CVE-2026-75754 : ASUS ACC, faille CVSS 10 donne un shell root

Une faille de gravité maximale qui compromet toute la flotte gérée par ASUS ACC

Le 4 septembre 2026, ASUS a publié le bulletin de sécurité relatif à CVE-2026-75754, une vulnérabilité affectant sa plateforme ASUS Control Center Enterprise (ACC). La note CVSS 4.0 attribuée est 10.0, le score maximal possible, reflétant la combinaison d'une exploitabilité réseau triviale, de l'absence totale d'authentification requise, de l'absence d'interaction utilisateur, et d'un impact total sur la confidentialité, l'intégrité et la disponibilité des systèmes gérés.

ASUS Control Center Enterprise est une solution de gestion centralisée conçue pour les environnements d'entreprise. Elle permet aux équipes informatiques d'administrer à distance des flottes de PC, workstations, et serveurs sous marque ASUS — inventaire matériel, déploiement de mises à jour BIOS, monitoring de santé des composants, gestion des licences logicielles et contrôle de sécurité des endpoints. Sa compromission ne se limite donc pas à un seul équipement : elle expose l'intégralité du parc géré.

Techniquement, CVE-2026-75754 résulte d'une chaîne de trois faiblesses distinctes. La première est un défaut d'authentification sur une fonction critique (CWE-306) : certaines opérations sensibles de la plateforme ACC sont accessibles sans aucune vérification d'identité depuis le réseau. La deuxième est une vulnérabilité de type SSRF (Server-Side Request Forgery) qui permet à un attaquant d'envoyer une requête HTTP spécialement forgée pour tromper le système et l'amener à exposer sa propre clé de chiffrement. La troisième exploite des identifiants codés en dur dans la plateforme : une fois la clé de chiffrement récupérée, l'attaquant peut la déchiffrer et s'en servir pour s'authentifier avec les credentials hardcodés, obtenant ainsi un shell root.

L'exploitation complète de cette chaîne ne nécessite aucun compte préalable, aucun accès physique, et aucune action de la part d'un utilisateur légitime. Un attaquant ayant accès au réseau sur lequel est exposée l'interface ACC peut en quelques minutes prendre le contrôle total de la plateforme, puis par extension de tous les équipements qu'elle administre. Les chercheurs de Security Online ont décrit la séquence complète comme reproductible en moins de cinq étapes automatisables.

La surface d'attaque est potentiellement significative. Selon les données de Shodan partagées par Mallory AI, plusieurs centaines d'instances ASUS Control Center Enterprise sont directement accessibles depuis Internet, essentiellement dans des PME et des environnements de télétravail où les bonnes pratiques de segmentation réseau ne sont pas systématiquement appliquées. Les grandes entreprises disposant de DMZ et de segmentation stricte sont moins directement exposées, mais restent vulnérables à des attaques via un pivotement depuis un réseau interne déjà compromis.

ASUS a également confirmé que la CISA américaine a ajouté CVE-2026-75754 à son catalogue Known Exploited Vulnerabilities (KEV), signalant l'existence d'une exploitation active dans la nature. Des indicateurs de compromission ont été identifiés : présence inattendue d'un listener SSH sur le port 2222, connexions sortantes non habituelles depuis le serveur ACC, et création de comptes administrateurs inconnus dans la console de gestion. Ces éléments suggèrent que des acteurs malveillants avaient connaissance de la vulnérabilité avant la publication du bulletin officiel.

En termes de mesures de remédiation, ASUS recommande en priorité l'installation immédiate du patch publié le 4 septembre 2026. Pour les organisations qui ne peuvent déployer le correctif immédiatement — en raison de fenêtres de maintenance planifiées ou de contraintes opérationnelles — les recommandations intérimaires sont les suivantes : isoler l'interface de gestion ACC derrière un VPN ou un réseau de management dédié non accessible depuis Internet, bloquer le trafic entrant et sortant sur le port 2222, et auditer en urgence les comptes administrateurs présents dans la console ACC. Un inventaire des connexions SSH actives sur le serveur ACC doit être réalisé pour détecter toute session illégitime.

Le CERT-FR et l'ANSSI n'avaient pas encore publié d'alerte officielle au moment de la rédaction de cet article, mais la mise à disposition de CVE-2026-75754 dans le KEV américain laisse anticiper une communication prochaine pour les entités soumises à la réglementation NIS2 en France.

Les plateformes de gestion centralisée : un vecteur d'attaque sous-estimé

CVE-2026-75754 illustre un phénomène récurrent dans les incidents de sécurité des entreprises : les outils d'administration centralisée — pensés pour simplifier la gestion des parcs — deviennent eux-mêmes des vecteurs d'attaque de premier rang dès lors qu'ils contiennent des failles critiques. En 2021, l'affaire Kaseya VSA avait démontré comment une vulnérabilité dans une solution de gestion à distance pouvait conduire à la compromission simultanée de plus de 1 500 entreprises via leurs fournisseurs de services managés. ASUS ACC, bien que moins répandu que Kaseya, suit la même logique : sa compromission donne à un attaquant un accès transversal à l'ensemble du parc géré.

La présence d'identifiants codés en dur (hardcoded credentials) dans une plateforme de gestion d'entreprise en 2026 est une faiblesse particulièrement préoccupante. C'est l'une des vulnérabilités les plus documentées depuis des décennies — l'OWASP en fait mention dans ses Top 10 depuis 2013, la CWE-798 lui est dédiée — et pourtant elle reste régulièrement découverte dans des produits commerciaux. Elle pose la question de la maturité des processus de développement sécurisé (SSDLC) chez les fabricants de matériel qui développent également des logiciels d'administration.

Pour les équipes sécurité, l'incident souligne l'importance de l'inventaire exhaustif des outils d'administration en place dans l'organisation. Les solutions de Remote Monitoring and Management (RMM), les consoles ITSM, les plateformes de déploiement et les outils de gestion d'actifs constituent une surface d'attaque administrative qui mérite une attention aussi soutenue que les serveurs d'application exposés sur Internet. Leur segmentation réseau stricte — interface de gestion accessible uniquement depuis un réseau de management dédié, avec authentification MFA et journalisation complète — est un prérequis de sécurité fondamental.

Du point de vue de la supply chain matérielle, CVE-2026-75754 rappelle également que l'achat d'équipements de marques grand public ou semi-professionnelles pour des usages entreprise doit s'accompagner d'une évaluation de la maturité sécurité du fabricant : délai habituel de publication des correctifs, existence d'un programme de divulgation coordonnée, qualité des bulletins de sécurité. ASUS a réagi en 24 heures sur ce cas, ce qui est satisfaisant ; mais la présence d'identifiants hardcodés et d'un défaut d'authentification dans une plateforme de gestion d'entreprise révèle des lacunes dans les processus de revue de sécurité amont.

Ce qu'il faut retenir

• CVE-2026-75754 (CVSS 10.0) dans ASUS Control Center Enterprise permet un shell root sans authentification via une chaîne : défaut d'auth + SSRF + credentials hardcodés.
• Le patch ASUS du 4 septembre 2026 doit être déployé en priorité ; en attendant, isoler l'interface ACC et bloquer le port 2222.
• Auditer immédiatement les comptes administrateurs ACC et les connexions SSH actives sur le serveur ACC pour détecter une éventuelle compromission.