En juillet 2026, les outils d’automatisation accessibles depuis Internet avancent à un rythme bien plus rapide que les logiciels industriels et les applications d’entreprise. C’est ce que montre une analyse de Censys. En neuf mois, le nombre d’adresses IP exposant publiquement ce type de logiciels a grimpé de 63 %, de 164 088 en octobre 2025 à 267 915 en juillet 2026. Au total, 44 produits sont concernés, toujours d’après Censys.
Chez les défenseurs, le problème se joue désormais sur deux tempos qui n’ont rien à voir l’un avec l’autre. D’un côté, de nouveaux usages sont déployés très vite. De l’autre, des infrastructures anciennes, toujours joignables sur Internet, bougent à peine. L’écart est net. À titre de comparaison, les services industriels exposés n’ont augmenté que d’environ 4 % en près de deux ans et demi, selon Censys.
Le cas le plus frappant est celui de n8n. À lui seul, le produit représentait 113 926 hôtes exposés. Et parmi les serveurs n8n qui donnaient leur version, 76,1 % tournaient sur une édition touchée par au moins une faille notée 9,0 ou plus, toujours selon Censys. Ce n’est pas anodin, parce que ce genre de plateforme peut conserver des identifiants ouvrant l’accès à d’autres services connectés. Forcément, pour un attaquant, l’intérêt monte d’un cran.
Censys cite aussi OpenClaw, un agent auto-hébergé dont l’interface d’administration a été publiée le 5 janvier 2026. Six jours après, deux panneaux d’administration étaient déjà visibles sur Internet. Au 7 avril, on en comptait 85 478, selon Censys.
La leçon est assez claire : un produit tout juste lancé peut devenir une cible pour des attaques de masse en l’espace de quelques semaines, bien avant que les équipes aient posé de vrais garde-fous.
À l’autre bout du spectre, l’exposition des produits plus anciens change à peine. Pour Telerik Report Server, Jenkins, Cleo MFT et Microsoft SharePoint Server, la part du groupe de versions le plus ancien n’a bougé que d’environ un point de pourcentage, ou moins, entre janvier 2024 et mai 2026. Pour Censys, cela laisse penser qu’une partie des instances exposées sont simplement abandonnées et ne seront sans doute jamais mises à jour.
Le cas de Jenkins est d’ailleurs assez curieux. Selon Censys, les hôtes Jenkins visibles sur Internet passaient vers des versions plus récentes à un rythme mensuel situé entre 5 % et 9 %, sans véritable sursaut après la publication de failles.
Cleo MFT raconte une autre histoire. Le produit progressait à un rythme médian de 1,9 % par mois, jusqu’au moment où deux vulnérabilités critiques ont été ajoutées au catalogue de la CISA recensant les failles activement exploitées, puis où le groupe Cl0p a revendiqué des attaques. En janvier 2025, 63 % des hôtes Cleo encore visibles avaient alors migré vers une version plus récente, d’après Censys.
Début 2026, Censys comptait environ 134 000 hôtes exécutant des services industriels, contre près de 129 000 en 2024. Près de 70 % de ces équipements se trouvaient sur des réseaux grand public ou mobiles, souvent derrière des modems cellulaires. Ce détail complique l’attribution, puisque les enregistrements pointent en général vers l’opérateur télécom, pas vers l’exploitant réel.
Le seul réseau cellulaire de Verizon hébergeait 10 % des hôtes industriels exposés et 27,5 % des interfaces homme-machine elles aussi exposées, selon Censys. Et plus de 80 % de ces hôtes faisaient aussi tourner des services informatiques classiques, comme HTTP ou SSH. Autrement dit, un attaquant n’a pas forcément besoin d’une expertise industrielle très poussée pour tenter une intrusion.
En arrière-plan, la pression continue de monter. les outils offensifs gagnent en automatisation, tandis que la pénurie mondiale de talents en cybersécurité atteint 4,8 millions de professionnels, selon l’estimation de Censys. Le résultat, lui, est assez brutal : la surface d’attaque grossit plus vite que la capacité de nombreuses organisations à la faire reculer.
Suivez-moi sur Twitter : @pierrevitre
