GTB / GTC

Siemens Desigo CC : la faille « Node2Shell » s’invite dans la supervision GTB

6 novembre 2026 Alexandre FAUVEL 4 min de lecture Actualité 1 vue

Il y a des bulletins de sécurité qu’on lit en diagonale, et d’autres qui font lever les yeux de l’écran. Le 4 novembre 2026, Siemens a mis à jour son avis SSA-045512 pour y ajouter Desigo CC V8 et V9, sa plateforme de gestion technique du bâtiment. En cause : la faille du décodeur Brotli surnommée « Node2Shell » (CVE-2026-111497), déjà exploitée ailleurs. Le CERT-FR l’a relayé le 5 novembre (CERTFR-2026-AVI-1464). Quand l’hyperviseur d’un bâtiment est concerné, je préfère en parler tout de suite.

Ce que dit l’avis Siemens

Produits touchés : la famille Desigo CC en V8 et en V9, toutes versions.
La faille : une écriture hors limites dans le décodeur Brotli (versions 1.0.3 à 1.2.0 de la bibliothèque de Google). Un flux compressé piégé peut corrompre la mémoire, faire fuiter des données, planter le service, voire exécuter du code, le tout à distance et sans authentification.
Gravité : CVSS 3.1 de 9,8, CVSS 4.0 de 9,2.
Le correctif : Siemens demande d’installer les dernières mises à jour de sécurité .NET par Windows Update.

Pourquoi .NET pour une faille Brotli ? Parce que .NET embarque sa propre implémentation de la décompression Brotli. Microsoft a publié en urgence le 25 octobre 2026 des versions corrigées des moteurs d’exécution : .NET 8.0.33, 9.0.22 et 10.0.14. Côté exploitation, la CISA a inscrit la faille dans son catalogue des vulnérabilités exploitées le 27 octobre, et Sophos fait état d’attaques actives. Je vous en avais déjà parlé à propos de la console Stormshield SMC : Node2Shell est en train de faire le tour de tout ce qui décompresse du Brotli.

Pourquoi ça me fait tiquer

Desigo CC, c’est le tableau de bord du bâtiment : chauffage, ventilation, climatisation, éclairage, comptage, et selon les extensions installées, la remontée de la sécurité incendie et de la sûreté. Celui qui prend la main sur le serveur voit tout, et peut potentiellement commander une partie des équipements. C’est exactement le scénario que je décrivais à propos des frigos de supermarchés piratés : la GTB n’est plus un îlot.

L’autre point qui me chiffonne, c’est le chemin de mise à jour. Un serveur de supervision GTB est souvent installé par l’intégrateur, rarement rattaché au WSUS du service informatique, et personne ne sait trop qui a le droit de cliquer sur « Redémarrer ». Résultat : Windows Update y passe… quand quelqu’un y pense. 🙂

Ma check-list pour un site équipé de Desigo CC

Identifier les serveurs et les postes clients. Le serveur Desigo CC, mais aussi les postes d’exploitation installés : ils ont eux aussi un moteur .NET.
Vérifier la version de .NET installée. La commande dotnet --list-runtimes donne la liste des moteurs présents. Ce qui est en dessous des versions corrigées citées plus haut est à mettre à jour.
Valider avec Siemens ou votre intégrateur agréé. On ne met pas à jour un serveur de supervision à l’aveugle : vérifiez la compatibilité avec votre version de Desigo CC et ses extensions, et faites une sauvegarde complète (projet et base de données) avant.
Planifier le redémarrage. Prévenez l’exploitant et l’équipe de maintenance. Rappelons au passage que la mise en sécurité incendie ne dépend pas de la supervision : l’ECS et le CMSI restent autonomes. Pendant le redémarrage, on perd la vue d’ensemble, pas la sécurité des personnes.
Revoir la segmentation. Le serveur doit vivre dans un réseau technique séparé, derrière un pare-feu, jamais exposé directement sur Internet. Les accès distants de maintenance passent par un VPN ou une solution d’accès distant avec authentification forte, pas par un port ouvert « provisoirement » depuis trois ans.

Mon avis

Bonne nouvelle : le correctif existe et il est simple sur le papier. Moins bonne nouvelle : il touche un composant que personne ne surveille dans une supervision GTB, le moteur .NET de Windows. C’est toute la leçon de Node2Shell. Une faille dans une petite bibliothèque de compression finit dans des consoles de pare-feu, des serveurs web et maintenant des hyperviseurs de bâtiment. Pour moi, un contrat de maintenance GTB sérieux doit désormais prévoir explicitement la mise à jour du système d’exploitation et des moteurs logiciels, avec une personne nommée pour la valider. Avec NIS2 et le décret BACS, qui multiplie les bâtiments supervisés, ce n’est plus une option.

Et si vous utilisez une autre supervision (Niagara, PcVue, Struxureware/EcoStruxure, etc.), posez la même question à votre éditeur : votre logiciel décompresse-t-il du Brotli, et avec quelle bibliothèque ?

Sources

Commentaires

Aucun commentaire pour l'instant : lancez la discussion.