Le 25 septembre 2026, Kiteworks a émis un avertissement exceptionnel à ses clients, indiquant avoir reçu des renseignements jugés crédibles selon lesquels un acteur menaçant pourrait tenter d’exploiter une vulnérabilité récemment découverte que la société s’efforce de corriger. Kiteworks précise qu’il n’existe aucune preuve, à ce stade, qu’un système ait été compromis ni qu’une vulnérabilité zero-day ait été exploitée ; il s’agit donc d’une mesure proactive et de précaution.
Kiteworks : consignes et fenêtre de coupure recommandée
Kiteworks recommande que les clients mettent temporairement hors ligne les systèmes affectés ce week-end pendant que l’entreprise et les autorités poursuivent l’évaluation de la menace. Pour les organisations situées sur la côte Est des États-Unis, des comptes rendus publiés identifient la fenêtre recommandée comme étant du vendredi 25 septembre à 22h00 ET au samedi 26 septembre à 4h00 ET, Kiteworks conseillant, lorsque cela est possible, de couper les systèmes avant le début de cette période.
La société indique ne pas avoir connaissance d’une compromission de ses systèmes et précise que cet avis est de nature préventive plutôt que la réponse à une brèche confirmée.
Actions immédiates recommandées
Toutes les organisations doivent, selon l’avis, entreprendre immédiatement les démarches suivantes : déterminer si elles exploitent ou dépendent de systèmes Kiteworks et identifier l’environnement affecté, le modèle de déploiement et les processus métier concernés ; revoir et suivre toutes instructions d’urgence reçues directement de Kiteworks ; préserver avant toute coupure les journaux systèmes, d’authentification, réseau et sécurité pertinents et s’assurer que la journalisation et la surveillance appropriées seront disponibles lors du rétablissement des services.
Les recommandations insistent pour que les systèmes Kiteworks affectés soient mis hors ligne et le restent au moins jusqu’au 28 septembre, et que la remise en service ne se fasse que lorsque Kiteworks aura fourni une confirmation suffisante que cela est sûr. Les organisations doivent éviter de restaurer les systèmes seulement parce que la fenêtre de précaution initiale est arrivée à expiration.
Il est aussi demandé de passer en revue l’activité récente liée à Kiteworks afin de détecter alertes, authentifications anormales, activités administratives suspectes, transferts inattendus, comptes ou jetons nouvellement créés, communications sortantes inhabituelles ou tout autre indicateur pouvant justifier une montée en charge et une enquête ; d’identifier les catégories d’informations confidentielles, personnelles, réglementées ou sensibles accessibles via l’environnement afin d’évaluer rapidement les obligations en matière d’alerte et de notification si un accès non autorisé venait à être établi ; et de coordonner dès maintenant les équipes cybersécurité, juridiques, confidentialité, conformité, continuité d’activité et communication plutôt que d’attendre une confirmation d’exploitation.
Assistance et suivi
Kiteworks et les autorités poursuivent leur évaluation de la menace et des informations techniques ou des recommandations de mitigation supplémentaires peuvent apparaître rapidement. Le cabinet Morgan Lewis est mentionné comme point de contact pour une assistance et des informations supplémentaires : son équipe cybersécurité, réponse aux incidents et protection de la vie privée surveille les développements et se tient disponible pour aider les organisations à évaluer l’exposition, coordonner les efforts techniques sous privilège, préserver des preuves, évaluer les obligations juridiques et réglementaires, et répondre aux demandes de clients et autres parties prenantes.
Les organisations sont invitées à ne pas considérer cet avertissement comme la preuve d’une compromission de leur environnement : les informations publiques disponibles à ce stade n’établissent pas qu’une vulnérabilité zero-day ait été exploitée ni qu’un accès non autorisé aux données ait eu lieu, la situation restant toutefois susceptible d’évoluer rapidement.
