Deux vuln\u00e9rabilit\u00e9s critiques not\u00e9es 9,8 sur 10 dans le logiciel Ivanti Endpoint Manager Mobile (EPMM) ont d\u00e9clench\u00e9 l’une des pires s\u00e9ries de compromissions d’institutions publiques europ\u00e9ennes de la d\u00e9cennie. En quelques semaines, d\u00e9but 2026, la Commission europ\u00e9enne, l’autorit\u00e9 n\u00e9erlandaise de protection des donn\u00e9es et le Conseil de la magistrature des Pays-Bas ont \u00e9t\u00e9 touch\u00e9s via ces failles exploit\u00e9es avant tout correctif. Dans le m\u00eame temps, la France a vu le registre national des comptes bancaires pirat\u00e9, exposant 1,2 million de comptes. La faille Ivanti est devenue le symbole d’un risque que les r\u00e9gulateurs europ\u00e9ens nomment depuis des mois : les \u00e9quipements de p\u00e9riph\u00e9rie restent le maillon faible de la cyberd\u00e9fense du continent.<\/p>\n\n\n\n
Cette analyse retrace la chronologie des attaques, d\u00e9cortique les deux zero-days \u00e0 l’origine de la crise, mesure l’impact sur le march\u00e9 et la r\u00e9glementation, et donne la parole aux agences et aux chercheurs. Toutes les donn\u00e9es chiffr\u00e9es proviennent des avis de s\u00e9curit\u00e9 officiels et des communications publiques des organisations concern\u00e9es.<\/p>\n\n\n\n
Le 29 janvier 2026, Ivanti publie un avis de s\u00e9curit\u00e9 d\u00e9crivant deux vuln\u00e9rabilit\u00e9s dans EPMM, sa plateforme de gestion des terminaux mobiles. Les deux sont not\u00e9es 9,8 sur l’\u00e9chelle CVSS, soit la cat\u00e9gorie \u00ab critique \u00bb la plus \u00e9lev\u00e9e. Les deux \u00e9taient d\u00e9j\u00e0 exploit\u00e9es comme zero-days, c’est-\u00e0-dire attaqu\u00e9es avant qu’un correctif n’existe. Ivanti a indiqu\u00e9 qu’\u00ab un nombre tr\u00e8s limit\u00e9 de clients \u00bb avait \u00e9t\u00e9 affect\u00e9 par l’exploitation de ces deux failles, sans nommer de victime ni de groupe responsable.<\/p>\n\n\n\n
Quelques jours plus tard, en f\u00e9vrier 2026, l’ampleur r\u00e9elle appara\u00eet. La Commission europ\u00e9enne confirme avoir \u00e9t\u00e9 compromise via ces vuln\u00e9rabilit\u00e9s Ivanti EPMM. Aux Pays-Bas, l’autorit\u00e9 de protection des donn\u00e9es (la Dutch Data Protection Authority) et le Conseil de la magistrature reconnaissent eux aussi avoir \u00e9t\u00e9 p\u00e9n\u00e9tr\u00e9s par le m\u00eame vecteur. Dans l’incident n\u00e9erlandais, des donn\u00e9es professionnelles ont \u00e9t\u00e9 consult\u00e9es : noms, adresses e-mail et num\u00e9ros de t\u00e9l\u00e9phone. Le caract\u00e8re institutionnel des cibles transforme un bulletin technique en crise politique europ\u00e9enne.<\/p>\n\n\n\n
La s\u00e9quence ne s’arr\u00eate pas en f\u00e9vrier. Plus tard dans l’ann\u00e9e, Ivanti divulgue une troisi\u00e8me faille EPMM exploit\u00e9e en conditions r\u00e9elles, CVE-2026-6973, ajout\u00e9e au catalogue des vuln\u00e9rabilit\u00e9s activement exploit\u00e9es de l’agence am\u00e9ricaine CISA. En mai 2026, un nouvel avis couvre des correctifs suppl\u00e9mentaires, dont CVE-2026-5786. Le tableau ci-dessous r\u00e9capitule la chronologie v\u00e9rifi\u00e9e des \u00e9v\u00e9nements.<\/p>\n\n\n\n