Le 10 juillet 2026, Progress Software a demandé aux clients ShareFile exploitant des Storage Zone Controllers d'arrêter les serveurs Windows hôtes en raison d'une menace externe crédible. Aucun correctif, aucun CVE, et accès cloud coupé pour les comptes concernés. Le schéma est celui du risque de concentration : un fournisseur de partage de fichiers largement utilisé est un point d'exposition unique, et son urgence est héritée par tous en aval.
Lorsqu'un fournisseur demande à des milliers de clients d'éteindre un serveur, son problème vient de devenir le leur. Le 10 juillet 2026, Progress Software a écrit par courriel aux clients ShareFile qui exploitent des Storage Zone Controllers pour leur demander d'arrêter ces serveurs sans délai, invoquant une menace de sécurité externe crédible. Les Storage Zone Controllers sont des serveurs Windows sur site qui conservent les fichiers dans le stockage propre du client tout en utilisant le cloud de ShareFile pour les connexions et le partage. Chaque organisation qui en exploite un a dû choisir entre l'exposition et la mise hors ligne d'un service de partage de fichiers. La leçon : un fournisseur TIC largement utilisé est un point d'exposition unique, et son urgence est héritée par tous ceux qui se trouvent en aval.
Ce qui s'est passé
Le 10 juillet 2026, Progress Software a demandé aux clients ShareFile utilisant des Storage Zone Controllers d'arrêter manuellement les serveurs Windows qui les hébergent, selon des articles de BleepingComputer et The Hacker News. Progress a indiqué que désactiver l'accès via le cloud ShareFile ne suffisait pas à réduire la menace, et a également coupé l'accès cloud aux comptes concernés pendant qu'elle enquêtait avec des experts internes et externes. Progress n'a pas précisé si une vulnérabilité logicielle était en cause, si un contrôleur avait été compromis, ni attribué d'identifiant CVE à l'incident. L'entreprise a déclaré n'avoir, à cette date, aucun indice d'accès non autorisé à des comptes ou des données ShareFile. Progress est l'éditeur de MOVEit, le produit de transfert de fichiers massivement exploité par le groupe Clop en 2023. L'avis de juillet est distinct de deux failles critiques de ShareFile divulguées par watchTowr Labs en avril 2026 (CVE-2026-2699 et CVE-2026-2701, une exécution de code à distance pré-authentification chaînable), que Progress avait déjà corrigées. Progress n'a pas relié la menace actuelle à ces failles.
Pourquoi cela compte pour le risque tiers
Le schéma en cause est celui du risque de concentration. ShareFile est un fournisseur unique intégré dans les flux de fichiers de nombreuses organisations, de sorte qu'un seul avis force toute la base de clients à agir en même temps. Le coût n'est pas seulement la menace inconnue : c'est l'interruption de service garantie que représente l'arrêt d'un service sans correctif à appliquer. Il existe aussi une dimension de quatrième partie. Un fournisseur peut utiliser ShareFile pour échanger des fichiers avec vous, de sorte que son arrêt peut interrompre des flux de données dont vous dépendez, même si vous n'exploitez pas le produit vous-même. Un lecteur incapable de dire, en quelques heures, si lui ou ses fournisseurs utilisent ce logiciel porte un risque qu'il ne voit pas encore.
Ce que les équipes devraient en retenir
Deux enseignements. D'abord, tenez un inventaire à jour de vos fournisseurs TIC et des produits qu'ils exploitent, y compris les outils de transfert et de partage de fichiers, afin qu'un avis de fournisseur devienne une action ciblée plutôt qu'une course pour retrouver les systèmes concernés. Ensuite, demandez directement à vos fournisseurs clés s'ils utilisent des Storage Zone Controllers ShareFile pour échanger des données avec vous, et convenez à l'avance de la manière dont ils vous préviendront lorsqu'ils mettront hors ligne un système partagé.
Pour repérer les fournisseurs susceptibles de vous imposer ce type de décision, il peut être utile de voir comment fonctionne la surveillance continue des fournisseurs, afin que l'urgence d'un fournisseur ne vous prenne pas au dépourvu.
FAQ
Qu'a exactement demandé Progress à ses clients ?
Progress a écrit aux clients ShareFile qui exploitent des Storage Zone Controllers le 10 juillet 2026 pour leur demander d'arrêter manuellement les serveurs Windows hôtes. L'entreprise a indiqué que couper le seul accès cloud ne suffisait pas, et a désactivé l'accès aux comptes concernés pendant son enquête.
Une vulnérabilité précise est-elle exploitée ?
Progress ne l'a pas confirmé. À la date de son avis du 10 juillet, elle n'avait pas divulgué la nature de la menace, attribué de CVE, ni indiqué si un contrôleur avait été compromis. Elle ne signalait aucun indice d'accès non autorisé à des comptes ou des données à ce moment-là. Ces éléments sont non confirmés.
Nous n'utilisons pas ShareFile. Sommes-nous exposés ?
Peut-être, à un degré de séparation. Si un fournisseur utilise des Storage Zone Controllers ShareFile pour échanger des fichiers avec vous, son arrêt peut interrompre vos flux de données. Vérifiez quels prestataires dépendent du produit et comment ils vous notifieront des interruptions.
Vous souhaitez appliquer cela à votre écosystème fournisseurs ? Découvrez la plateforme en action et cartographiez vos principaux risques fournisseurs en direct lors d'une présentation.
