NAS, Plex et redirection de ports : les services exposés sur Internet à vérifier au bureau

Le 3 novembre 2026, l'Office fédéral de la cybersécurité (OFCS) a consacré sa revue hebdomadaire aux réseaux domestiques devenus une porte d'entrée pour les cybercriminels. Plusieurs cas de logiciels malveillants touchant des réseaux privés lui ont été signalés : le point d'entrée est la combinaison d'appareils accessibles depuis Internet et de failles non corrigées. Si un rançongiciel est ensuite installé, photos et documents peuvent être perdus définitivement.

L'OFCS parle de réseaux domestiques, mais la même configuration se retrouve dans beaucoup de petits bureaux, cabinets et commerces : un routeur fourni par l'opérateur, un NAS pour les documents partagés, quelques caméras et un accès à distance ouvert il y a des années par commodité. Cela vaut aussi pour les réseaux privés des collaborateurs en télétravail.

Ce que signale l'OFCS

Aujourd'hui, la plupart des opérateurs livrent leurs appareils en mode « routeur » : les appareils internes se trouvent dans un réseau privé et ne sont pas directement accessibles depuis Internet. Pour utiliser un service depuis l'extérieur, par exemple le NAS ou une caméra, beaucoup activent toutefois la redirection de ports (port forwarding, ou NAT) : un seul service interne est rendu visible de l'extérieur. Si ce service présente une faille non corrigée, il devient une cible.

L'OFCS cite deux exemples actuels. Le premier est PHP, pour lequel il avait déjà publié une alerte le 21 octobre : PHP fonctionne souvent aussi derrière les interfaces de NAS et d'autres appareils, sans que cela soit visible. Nous en avons parlé dans notre article sur les failles PHP. Le second est le serveur multimédia Plex : selon l'OFCS, quiconque ne l'a pas mis à jour risque de voir son appareil entièrement pris sous contrôle, et les signalements reçus montrent que ce danger est bien réel.

Une fois à l'intérieur, les attaquants peuvent, selon l'OFCS, installer un rançongiciel à des fins d'extorsion, voler des données et faire chanter la victime, utiliser la puissance de calcul pour miner des cryptomonnaies ou se servir de la connexion comme « proxy résidentiel », c'est-à-dire faire passer le trafic de tiers par la ligne Internet de la victime.

Le cas Plex

Le 19 octobre 2026, Plex a publié une mise à jour de son avis de sécurité portant sur quatre failles (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656). Combinées, elles permettent à un attaquant distant non authentifié d'exécuter du code avec les privilèges du processus Plex Media Server. Selon Plex, ces failles sont exploitées activement et à grande échelle depuis la publication d'une preuve de concept le 16 octobre ; les serveurs compromis ont servi à miner des cryptomonnaies et de proxy. Le 20 octobre, l'agence américaine CISA les a ajoutées à son catalogue des failles exploitées.

Les versions corrigées sont Plex Media Server 1.43.3.10861 et suivantes. C'est le numéro de build complet qui compte : une 1.43.3 avec un numéro inférieur n'est pas corrigée. Le numéro s'affiche dans Plex Web, sous Paramètres, Général. Plex avertit qu'un serveur plus ancien que cette version et accessible depuis Internet doit être considéré comme potentiellement compromis. Dans ce cas, la mise à jour ne suffit pas : Plex recommande de réinstaller le serveur à partir de zéro plutôt que de réutiliser l'ancien dossier de données, de déconnecter tous les appareils du compte, de changer le mot de passe et de considérer comme exposé tout ce que le service pouvait atteindre, comme les partages montés et les identifiants enregistrés sur la même machine. Si l'accès à distance n'est pas nécessaire, il faut le désactiver.

Ce qu'il faut vérifier au bureau

1. Savoir ce qui est exposé. Dans le routeur, contrôler la liste des redirections de ports et des règles créées automatiquement (UPnP). Chaque entrée doit avoir un responsable et une raison d'être ; celles qui ne servent plus doivent être fermées.
2. Tout mettre à jour, pas seulement les PC. Micrologiciel du routeur, système et applications du NAS, caméras, domotique et services comme Plex. Sur les NAS, il vaut la peine de vérifier que les mises à jour automatiques sont activées et fonctionnent réellement : Plex signale que la nouvelle version peut arriver avec du retard dans les gestionnaires de paquets des NAS.
3. Utiliser un VPN plutôt que la redirection de ports. L'OFCS recommande en particulier un VPN (par exemple IPsec, OpenVPN ou WireGuard) : l'accès est authentifié et chiffré, et les services ne sont pas exposés directement. Dans la mesure du possible, le VPN et les services exposés doivent être protégés par un second facteur ; les différences entre les méthodes sont expliquées dans notre article sur les cinq niveaux de l'OFCS.
4. Des mots de passe robustes. Pour les services exposés, l'OFCS recommande des mots de passe d'au moins 12 caractères, avec majuscules, minuscules, chiffres et caractères spéciaux, ainsi qu'un blocage après un nombre maximal de tentatives échouées si le produit le permet.
5. Séparer les réseaux. Les services visibles de l'extérieur ne devraient pas se trouver dans le même segment de réseau que les PC et le NAS contenant les données de l'entreprise. Beaucoup de routeurs proposent une « DMZ » ou un réseau séparé ; caméras et domotique sont aussi mieux placées dans un réseau à part.
6. Limiter la provenance des accès. Évaluer si l'accès doit vraiment être possible depuis tout Internet. Certains routeurs permettent de le limiter à certains pays (geofencing).
7. Disposer d'une sauvegarde séparée. Si le NAS est le seul endroit où se trouvent les données, un rançongiciel sur le NAS les touche toutes. Il faut au moins une copie inaccessible depuis le réseau, vérifiée par une restauration de test.

Pour ceux qui gèrent aussi des serveurs web et des applications, les autres failles exploitées ces dernières semaines sont présentées dans notre bilan de fin octobre.

Comment reconnaître un appareil infecté

Selon l'OFCS, ce n'est pas toujours facile : souvent, les personnes touchées ne s'en rendent compte qu'au moment du chantage. Un signe possible est un ralentissement de l'appareil, souvent accompagné d'un ventilateur anormalement bruyant ou qui tourne sans arrêt, car les logiciels de minage consomment beaucoup de puissance de calcul. Dans le pire des cas, l'appareil doit être réinstallé, et il est conseillé de faire contrôler les autres appareils du même réseau par un spécialiste.

Obligations : nLPD et signalements

Si le NAS ou le serveur compromis contenait des données personnelles de clients ou de collaborateurs, il s'agit vraisemblablement d'une violation de la sécurité des données. La loi fédérale sur la protection des données exige des mesures de sécurité appropriées (art. 8 nLPD) et, si la violation entraîne vraisemblablement un risque élevé pour les personnes concernées, une annonce dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT) via son portail d'annonce, ainsi que l'information des personnes concernées si leur protection l'exige (art. 24 nLPD).

L'obligation de signaler une cyberattaque à l'OFCS dans les 24 heures s'applique aux exploitants d'infrastructures critiques. Les autres entreprises peuvent signaler volontairement au moyen du formulaire de signalement de l'OFCS. En cas de chantage ou de dommage financier, il est conseillé de porter plainte ; Suisse ePolice indique le poste de police le plus proche.

Questions fréquentes

Notre NAS se trouve derrière le routeur de l'opérateur : sommes-nous protégés ?

Seulement si aucun de ses services n'a été rendu accessible depuis l'extérieur, ni manuellement ni automatiquement par UPnP ou par les fonctions d'accès à distance du fabricant. Cela vaut la peine de le vérifier dans le routeur et dans les réglages du NAS.

Nous utilisons Plex uniquement au bureau, sans accès à distance : faut-il mettre à jour ?

Oui. Le risque le plus élevé concerne les serveurs accessibles depuis Internet, mais Plex recommande à tous de passer à la version 1.43.3.10861 ou ultérieure, et un appareil non mis à jour reste un point faible pour tout le réseau.

Nous avons mis à jour : est-ce suffisant ?

Pas toujours. Comme le rappelle aussi l'OFCS, une mise à jour n'élimine pas une compromission déjà survenue. Si le service était exposé avec une version vulnérable, il faut rechercher des signes de compromission et, en cas de doute, réinstaller.

Notre approche

ElaraTeq Sagl aide les PME et les cabinets au Tessin à inventorier ce qui est accessible depuis Internet, à remplacer les redirections de ports par des accès VPN protégés et à planifier mises à jour et sauvegardes, avec un hébergement en Suisse et un conseil sur mesure. Pour une vérification de votre réseau, vous pouvez nous contacter.

Sources

• OFCS, Semaine 44 : Quand le réseau domestique devient une porte d'entrée pour les cybercriminels, 3 novembre 2026
• OFCS, Plusieurs vulnérabilités critiques découvertes dans PHP : installez immédiatement les mises à jour de sécurité, 21 octobre 2026
• Plex, Important Security Update for Plex Media Server v1.43.2 and earlier, 1er septembre 2026, mis à jour le 19 octobre 2026
• CISA, CISA Adds Six Known Exploited Vulnerabilities to Catalog, 20 octobre 2026
• NVD : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
• OFCS, formulaire de signalement ; obligation de signaler les cyberattaques contre les infrastructures critiques
• PFPDT, portail d'annonce des violations de la sécurité des données
• Fedlex, Loi fédérale sur la protection des données (LPD), RS 235.1, art. 8 et 24