--- id: CP-181 slug: autopsie-equifax-struts lang: fr title: Autopsie Equifax 2017 description: "La faille Apache Struts de mars 2017 (CVE-2017-5638) : comment un serveur exposé avec un composant périmé peut être pris, et ce que fait un salarié." canonical_url: https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Autopsie Equifax 2017 », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-031 schema: G4 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ en: https://startbrain.io/cyberpedia/en/articles/equifax-breach-struts-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/equifax-struts-analyse/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ sources: - "n": 1 title: Vulnérabilité dans Apache Struts publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ published: "2017-03-10" accessed: "2026-11-03" - "n": 2 title: Exploit Public-Facing Application publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1190/ accessed: "2026-11-03" - "n": 3 title: "Server Software Component: Web Shell" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1505/003/ accessed: "2026-11-03" - "n": 4 title: Exfiltration Over C2 Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1041/ accessed: "2026-11-03" - "n": 5 title: "[MaJ] Vulnérabilité dans Apache Log4j" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ published: "2021-12-10" accessed: "2026-11-03" - "n": 6 title: Mitigating Log4Shell and Other Log4j-Related Vulnerabilities publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a accessed: "2026-11-03" - "n": 7 title: Vulnerability management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management published: "2024-02-12" accessed: "2026-11-03" --- # Autopsie Equifax 2017 Un serveur web ouvert sur Internet, un logiciel qui n'a pas reçu sa mise à jour : cette situation expose un réseau à une intrusion. Cette fiche suit la faille Apache Struts CVE-2017-5638, rendue publique en mars 2017 [1], et la compare à un cas plus récent, Log4Shell. Précision sur les sources : le dossier de références de cette fiche décrit la faille, son exploitation et les bonnes pratiques, mais ne documente pas le détail de l'intrusion chez Equifax (durée, volume de données, supervision). Ces éléments ne sont donc pas repris ici. ## En 30 secondes - Où ça arrive : sur un serveur ou une application accessible depuis Internet, par exemple un site web, dont un composant n'est pas à jour. - Ce que veut l'attaquant : exécuter des commandes à distance, puis garder un accès et sortir des données. - Le réflexe : signaler sans attendre au service informatique tout comportement anormal d'un site ou d'un outil de l'entreprise, sans chercher à le diagnostiquer soi-même. - Si c'est déjà fait : prévenir l'équipe sécurité, qui décidera s'il faut isoler l'application concernée. ## Questions directes ### Quelle était la faille de mars 2017 ? Une vulnérabilité d'Apache Struts permettait à un attaquant de provoquer une exécution de code arbitraire à distance [1]. Les versions 2.3.x antérieures à 2.3.32 et 2.5.x antérieures à 2.5.10.1 étaient touchées [1]. Apache a publié le bulletin S2-045 le 6 mars 2017 pour fournir un correctif [1]. ### Fallait-il être un expert pour l'exploiter ? Non. Le CERT-FR notait « le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité » et recommandait de déployer le correctif dans les plus brefs délais [1]. La faille était activement exploitée depuis la publication du bulletin [1]. ### Un salarié peut-il faire quelque chose ? Il ne pose pas les correctifs, mais il voit parfois le premier signe : une page qui répond mal, un outil qui se comporte autrement. Le NCSC britannique part du principe que les mises à jour sont un contrôle « business as usual » [7]. ### Que faire d'une application vulnérable qui contient des données sensibles ? Le CERT-FR la jugeait à désactiver tant que la mise à jour n'était pas appliquée : il écrivait que c'était « fortement conseillé » [1]. ## Dans la peau de l'attaquant L'attaquant cherche une porte d'entrée déjà ouverte. MITRE décrit cette technique : exploiter une faiblesse d'un système exposé à Internet pour accéder une première fois à un réseau. La faiblesse peut être un défaut logiciel, un incident passager ou une erreur de configuration [2]. Les applications exploitées sont souvent des sites et serveurs web [2]. Pour la faille Struts, le CERT-FR parle d'un « faible niveau de technicité » nécessaire à l'exploitation [1]. Les sources ne décrivent pas le format exact de l'attaque et cette fiche ne l'invente pas. Ensuite, il s'installe. MITRE décrit le web shell : un script placé sur un serveur web accessible, qui sert de passerelle vers le réseau et peut offrir des fonctions d'exécution ou une ligne de commande sur la machine qui héberge le serveur [3]. L'objectif est un accès durable (tactique « Persistence » chez MITRE) [3]. Enfin, il sort les données. MITRE décrit une exfiltration par le canal de commande et contrôle déjà établi : les données volées sont encodées dans le flux normal de communication, avec le même protocole [4]. ## Ce que vous voyez à l'écran L'écran peut ne rien afficher d'anormal. Les petits détails méritent alors d'être signalés : lenteur inhabituelle, page modifiée, service qui redémarre sans raison, alerte d'un outil de sécurité. Ces signes ne prouvent rien à eux seuls. Le salarié n'a pas à trancher : il décrit ce qu'il a vu (heure, application, comportement) et laisse l'équipe sécurité conclure. ## Sous le capot Le mécanisme se résume en quatre étapes, chacune appuyée par les sources. - La faille : un défaut dans un composant (ici Struts) que le correctif d'Apache corrige [1]. - L'entrée : l'exploitation d'une application exposée à Internet, qui permet l'exécution de code à distance [1][2]. - L'installation : un web shell ou un autre accès durable [3]. - La sortie : les données quittent le réseau par le canal de commande et contrôle [4]. Côté défense, MITRE liste des mesures contre l'exploitation d'une application exposée. Mettre à jour régulièrement les logiciels exposés. Analyser régulièrement les systèmes exposés et prévoir des procédures de correction rapide quand une faille critique est découverte. Segmenter les serveurs exposés du reste du réseau. Restreindre le trafic sortant des serveurs publics : cela n'empêche pas l'exploitation initiale, mais l'attaquant a plus de mal à contrôler ensuite le serveur compromis [2]. Le NCSC rappelle un point de fond : tous les systèmes contiennent des vulnérabilités, et une gestion efficace permet de savoir lesquelles sont présentes et où les mises à jour échouent [7]. ## Autopsies ### Apache Struts, mars 2017 Le 6 mars 2017, Apache publie le bulletin S2-045 [1]. Le 10 mars 2017, le CERT-FR diffuse son alerte, qui indique que la faille est activement exploitée depuis la publication [1]. L'alerte est clôturée le 10 mai 2017 [1]. À la date de son alerte, quatre jours après le bulletin, le CERT-FR constate donc l'exploitation active de la faille [1]. ### Log4Shell, décembre 2021 Le CERT-FR publie sa première alerte sur Log4j le 10 décembre 2021 [5]. La bibliothèque est très souvent utilisée dans les projets Java et par les éditeurs de logiciels sur étagère [5]. Un attaquant peut provoquer une exécution de code à distance sans être authentifié, par exemple via une page d'authentification qui journalise les erreurs [5]. Selon des informations publiques relayées par l'avis conjoint de la CISA et de ses partenaires, l'exploitation de Log4Shell a commencé le 1er décembre 2021 ou autour de cette date, et un code d'exploitation public existe [6]. Le FBI a observé des tentatives d'exploitation et des analyses massives visant à installer des logiciels de minage de cryptomonnaie et de botnet [6]. L'avis demande d'abord d'identifier les ressources concernées : inventorier tous les actifs qui utilisent la bibliothèque Log4j, cloud compris [6]. ## Sources 1. CERT-FR (ANSSI), « Vulnérabilité dans Apache Struts », 10 mars 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Exploit Public-Facing Application ». https://attack.mitre.org/techniques/T1190/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Server Software Component: Web Shell ». https://attack.mitre.org/techniques/T1505/003/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Exfiltration Over C2 Channel ». https://attack.mitre.org/techniques/T1041/ (consulté le 3 novembre 2026) 5. CERT-FR (ANSSI), « [MaJ] Vulnérabilité dans Apache Log4j », 10 décembre 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consulté le 3 novembre 2026) 6. CISA, « Mitigating Log4Shell and Other Log4j-Related Vulnerabilities ». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consulté le 3 novembre 2026) 7. NCSC (Royaume-Uni), « Vulnerability management », 12 février 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.