vos clients.

Logiciels concernés

Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA, catalogue des vulnérabilités exploitées connues. Les liens ouvrent l’alerte originale.
Carte de la situation

Postes de travail

×

37 alertes 37 exploitée

La porte d’entrée est presque toujours une personne : un lien, une pièce jointe ou une page web ouverte au poste de travail.

Logiciels concernés

Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA, catalogue des vulnérabilités exploitées connues. Les liens ouvrent l’alerte originale.

Comment je classe : chaque alerte est placée dans un seul domaine, selon le logiciel concerné. Les services cloud loués comme Microsoft 365, SharePoint Online ou Google Workspace n’apparaissent pas ici. Leurs fournisseurs doivent combler les mêmes failles, mais installent eux-mêmes les correctifs ; cela ne retombe pas sur votre entreprise. La carte ne montre que ce que vous ou votre prestataire informatique devez mettre à jour vous-mêmes. Un serveur web sur Internet peut apparaître dans deux domaines : avec le logiciel du site sous « Site web, hébergement et cloud », avec Linux, base de données et sauvegarde sous « Salle des serveurs ».

Source : BSI, service d’alerte et d’information (CERT-Bund). Je ne rattache à aucune zone les bibliothèques générales présentes dans presque tous les logiciels (comme OpenSSL ou glibc). Le classement est le mien, pas celui du BSI. La situation de la semaine en détail ↓

Période : cette année, du 01.01.2026 à aujourd'hui, comme choisi ci-dessus.

Évolution

Alertes par semaine et par domaine

Chaque barre indique combien d’alertes le BSI a publiées pour la première fois pendant la semaine, empilées par gravité. Les mises à jour ultérieures comptent dans la semaine de la première publication. Survolez une barre pour voir les chiffres.

1 5 9 13 17 21 25 29 33 37 41 44 total
Salle des serveurs 792
Pare-feu, VPN et routeur 318
Site web, hébergement et cloud 251
Postes de travail 251
Développement logiciel 247
Services d’IA centraux 183
Travail mobile et accès à distance 120
Tous les domaines 2162

critiqueélevémoyenfaible

Période : cette année, du 01.01.2026 à aujourd'hui, comme choisi ci-dessus. Une barre par semaine calendaire.

Carte du monde

Attaquants étatiques nommés par la CISA

L’agence américaine de cybersécurité CISA attribue certaines de ses alertes à des attaquants étatiques d’un pays donné. La carte montre combien de fois elle l’a fait au cours des trois dernières années. C’est un extrait du point de vue des États-Unis, pas une statistique des attaques contre l’Allemagne : la plupart des alertes ne nomment aucun pays, dont toutes celles qui concernent des groupes de rançongiciels (encadré sous la carte).

Carte du monde des attaquants étatiques selon la CISA Russie: 8 alertes de la CISA, 3 au BSI sur la période; Chine: 6 alertes de la CISA, 3 au BSI sur la période; Iran: 4 alertes de la CISA, 0 au BSI sur la période; Corée du Nord: 1 alertes de la CISA, 12 au BSI sur la période Fidschi Tansania, Vereinigte Republik Westsahara Kanada Vereinigte Staaten von Amerika Kasachstan Usbekistan Papua-Neuguinea Indonesien Argentinien Chile Kongo Somalia Kenia Sudan Tschad Haiti Dominikanische Republik Russische Föderation Bahamas Falklandinseln Norwegen Grönland Osttimor Südafrika Lesotho Mexiko Uruguay Brasilien Bolivien Peru Kolumbien Panama Costa Rica Nicaragua Honduras El Salvador Guatemala Belize Venezuela Guyana Suriname Frankreich Ecuador Puerto Rico Jamaika Kuba Simbabwe Botswana Namibia Senegal Mali Mauretanien Benin Niger Nigeria Kamerun Togo Ghana Elfenbeinküste Guinea Guinea-Bissau Liberia Sierra Leone Burkina Faso Zentralafrikanische Republik Republik Kongo Gabun Äquatorialguinea Sambia Malawi Mosambik Eswatini Angola Burundi Israel Libanon Madagaskar Staat Palästina Gambia Tunesien Algerien Jordanien Vereinigte Arabische Emirate Katar Kuwait Irak Oman Vanuatu Kambodscha Thailand Laos Myanmar Vietnam Nordkorea Südkorea Mongolei Indien Bangladesch Bhutan Nepal Pakistan Afghanistan Tadschikistan Kirgisistan Turkmenistan Iran Syrien, Arabische Republik Armenien Schweden Belarus Ukraine Polen Österreich Ungarn Moldawien Rumänien Litauen Lettland Estland Deutschland Bulgarien Griechenland Türkei Albanien Kroatien Schweiz Luxemburg Belgien Niederlande Portugal Spanien Irland Neukaledonien Salomonen Neuseeland Australien Sri Lanka China Taiwan Italien Dänemark Vereinigtes Königreich Island Aserbaidschan Georgien Philippinen Malaysia Brunei Darussalam Slowenien Finnland Slowakei Tschechische Republik Eritrea Japan Paraguay Jemen Saudi-Arabien Zypern Marokko Ägypten Libyen Äthiopien Dschibuti Uganda Ruanda Bosnien und Herzegowina Nordmazedonien Serbien Montenegro Trinidad und Tobago Südsudan 3 alertes du BSI dans la période concernent des failles que, selon la CISA, des acteurs de Russie exploitent aussi. Cela ne prouve pas une attaque contre l’Allemagne. 3 alertes du BSI dans la période concernent des failles que, selon la CISA, des acteurs de Chine exploitent aussi. Cela ne prouve pas une attaque contre l’Allemagne. 12 alertes du BSI dans la période concernent des failles que, selon la CISA, des acteurs de Corée du Nord exploitent aussi. Cela ne prouve pas une attaque contre l’Allemagne. Russie: 8 alertes de la CISA au cours des trois dernières années 8 Russie Chine: 6 alertes de la CISA au cours des trois dernières années 6 Chine Iran: 4 alertes de la CISA au cours des trois dernières années 4 Iran Corée du Nord: 1 alerte de la CISA au cours des trois dernières années 1 Corée du Nord

Nombre dans le cercle : alertes de la CISA des trois dernières années qui nomment des acteurs du pays Flèche : une faille de ces alertes figure aussi dans une alerte du BSI de la période ; elle touche donc aussi des logiciels courants ici

Sans attribution à un pays : groupes criminels et rançongiciels

29 des 48 alertes de la CISA des trois dernières années ne nomment aucun pays, dont 13 concernent des groupes de rançongiciels. Ces groupes agissent pour l’argent, souvent par-delà les frontières, et peuvent rarement être rattachés à un État. Pour les entreprises en Allemagne, ils sont le danger le plus fréquent : selon le BSI, les rançongiciels sont la plus grande menace pour les entreprises.

Sur la période, 17 alertes du BSI contiennent l’une de ces failles :

Les avis de la CISA

Source : avis de cybersécurité de la CISA (origine selon le titre de l’avis) ; service d’alerte et d’information du BSI. Fond de carte : Natural Earth. L’attribution à un pays est une affirmation de la CISA, pas la preuve d’une attaque contre l’Allemagne.

Période : Les cercles ne suivent pas la sélection ci-dessus : ils comptent les avis de la CISA des trois dernières années, car la CISA ne désigne des attaquants étatiques que quelques fois par an. Les alertes du BSI qui s'affichent en cliquant sur un pays suivent en revanche la période ci-dessus.

La situation cette année

Cette année, le BSI a émis 804 alertes concernant des logiciels utilisés chaque jour dans les entreprises.

La situation officielle des alertes, adaptée à vos postes de bureau. Je la récupère deux fois par jour auprès de l’Office fédéral allemand de la sécurité des technologies de l’information et n’affiche ici que ce qui tourne sur des ordinateurs de bureau ordinaires et dans presque toutes les entreprises. Chaque ligne mène à l’alerte originale du BSI. La carte de situation ci-dessus compte tous les domaines de l’entreprise, d’où un chiffre plus élevé.

57

critique

442

élevé

273

moyen

657

nouveaux

Nouveaux signifie : le BSI a publié ces alertes pour la première fois au cours de la période. Toutes les autres sont des mises à jour d’alertes plus anciennes, par exemple parce que l’éditeur a livré un correctif après coup ou que d’autres versions sont concernées. Les trois niveaux de gravité comptent ensemble les alertes nouvelles et mises à jour.

Ce qui est touché, c’est ce qui tourne chez vous

Source : BSI, service d’alerte et d’information (CERT-Bund). État au 30.10.2026, 08:43.

Période : cette année, du 01.01.2026 à aujourd'hui, comme choisi ci-dessus.

Les alertes proviennent de sources germanophones et apparaissent dans leur version originale.

Et ceci est déjà attaqué

Une faille, c’est une chose. Celles-ci sont exploitées de manière avérée — l’agence américaine de cybersécurité en tient un catalogue public, et ses propres administrations doivent agir dans un délai fixé.

  • exploitée Cisco Secure Firewall ASA Software and Cisco Secure FTD Software

    Comment elle est exploitée : Des saisies piégées amènent le logiciel à faire ce qu’il ne devrait pas. Les détails figurent dans la description en lien. Ces appareils se trouvent à la frontière avec Internet. Les attaquants les repèrent par balayage automatique, sans aucune action de vos équipes.

  • exploitée Broadcom VMware ESX

    Comment elle est exploitée : Des saisies piégées amènent le logiciel à faire ce qu’il ne devrait pas. Les détails figurent dans la description en lien. Si un serveur se trouve uniquement dans les locaux, il est le plus souvent la deuxième étape : celui qui est déjà dans le réseau, par exemple après un e-mail d’hameçonnage, rebondit d’ici vers les données et les sauvegardes. Les serveurs de messagerie et de fichiers comme Exchange, SharePoint Server ou Nextcloud sont toutefois souvent reliés directement à Internet et sont alors aussi exposés qu’un site web.

  • exploitée Adobe Commerce and Magento

    Comment elle est exploitée : Téléversement non contrôlé : les attaquants déposent un fichier contenant du code malveillant, puis l’appellent. L’application est accessible depuis Internet et fait l’objet de recherches automatisées jour et nuit.

  • exploitée Google Brotli

    Comment elle est exploitée : Erreur de mémoire : des données piégées – une page web, un fichier ou un paquet réseau – amènent le programme à exécuter du code injecté.

  • exploitée Fortinet Multiple Products

    Comment elle est exploitée : Sortie de répertoire : avec des chemins de fichiers manipulés, les attaquants accèdent à des fichiers hors de la zone autorisée, par exemple la configuration ou des identifiants. Ces appareils se trouvent à la frontière avec Internet. Les attaquants les repèrent par balayage automatique, sans aucune action de vos équipes.

  • exploitée Atlassian Multiple Products

    Comment elle est exploitée : Des saisies piégées amènent le logiciel à faire ce qu’il ne devrait pas. Les détails figurent dans la description en lien. Qui entre ici peut glisser du code malveillant dans vos propres logiciels et le livrer ainsi à vos clients.

Source : CISA, catalogue des vulnérabilités exploitées connues. Les liens mènent à la description de la faille dans la base de données américaine des vulnérabilités (en anglais) ; l’explication ci-dessus est mon classement du type de faille qui y est indiqué.

Période : cette année, du 01.01.2026 à aujourd'hui, comme choisi ci-dessus. Sont affichées les six entrées les plus récentes de cette période.

Cette liste ne répond pas à une question : votre comptable validera-t-il demain la fausse facture ? Les mises à jour comblent les failles des logiciels. La faille dont traitent mes formations se situe entre une demande crédible et un clic — et aucun correctif ne la comble.

Par attaques

Et qu'est-ce qui arrive vraiment ?

Les alertes disent où sont les failles. Sur mon propre serveur, je vois à quelle fréquence quelqu'un tente de les exploiter : tentatives d'attaque par jour et par heure, ce qui a été tenté, d'où viennent les machines et ce qui relève de la faille PHP PHP2Shell.

Vers la vue par attaques →

L’attaquant n’a plus besoin de vous connaître. L’IA s’en charge.

Pendant des années, une langue approximative était le signe le plus fiable d’un e-mail frauduleux. Ce signe a disparu. Ce qui a encore changé, et pourquoi votre pare-feu ne peut pas répondre à la question décisive.

Avant

Les attaques prenaient du temps

Quiconque voulait attaquer une entreprise de manière ciblée devait se renseigner, rédiger des textes, reproduire des sites. Cela ne valait la peine que pour les grandes cibles ; les petites entreprises passaient entre les mailles du filet.

Aujourd’hui

Les attaques ne coûtent presque rien

Recherche, rédaction et reproduction sont automatisées. Le même effort qu’il fallait autrefois pour une cible en couvre aujourd’hui mille — et touche donc aussi l’artisan qui emploie douze personnes.

La conséquence

« Trop petit et inconnu » ne protège plus

Supposer qu’on n’intéresse pas les attaquants a toujours été risqué. C’est désormais tout simplement faux, car il n’y a plus de sélection de cibles qui vous protège.

Ce qui a concrètement changé

Quatre évolutions qui vont toutes dans le même sens : les attaques deviennent plus crédibles, plus personnelles et plus fréquentes.

01

La langue ne trahit plus rien

Fautes d’orthographe, grammaire bancale, formules d’appel étranges : voilà les signes que nous avons tous appris à repérer. Aujourd’hui, un modèle de langage écrit sans faute, dans le ton de votre secteur, avec les bons termes techniques et la formule de politesse adaptée.

02

L’attaque connaît votre contexte

Mentions légales, LinkedIn, registre du commerce, communiqués de presse, offres d’emploi : les informations publiques suffisent pour savoir qui valide les factures chez vous, qui vient d’arriver et quel projet est en cours. Plus personne ne fait cette recherche à la main.

03

La voix et le visage ne sont plus des preuves

Quelques secondes d’audio suffisent pour une copie de voix convaincante, et la moindre vidéo sur le site de l’entreprise fournit la matière. Le cas le plus connu : un employé d’un grand groupe a viré environ 25 millions de dollars américains après une visioconférence où tous les participants, sauf lui, étaient faux.

04

Les attaques se déroulent par étapes, pas en un seul e-mail

D’abord une prise de contact anodine, puis un renvoi à la réponse, puis la véritable demande. Ces enchaînements en plusieurs étapes nécessitaient autrefois une personne qui persévère. Aujourd’hui, ils se poursuivent automatiquement, même pendant des semaines.

L’angle mort

La technique ne peut pas décider si une demande est légitime.

Les filtres antispam reconnaissent des schémas : expéditeurs connus, pièces jointes suspectes, domaines signalés. Un e-mail rédigé sans faute, envoyé depuis un domaine discret et fraîchement enregistré, qui fait référence à une vraie opération de votre entreprise et demande une action plausible, ne contient aucune caractéristique technique permettant à un filtre de l’arrêter.

Aucun produit ne répond à la question « Est-il correct que je valide ce paiement maintenant ? ». C’est une personne qui y répond, sous pression et entre quarante autres e-mails.

C’est pourquoi la sensibilisation n’est pas un complément à la technique, mais la couche qui commence là où la technique s’arrête structurellement.

Ce que la technique fait de manière fiable

  • Intercepter les logiciels malveillants connus
  • Bloquer les expéditeurs et domaines signalés
  • Isoler les pièces jointes suspectes
  • Journaliser les accès et conserver des sauvegardes

Ce qu’elle ne peut pas faire

  • Juger si une demande est plausible dans son contexte
  • Reconnaître que la voix familière au téléphone est synthétique
  • Empêcher quelqu’un de saisir volontairement son mot de passe
  • Remplacer un rappel rapide en cas de doute
À vivre soi-même

Combien de failles voyez-vous dans un bureau ?

Avant de parler de formation, il est utile de ressentir le problème plutôt que de se le faire expliquer. Dans « Operation ORION », vous parcourez un bureau tout à fait ordinaire et cherchez les points d’attaque : le post-it sur l’écran, la messagerie ouverte, la clé USB du salon professionnel. En cinq minutes, on comprend concrètement ce que la technique ne peut pas régler et pourquoi il vaut la peine de s’entraîner précisément à cela. C’est là qu’intervient une formation de sensibilisation.

Gratuit · env. 5 minutes · sans compte

Operation ORION, le jeu du bureau

Mettez-vous dans la peau d’un enquêteur et découvrez les failles de sécurité d’un poste de travail. Une entrée en matière ludique sans connaissances préalables, idéale aussi à partager avec vos collègues.

Lancer le jeu →
Identité

La vraie cible est rarement l’ordinateur

Qui possède des identifiants n’a pas besoin de logiciel malveillant. Une messagerie piratée lit tout, connaît vos dossiers, répond dans les échanges en cours et demande d’autres accès en votre nom. Pour vos collègues et clients, c’est vous, puisque techniquement, c’est vous.

C’est pourquoi la protection de sa propre identité est au cœur de ma formation : mots de passe, authentification à deux facteurs, gestion des demandes de confirmation, et ce qu’il faut faire si cela arrive malgré tout.

Résilience

La résilience se mesure, sinon ce n’est qu’une affirmation.

« Nos équipes sont sensibilisées » est une supposition. Un chiffre indiquant combien cliquent réellement dans une situation réaliste est une base.

Pour l’économie allemande, devenir résiliente est aujourd’hui un enjeu stratégique : avec Cybernation Deutschland, le BSI poursuit exactement cet objectif — la résilience comme état normal, et non comme projet après un incident. Pour une entreprise, cela signifie : connaître son niveau, l’améliorer, le mesurer à nouveau.

Mesurer sa propre vulnérabilité

Gratuit, trois attaques simulées, évaluation anonymisée.

Obligations

Et oui, c’est aussi une obligation.

Deux lois, une conséquence : former et le prouver. Beaucoup d’entreprises n’associent l’obligation de formation qu’à NIS 2 et ne se pensent pas concernées. Mais le RGPD s’applique à toute personne qui traite des données personnelles.

NIS 2

Certains secteurs à partir d’une certaine taille

La directive oblige les organes de direction des entités concernées à suivre des formations et à en proposer régulièrement à tous les collaborateurs. La direction est expressément visée.

Concerne en général les entreprises d’au moins 50 salariés ou 10 M€ de chiffre d’affaires dans l’énergie, les transports, la santé, l’eau, les infrastructures numériques, les services informatiques, la poste, les déchets, la chimie, l’alimentaire et la construction mécanique.

RGPD

Pratiquement toutes les entreprises

L’article 32 exige des « mesures techniques et organisationnelles appropriées ». La formation et la sensibilisation du personnel sont des mesures organisationnelles ; l’article 39 les cite expressément.

Quiconque traite des données clients, des candidatures ou des dossiers du personnel est concerné. C’est-à-dire toutes les entreprises.

Ce qui doit pouvoir être prouvé

  • Que la formation a eu lieu
  • Qui y a participé
  • Quand elle a eu lieu
  • Qu’elle est répétée

Ce qui n’est pas documenté est, en cas de doute, considéré comme n’ayant pas eu lieu. Chez moi, les quatre preuves sont générées automatiquement, comme sous-produit de la formation.

Chargement …

Configuré en une heure, formé en une semaine.

Créez un compte gratuit, inscrivez votre équipe, activez le cours. Vous ne payez qu’au lancement. Vous préférez d’abord voir à quoi ressemble un e-mail de test ? L’autotest est gratuit.

Inscrire votre équipe Testez d’abord vous-même