CVE-2026-7395 : vérifier Hitachi Energy Asset Suite côté PME et ETI

Une vulnérabilité de sécurité majeure, identifiée sous la référence CVE-2026-7395, a été découverte dans le logiciel Hitachi Energy Asset Suite.^[1] Cette faille pourrait permettre à des attaquants non authentifiés d’accéder à des fonctions critiques, menant à la divulgation d’informations sensibles et à la compromission de l’intégrité de vos systèmes. Les dirigeants de PME et d’ETI utilisant ce produit doivent prendre des mesures immédiates pour évaluer leur exposition et appliquer les correctifs ou mitigations recommandés.

Qu’est-ce que hitachi energy asset suite et quel est son rôle pour votre entreprise ?

Hitachi Energy Asset Suite est une solution logicielle de gestion des actifs d’entreprise (Enterprise Asset Management ou EAM). Pour une PME ou une ETI, cela signifie qu’elle est utilisée pour gérer l’ensemble du cycle de vie de vos équipements physiques et infrastructures critiques : de l’acquisition à la maintenance, en passant par l’exploitation et le déclassement. Ce type de système est fondamental pour assurer la continuité opérationnelle, optimiser la performance des actifs, planifier la maintenance préventive et garantir la conformité réglementaire. Il peut concerner des équipements de production, des flottes de véhicules, des infrastructures énergétiques, ou tout autre actif essentiel à votre activité.

L’événement : une faille critique (cve-2026-7395)

Faits confirmés :

• Une vulnérabilité, référencée CVE-2026-7395, a été signalée par CISA et Hitachi Energy à partir du 6 octobre 2026.
• Cette faille est classée comme une "authentification manquante pour une fonction critique" (CISA cybersecurity advisories).
• Concrètement, le logiciel Hitachi Energy Asset Suite permet à des utilisateurs non authentifiés – c’est-à-dire sans identifiant ni mot de passe – d’accéder à un composant spécifique appelé HTTPPublishAdapterTestServlet (Hitachi Energy).
• Ce HTTPPublishAdapterTestServlet est conçu pour des tests et ne devrait être utilisé que dans des environnements de non-production (CISA cybersecurity advisories).
• L’accès non autorisé à ce composant peut être utilisé pour télécharger des fichiers de configuration, ce qui peut entraîner la divulgation d’informations et la compromission de l’intégrité du système (CISA cybersecurity advisories).
• La vulnérabilité a un score CVSS de 8.1, ce qui indique une gravité élevée.

Termes techniques expliqués :

• Authentification manquante : Imaginez une porte d’entrée qui devrait être verrouillée et nécessiter une clé (votre mot de passe), mais qui est laissée grande ouverte. C’est ce qui se passe ici : une fonction critique du logiciel est accessible sans aucune vérification d’identité.
• Servlet : C’est un petit programme qui s’exécute sur un serveur web et gère les requêtes des navigateurs. Le HTTPPublishAdapterTestServlet est un servlet spécifique, destiné aux développeurs pour tester certaines fonctionnalités.
• CVSS (Common Vulnerability Scoring System) : C’est une méthode standard pour évaluer la gravité d’une vulnérabilité. Un score de 8.1 sur 10 est considéré comme "élevé", signifiant que la faille est sérieuse et potentiellement facile à exploiter avec des conséquences importantes.

Périmètre et versions concernées

Faits confirmés :

• La vulnérabilité CVE-2026-7395 affecte Hitachi Energy Asset Suite.
• Les versions spécifiquement impactées sont Asset Suite versions 9.9.0 et antérieures (CISA cybersecurity advisories).

Conséquences métier potentielles

Implications raisonnables : Si votre entreprise utilise une version vulnérable de Hitachi Energy Asset Suite et que cette fonction est exposée, un attaquant pourrait :

• Divulgation d’informations : Accéder et télécharger des fichiers de configuration. Ces fichiers peuvent contenir des informations sensibles sur votre infrastructure, vos bases de données, vos identifiants de connexion à d’autres systèmes, ou des détails sur vos processus métier. Cela pourrait mener à des fuites de données confidentielles, à l’espionnage industriel ou à des violations de la conformité (RGPD, etc.).
• Compromission de l’intégrité : Modifier les fichiers de configuration. Un attaquant pourrait altérer le fonctionnement de votre système de gestion des actifs, introduire des erreurs, désactiver des fonctions de sécurité, ou même préparer des attaques plus sophistiquées en modifiant la manière dont Asset Suite interagit avec d’autres systèmes critiques.

Scénario concret pour une PME : Imaginons une PME manufacturière, "MétalPro", qui utilise Hitachi Energy Asset Suite version 9.8.0 pour gérer la maintenance de ses machines-outils de haute précision et le suivi de ses stocks de matières premières. Le système est accessible depuis le réseau interne et, par erreur de configuration, le HTTPPublishAdapterTestServlet est resté actif et accessible depuis un segment réseau moins sécurisé. Un acteur malveillant, cherchant à perturber la production ou à voler des secrets de fabrication, découvre cette faille. Sans aucune authentification, il accède au servlet et télécharge un fichier de configuration. Il y trouve des informations sur la structure de la base de données, les identifiants d’un compte de service avec des privilèges élevés, et des détails sur les protocoles de communication avec les automates de production. Grâce à ces informations, l’attaquant pourrait ensuite :

• Modifier les plannings de maintenance, entraînant des pannes imprévues et des arrêts de production coûteux.
• Altérer les paramètres de production des machines, causant des défauts dans les produits finis et des pertes financières.
• Exfiltrer des données sur les brevets ou les formules de fabrication stockées dans le système, compromettant l’avantage concurrentiel de MétalPro.

L’impact métier serait une interruption de la production, des pertes financières dues aux rebuts et aux retards, une atteinte à la réputation et potentiellement des amendes pour non-conformité si des données personnelles étaient également exposées.

Comment savoir si votre entreprise est concernée ?

Pour déterminer si votre PME/ETI est exposée à cette vulnérabilité, suivez ces étapes :

1. Inventaire des logiciels : Identifiez toutes les instances de Hitachi Energy Asset Suite déployées au sein de votre organisation.
2. Vérification des versions : Pour chaque instance, déterminez la version exacte du logiciel. Si vous utilisez la version 9.9.0 ou une version antérieure, vous êtes potentiellement concerné.
3. Exposition du servlet : Vérifiez si le HTTPPublishAdapterTestServlet est actif et accessible. Idéalement, ce composant ne devrait jamais être présent ou accessible dans un environnement de production. Votre équipe informatique ou votre prestataire de services gérant Asset Suite devrait pouvoir confirmer son statut.
4. Accessibilité réseau : Évaluez si les systèmes exécutant Asset Suite sont accessibles depuis Internet ou depuis des réseaux moins sécurisés au sein de votre infrastructure. Une exposition directe augmente considérablement le risque.

Actions immédiates : correctif et mitigation

Faits confirmés : Hitachi Energy a fourni des recommandations pour corriger ou atténuer cette vulnérabilité (CISA cybersecurity advisories) :

• Correctif : Mettre à jour ou migrer vers Asset Suite 9.9.1 dès que cette version est disponible.
• Mitigation : Si la mise à jour n’est pas immédiatement possible, désactiver le HTTPPublishAdapterTestServlet affecté.

Voici un tableau de décision pour vous guider :

Contrôles post-correction et questions à votre prestataire

Après avoir appliqué le correctif ou la mitigation, il est crucial de vérifier l’efficacité des mesures prises :

• Vérification technique : Confirmez que le HTTPPublishAdapterTestServlet est bien désactivé ou que la mise à jour vers la version 9.9.1 a été effectuée avec succès.
• Surveillance des journaux : Surveillez attentivement les journaux d’événements de votre système Asset Suite et de votre pare-feu pour détecter toute tentative d’accès non autorisé ou activité suspecte.
• Tests d’intrusion (optionnel) : Envisagez un test d’intrusion ciblé pour confirmer que la vulnérabilité n’est plus exploitable.

Questions à poser à votre prestataire informatique ou à Hitachi Energy :

• Quelle est la procédure exacte pour désactiver le HTTPPublishAdapterTestServlet sans impacter les opérations ?
• Quand la version 9.9.1 sera-t-elle disponible et quelles sont les étapes de mise à jour ?
• Y a-t-il des prérequis ou des incompatibilités connues avec d’autres systèmes lors de la mise à jour ?
• Comment pouvons-nous vérifier que le correctif a été appliqué correctement et que la vulnérabilité est bien résolue ?
• Quelles sont les meilleures pratiques pour sécuriser Asset Suite dans notre environnement spécifique ?

Points à confirmer et incertitudes

Points à confirmer par votre organisation :

• L’existence et la version exacte de Hitachi Energy Asset Suite dans votre inventaire.
• L’exposition réelle du HTTPPublishAdapterTestServlet dans votre environnement (est-il actif ? est-il accessible depuis l’extérieur ou des zones non sécurisées ?).
• Les dépendances métier spécifiques qui pourraient être affectées par une interruption de service lors de l’application du correctif ou de la mitigation.

Incertitudes générales :

• À la date de publication de cet avis, il n’y a pas d’informations publiques confirmant une exploitation active de cette vulnérabilité dans la nature. Cependant, l’absence de preuve d’exploitation ne signifie pas l’absence de risque.
• La date exacte de disponibilité de la version 9.9.1 n’est pas précisée au-delà de "quand disponible" (CISA cybersecurity advisories). Il est essentiel de rester en contact avec Hitachi Energy pour cette information.