Clients en danger après une fuite de code Trellix

Trellix a confirmé un breach de code source au début de mai 2026. Cela place le fournisseur de cybersécurité dans une liste qui comprend Microsoft, Okta et LastPass – les fabricants de logiciels de sécurité sont eux-mêmes des cibles d’attaque. Pour les clients de Trellix, la question se posant est de savoir ce que signifie un fournisseur de sécurité compromis.

Qu’est-ce que Trellix ? Trellix est un fournisseur de cybersécurité né en 2022 de la fusion de FireEye et de McAfee Enterprise, avec un accent mis sur la détection et la réponse étendues (XDR), la protection des points de terminaison et la sécurité du réseau. L’entreprise est utilisée comme outil de surveillance de sécurité centrale dans de nombreux grandes entreprises et institutions dans les pays DACH et gère souvent un accès privilégié aux appareils, au trafic réseau et aux journaux de sécurité.

Lié : Ivanti EPMM Zero-Days : Ce que les opérateurs KRITIS doivent faire dès aujourd’hui

Qu’implique le débordement de Trellix : le code source comme arme stratégique

Les débordements de code source sont difficiles à communiquer en raison de la nature limitée du dommage direct. Selon l’état actuel, les données clients n’ont pas été compromises et les systèmes de production continuent de fonctionner. Le dommage stratégique est plus subtil : qui possède le code source d’un outil de sécurité peut systématiquement rechercher les erreurs d’implémentation qui existent dans la logicielle finale. Cette recherche peut durer des mois – et les Zero-Days trouvés sont utilisés de manière ciblée contre des cibles de haute valeur, bien avant qu’ils soient découverts.

Le playbook est bien connu. Après le débordement SolarWinds 2020, il a fallu des mois pour comprendre ce que les attaquants avaient fait avec l’accès au système de build. En 2023, les attaquants ont utilisé l’accès aux outils de support internes d’Okta pour se développer auprès des clients. En 2024, Microsoft a vu son code source pour Azure et Exchange compromis. Trellix 2026 est une étape supplémentaire dans cette série.

Que les clients Trellix devraient faire maintenant

La question de la due diligence des fournisseurs : Que les équipes de sécurité doivent penser maintenant

Le fait de Trellix soulève une question qui n’a pas été abordée dans les concepts de sécurité jusqu’à présent : Qu’est-ce qui se passe si l’outil de sécurité devient lui-même le vecteur d’attaque ? Les concepts de defense en profondeur classiques supposent que les outils de sécurité sont neutres – ils protègent, mais ne deviennent pas des armes. Cela ne tient plus vrai.

Mesures spécifiques que les équipes de sécurité devraient évaluer au cours des prochaines semaines : Quelles sont les droits des agents Trellix sur les appareils endpoints ? Y a-t-il accès au noyau ? Peuvent-ils exécuter des commandes à distance ? Existe-t-il un plan de secours si les services Trellix doivent être désactivés ? Ces questions s’appliquent à tous les fournisseurs d’outils de sécurité – Trellix est l’occasion de les répondre enfin.

Trellix recommande aux clients concernés de consulter la page d’advisory officielle et d’installer les correctifs les plus récents. Le BSI Cyber-Abwehrzentrum surveille la situation et a annoncé des conseils pour les opérateurs KRITIS.