Une exposition de PLC Rockwell sur Internet suscite des inquiétudes croissantes après la publication de résultats d’un scan et d’analyses liées à des cyberattaques contre des services d’eau américains. Des chercheurs ont observé des contrôleurs programmables joignables depuis l’extérieur, dans des régions touchées par des incidents signalés depuis la fin du mois de juillet.
Selon les éléments rapportés, l’enjeu principal ne se limite pas à la présence d’éventuelles failles. L’architecture d’accès et la manière dont les équipements sont rendus accessibles au réseau public peuvent suffire à créer des situations où les opérateurs perdent de la visibilité—voire le contrôle—sur des équipements connectés.
Des PLC Rockwell visibles depuis Internet
Le 3 août, un scan a comptabilisé 4 407 contrôleurs Rockwell programmables exposés, avec 2 844 aux États-Unis. Les chiffres portent sur des contrôleurs joignables, et non sur le nombre de sites d’eau touchés ni sur des victimes confirmées. Autrement dit, beaucoup d’équipements détectés n’impliquent pas automatiquement une compromission, mais ils créent une surface d’attaque potentielle.
Dans le cadre d’analyses centrées sur des villes ayant fait l’objet d’incidents contre des utilités de l’eau, 22 PLC Rockwell ont été identifiés comme accessibles depuis Internet. L’on note aussi que 19 d’entre eux utilisent le même réseau de téléphonie mobile.
Pourquoi l’exposition peut suffire, même sans exploitation de faille
Les chercheurs indiquent que des effets décrits publiquement pourraient être obtenus sans nécessairement exploiter une vulnérabilité au sens strict. L’idée centrale est la suivante : des attaquants peuvent modifier des informations d’accès, par exemple en changeant des adresses IP et en définissant des mots de passe, sur des contrôleurs déjà accessibles.
Dans ce scénario, l’impact se traduit pour les équipes opérationnelles par une perte de visibilité. Dans certains cas, les opérateurs pourraient également perdre—temporairement ou durablement—le contrôle d’équipements raccordés au système automatisé.
Point important : les éléments disponibles ne décrivent pas comment les attaquants ont repéré, sélectionné ou initialement accédé aux cibles. Cette absence d’explication limite la compréhension complète du chemin d’attaque, mais n’enlève rien à l’urgence de réduire l’exposition.
Incidents sur les services d’eau : signaux des autorités
Dans une communication publique datée du 30 juillet, le FBI et l’EPA ont indiqué que des utilités d’eau et d’assainissement, dans au moins sept États, avaient signalé des incidents depuis le 27 juillet. Une divergence apparaît toutefois dans les décomptes rapportés par différents documents : un article publié le 6 août mentionne que l’annonce du suivi fait référence à un nombre d’États supérieur à celui indiqué sur la page du FBI.
À ce stade, aucune attribution officielle de campagne n’a été communiquée. Néanmoins, quel que soit le nombre final de lieux touchés, les recommandations de défense convergent : sortir les contrôleurs du réseau Internet public devient une mesure prioritaire.
EtherNet/IP et port 44818 : un chemin non authentifié
Les données publiées indiquent un risque lorsque EtherNet/IP est rendu accessible sur le port 44818. D’après les chercheurs, l’existence d’un accès non authentifié peut, selon la configuration des équipements, permettre à un attaquant :
- d’identifier un contrôleur, ou
- d’écrire certaines configurations sur l’équipement.
Ce point est crucial pour l’interprétation du risque. Même si l’exploitation d’une vulnérabilité spécifique n’est pas démontrée dans chaque cas, la simple disponibilité d’un service en entrée depuis Internet peut transformer un appareil industriel en objectif plus accessible.
Accès via réseaux mobiles : concentration sur de grands opérateurs
Les résultats soulignent aussi une concentration significative des PLC exposés sur des réseaux de téléphonie mobile importants. Les analyses mentionnent qu’environ 70 % des contrôleurs exposés basés aux États-Unis se trouvaient sur de grands réseaux mobiles.
Les recommandations des autorités, telles qu’exposées dans le message du FBI et de l’EPA, vont dans le sens de mesures de durcissement : renforcer l’authentification, appliquer des mises à jour et activer la journalisation pour les modems cellulaires.
En complément, l’accès à distance devrait idéalement être isolé via une architecture privée, par exemple via un APN privé ou un VPN, plutôt que par l’ouverture directe à Internet.
4 000+ hôtes exposés : captures différentes, comparabilité limitée
Une autre donnée, provenant d’une capture effectuée par Censys le 30 juillet, évoque 4 148 hôtes EtherNet/IP exposés associés à Rockwell/Allen-Bradley. Les parts attribuées à certains réseaux mobiles seraient dominées par des fournisseurs comme Verizon Business, AT&T Mobility et T-Mobile USA.
Il faut toutefois retenir que les deux séries chiffrées (Forescout et Censys) ne sont pas directement comparables. Les raisons tiennent aux plateformes d’observation, aux requêtes effectuées et aux dates des scans.
Quelles familles de dispositifs sont concernées ?
Dans les résultats de scan les plus détaillés, les modèles MicroLogix 1400 représentent 50 % des contrôleurs identifiés, tandis que les MicroLogix 1100 représentent 8 %. Les autorités citent explicitement ces familles dans leurs messages.
Sur les 22 contrôleurs repérés dans les villes concernées, une partie des systèmes (19 sur 22 selon les éléments publiés) utiliserait un micrologiciel jugé susceptible de correspondre à une faiblesse connue de type CVE-2017-16740, avec une sévérité CVSS rapportée à 8,6.
La vulnérabilité mentionnée : débordement de tampon Modbus TCP
La faille évoquée concerne un débordement de tampon sur Modbus TCP touchant des versions du micrologiciel MicroLogix 1400 Series B et C (pour les versions 21.002 et antérieures). Le correctif est indiqué comme étant disponible à partir de la révision 21.003 publiée par Rockwell.
Cependant, les chercheurs précisent que la démonstration d’exploitation nécessiterait que Modbus TCP soit activé. Ils indiquent ne pas avoir pu vérifier ce point sur les hôtes concernés.
Autre message important : les mises à jour traitent des bugs précis, mais elles ne rendent pas acceptable l’exposition directe de PLC sur Internet. Autrement dit, patcher ne remplace pas le retrait du réseau public et les bonnes pratiques d’architecture.
Récupération après changement de mot de passe
Des informations de guidance existent pour les opérateurs qui se retrouveraient bloqués après qu’un attaquant a modifié un mot de passe. Les éléments publiés renvoient à une note (SD1790) expliquant comment réinitialiser des MicroLogix 1400 ou 1100 vers des réglages par défaut et comment recharger un projet connu.
Cette procédure est présentée comme un chemin de récupération, et non comme une divulgation de vulnérabilité. Elle ne porte donc pas de numéro CVE dans ce cadre.
La démarche requiert d’avoir une copie offline du projet logique du contrôleur. Le FBI indique également qu’au moins une victime aurait constaté des fichiers de projet PLC modifiés après avoir détecté des différences dans la logique à relais entre plusieurs sites.
Leçons de défense : actions concrètes dès maintenant
Si l’on résume les recommandations qui ressortent de ces analyses, elles pointent toutes vers une réduction rapide de l’exposition et une meilleure hygiène d’accès :
- Retirer les contrôleurs de l’accès Internet public autant que possible.
- Limiter les services exposés et sécuriser les interfaces de communication (notamment les flux EtherNet/IP).
- Renforcer l’authentification sur les accès distants et sur les composants réseau associés.
- Mettre à jour les équipements et appliquer les correctifs disponibles.
- Activer la journalisation et surveiller les événements pour détecter des changements anormaux (adresse IP, paramètres, comptes).
- Isoler l’accès distant via des architectures privées (APN privé, VPN ou équivalent).
Les autorités mettent aussi en garde contre le risque de répétition : des configurations réseau similaires chez différents clients peuvent permettre à des attaquants d’enchaîner des compromissions à grande échelle.
Conclusion : réduire l’exposition de PLC Rockwell devient un impératif
Les chiffres publiés montrent qu’un nombre élevé de PLC Rockwell restent joignables depuis l’extérieur, y compris dans des zones associées à des incidents visant des infrastructures d’eau. Même si toutes les expositions ne signifient pas une compromission, la logique d’attaque décrite—changer des paramètres et verrouiller l’accès à des appareils déjà accessibles—rend l’enjeu plus urgent.
En pratique, les équipes défense doivent agir vite : sortir les contrôleurs de l’Internet public, sécuriser les canaux d’accès distant et renforcer l’authentification, la mise à jour et la surveillance. Cette approche réduit la surface d’attaque, limite l’impact potentiel et améliore la capacité à détecter et à récupérer rapidement en cas d’incident.
Source: https://thehackernews.com/2026/08/over-4400-rockwell-plcs-exposed-online.html
