Une mise hors service sans filet correctif
Le 10 juillet 2026, les administrateurs ShareFile ont reçu un message inhabituel de Progress Software : arrêtez immédiatement les serveurs Windows hébergeant vos Storage Zone Controllers. Pas de mise à jour disponible, pas de mesure de contournement — juste une injonction de mise hors service immédiate face à ce que l'éditeur qualifie de « menace externe crédible ». La page de statut de ShareFile le confirme : les Storage Zone Controllers ne sont plus opérationnels.
La brutalité de la décision dit quelque chose sur la gravité perçue de la situation. Ces composants on-premises constituent le pont entre la plateforme cloud ShareFile et les espaces de stockage d'entreprise — partages réseau, blobs Azure, buckets S3, bibliothèques SharePoint. Les couper, c'est interrompre les flux de fichiers que des équipes entières utilisent au quotidien pour échanger contrats, livrables, rapports réglementaires et données métier sensibles.
Une chaîne de vulnérabilités qui préoccupe les experts
L'incident s'inscrit dans une séquence technique préoccupante. En mars 2026, Progress avait discrètement publié un correctif (version 5.12.4) pour deux vulnérabilités découvertes par le cabinet watchTowr Labs. La première, CVE-2026-2699 (score CVSS de 9,8), est un contournement d'authentification fondé sur une faille dite d'« exécution après redirection » : le serveur émet une redirection HTTP 302 mais continue d'exécuter le code derrière, laissant accéder aux pages d'administration sans aucune authentification. Chaînée avec CVE-2026-2701 (CVSS 9,1), elle permet de reconfigurer le dépôt de stockage, d'y déposer une webshell ASPX et d'obtenir une exécution de code distante complète sur la machine cible.
La publication des détails techniques début avril, combinée à la présence de milliers d'instances non mises à jour accessibles publiquement, a créé les conditions d'une exploitation à large échelle. L'alerte de juillet laisse penser que ces conditions ont été réunies.
Ce que les équipes data n'ont pas cartographié
L'incident ShareFile soulève une question que les organisations en architecture hybride évitent souvent : qui supervise réellement l'infrastructure qui fait transiter les données en dehors des entrepôts et des plateformes analytics ?
Les Storage Zone Controllers n'apparaissent pas dans les cartographies d'actifs data classiques. Ils ne s'intègrent pas dans les outils de catalogage ou de data lineage, et ne font généralement pas l'objet des mêmes revues de sécurité que les couches analytiques formelles. Pourtant, ce sont eux qui font circuler des fichiers souvent plus sensibles que ceux stockés en entrepôt : modèles financiers partagés avec des auditeurs, livrables analytiques transmis à des clients, rapports réglementaires envoyés à des autorités de contrôle.
C'est exactement le schéma exploité en 2023 par le groupe Clop via MOVEit Transfer : une plateforme de transfert de fichiers d'entreprise largement déployée, dont la compromission a suffi à exfiltrer des données de centaines d'organisations mondiales sans que les équipes data aient pu en évaluer l'étendue en temps réel.
Intégrer le transfert de fichiers dans la gouvernance des données
La réponse opérationnelle immédiate — mise hors service des contrôleurs, audit des journaux d'accès, bascule vers les capacités cloud-native de ShareFile — est nécessaire mais insuffisante.
Pour les équipes data et les DSI, l'enjeu de fond est d'intégrer ces composants de transfert dans les processus de gouvernance des données : cartographie du patrimoine informationnel, cycles de patch management, journalisation et alerting. La donnée qui transite par ces zones de stockage a la même valeur que celle qui réside dans vos entrepôts formels — elle mérite le même niveau de surveillance. Les architectures hybrides multiplient les surfaces d'échange ; la gouvernance data doit en couvrir chaque nœud, pas seulement les dépôts centraux. La remarque vaut au-delà des grandes organisations : dès qu'une PME automatise ses flux de documents — factures, contrats, pièces jointes —, la traçabilité de chaque échange doit faire partie du cahier des charges initial, pas des options.