{"id":4168,"date":"2026-07-22T17:10:41","date_gmt":"2026-07-22T15:10:41","guid":{"rendered":"https:\/\/staging.ekinops.com\/blog\/cybersecurity\/vpn-vs-ztna-why-cios-need-to-rethink-remote-access-in-2026"},"modified":"2026-11-12T11:29:31","modified_gmt":"2026-11-12T10:29:31","slug":"vpn-vs-ztna-pourquoi-les-dsi-doivent-repenser-lacces-distant-en-2026","status":"publish","type":"post","link":"https:\/\/www.ekinops.com\/fr\/blog\/cybersecurity\/vpn-vs-ztna-why-cios-need-to-rethink-remote-access-in-2026","title":{"rendered":"VPN vs ZTNA : pourquoi les DSI doivent repenser l\u2019acc\u00e8s distant en 2026"},"content":{"rendered":"<h2 class=\"wp-block-heading\">Le VPN, un mod\u00e8le qui a rendu service mais qui atteint ses limites<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Pendant plus de vingt ans, le VPN a \u00e9t\u00e9 la r\u00e9ponse standard \u00e0 l&#8217;acc\u00e8s distant : un portail d&#8217;authentification expos\u00e9 sur Internet, qui ouvre apr\u00e8s connexion un tunnel chiffr\u00e9 vers le r\u00e9seau de l&#8217;entreprise. Ce mod\u00e8le a parfaitement fonctionn\u00e9 dans un monde o\u00f9 les utilisateurs \u00e9taient majoritairement au bureau et les applications dans le datacenter.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ce monde n&#8217;existe plus. T\u00e9l\u00e9travail g\u00e9n\u00e9ralis\u00e9, applications r\u00e9parties entre datacenters et clouds, multiplication des prestataires et des \u00e9quipements non g\u00e9r\u00e9s : les flux \u00e0 s\u00e9curiser se sont diversifi\u00e9s, et avec eux les briques empil\u00e9es au fil des ann\u00e9es \u2014 VPN pour les collaborateurs, bastion pour les administrateurs, reverse proxy pour les tiers. Chaque brique ajoute de la complexit\u00e9 op\u00e9rationnelle, et surtout une surface d&#8217;exposition suppl\u00e9mentaire.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">2026 : la d\u00e9monstration par les faits<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">L&#8217;actualit\u00e9 r\u00e9cente illustre concr\u00e8tement cette fragilit\u00e9. Selon le rapport DBIR 2026 de Verizon, qui analyse plus de 22 000 br\u00e8ches, l&#8217;exploitation de vuln\u00e9rabilit\u00e9s est d\u00e9sormais le premier vecteur d&#8217;acc\u00e8s initial des attaquants. Et les \u00e9quipements d&#8217;acc\u00e8s distant expos\u00e9s en sont la cible privil\u00e9gi\u00e9e :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Un contournement d&#8217;authentification (CVSS 9.8) sur une passerelle SSL-VPN parmi les plus d\u00e9ploy\u00e9es du march\u00e9.<\/strong> La faille permettait \u00e0 un attaquant non authentifi\u00e9 de franchir la page de connexion et d&#8217;obtenir un acc\u00e8s r\u00e9seau. Environ 47 000 \u00e9quipements \u00e9taient expos\u00e9s sur Internet ; l&#8217;agence am\u00e9ricaine CISA a \u00e9mis le 26 f\u00e9vrier 2026 une directive contraignante imposant de corriger ou de d\u00e9sactiver les services concern\u00e9s sous 72 heures.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Une campagne de vol d&#8217;identifiants \u00e0 grande \u00e9chelle (juin-juillet 2026).<\/strong>Environ 74 000 identifiants de firewalls et de VPN vol\u00e9s en circulation et au moins 12 organisations touch\u00e9es par des ransomwares d\u00e9ploy\u00e9s via des \u00e9quipements compromis, selon SOCRadar. Fait notable : cette campagne ne reposait sur aucune vuln\u00e9rabilit\u00e9 in\u00e9dite \u2014 la simple existence d&#8217;un portail de connexion expos\u00e9 suffisait \u00e0 en faire une cible pour le rejeu d&#8217;identifiants et la force brute.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong><strong>Une vuln\u00e9rabilit\u00e9 critique exploit\u00e9e en moins de 24 heures.<\/strong><\/strong>Fin juin 2026, une faille touchant une passerelle d&#8217;acc\u00e8s distant largement r\u00e9pandue a \u00e9t\u00e9 exploit\u00e9e dans les 24 heures suivant sa divulgation publique, d&#8217;apr\u00e8s Lupovis \u2014 quelques semaines apr\u00e8s l&#8217;inscription de deux autres failles du m\u00eame \u00e9quipement au catalogue KEV (vuln\u00e9rabilit\u00e9s activement exploit\u00e9es) de la CISA.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Une ex\u00e9cution de code \u00e0 distance avec privil\u00e8ges root (CVSS 10.0).<\/strong>Une injection de commandes pr\u00e9-authentification sur une passerelle de mobilit\u00e9 d&#8217;entreprise, activement exploit\u00e9e et inscrite au catalogue KEV le 11 juin 2026, avec un code d&#8217;exploitation public et des instances compromises confirm\u00e9es par la Shadowserver Foundation.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Un contournement d&#8217;authentification via des configurations VPN d\u00e9pr\u00e9ci\u00e9es.<\/strong> Sur une autre passerelle de s\u00e9curit\u00e9 majeure, des configurations d&#8217;\u00e9change de cl\u00e9s obsol\u00e8tes (IKEv1) permettaient d&#8217;\u00e9tablir des connexions VPN non autoris\u00e9es, avec des liens observ\u00e9s vers un affili\u00e9 du ransomware Qilin.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Pr\u00e9cisons-le : ces incidents ont touch\u00e9 plusieurs \u00e9diteurs majeurs et reconnus, qui corrigent, publient des avis de s\u00e9curit\u00e9 et coop\u00e8rent avec les agences. Le sujet n&#8217;est pas le s\u00e9rieux de tel ou tel acteur. Plusieurs \u00e9quipements de premier plan, un m\u00eame sch\u00e9ma d&#8217;attaque : c&#8217;est le signe d&#8217;un probl\u00e8me de mod\u00e8le, pas de fournisseur.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Pourquoi les architectures d&#8217;acc\u00e8s historiques sont structurellement fragiles<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Les architectures d&#8217;acc\u00e8s traditionnelles reposent sur des hypoth\u00e8ses que le contexte actuel remet en cause. Quatre limites structurelles ressortent des incidents de 2026 :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Une surface d&#8217;attaque expos\u00e9e par conception.<\/strong>Un VPN doit \u00e9couter sur Internet pour que les utilisateurs s&#8217;y connectent. Cette page de connexion est identifiable par un simple scan, et chaque nouvelle vuln\u00e9rabilit\u00e9 transforme instantan\u00e9ment des dizaines de milliers d&#8217;\u00e9quipements en cibles.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Un acc\u00e8s r\u00e9seau plut\u00f4t qu&#8217;un acc\u00e8s applicatif. <\/strong>Une fois le tunnel \u00e9tabli, l&#8217;utilisateur \u2014 ou l&#8217;attaquant qui a d\u00e9rob\u00e9 ses identifiants \u2014 acc\u00e8de \u00e0 un segment de r\u00e9seau, souvent peu cloisonn\u00e9. C&#8217;est le point de d\u00e9part des mouvements lat\u00e9raux qui pr\u00e9c\u00e8dent le d\u00e9ploiement d&#8217;un ransomware.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Une d\u00e9pendance critique \u00e0 la vitesse de patching. <\/strong> Quand une vuln\u00e9rabilit\u00e9 est exploit\u00e9e en moins de 24 heures et que les agences imposent des correctifs sous 72 heures, faire reposer la s\u00e9curit\u00e9 de l&#8217;acc\u00e8s distant sur la r\u00e9activit\u00e9 des \u00e9quipes devient un pari difficile \u00e0 tenir dans la dur\u00e9e.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Un empilement co\u00fbteux \u00e0 op\u00e9rer. <\/strong>VPN, bastion, reverse proxy : autant de solutions \u00e0 administrer, \u00e0 maintenir et \u00e0 corriger, avec autant de surfaces d&#8217;exposition que de briques.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Le ZTNA : inverser la logique d&#8217;acc\u00e8s<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le Zero Trust Network Access repose sur un renversement simple : plus personne n&#8217;entre dans le r\u00e9seau ; ce sont les applications qui sont publi\u00e9es, une \u00e0 une, vers des utilisateurs v\u00e9rifi\u00e9s en continu. Trois principes en d\u00e9coulent :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Ne jamais faire confiance par d\u00e9faut.<\/strong> L&#8217;identit\u00e9, le terminal et le contexte sont v\u00e9rifi\u00e9s \u00e0 chaque requ\u00eate, et non une seule fois au montage du tunnel.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong> Le moindre privil\u00e8ge applicatif. <\/strong> L&#8217;utilisateur acc\u00e8de \u00e0 son application, jamais au r\u00e9seau. Un identifiant vol\u00e9 n&#8217;ouvre rien \u00e0 lui seul, et n&#8217;ouvre jamais tout.<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>L&#8217;invisibilit\u00e9.<\/strong>Ce qui n&#8217;est pas expos\u00e9 ne peut \u00eatre ni scann\u00e9, ni attaqu\u00e9.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">C&#8217;est ce dernier point qui r\u00e9pond directement \u00e0 la vague de vuln\u00e9rabilit\u00e9s de 2026 \u2014 et c&#8217;est aussi sur ce point que les impl\u00e9mentations ZTNA diff\u00e8rent le plus entre elles.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">L&#8217;approche universelle : le U-ZTNA d&#8217;Ekinops<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le U-ZTNA (Universal ZTNA) d&#8217;Ekinops applique la logique Zero Trust jusqu&#8217;au bout de l&#8217;architecture, sur le mod\u00e8le SDP (Software Defined Perimeter).<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Aucun port entrant, nulle part<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Les connecteurs U-ZTNA \u00e9tablissent des connexions exclusivement sortantes : ni portail de connexion, ni interface d&#8217;administration, ni service \u00e0 l&#8217;\u00e9coute sur Internet. Pour un scanner, un botnet ou un attaquant muni d&#8217;identifiants vol\u00e9s, il n&#8217;y a rien \u00e0 trouver. Les deux premi\u00e8res \u00e9tapes du sch\u00e9ma d&#8217;attaque observ\u00e9 en 2026 \u2014 scanner Internet, puis attaquer le service expos\u00e9 \u2014 n&#8217;ont plus de cible. Et contrairement \u00e0 une id\u00e9e re\u00e7ue, cela vaut aussi en d\u00e9ploiement on-premise : m\u00eame h\u00e9berg\u00e9s dans le p\u00e9rim\u00e8tre de l&#8217;entreprise, les connecteurs sortent, ils n&#8217;\u00e9coutent pas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Un acc\u00e8s par application, jamais au r\u00e9seau<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">L&#8217;identit\u00e9, la posture du terminal et le contexte sont v\u00e9rifi\u00e9s en continu, \u00e0 chaque requ\u00eate, en int\u00e9gration avec le fournisseur d&#8217;identit\u00e9 et le MFA existants de l&#8217;entreprise. M\u00eame un compte compromis n&#8217;atteint&nbsp;qu&#8217;une application : le rayon d&#8217;impact est contenu par construction.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Universel, pour simplifier l&#8217;existant<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Un seul mod\u00e8le d&#8217;acc\u00e8s couvre les usages qui imposaient hier l&#8217;empilement VPN, bastion et reverse proxy : collaborateurs en mobilit\u00e9, prestataires, BYOD, environnements OT \u2014 sur tout appareil, partout. L&#8217;acc\u00e8s&nbsp;agentless avec bastion SSH\/RDP int\u00e9gr\u00e9 et enregistrement de session couvre les cas o\u00f9 le d\u00e9ploiement d&#8217;un agent n&#8217;est pas possible.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">La ma\u00eetrise des donn\u00e9es et la conformit\u00e9<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">D\u00e9ploiement as-a-service, d\u00e9di\u00e9 ou 100 % on-premise : les donn\u00e9es comme les cl\u00e9s de chiffrement restent sous le contr\u00f4le de l&#8217;organisation. Solution con\u00e7ue, d\u00e9velopp\u00e9e et h\u00e9berg\u00e9e en Europe, non soumise aux lois extraterritoriales comme le Cloud Act, elle s&#8217;inscrit dans les exigences du RGPD et accompagne la mise en conformit\u00e9 NIS2 et DORA.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Une migration progressive<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">U-ZTNA coexiste avec les firewalls et le VPN en place, application par application, sans remplacement brutal. Les DSI peuvent migrer d&#8217;abord les acc\u00e8s les plus sensibles \u2014 administration, prestataires, applications critiques \u2014 et r\u00e9duire progressivement leur surface expos\u00e9e, \u00e0 leur rythme.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Ce qu&#8217;il faut retenir<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">L\u00e0 o\u00f9 le VPN expose un portail de connexion scannable et accorde un acc\u00e8s r\u00e9seau apr\u00e8s une v\u00e9rification unique, le ZTNA universel ne pr\u00e9sente aucun port entrant, accorde un acc\u00e8s limit\u00e9 \u00e0 l&#8217;application demand\u00e9e et v\u00e9rifie l&#8217;identit\u00e9, le terminal et le contexte en continu. La d\u00e9pendance \u00e0 la course au patch s&#8217;en trouve fortement r\u00e9duite : il n&#8217;y a plus de service expos\u00e9 \u00e0 corriger dans l&#8217;urgence. Et l\u00e0 o\u00f9 l&#8217;acc\u00e8sdistant reposait sur un empilement de solutions, un mod\u00e8le unique couvre collaborateurs, administrateurs, prestataires et environnements OT.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Soyons pr\u00e9cis : aucune architecture ne garantit l&#8217;immunit\u00e9 absolue, et il serait malhonn\u00eate de le pr\u00e9tendre. Des risques r\u00e9siduels demeurent \u2014 compromission d&#8217;un poste de travail, attaque visant le fournisseur d&#8217;identit\u00e9 \u2014 et sont trait\u00e9s par la v\u00e9rification continue et le moindre privil\u00e8ge. Mais la m\u00e9canique qui a marqu\u00e9 2026 \u2014 scanner Internet \u00e0 la recherche d&#8217;un portail, exploiter la vuln\u00e9rabilit\u00e9 du jour ou rejouer des identifiants vol\u00e9s, puis se d\u00e9placer lat\u00e9ralement \u2014 n&#8217;a pas de prise sur une architecture sans exposition : on ne peut pas compromettre ce que l&#8217;on ne peut pas atteindre.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pour les DSI, la question n&#8217;est donc plus de savoir si la passerelle d&#8217;acc\u00e8s distant fera l&#8217;objet de la prochaine vuln\u00e9rabilit\u00e9 critique, mais si le mod\u00e8le d&#8217;acc\u00e8s de l&#8217;organisation doit continuer \u00e0 d\u00e9pendre de cette \u00e9ventualit\u00e9. Le ZTNA universel offre une voie de sortie pragmatique : progressive, r\u00e9versible et align\u00e9e avec les exigences r\u00e9glementaires europ\u00e9ennes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sources externes cit\u00e9es<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Verizon DBIR 2026 ; CISA (catalogue KEV \u2014 Known Exploited Vulnerabilities \u2014 et directive op\u00e9rationnelle contraignante du 26\/02\/2026) ; SOCRadar ; Lupovis ; Shadowserver Foundation.<\/em><\/p>","protected":false},"excerpt":{"rendered":"<p>Failles critiques en s\u00e9rie, directives d&#8217;urgence des agences de cybers\u00e9curit\u00e9, campagnes de ransomware aliment\u00e9es par des identifiants VPN d\u00e9rob\u00e9s : le premier semestre 2026 a plac\u00e9 l&#8217;acc\u00e8s distant au sommet des priorit\u00e9s des DSI. Au-del\u00e0 des correctifs \u00e0 appliquer dans l&#8217;urgence, ces incidents posent une question de fond : le mod\u00e8le m\u00eame du VPN, qui repose sur l&#8217;exposition d&#8217;un point d&#8217;entr\u00e9e sur Internet, est-il encore adapt\u00e9 ? Le Zero Trust Network Access (ZTNA), et en particulier son approche universelle, propose une r\u00e9ponse architecturale \u00e0 ce probl\u00e8me structurel. D\u00e9cryptage.<\/p>","protected":false},"author":10,"featured_media":5017,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[82],"tags":[],"class_list":["post-4168","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity"],"_links":{"self":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4168","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/comments?post=4168"}],"version-history":[{"count":1,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4168\/revisions"}],"predecessor-version":[{"id":5018,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4168\/revisions\/5018"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media\/5017"}],"wp:attachment":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media?parent=4168"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/categories?post=4168"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/tags?post=4168"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}